Warum im Bestattungshaus besondere Sorgfalt gilt
Ein Detail überrascht viele: Die DSGVO schützt nur lebende Personen — auf Verstorbene ist sie nach Erwägungsgrund 27 nicht anwendbar. Das macht die Sache aber nicht einfacher, sondern anspruchsvoller. Denn wer bei Ihnen anruft oder chattet, ist ein lebender Mensch in einer Ausnahmesituation: Angehörige teilen Namen, Adressen, Familienstände, manchmal Krankheitsverläufe und finanzielle Verhältnisse mit. Diese Daten unterliegen der DSGVO vollständig — und das Vertrauen, das Familien Ihrem Haus entgegenbringen, verträgt keinen laxen Umgang damit.
Wenn eine KI diese Gespräche führt, kommen ein paar Pflichten dazu. Die gute Nachricht: Es ist überschaubar, wenn man es der Reihe nach abarbeitet.
Die Checkliste: 9 Punkte vor dem Go-live
1. Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Der KI-Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag — dafür braucht es zwingend einen AVV, unterschrieben vor der Inbetriebnahme. Er regelt Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter und Löschpflichten. Bei AiSash liegt der AVV auf Basis des Bitkom-Musters offen zur Ansicht bereit.
2. Hosting-Standort konkret erfragen
„EU-Cloud" ist keine Antwort — fragen Sie nach Land und Rechenzentrum. AiSash hostet bei Hetzner in Nürnberg. Je konkreter die Antwort, desto kürzer die Diskussion mit Datenschutzbeauftragten und kritischen Angehörigen.
3. Drittland-Transfers offenlegen lassen
Viele leistungsfähige KI-Modelle stammen von US-Anbietern. Das ist zulässig — wenn es offengelegt und über EU-Standardvertragsklauseln (SCC, Beschluss 2021/914) abgesichert ist. Verlangen Sie die Liste aller Unterauftragsverarbeiter. Wie wir das handhaben, steht vollständig auf unserer Sicherheitsseite.
4. Einwilligung im Chat einholen
Ein Chat-Widget darf nicht einfach lostippen lassen: Vor Beginn der Konversation gehört eine Einwilligung mit Link auf die Datenschutzerklärung — auch mit Blick auf § 25 TDDDG, wenn im Browser gespeichert oder ausgelesen wird. Gut gelöst ist es so, wie Sie es auf dieser Website sehen: erst Zustimmung, dann Gespräch, jederzeit widerrufbar.
5. Datenschutzerklärung ergänzen (Art. 13 DSGVO)
Chat und Telefon-KI sind neue Verarbeitungstätigkeiten. Ihre Datenschutzerklärung muss darüber informieren: Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer, Drittland-Transfers, Betroffenenrechte. Ein Anbieter, der Ihnen hierfür keine Textvorlage mitgibt, überlässt Ihnen juristische Arbeit, die er längst erledigt haben sollte.
6. Löschfristen mit Zahlen festlegen
„Wird gelöscht" genügt nicht — es braucht Fristen. Zur Orientierung die Werte, mit denen AiSash arbeitet: Konversationsinhalte werden nach 90 Tagen unwiderruflich gelöscht, aktiv mitgeteilte Kontaktdaten spätestens nach 180 Tagen. Entscheidend ist, dass die Fristen dokumentiert sind und technisch durchgesetzt werden — nicht per Hand.
7. KI-Kennzeichnung einbauen (EU AI Act Art. 50)
Ab dem 2. August 2026 muss jede Person, die mit einer KI interagiert, darüber informiert werden — am Telefon zu Gesprächsbeginn, im Chat sichtbar im Widget. Details und Übergangsfragen haben wir im Artikel EU AI Act für Bestatter zusammengefasst.
8. Gesprächsaufzeichnung: im Zweifel aus
Das heimliche Aufzeichnen eines Telefonats ist in Deutschland nicht nur ein Datenschutzthema, sondern strafbar (§ 201 StGB — Verletzung der Vertraulichkeit des Wortes). Aufzeichnung daher nur mit ausdrücklicher Einwilligung aller Beteiligten — und ehrlicherweise braucht ein Bestattungshaus sie selten: Eine strukturierte Zusammenfassung des Anliegens leistet im Alltag mehr als eine Audiodatei. Bei AiSash ist die Aufzeichnung deshalb standardmäßig deaktiviert.
9. Interne Dokumentation nachziehen
Nehmen Sie die neue Verarbeitung ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) auf, lassen Sie sich die technischen und organisatorischen Maßnahmen (Art. 32) des Anbieters geben und dokumentieren Sie die Prüfung, ob eine Datenschutz-Folgenabschätzung (Art. 35) nötig ist. Seriöse Anbieter liefern diese Unterlagen unaufgefordert mit.
Die drei häufigsten Fehler
- Erst live, dann Papierkram: Der AVV wird „nachgereicht", die Datenschutzerklärung bleibt alt. Genau andersherum wird ein Schuh daraus.
- Blindflug bei Unterauftragsverarbeitern: Wer nicht weiß, welche Dienste hinter seinem Chatbot stehen, kann keine der Pflichten aus Art. 13 und Art. 28 erfüllen.
- Schweigen zur KI: Ein Assistent, der sich als Mensch ausgibt, verletzt ab August 2026 den AI Act — und schon heute das Vertrauen der Familien, wenn es auffliegt.
Fazit
DSGVO-konforme KI im Bestattungshaus ist kein Hexenwerk — sie ist vor allem eine Frage der Anbieterwahl. Wer Ihnen AVV, Hosting-Standort, Löschfristen und Unterauftragsverarbeiter nicht schriftlich und unaufgefordert vorlegt, nimmt Ihnen nicht Arbeit ab, sondern lädt Ihnen Risiko auf. Was ein Assistent fachlich können muss, lesen Sie im Leitfaden zum KI-Telefonassistenten.
Häufige Fragen
Ist ein KI-Anbieter mit US-Technologie automatisch unzulässig?
Nein. Drittland-Transfers sind zulässig, wenn sie sauber abgesichert sind — in der Praxis über EU-Standardvertragsklauseln (SCC, Beschluss 2021/914) und transparente Benennung der Unterauftragsverarbeiter. Unzulässig ist das Verschweigen: Wenn ein Anbieter nicht sagen kann oder will, wo welche Daten verarbeitet werden, ist das der eigentliche Warnhinweis.
Wer haftet, wenn der KI-Dienstleister gegen die DSGVO verstößt?
Verantwortlicher im Sinne der DSGVO bleibt Ihr Bestattungshaus — der KI-Anbieter ist Auftragsverarbeiter. Genau deshalb ist der Auftragsverarbeitungsvertrag nach Art. 28 keine Formalie, sondern Ihre wichtigste Absicherung: Er legt Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter und Löschpflichten verbindlich fest.
Reicht meine bestehende Datenschutzerklärung aus?
In der Regel nicht. Chat-Widget und Telefon-KI sind neue Verarbeitungen, über die nach Art. 13 DSGVO informiert werden muss: Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Drittland-Transfers. Die Datenschutzerklärung braucht dafür einen eigenen Abschnitt — Ihr Anbieter sollte Ihnen dafür eine Textvorlage mitliefern.
Brauche ich eine Datenschutz-Folgenabschätzung (DSFA)?
Das hängt vom Einzelfall ab. Bei einer Telefon-KI, die regelmäßig sensible Lebenssituationen verarbeitet, ist die Prüfung nach Art. 35 DSGVO zumindest zu dokumentieren — oft genügt das begründete Ergebnis, dass kein hohes Risiko besteht. Ein seriöser Anbieter liefert Ihnen die technische Dokumentation zu, die Sie für diese Prüfung brauchen.