Ist KI-Sprachtraining DSGVO-konform? Die 5-Punkte-Checkliste

Fünf Prüfpunkte

1. Serverstandort & Datenfluss: Wo laufen Audio- und Videoströme durch, wo antwortet die KI? Der Anbieter muss den kompletten Datenfluss benennen können – Server in der EU sind der Maßstab.

2. Kein KI-Training mit Nutzerdaten: Unternehmens-APIs großer KI-Anbieter nutzen Daten standardmäßig nicht zum Modelltraining – kostenlose Consumer-Chatbots oft schon. Schriftlich zusichern lassen.

3. Speicherdauer & Löschung: Werden Gespräche dauerhaft gespeichert oder nach der Session verworfen? Klare Löschfristen und Auskunftsmöglichkeiten gehören in den Vertrag.

4. Auftragsverarbeitung (AVV): Der Anbieter verarbeitet Mitarbeiterdaten in Ihrem Auftrag – ein AVV nach Art. 28 DSGVO inklusive Subdienstleister-Liste ist Pflicht, keine Kür.

5. KI-Transparenz-Kennzeichnung: Mitarbeiter müssen wissen, dass sie mit einer KI sprechen. Ab dem 2. August 2026 ist das nach Art. 50 EU AI Act auch gesetzlich vorgeschrieben.

Die DSGVO-Checkliste

Serverstandort & Datenfluss — warum wichtig: Sprachaufnahmen sind personenbezogene Daten; Drittlandtransfers brauchen zusätzliche Garantien (Art. 44 ff. DSGVO). Worauf achten: EU-Server für Medienströme; vollständige Landkarte aller beteiligten Dienste, nicht nur des Frontends.

Kein Training mit Nutzerdaten — warum wichtig: Fließen Gespräche ins Modelltraining, verlassen sie dauerhaft Ihre Kontrolle – Löschung wird praktisch unmöglich. Worauf achten: Schriftliche Zusage, dass API-Daten nicht zum Training verwendet werden; Vorsicht bei kostenlosen Consumer-Tools.

Speicherdauer & Löschung — warum wichtig: Die DSGVO verlangt Speicherbegrenzung (Art. 5) – unbegrenzt gespeicherte Mitarbeitergespräche sind ein Haftungsrisiko. Worauf achten: Definierte Löschfristen; Aufzeichnungen nur mit ausdrücklicher Zustimmung der Nutzer.

AVV & Subdienstleister — warum wichtig: Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO haftet Ihr Unternehmen für eine unklare Verarbeitungskette. Worauf achten: AVV mit vollständiger Subdienstleister-Liste (STT, LLM, TTS, Avatar, Hosting) vor Vertragsschluss.

KI-Kennzeichnung (Transparenz) — warum wichtig: Ab 02.08.2026 verlangt Art. 50 EU AI Act, dass Nutzer die KI-Interaktion erkennen und KI-Inhalte gekennzeichnet sind. Worauf achten: Der Avatar wird offen als KI benannt – Anbieter, die ihre KI als Menschen ausgeben, meiden.

Mitbestimmung & interne Freigabe — warum wichtig: Systeme, die Leistungsdaten erfassen könnten, berühren in Deutschland Mitbestimmungsrechte (§87 BetrVG). Worauf achten: Betriebsrat und Datenschutzbeauftragten früh einbinden; klarstellen, dass Lernfortschritt keine Leistungsbewertung ist.

Wie schützt Simmonds die Sprachdaten?

Der wichtigste Unterschied liegt in der Architektur: Die Audio- und Videoströme unserer KI-Avatar-Sessions laufen über einen selbst betriebenen LiveKit-Server auf eigener Hardware bei Hetzner in Nürnberg. Die Medienströme gehen also nicht durch die Cloud eines US-Videodienstleisters, sondern bleiben auf EU-Infrastruktur unter unserer direkten Kontrolle. Auch das Avatar-Rendering läuft auf unserem eigenen Server.

Für das Sprachverständnis und die Antworten des Avatars nutzen wir Unternehmens-Schnittstellen großer KI-Anbieter. Laut OpenAI API-Richtlinie werden über die API gesendete Daten standardmäßig nicht zum Training der Modelle verwendet – das unterscheidet Unternehmens-APIs grundlegend von kostenlosen Consumer-Chatbots. Gesprächsinhalte werden nicht dauerhaft gespeichert; Aufzeichnungen gibt es nur auf Wunsch und unter Kontrolle der Nutzer. Die vollständige Liste der Subdienstleister und den AVV stellen wir Ihnen vor Vertragsschluss zur Verfügung – Details und AVV auf Anfrage.

Und weil die Frage regelmäßig kommt: Der Lernfortschritt Ihrer Mitarbeiter dient dem Training selbst – er ist kein Werkzeug zur Leistungsbeurteilung und wird nicht als solches aufbereitet.

EU AI Act ab 2. August 2026

Ab dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act (Art. 50, Verordnung (EU) 2024/1689). Zwei Punkte betreffen KI-Sprachtraining direkt: Erstens müssen Menschen, die mit einem KI-System interagieren, darüber informiert werden – ein KI-Avatar darf sich nicht als menschlicher Lehrer ausgeben. Zweitens müssen KI-generierte Inhalte wie Avatar-Videos maschinenlesbar und erkennbar als KI-generiert gekennzeichnet sein.

Unsere Haltung dazu: Ehrliche Kennzeichnung ist ein Qualitätsmerkmal, keine Schwäche. Unser KI-Avatar heißt überall genau so – KI-Avatar. Niemand soll glauben, mit einem Menschen zu sprechen; der Avatar ist das Übungswerkzeug zwischen den Sessions mit echten muttersprachlichen Trainern. Die Kennzeichnungspflichten des AI Act verstehen wir deshalb nicht als Last, sondern als Verpflichtung, die wir aktiv umsetzen – und als nützlichen Filter: Anbieter, die ihre KI verstecken, beantworten meist auch die Datenschutzfragen oben nicht sauber.

Wie geht es weiter?

Wenn Sie KI-Sprachtraining für Ihr Team prüfen, empfehlen wir diese Reihenfolge: erst die Checkliste oben an alle Kandidaten schicken, dann Betriebsrat und Datenschutzbeauftragten einbinden, dann testen. Wir beantworten die fünf Punkte transparent und zeigen Ihnen den KI-Avatar gern in einer kostenlosen Demo-Session.

Hinweis: Diese Seite informiert allgemein und ist keine Rechtsberatung. Verbindliche Aussagen für Ihren Einzelfall treffen Ihr Datenschutzbeauftragter und Ihre Rechtsabteilung. Stand: Juli 2026.