DSGVO und KI-Coaching: Was wirklich zählt — jenseits von Marketing-Claims

Jeder KI-Coaching-Anbieter schreibt „DSGVO-konform" auf seine Website. Die drei Buchstaben stehen irgendwo zwischen Logo und CTA-Button, manchmal mit einem kleinen Schildchen daneben. Und damit endet für viele die Prüfung.

Das Problem: DSGVO-Konformität ist kein Zustand, den man einmal herstellt und dann hat. Es ist ein Zusammenspiel aus Datenflüssen, Rollen, Zweckbindung, Löschkonzepten und Transparenz — und im Coaching-Kontext sind die Fragen spezifischer als bei einem normalen SaaS-Tool. Weil Coaching-Daten Verhaltensdaten sind. Weil sie zeigen, wie jemand spricht, wo jemand unsicher ist, was jemand noch nicht kann.

Dieser Artikel ersetzt keine Rechtsberatung. Er liefert stattdessen, was IT, Datenschutz und Betriebsrat brauchen: eine klare Übersicht, welche Fragen gestellt werden müssen — und welche Antworten Substanz haben.

„Wir sind DSGVO-konform" ist kein Nachweis. Es ist ein Claim. Substanz beginnt dort, wo ein Anbieter konkret sagen kann, welche Daten wo gespeichert werden, wer Zugriff hat und was nach neunzig Tagen passiert.

Warum Coaching-Daten sensibler sind als normale SaaS-Daten

Ein CRM speichert Kontaktdaten und Deal-Stages. Ein Projektmanagement-Tool speichert Aufgaben und Deadlines. Ein KI-Coaching-Tool speichert etwas anderes: wie ein Mensch in einer simulierten Drucksituation reagiert. Welche Worte er wählt, wenn ein KI-Kunde sagt „Das ist zu teuer." Wie oft jemand übt. Wo die Scores steigen und wo nicht.

Das sind keine Transaktionsdaten. Das sind Verhaltensdaten. Und in DACH — wo Betriebsräte ein Mitbestimmungsrecht bei der Einführung technischer Systeme haben, die Leistung oder Verhalten überwachen können — macht diese Unterscheidung den Unterschied zwischen einer reibungslosen Einführung und einem monatelangen Genehmigungsprozess.

Die Kernfrage ist deshalb nicht „Ist das Tool DSGVO-konform?" sondern: „Wie wird sichergestellt, dass Coaching-Daten als Lerndaten behandelt werden — und nicht als Leistungsdaten?"

Welche Datenarten im Spiel sind

Um die richtigen Fragen zu stellen, muss man wissen, welche Datenarten ein KI-Coaching-Tool typischerweise verarbeitet:

Textdaten. Chat-Nachrichten, Transkripte, Feedback-Texte. Das ist der Kern der meisten Coaching-Plattformen. Textdaten enthalten direkte Äußerungen der Nutzer:innen und sind damit personenbezogen.

Audiodaten. Wenn das Tool Voice-Übungen unterstützt, werden Sprachaufnahmen verarbeitet — entweder lokal transkribiert oder an einen Speech-to-Text-Service gesendet. Audiodaten sind biometrisch nah und in vielen Datenschutz-Frameworks besonders geschützt.

Metadaten. Nutzungszeiten, Häufigkeit, Drill-Ergebnisse, Scores, Fortschrittskurven. Metadaten wirken harmlos, ergeben aber in der Aggregation ein Verhaltensprofil — und genau das ist der Punkt, an dem Betriebsräte hellhörig werden.

Feedback- und Score-Daten. Rubric-Bewertungen, Stärken-Schwächen-Analysen, Empfehlungen für nächste Übungen. Diese Daten sind die wertvollsten für den Lernprozess — und die sensibelsten, wenn sie in die falschen Hände geraten.

Für jede dieser Kategorien muss klar sein: Wo werden sie verarbeitet? Wie lange gespeichert? Wer hat Zugriff? Und was passiert, wenn jemand seine Daten löschen lassen will?

Data Residency: Wo liegen die Daten wirklich?

„Unsere Daten liegen in der EU" klingt gut, ist aber oft unvollständig. Drei Fragen gehen tiefer:

Wo werden Daten verarbeitet — nicht nur gespeichert? Viele Plattformen speichern Daten in EU-Rechenzentren, senden aber Anfragen an LLM-Provider in den USA. Die Verarbeitung findet dann außerhalb der EU statt, auch wenn die Speicherung EU-konform ist. Frag nach dem vollständigen Datenfluss, nicht nur nach dem Speicherort.

Wer sind die Unterauftragsverarbeiter? Die DSGVO verlangt eine dokumentierte Liste aller Unterauftragsverarbeiter. Ein seriöser Anbieter liefert diese Liste ohne Nachfrage — inklusive Standort, Zweck und Rechtsgrundlage für jeden Sub-Processor.

Was passiert im Support-Fall? Können Support-Mitarbeiter:innen auf Nutzungsdaten zugreifen? Wenn ja: welche, unter welchen Bedingungen, und wird der Zugriff protokolliert? Support-Zugriff ist ein oft übersehener Datenfluss.

Rollen, Rechte und das Employee-First-Prinzip

Die technische DSGVO-Konformität ist die eine Seite. Die organisatorische ist die andere — und in der Praxis oft die entscheidende.

Das Grundprinzip: Individuelle Coaching-Daten gehören der Person, die geübt hat. Niemand sonst. Nicht dem Team-Lead, nicht dem VP Sales, nicht HR. Wer dieses Prinzip — Employee-First — nicht architektonisch im Tool verankert, wird in DACH bei der Einführung scheitern.

Was das konkret bedeutet: Reps sehen alle eigenen Daten: Drills, Scores, Feedback, Fortschritt. Team-Leads sehen aggregierte Statistiken: Wie oft übt das Team? Welche Szenarien werden genutzt? Wo liegt der Durchschnitts-Score? Aber keine Einzelperson ist identifizierbar. Admins konfigurieren Szenarien und sehen System-Metriken — aber keine individuellen Übungsinhalte.

Die Testfrage für Anbieter: „Kann ein Team-Lead sehen, was ein bestimmter Rep in einem bestimmten Drill gesagt hat?" Wenn die Antwort „Ja" lautet, fehlt das Rollenmodell. Wenn die Antwort „Nein, nur der Rep selbst" lautet, ist die Architektur richtig.

Wie das Employee-First-Modell bei der Betriebsratseinführung konkret argumentiert wird, zeigt der Artikel KI-Coach einführen ohne Betriebsrat-Stress.

Der Anbieter-Fragenkatalog: Zwölf Fragen mit Substanz

Statt „Sind Sie DSGVO-konform?" — diese zwölf Fragen trennen Substanz von Claims:

Datenarten: Welche Daten werden verarbeitet? Text, Audio, Video, Metadaten — und welche davon werden an Drittservices gesendet?

Speicherdauer: Wie lange werden Coaching-Daten gespeichert? Gibt es automatische Löschfristen? Kann der User selbst löschen?

Datenresidenz: In welchem Land werden Daten gespeichert und verarbeitet? Gibt es einen vollständigen Datenfluss-Überblick?

Unterauftragsverarbeiter: Welche Sub-Processor werden eingesetzt — mit Standort, Zweck und Rechtsgrundlage?

Rollenmodell: Wer sieht welche Daten auf welcher Ebene? Ist das Rollenmodell konfigurierbar?

Export und Löschung: Kann ein User alle eigenen Daten exportieren? Kann er Löschung verlangen — und wird diese nachweisbar umgesetzt?

Auftragsverarbeitung: Liegt eine AVV/DPA vor? Wird sie standardmäßig angeboten oder erst auf Nachfrage?

Verschlüsselung: Sind Daten at rest und in transit verschlüsselt? Welche Standards?

Zugriffsprotokolle: Werden Admin- und Support-Zugriffe protokolliert?

LLM-Datennutzung: Werden Coaching-Daten zum Training der eingesetzten Sprachmodelle verwendet? Die Antwort muss „Nein" lauten.

Zweckbindung: Werden Daten ausschließlich für den definierten Coaching-Zweck verwendet — keine Profiling, keine Weitergabe, keine Sekundärnutzung?

Betriebsrat-Unterlagen: Liefert der Anbieter fertige Dokumente — Pilot-FAQ, Datenfluss-Skizze, Rollenmodell — die eine Betriebsrats-Information erleichtern?

Fazit

DSGVO im KI-Coaching ist kein Checkbox-Thema. Es ist ein Vertrauensthema. Wer die richtigen Fragen stellt, erkennt schnell, welche Anbieter ihre Datenschutzarchitektur durchdacht haben — und welche einen Marketing-Claim auf die Website setzen und hoffen, dass niemand nachfragt.

In DACH entscheidet Datenschutz nicht über Compliance. Er entscheidet über Kauf oder Blockade. Über schnelle Einführung oder monatelanges Warten. Über Vertrauen der Nutzer:innen oder Misstrauen vom ersten Tag an.

Die zwölf Fragen in diesem Artikel sind kein Audit-Framework. Sie sind ein Startpunkt — für das Gespräch mit Anbietern, mit der eigenen IT, mit dem Datenschutzbeauftragten und mit dem Betriebsrat.

sales-coach.ai liefert zu jedem dieser zwölf Punkte eine dokumentierte Antwort: EU-Datenresidenz, Employee-First-Rollenmodell, automatische Löschfristen, AVV ab Tag eins und ein fertiges Betriebsrats-Informationspaket. DSGVO-Onepager anfordern →