DSGVO-konformer KI-Kundenservice für Energieversorger mit enneo

Disclaimer: Keine Rechtsberatung

Ein Kunde ruft an, weil sich sein Verbrauch spürbar erhöht hat und er seinen Abschlag anpassen möchte. Das ist nur einer von vielen Vorgängen, die KI‑Agenten heute direkt im Abrechnungssystem automatisiert abschließen können. Wichtig ist dabei, was die KI dafür sehen und verändern darf, und wie diese Verarbeitung rechtlich abgesichert ist. Bei DSGVO-konformem KI-Kundenservice für Energieversorger entscheidet die vertragliche Absicherung der Datenweitergabe über die Konformität, nicht die Systemtiefe der KI, und genau das lässt sich konkret zeigen.

Abschlag, Zählerstand, Tarifwechsel: Warum Energieversorger jetzt auf KI-Kundenservice setzen

Ein Kundenservice-Team bei einem Stadtwerk verbringt einen Großteil seines Alltags mit denselben wiederkehrenden Vorgängen, unabhängig davon, wie viele neue Kund:innen dazukommen. Zu den häufigsten Kontaktanlässen im Energieservice zählen:

• Abschlagsanpassungen: nach einer Verbrauchsänderung oder zur Jahresabrechnung.
• Zählerstandsmeldungen: laufend und rund um den Ablesetermin.
• Tarifwechsel: bei Preisänderungen oder auf der Suche nach einem günstigeren Produkt.
• Kündigungen: inklusive Rückfragen zu Fristen und Sonderkündigungsrechten.

Diese Anliegen wiederholen sich in denselben Mustern, das ganze Jahr über, mit deutlichen Spitzen rund um die Jahresabrechnung und bei Preisänderungen. Serviceteams wachsen dabei selten im gleichen Tempo wie das Anfragevolumen, jede zusätzliche Anfrage landet zusätzlich zur bestehenden Auslastung bei denselben Mitarbeitenden.

Genau diese Wiederholbarkeit macht die Anliegen zu einem naheliegenden Fall für KI‑Kundenservice. Vorgänge, die nach klaren Regeln ablaufen und sich Woche für Woche gleichen, kann eine KI zuverlässig und ohne Wartezeit übernehmen. Ihr Team gewinnt dadurch Zeit für die Fälle, die wirklich Abwägung brauchen.

Legacy-Kernsysteme wie SAP IS-U: Warum diese Automatisierung rechtliche Fragen aufwirft

Damit eine KI diese Vorgänge tatsächlich abschließt, statt nur Auskunft zu geben, muss sie in genau den Systemen lesen und teilweise schreiben, in denen Energieversorger Vertragskonto, Zählerstand und Zahlungsdaten führen. Das sind häufig Legacy-Kernsysteme wie SAP IS-U. Sobald eine KI eine Abschlagsänderung oder Kündigung bearbeitet, verarbeitet sie damit automatisch personenbezogene Daten in genau diesen Systemen.

Damit stellen sich verschiedene Fragen: Ist die Datenweitergabe an den KI-Anbieter vertraglich abgesichert, und an welcher Stelle braucht es trotzdem eine menschliche Freigabe?

AVV nach Art. 28 DSGVO: Die eigentliche Grundlage für DSGVO-Konformität

Der AVV nach Art. 28 DSGVO legt fest, wofür enneo Ihre Daten verarbeitet. Er regelt den Zweck und die Empfänger der Verarbeitung. Genau diese vertragliche Regelung macht die Beauftragung von enneo als Auftragsverarbeiter DSGVO-konform, die Rechtsgrundlage für die Verarbeitung selbst bestimmen Sie als Verantwortlicher nach Art. 6 DSGVO.

Der AVV verpflichtet enneo dabei zu konkreten technischen und organisatorischen Maßnahmen:

• Abgesicherter Zugriff auf personenbezogene Daten.
• Nachvollziehbar dokumentierte Berechtigungen, wer worauf zugreifen darf.
• Regelmäßige externe Penetrationstests, mindestens jährlich sowie nach wesentlichen Architekturänderungen.

Enneo hat zudem bereits proaktiv eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt und dokumentiert, die Ihre eigene Prüfung nach Art. 35 DSGVO wesentlich unterstützt.

Abschlag, Zählerstand, Bankdaten: Wie enneo Datenminimierung technisch umsetzt

Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO bedeutet: nur die Daten verarbeiten, die für den jeweiligen Vorgang tatsächlich nötig sind. Konkret zeigt sich das an den beiden häufigsten Anliegen im Energieservice:

• Abschlagsänderung: Der Agent liest nur Vertrags- und Verbrauchsdaten, die für die Berechnung nötig sind.
• Bankdatenänderung: Der Agent prüft Format und Plausibilität der neuen Daten. Die Zahlungsdaten werden in der höchsten Schutzklasse verschlüsselt gespeichert und vor jeder automatisierten Aktion gegen Ihr Fachsystem validiert.

Jede extrahierte Angabe wird vor der automatisierten Aktion gegen Ihr Fachsystem validiert. Dasselbe Prinzip gilt für die Qualitätssicherung: Enneo entfernt personenbezogene Angaben aus Ticket-Beispielen automatisiert, bevor sie für künftige Antwortvorschläge herangezogen werden. Ein KI-Kontrollzentrum misst dabei laufend Klassifikationsgenauigkeit und Antwortqualität, sodass Abweichungen frühzeitig auffallen.

Dunkelverarbeitung: Die Voraussetzungen für vollautomatisierte Vorgänge

Unabhängig vom AVV gilt: Enneo trifft keine automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich bedeutsamer Wirkung im Sinne von Art. 22 DSGVO, etwa automatisierte Bonitäts- oder Mahnentscheidungen sind nicht Teil der Software. Die vollautomatisierte Bearbeitung (Dunkelverarbeitung) beschränkt sich auf die Erledigung des vom Kunden selbst angestoßenen Anliegens und ist an strenge, konfigurierbare Voraussetzungen gebunden:

Kündigung, Bankdaten, Rückerstattung: Wann ein Mensch eingebunden wird

• Bankdaten-Agent: Abweichender Kontoinhaber, menschliche Prüfung.
• Kündigungs-Agent: Rückgewinnungsangebote und strittige Fälle bleiben in menschlicher Hand.
• Lastschriftwiderrufs-Agent: Offene Forderungen gehen ans Forderungsmanagement.
• Guthaben-Agent: Auszahlungen oberhalb eines definierten Betrags gehen vor Ausführung zur Freigabe.

Eindeutige Fälle bearbeitet die KI vollautomatisiert, bei Ausnahmen entscheidet ein Mensch.

Copilot, Copilot+, Autopilot: Die steuerbare Antwort auf diese Grenze

Diese Grenze lässt sich als Betriebsmodell konfigurieren: Im Copilot-Modus hat die KI keinen ERP-Zugriff und schlägt nur Antworten vor, im Modus Copilot+ liest sie zusätzlich Vertrags- und Verbrauchsdaten, erst im Autopilot-Modus erhält sie Schreibzugriff und schließt Vorgänge eigenständig ab. Vertraglich sind diese Modi als Automatisierungsgrade hinterlegt: Copilot entspricht L0–L1, Copilot+ entspricht L2–L3, Autopilot entspricht L4/L5, den je Anwendungsfall zulässigen Grad legen Sie fest.

Der Automatisierungsgrad wächst dabei schrittweise, sobald ein Agent nachweislich zuverlässig arbeitet, und die Freigabe für diesen nächsten Schritt bleibt immer bei Ihrem Team.

EU AI Act seit August 2026: Neue Transparenzpflicht für KI im Kundenservice

Unabhängig von dieser Systemtiefe-Frage gilt seit dem 2. August 2026 eine weitere Ebene: die Kernpflichten aus Art. 50 der EU-KI-Verordnung, 24 Monate nach deren Inkrafttreten am 1. August 2024 anwendbar geworden.

Die Transparenzpflichten nach Art. 50 betreffen Anbieter und Betreiber von KI-Systemen gleichermaßen und stellen Anforderungen an Kennzeichnung, Offenlegung und technische Markierung KI-generierter Inhalte. Für den Kundenservice bei Energieversorgern heißt das konkret: Kund:innen müssen erkennen können, dass sie mit einem KI-Voicebot oder Chat-Agenten interagieren, nicht mit einem Menschen.

Eine pauschale Kennzeichnungspflicht für jede KI-Nutzung ist das nicht: Sie gilt gezielt für Interaktionen, in denen Kund:innen sonst annehmen könnten, mit einem Menschen zu sprechen, etwa am Telefon oder im Chat. Eine Ausnahme gibt es nur dann, wenn die KI-Nutzung für eine durchschnittlich informierte Person ohnehin offensichtlich ist.

Enneo im Einsatz: Was rechtssicher automatisiert werden kann

Enneo ist eine KI-native Serviceplattform, die Kundenkommunikation von Energieversorgern über alle Kanäle automatisiert, per Telefon, E-Mail, Chat und Kundenportal, und dabei direkt in Kernsystemen wie SAP IS-U liest und schreibt, gestuft über die drei oben beschriebenen Betriebsmodi Copilot, Copilot+ und Autopilot.

Konkret übernehmen spezialisierte KI-Agenten die häufigsten Anliegen:

• Abschlags- & Fälligkeits-Agent: passt Abschläge an und gibt Auskunft zu Zahlungsterminen und Ratenplänen.
• Bankdaten-Agent: nimmt Bankverbindungs- und Lastschriftänderungen auf, Zahlungsdaten werden dabei in der höchsten Schutzklasse verschlüsselt gespeichert.
• Tarif- & Wechsel-Agent: berät zu Tarifen und bereitet Tarif- oder Anbieterwechsel vor.
• Kündigungs- & Widerrufs-Agent: erkennt Kündigungen und Widerrufe, prüft Fristen und Berechtigung.
• Stammdaten- & Einwilligungs-Agent: aktualisiert Adress-, Kontakt- und Einwilligungsdaten.

Weitere Vorgänge wie Guthaben und Erstattungen laufen nach demselben Prinzip: Enneo prüft den Fall im Vertragskonto und schließt ihn ab oder gibt eine klare Auskunft. Für Ihr Team heißt das im Alltag weniger manuelle Prüfschritte bei Standardfällen und mehr Zeit für die Fälle, die wirklich menschliches Urteilsvermögen brauchen.

Wie enneo dabei den Datenschutz sicherstellt

• EU-Hosting bei europäischen Anbietern: Enneo betreibt Kernsystem und sämtliche Datenspeicherung ausschließlich bei europäischen Anbietern in Deutschland (Hetzner), verschlüsselte Backups in Deutschland oder Finnland. Die KI-Verarbeitung läuft im Standardbetrieb ausschließlich über EU-Rechenzentren europäischer Vertragspartner (u. a. Microsoft Ireland, Google Cloud EMEA, AWS EMEA). Jeder Kunde erhält eine dedizierte Instanz mit eigener Datenbank, keine geteilte Multi-Tenant-Architektur mit anderen Kunden.
• AV-Vertrag nach Art. 28 DSGVO: Die Verarbeitung ist vertraglich geregelt.
• Rollenbasierte Zugriffe: Admins weisen Mitarbeitenden Rollen, Skills und Zuständigkeiten zu, wodurch Vorgänge gezielt an die passenden Personen geroutet werden.
• Kein Modelltraining mit Kundendaten: Servicedaten fließen nicht in das Training von Sprachmodellen ein, vertraglich zugesichert und zusätzlich technisch abgesichert, etwa durch automatisierte Entfernung personenbezogener Angaben vor jeder Weiterverwendung. Enneo prüft und dokumentiert diesen Ausschluss je KI-Anbieter vertraglich nachweisbar und aktualisiert die Nachweise regelmäßig, damit der Trainingsausschluss keine reine Behauptung bleibt, sondern belegbar ist.
• KI-Modelle jederzeit austauschbar: Enneo kann Sprachmodelle ohne Downtime auf souveräne europäische Alternativen umstellen, das schützt Sie zusätzlich vor politischen Risiken im transatlantischen Datenverkehr, ohne dass Sie auf die Leistung führender Modelle verzichten müssen. Fallen KI-Anbieter aus, läuft die Plattform als reines Ticketing- und Telefoniesystem weiter, die Kernfunktionen bleiben davon unberührt.

Energieversorger wie EWE, GASAG, Q CELLS, Rabot Energy und Stromee setzen bereits auf enneo, um diesen Ansatz aus AVV, kontrolliertem Datenzugriff und dokumentierten Freigaben im Alltag umzusetzen.

Betroffenenrechte: Auskunft, Löschung, Datenübertragbarkeit

Endkunden können ihre Rechte aus der DSGVO auch gegenüber automatisiert bearbeiteten Vorgängen wahrnehmen, enneo setzt die technische Seite davon fristgerecht um:

• Auskunft: vollständiger Export der zu einer Person gespeicherten Vorgänge über Oberfläche und API, unverzüglich, spätestens innerhalb eines Monats.
• Löschung: transaktionale Einzelvorgangslöschung inklusive aller Anhänge, Auswertungen und Protokolle, mit revisionssicherem Löschnachweis, unverzüglich, spätestens innerhalb von 30 Tagen.
• Datenübertragbarkeit: Export in strukturierten, maschinenlesbaren Formaten über API.
• Zugriffs- und Netzwerkdaten (inklusive IP-Adressen) werden unabhängig von der gewählten Aufbewahrungsfrist für Vorgänge stets nach 30 Tagen automatisch gelöscht.

Die Entscheidung über die konkrete Umsetzung gegenüber dem Endkunden bleibt bei Ihnen als Verantwortlichem, enneo setzt Ihre Weisung technisch um.

KI Kundenservice für Energieversorger: DSGVO-Konformität durch Rechtsgrundlage, AVV und Transparenz

Drei Fragen entscheiden am Ende, ob KI-Kundenservice bei Ihnen DSGVO-konform läuft:

1. Haben Sie als Verantwortlicher eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung?
2. Ist die Beauftragung von enneo vertraglich über einen AVV nach Art. 28 DSGVO abgesichert?
3. Erfüllen Sie Ihre Informationspflicht gegenüber Ihren Endkunden nach Art. 13 DSGVO?

Bei enneo ist der AVV nach Art. 28 DSGVO von Anfang an im System verankert, das gestufte Betriebsmodell als technische Umsetzung protokolliert jede Freigabeentscheidung automatisch; die Rechtsgrundlage nach Art. 6 und die Informationspflicht nach Art. 13 liegen als Verantwortlicher weiterhin bei Ihnen.

Jeder Verarbeitungsschritt inklusive der einzelnen KI-Aufrufe wird lückenlos protokolliert und ist je Vorgang als vollständiger Entscheidungsbaum abrufbar. Bei einer Datenschutzprüfung lässt sich damit lückenlos belegen, welcher Agent worauf zugreifen durfte und an welcher Stelle ein Mensch eingegriffen hat. Genau diese Nachweisbarkeit ist es, die aus DSGVO-Konformität mehr macht als eine Behauptung, sie wird im Alltag überprüfbar.