KI in der Beratungsdokumentation: was erlaubt ist (IDD, DSGVO, AI Act)

Kurz gesagt: Kein Gesetz verbietet, Beratungsprotokolle mit KI vorzubereiten. Die Pflichten bleiben aber bei Ihnen: Die Dokumentation muss inhaltlich stimmen und rechtzeitig in der vorgeschriebenen Form beim Kunden sein. Gespräche dürfen nur mit Befugnis aufgezeichnet werden, die Kundendaten brauchen eine DSGVO-Grundlage und einen Auftragsverarbeitungsvertrag (AVV). Seit August 2026 gilt außerdem: Wer Kunden mit einer KI sprechen oder chatten lässt, muss das offenlegen.

1. Welche Dokumentationspflichten gelten?

Was das für KI bedeutet: Ein KI-Protokoll ist ein Entwurf. Sie müssen es prüfen, ergänzen und freigeben, bevor es an den Kunden geht. Eine Zusammenfassung, die Empfehlungen oder Begründungen falsch wiedergibt, ist eine fehlerhafte Dokumentation. Im Haftungsfall (§ 63 VVG) zählt, was im Protokoll steht.

2. Darf ich das Gespräch aufnehmen oder live transkribieren lassen?

• Strafrecht: Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, macht sich strafbar (§ 201 StGB, Freiheitsstrafe bis zu drei Jahren oder Geldstrafe). Holen Sie deshalb vor jeder Aufnahme die Einwilligung aller Gesprächsteilnehmer ein und dokumentieren Sie sie. Manche Anbieter werben damit, dass bei reinem Live-Streaming ohne Speicherung keine Einwilligung nötig sei. Das ist eine Anbieteraussage, keine gesicherte Rechtslage.
• Ausnahme 34f: Für Finanzanlagenvermittler verlangt § 18a FinVermV die Aufzeichnung bestimmter Telefon- und elektronischer Gespräche. Vorab müssen Sie informieren (Abs. 3), die Aufzeichnungen sind zweckgebunden (Abs. 5). Klären Sie, ob ein KI-Notetaker diese Pflicht erfüllt oder ob Sie zusätzlich eine revisionssichere Aufzeichnung brauchen.
• Videokonferenzen: Bots, die einem Meeting beitreten, sind für alle sichtbar. Bot-freie Notetaker zeichnen unbemerkt auf. Gerade dann gehört der Hinweis an den Gesprächsbeginn.

3. DSGVO: was Sie mit dem Anbieter regeln müssen

• Rechtsgrundlage: Für Vertragsanbahnung und gesetzliche Dokumentationspflichten kommen Art. 6 Abs. 1 lit. b und c DSGVO in Betracht. Für Gesundheitsdaten (z. B. in BU-, PKV- oder Lebensversicherungsberatungen) braucht es zusätzlich eine Grundlage nach Art. 9 DSGVO, in der Praxis meist eine ausdrückliche Einwilligung.
• AVV nach Art. 28 DSGVO mit dem KI-Anbieter, inklusive Liste der Unterauftragsverarbeiter (z. B. der Sprachmodell-Anbieter).
• Serverstandort und Drittlandtransfer (Art. 44 ff. DSGVO): Wo werden Audio, Transkript und Protokoll gespeichert? Wird an Modelle außerhalb der EU übermittelt?
• Kein Training mit Kundendaten: Das sollte vertraglich ausgeschlossen sein, nicht nur in den FAQ stehen.
• Lösch- und Aufbewahrungsfristen: Audio so kurz wie möglich speichern. Protokolle und 34f-Aufzeichnungen nach den gesetzlichen Fristen aufbewahren (§ 18a Abs. 6 i. V. m. § 23 FinVermV).
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) prüfen, wenn Sie systematisch Gespräche mit Gesundheitsdaten verarbeiten. Dazu gehören auch die Informationspflichten (Art. 13 DSGVO).

In unserer Übersicht der Beratungsdoku-Tools zeigen wir je Anbieter, was er zu Hosting, AVV und Datenschutz angibt, mit Quelle. Unbekanntes kennzeichnen wir als „unbekannt“.

4. KI-Verordnung (AI Act): was gilt für Vermittler?

• KI-Kompetenz (Art. 4): Seit 2. Februar 2025 müssen Betreiber von KI-Systemen Maßnahmen ergreifen, damit ihr Personal ausreichend KI-kompetent ist. Der Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat diese Anforderung vereinfacht. Eine interne Nutzungsregel plus Schulung bleibt sinnvoll.
• Transparenz (Art. 50 Abs. 1, seit 2. August 2026): KI-Telefonassistenten und Chatbots müssen so gestaltet sein, dass Kunden erkennen, dass sie mit einer KI interagieren. Ein KI-Protokoll, das Sie intern erstellen und selbst prüfen, ist kein Kennzeichnungsfall nach Art. 50.
• Hochrisiko (Anhang III Nr. 5): KI zur Kreditwürdigkeitsprüfung natürlicher Personen sowie zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung gilt als hochriskant. Diese Regeln gelten nach dem Omnibus ab 2. Dezember 2027. Ein Protokoll-Assistent fällt nach unserer Einschätzung nicht darunter. Prüfen Sie aber Tools, die Kunden „scoren“ oder Finanzierbarkeit bewerten.
• Bußgelder: Für Verstöße gegen Art. 50 bis zu 15 Mio. € bzw. 3 % des weltweiten Jahresumsatzes. Für KMU gilt jeweils der niedrigere Betrag (Art. 99).

5. Und die BaFin?

Gewerbliche Vermittler nach §§ 34d, 34f und 34i GewO werden in der Regel nicht von der BaFin beaufsichtigt, sondern von den IHKs bzw. Gewerbeämtern. Die BaFin-Orientierungshilfe zu IKT-Risiken beim KI-Einsatz vom 18.12.2025 richtet sich laut BaFin „insbesondere an Institute, für die die Capital Requirements Regulation gilt, und für Versicherer, die nach Solvency II beaufsichtigt werden“. Sie ist unverbindlich, eignet sich aber als Orientierung. Das gilt auch für die BaFin-Prinzipien zu Algorithmen in Entscheidungsprozessen (2021). Über Versicherer und Pools können die Anforderungen mittelbar bei Ihnen ankommen, etwa über Vereinbarungen zur Auslagerung oder Datenverarbeitung.

6. Österreich und Schweiz

• Österreich: Die IDD ist für Versicherungsvermittler in der Gewerbeordnung umgesetzt (§§ 137 ff. GewO 1994). KI-Verordnung und DSGVO gelten unmittelbar. Fragen Sie für Detailfragen den Fachverband der Versicherungsmakler bzw. Finanzdienstleister in der WKO.
• Schweiz: Die EU-KI-Verordnung gilt nicht unmittelbar. Maßgeblich sind das revidierte Datenschutzgesetz (revDSG) und für Versicherungsvermittler das VAG (u. a. Informationspflichten nach Art. 45 VAG). Wenn Sie Kunden in der EU betreuen, kann die KI-Verordnung trotzdem relevant werden.

7. Checkliste für den Einsatz im Vermittlerbüro

1. Einwilligung zur Aufnahme/Transkription vor Gesprächsbeginn einholen und dokumentieren (bei Gesundheitsdaten: ausdrücklich, Art. 9 DSGVO).
2. AVV abschließen, Unterauftragsverarbeiter und Serverstandort prüfen, Modelltraining vertraglich ausschließen.
3. Protokollvorlage an § 61 VVG / § 18 FinVermV / § 511 BGB ausrichten: Bedarf, Empfehlung, Begründung, Hinweise zu Risiken und Verzicht.
4. Jedes KI-Protokoll vor Versand inhaltlich prüfen und freigeben (Vier-Augen-Prinzip für heikle Sparten).
5. Rechtzeitig in Textform bzw. auf dauerhaftem Datenträger übermitteln und im MVP revisionssicher ablegen.
6. KI-Telefon/Chatbot: KI-Hinweis zu Gesprächsbeginn (Art. 50 Abs. 1 KI-VO).
7. Interne KI-Richtlinie und Schulung (Art. 4 KI-VO). Eine Vorlage bietet z. B. der AfW-Praxisleitfaden KI-Governance.
8. Vermögensschadenhaftpflicht: beim Versicherer nachfragen, ob KI-gestützte Dokumentation Auswirkungen hat.

Quellen

• § 61 VVG – gesetze-im-internet.de; § 62 VVG – gesetze-im-internet.de
• Richtlinie (EU) 2016/97 (IDD) – EUR-Lex
• § 18 FinVermV – gesetze-im-internet.de; § 18a FinVermV – gesetze-im-internet.de
• § 511 BGB – gesetze-im-internet.de; § 655a BGB – gesetze-im-internet.de
• § 34d, § 34f, § 34i GewO – 34d, 34f, 34i
• § 201 StGB – gesetze-im-internet.de
• Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4, Art. 50, Art. 99, Anhang III – EUR-Lex; EU-Kommission: FAQ zu Art. 50
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI) – Amtsblatt; EU-Kommission: AI Omnibus tritt in Kraft (Anhang-III-Regeln ab 2. Dezember 2027)
• BaFin: Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (18.12.2025); Prinzipien für den Einsatz von Algorithmen in Entscheidungsprozessen (15.06.2021)
• AfW Bundesverband Finanzdienstleistung: Praxisleitfaden KI-Governance (31.07.2025)
• Österreich: Gewerbeordnung 1994 – RIS; Schweiz: Versicherungsaufsichtsgesetz (VAG) – fedlex

Stand: 19. Oktober 2026. Keine Rechtsberatung. Angaben ohne Gewähr.