E-Mail, KI und das Recht: was KI-generierte Inhalte und Personalisierung unter DSGVO und KI-Verordnung bedeuten
Einen Newsletter von einem KI-Modell schreiben zu lassen, ist an sich weder unter der DSGVO noch unter der KI-Verordnung (AI Act) ein Problem. Worauf es ankommt, ist, womit Sie das Modell füttern (Kundendaten?), wie Sie Entscheidungen über einzelne Empfänger automatisieren (Profiling) und ob Sie transparent machen, was geschieht. In der Praxis läuft es auf drei Fragen hinaus: Welche personenbezogenen Daten gehen in welches System, auf welcher Grundlage personalisieren Sie, und kann ein Empfänger das verstehen und Widerspruch einlegen. Dieser Artikel gibt die praktische Seite; er ist keine Rechtsberatung, und die genauen Pflichten hängen von Ihrer Situation ab.
Zwei Gesetze, zwei Fragen
Die DSGVO betrifft personenbezogene Daten: alles, was Sie über eine identifizierbare Person verarbeiten. Die KI-Verordnung (AI Act) betrifft die KI-Systeme selbst, eingeteilt nach Risiko. Das Schreiben von Marketingtexten und das Empfehlen von Produkten fällt, soweit wir es verstehen, in die Kategorie mit begrenzten oder minimalen Pflichten. Für E-Mail ist die DSGVO also meist das Gesetz, das die Arbeit macht, mit der KI-Verordnung als Ergänzung für die Transparenz.
KI-generierte Inhalte
Was sich nicht ändert
Eine Betreffzeile oder eine Produktbeschreibung, die ein Modell geschrieben hat, ist schlicht Ihr Text. Sie sind dafür verantwortlich, so wie für den Text eines Werbetexters. Kein Gesetz verpflichtet Sie, unter einen Newsletter zu schreiben, dass ein Modell mitgeschrieben hat, solange ein Mensch den Text geprüft hat und die Botschaft von Ihnen kommt. Die Transparenzregeln der KI-Verordnung richten sich vor allem an Systeme, die unmittelbar mit Menschen interagieren (ein Chatbot muss sich als solcher zu erkennen geben), und an synthetische Bilder, Audio und Video.
Was sich sehr wohl ändert
Die Eingabe. Wer einen externen KI-Dienst bittet „schreib eine Mail für diesen Kunden“ und Name, Kaufhistorie und Adresse dazusetzt, übermittelt personenbezogene Daten an einen Auftragsverarbeiter. Das ist nur mit einem Auftragsverarbeitungsvertrag, einer Rechtsgrundlage und, wenn dieser Dienst außerhalb der EU verarbeitet, einer gültigen Übermittlungsgrundlage zulässig. Viele KI-Dienste nutzen Eingaben zudem standardmäßig zum Training ihrer Modelle, sofern Sie das nicht abschalten. Die praktische Regel: Schreiben Sie Texte mit KI ohne Kundendaten (nutzen Sie Platzhalter), und lassen Sie die Personalisierung von Ihrem eigenen Kampagnentool erledigen, das die Daten ohnehin unter einem Vertrag verarbeitet.
Automatische Personalisierung
Hier steckt die eigentliche Arbeit. Sobald ein System je Empfänger entscheidet, welchen Inhalt, welches Angebot oder welchen Preis er auf Basis seines Verhaltens sieht, ist das Profiling im Sinne der DSGVO. Verboten ist das nicht, aber es verlangt:
- Eine Rechtsgrundlage. Für Bestandskunden und einfache Segmentierung (hat Gartenmöbel gekauft, bekommt Gartennews) ist ein berechtigtes Interesse in der Regel vertretbar. Für tiefgehende Profile, die Verhalten über Kanäle hinweg kombinieren, wird die Einwilligung eher der sicherere Weg.
- Transparenz. Ihre Datenschutzerklärung muss nennen, dass Sie profilieren, wofür, und dass der Empfänger Widerspruch einlegen kann. Bei Marketing ist dieses Widerspruchsrecht absolut: Wer sagt „hören Sie auf, mich für Marketing zu profilieren“, dem müssen Sie folgen.
- Grenzen für vollautomatische Entscheidungen. Die DSGVO schützt Menschen vor Entscheidungen ohne menschliches Zutun, die sie erheblich beeinträchtigen. Eine andere Produktempfehlung in einem Newsletter beeinträchtigt meist niemanden erheblich; ein System, das bestimmten Kunden automatisch einen höheren Preis oder keine Ratenzahlung anzeigt, kann das sehr wohl. Im Zweifel: Lassen Sie einen Menschen die Regel freigeben, nicht jede einzelne Mail.
Besondere Daten: hier ist Schluss
Lassen Sie ein Modell nie nach dem segmentieren, was die DSGVO besondere Kategorien nennt: Gesundheit, Religion, politische Meinung, sexuelle Orientierung, ethnische Herkunft. Auch nicht indirekt: Eine Apotheke, die aus Käufen ein Segment „wahrscheinlich Diabetes“ ableiten lässt, verarbeitet Gesundheitsdaten, ohne dass der Kunde davon weiß. KI-Modelle sind gut in genau solchen Ableitungen, und das ist der Grund, die Eingabe bewusst zu begrenzen.
Ein gangbarer Ansatz für ein durchschnittliches Unternehmen
- Schreiben Sie mit KI, aber ohne personenbezogene Daten im Prompt. Platzhalter wie {vorname} und {letztes_produkt} werden erst beim Versand gefüllt, innerhalb Ihres Kampagnentools.
- Lassen Sie jeden Text vor dem Versand von einem Menschen prüfen. Modelle erfinden Produktmerkmale, Preise und Bedingungen.
- Beschränken Sie die Personalisierung auf Segmente, die Sie einem Kunden erklären können: „Sie haben X gekauft, also bekommen Sie Neuigkeiten zu X“. Unsere Seite über Listensegmentierung beschreibt, wie Sie das ohne Blackbox aufsetzen.
- Aktualisieren Sie die Datenschutzerklärung: welche Daten, welcher Zweck, welche Auftragsverarbeiter, welches Widerspruchsrecht.
- Wählen Sie Auftragsverarbeiter, die innerhalb der EU verarbeiten und einen Auftragsverarbeitungsvertrag anbieten. Für den Versand selbst ist eine europäische E-Mail-Plattform der einfachste Weg, die Frage der Übermittlung zu vermeiden.
Ein Beispiel
Ein Onlineshop für Fahrradteile möchte je Kunde einen anderen Einstiegsabsatz. Der falsche Weg: jeden Kunden mit Namen und Bestellhistorie an einen externen KI-Dienst schicken und pro Person einen Text erzeugen lassen. Der gangbare Weg: mit KI fünf Varianten schreiben (Rennrad, Mountainbike, Stadtrad, E-Bike, unbekannt), ein Mensch prüft sie, und das Kampagnentool wählt je Kunde die Variante nach dem Segment, in dem er sitzt. Keine personenbezogenen Daten außer Haus, eine erklärbare Regel und eine Abmeldemöglichkeit für personalisierte Inhalte in den Einstellungen.
Häufig gestellte Fragen
Muss ich angeben, dass eine KI die Mail geschrieben hat?
Für gewöhnlichen Marketingtext, den ein Mensch geprüft hat, ist das nach unserem Verständnis nicht verpflichtend. Es steht Ihnen frei, es zu tun. Bei einem Chatbot, der Kunden bedient, sieht das anders aus.
Ändert die KI-Verordnung etwas an meinem Newsletter-Tool?
Soweit dieses Tool beim Schreiben von Texten hilft oder Segmente vorschlägt, fällt es in die leichte Kategorie. Fragen Sie Ihren Anbieter aber, welche Daten die KI-Funktionen nutzen und wo diese verarbeitet werden. Mehr über verantwortungsvolles Kampagnenmanagement lesen Sie auf unserer Seite über E-Mail-Marketing.