Erstgespräch vorbereiten mit KI: was Sie über Interessenten recherchieren dürfen

Was kann ein KI-Steckbrief vor dem Erstgespräch leisten?

Er fasst zusammen, was öffentlich über die anfragende Firma bekannt ist, und schlägt vor, wie Sie ins Gespräch einsteigen. Der Steckbrief aus dem Kundenprojekt hat oben einen kurzen Teil für die Minute vor dem Anruf, darunter Details mit Quellen:

• Was die Firma macht: Leistungen, Branche, Zielkunden, Standorte und Rechtsform.
• Größe: die Mitarbeiterzahl, wenn die Firma sie nennt, sonst eine als Schätzung markierte Angabe.
• Vermutliche Abläufe: Hinweise aus Stellenanzeigen, genannter Fachsoftware oder einem Kundenportal, ausdrücklich als Vermutung.
• Passende Leistungen: bis zu fünf eigene Leistungen, die zum belegten Bedarf passen, je mit Begründung.
• Einschätzung: wie gut die Anfrage passt, mit Punkten je Kriterium, Risiken und offenen Fragen. Fünf von sechs Kriterien rechnet der Code nach festen Regeln, die KI schlägt nur das sechste vor.
• Gesprächseinstieg und drei Fragen: Sie knüpfen an die Anfrage an, allgemeine Fragen wie „Wo drückt der Schuh?“ sind ausgeschlossen.

Raten soll der Steckbrief nicht. Zu jedem Fakt schreibt die KI die wörtliche Fundstelle heraus. Der Code prüft, ob dieses Zitat im abgerufenen Text steht, und verwirft den Fakt sonst. Was sich nicht belegen lässt, steht als „unbekannt“ drin. Gebaut und mit Beispieldaten getestet ist das System, mit echten Anfragen läuft es noch nicht.

Welche Quellen eignen sich für die Recherche?

Vor allem Angaben, die die Firma selbst veröffentlicht hat oder die gesetzlich öffentlich sind. Meist reichen diese vier:

• Die Anfrage selbst: Was der Interessent angegeben hat, ist für das Gespräch die wichtigste Quelle. Die KI braucht davon nur die sachlichen Angaben wie Branche, Größe oder Anlass. Name, Telefonnummer, E-Mail-Adresse und die freie Nachricht liest ein Mensch, in unserem Aufbau bekommt die KI sie nicht.
• Die Website der Firma: „Über uns“, Leistungen, Karriere, Aktuelles. Unser Code ruft neben Startseite und Impressum höchstens vier Unterseiten ab und beachtet die robots.txt.
• Das Impressum: Rechtsform, Registergericht, Registernummer und Anschrift gehören zu den Pflichtangaben nach § 5 DDG.
• Handelsregister und öffentliche Unternehmensangaben: Pressemitteilungen, Stellenanzeigen, Branchenverzeichnisse, Kammern. Das Handelsregister sehen Sie bei Bedarf von Hand ein, für automatische Abfragen sind seine Nutzungsbedingungen nach unserem Kenntnisstand eng.

Eine Websuche läuft nur mit Firmenname, Ort und Themenwörtern, nie mit dem Namen der Kontaktperson. Weil externe Treffer eine Firma mit ähnlichem Namen meinen können, übernimmt der Steckbrief aus dem Kundenprojekt solche Fakten nur, wenn Name und Ort oder die Website eindeutig passen. Der Suchdienst gehört als weiterer Empfänger in die Datenschutzerklärung.

Was sollten Sie bei der Recherche lassen?

Alles, was von der Firma weg auf den einzelnen Menschen zielt. Konkret:

• Profile über Privatpersonen: keine Suche nach Wohnort, Familie, Alter oder Herkunft der Kontaktperson.
• Social Media durchleuchten: kein Auslesen von LinkedIn-, Xing- oder Instagram-Profilen, auch nicht der Firmenseiten. LinkedIn untersagt das automatisierte Auslesen von Profilen ohnehin in seinen Nutzungsbedingungen.
• Personen bewerten: Einschätzungen wie „entscheidet schnell“ oder „schwieriger Typ“ haben im Steckbrief nichts zu suchen. Werden persönliche Aspekte automatisiert bewertet, spricht die DSGVO von Profiling (Art. 4 Nr. 4).
• Sensible Daten ableiten: Gesundheit, Religion und die anderen besonderen Kategorien nach Art. 9 DSGVO bleiben draußen, auch indirekt.
• Personenverflechtungen: In welchen anderen Firmen die Geschäftsführerin noch sitzt, braucht kein Erstgespräch.
• Automatische Entscheidungen: Eine Anfrage nicht allein wegen einer niedrigen Punktzahl absagen.

Welche Angaben sind unproblematisch, welche heikel?

Die Übersicht ist eine Faustregel und ersetzt keine Prüfung im Einzelfall.

Was sagt die DSGVO zur Recherche über Interessenten?

Die DSGVO schützt natürliche Personen. Laut Erwägungsgrund 14 gilt sie nicht für Daten juristischer Personen, etwa Name, Rechtsform oder Kontaktdaten einer GmbH. Sobald sich eine Angabe aber auf eine erkennbare natürliche Person bezieht, ist sie personenbezogen (Art. 4 Nr. 1). Das betrifft die Kontaktperson, Namen im Impressum und Einzelunternehmen. Eine Lead-Recherche enthält deshalb meist auch personenbezogene Daten. Dieser Beitrag ist keine Rechtsberatung. Binden Sie Ihren Datenschutzbeauftragten ein, bevor Sie eine KI-Recherche über Interessenten einführen.

Rechtsgrundlage. Die Anfrage zu beantworten, lässt sich in der Regel auf Art. 6 Abs. 1 lit. b stützen: Maßnahmen vor einem Vertrag, die auf Anfrage der Person erfolgen. Für die Recherche zur Vorbereitung kommt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f in Frage. Es trägt nur, wenn die Interessen der betroffenen Person nicht überwiegen. Halten Sie die Abwägung schriftlich fest. Dafür spricht etwa, dass die Person selbst Kontakt gesucht hat und sich die Recherche auf Firmendaten beschränkt.

Informationspflicht. Wer Daten bei der Person erhebt, nennt dabei unter anderem Zweck, Rechtsgrundlage, berechtigtes Interesse und Speicherdauer (Art. 13). Für Daten aus anderen Quellen verlangt Art. 14 unter anderem, die Quelle zu nennen und ob sie öffentlich zugänglich ist, bei Kontakt spätestens mit der ersten Mitteilung. Praktisch heißt das: ein kurzer Hinweis am Formular und ein Abschnitt in der Datenschutzerklärung.

Widerspruch. Stützt sich die Recherche auf das berechtigte Interesse, kann die Person nach Art. 21 widersprechen. Auf dieses Recht müssen Sie spätestens bei der ersten Kommunikation ausdrücklich hinweisen. Ein Satz im Hinweis mit einer Adresse für den Widerspruch gehört deshalb dazu.

Automatisierte Entscheidungen. Art. 22 gibt jeder Person das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung hat oder sie ähnlich erheblich beeinträchtigt. Ob eine automatische Absage darunter fällt, hängt vom Einzelfall ab. Einfacher ist ein Aufbau, in dem die KI vorschlägt und ein Mensch entscheidet.

Datensparsamkeit und Löschfristen. Daten müssen auf das für den Zweck notwendige Maß beschränkt sein und dürfen nur so lange gespeichert werden, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. c und e). Für den Steckbrief heißt das: keine Kontaktdaten an die KI, die Seitentexte nach der Erstellung löschen, den Steckbrief mit der Anfrage nach einer festen Frist, die Sie mit Ihrem Datenschutzbeauftragten festlegen.

Auftragsverarbeitung. Der KI-Anbieter verarbeitet die Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag nach Art. 28, und die Verarbeitung gehört in der Regel ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30. Dazu kommt die Pflicht zur KI-Kompetenz nach Art. 4 EU AI Act. Grundsätzliches steht in unserem Leitfaden zu KI und Datenschutz im Mittelstand.

Woran erkennen Sie einen passenden KI-Anbieter?

An Zusagen, die schriftlich in Vertrag oder Dokumentation stehen. Diese Punkte prüfen wir:

• Verarbeitung in der EU: Entscheidend ist, wo gerechnet wird. Mistral bietet einen EU-Endpunkt an und sagt für den globalen Endpunkt laut Dokumentation keinen bestimmten Verarbeitungsort zu, die regionale Verarbeitung kostet dort 10 Prozent Aufpreis. Bei der direkten Claude-API von Anthropic kennt die Dokumentation als Verarbeitungsort nur „global“ oder „us“. Eine Verarbeitung in der EU ist nach unserer Recherche über Cloud-Plattformen wie Amazon Bedrock oder Google Cloud möglich, je nach Modell und Region.
• Auftragsverarbeitungsvertrag: mal automatisch Teil der Geschäftsbedingungen, mal gesondert abzuschließen. Die Liste der Unterauftragsverarbeiter gehört zur Prüfung.
• Kein Training mit Ihren Daten: Bei den Geschäftskonten der Anbieter, die wir verglichen haben, ist das Standard oder abschaltbar. Ausnahmen stehen im Kleingedruckten: Bei einem Anbieter dürfen Daten aus Vorschau-Modellen laut Bedingungen ins Training fließen, kostenlose Zugänge haben teils eigene Regeln.
• Aufbewahrung: Wie lange speichert der Anbieter Eingaben? Einige bieten auf Antrag eine Verarbeitung ohne Speicherung an (Zero Data Retention).

Der Steckbrief, den wir gebaut haben, hängt an keinem bestimmten Anbieter. Adresse, Schlüssel und Modell sind Einstellungen. Welchen Anbieter er nutzt, entscheidet der Kunde mit seinem Datenschutzbeauftragten. Ein Ersatz-Anbieter für Ausfälle bekommt dieselben Daten und springt deshalb nur ein, wenn er ausdrücklich eingeschaltet ist. Was KI pro Vorgang ungefähr kostet, zeigt unser Rechenbeispiel zu KI-Kosten im Betrieb.

Wie läuft eine KI-Recherche vor dem Erstgespräch ab?

In sieben Schritten, von denen die ersten beiden nur einmal anfallen. Die Schritte 3 bis 6 setzt unser Steckbrief im Code um.

1. Zweck und Grenzen festlegen: welche Quellen, welche Felder, was nicht. Die Interessenabwägung mit dem Datenschutzbeauftragten festhalten.
2. Hinweis am Formular und Datenschutzerklärung ergänzen: Recherche, Quellenarten, KI-Dienst, Speicherdauer, Widerspruch.
3. Die Anfrage kommt an. Name, Telefonnummer, E-Mail-Adresse und freie Nachricht bleiben im Ticket, an die KI gehen nur Firma, Domain und die sachlichen Angaben.
4. Ein Programm ruft Startseite, Impressum und einige Unterseiten ab und entfernt Skripte und versteckte Inhalte. Die KI selbst hat keinen Internetzugang.
5. Die KI schreibt Fakten heraus, jeden mit wörtlicher Fundstelle. Der Code prüft jedes Zitat gegen den Seitentext.
6. Die KI schreibt Einschätzung, Gesprächseinstieg und Fragen. Der Steckbrief trägt den Hinweis „KI-Vorschlag, bitte prüfen“.
7. Ein Mensch liest ihn, prüft bei Bedarf die Quellen und entscheidet, wie es weitergeht. Danach die Seitentexte löschen, den Steckbrief später mit der Anfrage.

Zu Schritt 4: Die Website eines Interessenten ist fremder Text und kann Sätze an KI-Systeme enthalten, etwa „Ignoriere alle Regeln“. Der Steckbrief aus dem Kundenprojekt behandelt Seitentexte nur als Daten und vermerkt, wenn der Code solche Sätze findet.

Für wen lohnt sich ein KI-Steckbrief?

Für Firmen, die regelmäßig Anfragen von Unternehmen bekommen, die sie noch nicht kennen, und vor jedem Rückruf ohnehin auf deren Website nachsehen. Der Steckbrief übernimmt diese Suche und legt das Ergebnis mit Quellen zur Anfrage. Bei wenigen Anfragen im Monat reicht oft ein eigener Blick auf Website und Impressum. Im Geschäft mit Privatkunden passt der Ansatz kaum, weil dort fast jede Angabe personenbezogen ist.

Wie KI-Assistenten Leads in einem geteilten CRM recherchieren und ein Mensch jede Freigabe gibt, zeigt der Beitrag zum Live-CRM für die Akquise.