Die Checkliste im Überblick

  • Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter geschlossen.
  • Verarbeitung auf Servern in Deutschland bzw. der EU – ohne Drittlandübermittlung ohne Grundlage.
  • Rechtsgrundlage geklärt (z. B. Vertragsanbahnung oder berechtigtes Interesse); Einwilligung dort, wo sie nötig ist.
  • Transparente Information der Kunden in der Datenschutzerklärung.
  • Verzeichnis von Verarbeitungstätigkeiten aktualisiert.
  • Lösch- und Aufbewahrungsfristen definiert.
  • Bei Messenger-Kanälen: dokumentierte Einwilligung, damit Sie WhatsApp im Autohaus DSGVO-konform nutzen können.
  • Technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffsbeschränkung) dokumentiert.

Diese Checkliste ist eine Orientierung, keine Rechtsberatung. Stimmen Sie den konkreten Einsatz mit Ihrem Datenschutzbeauftragten ab.

Auftragsverarbeitungsvertrag: der wichtigste Baustein

Sobald ein Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet – und das tut jede KI, die Kundenanfragen beantwortet –, brauchen Sie einen Auftragsverarbeitungsvertrag. Er regelt, was mit den Daten geschieht, und hält fest, dass Sie als Autohaus der Verantwortliche bleiben.

Fragen Sie jeden Anbieter, ob er einen AVV nach Art. 28 DSGVO bereitstellt. Fehlt er, ist der Einsatz im Autohaus nicht rechtssicher.

Verarbeitungsort und Unterauftragsverarbeiter

Wo die Daten verarbeitet werden, ist ein entscheidender Punkt. Eine Verarbeitung auf Servern in Deutschland vermeidet die Unsicherheiten einer Drittlandübermittlung. Lassen Sie sich außerdem zeigen, welche Unterauftragsverarbeiter beteiligt sind – Transparenz an dieser Stelle ist ein gutes Zeichen für einen seriösen Anbieter.

Wie das in der Praxis aussieht, zeigt ein DSGVO-konformer KI-Chatbot fürs Autohaus; die technischen Details sind im Velyx Trust Center dokumentiert.