Im August 2024 verhängte die Autoriteit Persoonsgegevens (die niederländische Datenschutzbehörde, bekannt als AP) ein Bußgeld von 290 Millionen Euro gegen Uber, weil das Unternehmen Daten europäischer Fahrer ohne gültigen Rechtsmechanismus auf Server in den USA übertragen hatte. Die betroffenen Daten waren nicht besonders exotisch: Standortverläufe, Ausweisdokumente, Gehaltsabrechnungen, Fahrtenaufzeichnungen, Steuerunterlagen. Die Art von Daten, die jeder Arbeitgeber über seine Belegschaft vorhält. Der Verstoß bestand darin, dass sie den Atlantik überquerten, ohne dass die Unterlagen vorlagen, die das rechtmäßig machen.
Die meisten Vertriebsverantwortlichen im DACH-Raum lesen diese Schlagzeile und gehen weiter. Fahrdienstvermittlung, oder? Nicht ihr Problem. Doch die Aufsichtsschwerpunkte der AP für 2025 erzählen eine ganz andere Geschichte: eine, in der die Softwarekategorie, die Ihr Revenue-Team täglich einsetzt, ausdrücklich als Zielobjekt benannt wird. Wenn Ihr Vertriebsteam ein Gesprächsanalyse-Tool, einen Conversation-Recorder oder einen KI-Vertriebsassistenten nutzt, der in den USA gebaut und gehostet wird, ist dieser Artikel für Sie. Und die Logik gilt für Deutschland und Österreich genauso: Auch die deutschen Aufsichtsbehörden und die österreichische Datenschutzbehörde bewerten Drittlandtransfers nach denselben DSGVO-Regeln.
Was das Uber-Bußgeld tatsächlich für B2B-Software bedeutet
Das Uber-Urteil ist in erster Linie keine Geschichte über Arbeitsrecht oder Gig-Economy-Ethik. Es ist eine Geschichte über die Architektur von Datentransfers. Ubers Verstoß war struktureller Natur: Das Unternehmen leitete europäische Beschäftigtendaten (erhoben in den Niederlanden und Frankreich) an US-basierte Infrastruktur weiter, für die über einen Zeitraum von mehr als zwei Jahren nach dem Schrems-II-Urteil (das das EU-US-Privacy-Shield im Juli 2020 für ungültig erklärte) kein rechtmäßiger Übermittlungsvertrag bestand.
Die AP kam an diesen Fall, weil niederländische und französische Fahrer Beschwerden einreichten. Allein 2023 bearbeitete die AP über 21.400 Beschwerden, ein Volumen, das sie zu einer der aktivsten Aufsichtsbehörden Europas macht. Diese Arbeitslast schrumpft nicht. Die Behörde hat ihre Durchsetzungskapazität ausgebaut und zunehmend konkrete Prioritätenlisten veröffentlicht. Der Beschwerdekanal steht Beschäftigten, Kunden und Wettbewerbern gleichermaßen offen.
Betrachten Sie nun, was ein modernes KI-Vertriebstool tut. Es nimmt an Ihren Vertriebsgesprächen teil. Es zeichnet Gespräche auf und transkribiert sie, in denen reale Personen (Ihre Reps, Ihre Interessenten, Ihre Kunden) mit Namen, Stimme, Funktion und Unternehmen identifiziert werden. Es speichert zeitgestempelte Gesprächsdaten, Informationen zur Deal-Phase, Einwandprotokolle und Coaching-Bewertungen. Im Kontext des EU-Datenschutzrechts stellt praktisch jede Ausgabe einer Conversation-Intelligence-Plattform personenbezogene Daten über identifizierbare Personen dar.
Wenn diese Daten auf Servern in den USA verarbeitet werden (was bei der Mehrheit der marktführenden Sales-Intelligence-Tools der Fall ist), stehen Sie vor derselben strukturellen Frage, die Uber 290 Millionen Euro gekostet hat: Was ist die Rechtsgrundlage für diese Übermittlung, und hält sie einer Prüfung stand, wenn die Aufsichtsbehörde anklopft?
Die Durchsetzungs-Prioritätenliste der AP für 2025: warum Ihr Vertriebs-Stack darauf steht
Die Autoriteit Persoonsgegevens veröffentlicht jährliche Aufsichtsschwerpunkte, und die Ausgabe für 2025 ist ungewöhnlich konkret. Die Behörde hat mehrere Technologiekategorien für aktive Untersuchungen benannt, und die Überschneidung mit modernem Revenue-Tooling ist kein Zufall.
Zu den erklärten Prioritäten der AP für 2025 gehören Remote-Work-Produktivitätstools, die Produktivitätsprotokolle, Screen Capture, Tastaturerfassung und Standortdaten verwenden. Dazu gehören KI-Systeme, die automatisierte oder teilautomatisierte Entscheidungen über Personen treffen. Dazu gehören grenzüberschreitende Datentransfers in die USA, nach Asien und in andere Länder, für die kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt. Und dazu gehört der Einsatz kommerzieller Datenanreicherungsdienste, der Datenhändler-Ebene, die viele CRM- und Sales-Intelligence-Plattformen speist.
Ein KI-Meeting-Assistent, der Gespräche aufzeichnet, Sprache transkribiert, die Rep-Leistung bewertet und Daten in einem US-gehosteten CRM protokolliert, berührt jede einzelne dieser Kategorien. Die Dimension der Produktivitätsprotokollierung ist besonders bedeutsam: Wenn ein KI-Tool das Redeanteil-zu-Zuhör-Verhältnis eines Vertriebsmitarbeiters bewertet, Lücken in der Einwandbehandlung markiert und diese Bewertung in ein Manager-Dashboard einspeist, erzeugt es eine Leistungsbeurteilung eines Beschäftigten aus automatisierter Überwachung. Genau das hat die AP angekündigt zu prüfen.
Die Niederlande agieren nicht isoliert. Die AP ist Mitglied des Europäischen Datenschutzausschusses (EDSA) und koordiniert ihre Durchsetzung mit anderen nationalen Behörden. Eine Feststellung der AP, dass eine bestimmte Datentransfer-Architektur rechtswidrig ist, schafft Präzedenz und Momentum für ähnliche Maßnahmen in Deutschland, Österreich, Frankreich und in der gesamten EU. Niederländische Durchsetzungsmaßnahmen haben eine Geschichte, sich über den Staatenbund hinweg fortzupflanzen.
Sales-Intelligence-Tools unter der Lupe: Gong, Chorus und das Transfer-Problem
Die dominierenden Conversation-Intelligence-Plattformen im europäischen B2B-Markt, darunter Gong, Chorus (inzwischen Teil von ZoomInfo), Clari und ihre Wettbewerber, wurden in den USA für US-Vertriebsteams gebaut. Ihre Datenarchitektur spiegelt diese Herkunft wider. Gong speichert sämtliche Kundendaten in den USA, unabhängig davon, wo der Kunde seinen Sitz hat oder wo die Gespräche stattfinden.
Gong agiert nicht ohne rechtlichen Übermittlungsmechanismus. Das Unternehmen verfügt über eine Zertifizierung nach dem EU-US Data Privacy Framework (DPF), das die Europäische Kommission im Juli 2023 als Nachfolger des für ungültig erklärten Privacy Shield angenommen hat. Es unterhält außerdem Standardvertragsklauseln (SCC) für Übermittlungen vom EWR in die USA. Auf dem Papier bieten diese Instrumente eine Rechtsgrundlage für den Datenfluss.
Das Problem ist, dass keines der beiden Instrumente stabil ist. Das DPF steht unter aktiver rechtlicher Anfechtung vor dem Gerichtshof der Europäischen Union. Eine Beschwerde der Datenschutz-Organisation noyb (derselben Organisation, die die Schrems-I- und Schrems-II-Urteile vorantrieb) erreichte im März 2026 einen wichtigen verfahrensrechtlichen Meilenstein, als der EuGH die Zulassung der Anfechtung bestätigte. Sollte das DPF für ungültig erklärt werden, wie beide Vorgänger, benötigt jedes europäische Unternehmen, das sich auf die DPF-Zertifizierung als Übermittlungsmechanismus stützt, umgehend eine Alternative.
Der SCC-Rückhalt ist ebenfalls nicht wasserdicht. SCC verlangen von Unternehmen die Durchführung eines Transfer Impact Assessment (TIA), einer dokumentierten Analyse, ob das Rechtsumfeld im Zielland die übermittelten Daten angemessen schützt. Die AP und andere Aufsichtsbehörden haben klargestellt, dass ein TIA eine echte Bewertung sein muss und keine Alibi-Übung. Für Übermittlungen in die USA muss sich das TIA ernsthaft mit dem US CLOUD Act auseinandersetzen.
Ein Transfer Impact Assessment ist eine dokumentierte Analyse, die erforderlich ist, bevor personenbezogene Daten aus dem EWR in ein Land ohne Angemessenheitsbeschluss übermittelt werden. Das TIA muss das Rechtsumfeld im Zielland bewerten, konkret ob dortige Behörden auf die übermittelten Daten in einer Weise zugreifen können, die den durch die SCC oder einen anderen Übermittlungsmechanismus gewährten Schutz untergräbt. Für Übermittlungen in die USA muss das TIA die Reichweite des US CLOUD Act, von FISA Section 702 und der Executive Order 12333 adressieren. Ein TIA, das US-Übermittlungen als sicher einstuft, ohne auf diese Instrumente einzugehen, wird die Aufsichtsbehörden kaum zufriedenstellen.
Die doppelte CLOUD-Act-Exposition: warum EU-Rechenzentren nicht genügen
Eine verbreitete Reaktion von US-Softwareanbietern auf europäische Compliance-Bedenken ist das Angebot einer EU-Datenresidenz: Ihre Daten bleiben auf Servern, die physisch in Irland, den Niederlanden oder Deutschland stehen. Das ist eine spürbare Verbesserung gegenüber reinem US-Hosting und beseitigt einen Teil des jurisdiktionellen Risikos. Doch es löst das CLOUD-Act-Problem nicht, und Vertriebsteams müssen verstehen, warum.
Der Clarifying Lawful Overseas Use of Data Act, 2018 in den USA in Kraft gesetzt, erlaubt US-Strafverfolgungs- und Nachrichtendiensten, US-eingetragene Unternehmen zur Herausgabe von Daten zu zwingen, die irgendwo auf der Welt gehalten werden, einschließlich auf Servern in EU-Mitgliedstaaten. Die Verpflichtung folgt der Unternehmensstruktur, nicht der Geografie des Serverracks. Ein US-Unternehmen, das ein EU-Rechenzentrum betreibt, bleibt für die Zwecke des CLOUD Act ein US-Unternehmen.
Das bedeutet: Wenn Sie Gesprächsaufzeichnungen, Deal-Intelligence und Rep-Leistungsdaten durch einen Anbieter mit US-Hauptsitz leiten (selbst einen mit EU-Rechenzentren), sind diese Daten für US-Behörden im Rahmen von CLOUD-Act-Anordnungen zugänglich, ohne Ihr Wissen und ohne Benachrichtigung der europäischen Aufsichtsbehörden. Die AP und der Europäische Datenschutzausschuss haben dies als systemisches Risiko markiert, das durch SCC oder DPF-Zertifizierung allein nicht vollständig gemindert werden kann.
Eine Analyse von KI-Agenten-Implementierungen in europäischen Unternehmen aus dem Jahr 2024 ergab, dass 73 % DSGVO-Schwachstellen aufwiesen, die auf die Architektur grenzüberschreitender Datentransfers zurückzuführen waren, vor allem auf die in US-Anbieterverträgen eingebettete CLOUD-Act-Exposition, die Unternehmen nicht ausreichend bewertet hatten. Das Uber-Bußgeld hat dieses abstrakte Risiko konkret gemacht. Die AP ist nun ausgestattet, motiviert und finanziert, um es zu verfolgen.
Die Bandbreite tatsächlicher DSGVO-Bußgelder für KI-Tools und Chatbots im Jahr 2024 reichte von 35.000 Euro bis 1,5 Millionen Euro für einzelne Verstöße, weit unter Ubers Obergrenze von 290 Millionen Euro, aber substanziell genug, um die Finanzen eines Mittelstandsunternehmens materiell zu schädigen und, noch bedeutsamer, seine Fähigkeit, bestimmte Tools während einer Untersuchung zu betreiben. Aufsichtsbehörden können auch vorübergehende Verarbeitungsverbote verhängen, während Untersuchungen laufen, was bedeutet, dass das Risiko einer Geschäftsunterbrechung das Bußgeldrisiko übersteigt.
Was Vertriebsteams jetzt tun müssen
Der Ausgangspunkt ist ein ehrliches Audit. Die meisten Vertriebsorganisationen haben kein vollständiges Bild davon, wo ihre kommerziellen Daten verarbeitet werden, durch welche Anbieter, unter welchen Übermittlungsmechanismen und mit welchen nachgelagerten Unterauftragsverarbeitern. Diese Lücke ist das Erste, was eine Aufsichtsbehörde in jeder Untersuchung prüfen wird.
Gehen Sie Ihren Vertriebs-Stack systematisch durch. Für jedes Tool, das personenbezogene Daten berührt (Gesprächsaufzeichnungsplattformen, CRM, E-Mail-Sequencer, Deal-Intelligence-Tools, KI-Meeting-Assistenten), beantworten Sie vier Fragen: Wo werden die Daten gespeichert? Was ist der rechtliche Übermittlungsmechanismus? Liegt ein unterzeichneter Auftragsverarbeitungsvertrag vor? Wer sind die Unterauftragsverarbeiter, und wo agieren sie?
Für US-gehostete Anbieter ist der nächste Schritt ein Transfer Impact Assessment. Das ist kein vom Anbieter geliefertes Dokument, es ist die Analyse Ihrer Organisation des Rechtsumfelds im Zielland, der Art der übermittelten Daten und des realistischen Risikos eines Behördenzugriffs. Die AP hat Leitlinien dazu veröffentlicht, was ein glaubwürdiges TIA ausmacht. Wenn Ihr Anbieter eine Vorlage bereitgestellt hat, behandeln Sie sie als Ausgangspunkt, nicht als Schlussfolgerung.
Der eigene Ansatz der niederländischen Regierung zur KI-Governance bietet einen nützlichen Maßstab für das erwartete Maß an Sorgfalt. Das Finanzministerium hat im Juli 2023 einen Forschungsrahmen zur Algorithmen-Kontrolle eingeführt, der Governance, Datenschutz, Daten- und Modellrisiko sowie Informationssicherheit abdeckt. Die niederländische Regierung unterhält ein öffentliches Algorithmen-Register, das über 700 von Behörden verwendete Algorithmen katalogisiert. Die implizite Botschaft ist, dass derselbe Standard an Transparenz und dokumentierter Rechenschaft, den die Regierung an ihre eigenen Systeme anlegt, auch der Standard ist, den sie von privaten Organisationen unter der Aufsicht der AP erwartet.
Der Kinderbetreuungsgeld-Skandal von 2018 (bei dem ein diskriminierender Behördenalgorithmus tausende niederländische Eltern fälschlich des Betrugs bezichtigte) erzeugte anhaltenden politischen Druck für eine rigorose KI-Aufsicht. Dieser Druck hat nun institutionelle Form. Die AP ist finanziert, personell ausgestattet und politisch gestützt, um ihn durchzusetzen.
Der Weg zur Compliance: eine praktische Checkliste
Compliance mit den Aufsichtsschwerpunkten der AP ist erreichbar. Sie erfordert Dokumentation, vertragliche Disziplin und, in manchen Fällen, architektonische Veränderung. Arbeiten Sie die folgenden Schritte systematisch ab.
- Kartieren Sie Ihre Datenflüsse. Identifizieren Sie jedes Tool in Ihrem Vertriebs- und RevOps-Stack, das personenbezogene Daten verarbeitet. Beziehen Sie CRM, Gesprächsaufzeichnung, E-Mail-Tools, Sales-Engagement-Plattformen und jeden KI-Assistenten mit Zugriff auf Kundendaten ein. Dokumentieren Sie, wo jedes Tool Daten speichert, und den Namen der jeweiligen Auftragsverarbeiter-Einheit.
- Prüfen Sie die Übermittlungsmechanismen. Bestätigen Sie für jedes US-gehostete Tool, ob sich der Anbieter auf DPF-Zertifizierung, SCC oder beides stützt. Laden Sie den aktuellen AVV herunter und prüfen Sie, ob er den CLOUD Act ausdrücklich adressiert. Beachten Sie, dass die DPF-Zertifizierung angesichts der im März 2026 eingereichten EuGH-Anfechtung allein nicht ausreicht.
- Führen Sie Transfer Impact Assessments durch. Für risikoreiche Übermittlungen, insbesondere Gesprächsaufzeichnung und Echtzeit-Gesprächsanalyse, wo die Daten sensibel und das Volumen hoch sind, erstellen Sie ein dokumentiertes TIA. Ziehen Sie Ihre Rechtsberatung oder einen DSGVO-Spezialisten hinzu. Legen Sie das TIA zu Ihrem Verzeichnis von Verarbeitungstätigkeiten.
- Legen Sie eine dokumentierte Rechtsgrundlage fest. Dokumentieren Sie für jede Verarbeitungstätigkeit Ihre Rechtsgrundlage nach Art. 6 DSGVO. Für die interne Coaching-Nutzung von Gesprächsaufzeichnungen ist das berechtigte Interesse die häufigste Grundlage, es erfordert jedoch eine Abwägungsprüfung des berechtigten Interesses. Die Einwilligung ist sauberer, aber in großem Maßstab schwerer zu operationalisieren.
- Überprüfen Sie die Unterauftragsverarbeiter-Ketten. Jeder SaaS-Anbieter nutzt Drittanbieter-Infrastruktur: Transkriptions-APIs, Cloud-Speicher, KI-Inferenzanbieter. Die DSGVO verlangt von Ihnen zu wissen, wer diese Unterauftragsverarbeiter sind und wo sie agieren. Fragen Sie Ihre Anbieter nach ihrer aktuellen Liste der Unterauftragsverarbeiter. Manche nutzen Transkriptions- oder KI-Anbieter, die ihre eigene US-Transfer-Exposition einbringen.
- Bewerten Sie EU-souveräne Alternativen. Für Verarbeitungstätigkeiten, bei denen das Übermittlungsrisiko inakzeptabel ist, typischerweise solche mit Leistungsdaten von Beschäftigten oder sensiblen Kundengesprächen, ziehen Sie einen Wechsel zu Anbietern ohne US-Muttergesellschaft, ohne CLOUD-Act-Exposition und mit Datenverarbeitung vollständig innerhalb der EU in Betracht. Niederländische Anbieter wie GLBNXT (ISO-27001-zertifiziert, NIS2-konform) und Leaf Cloud (ISO 27001, SOC 2 Type II, HAVEN+-Zertifizierung angestrebt) bieten souveräne Cloud-Infrastruktur. Für KI-Vertriebs-Tooling ist Numi speziell für dieses Umfeld gebaut.
- Aktualisieren Sie Ihre Datenschutzhinweise. Wenn Sie Gesprächsaufzeichnungen von Interessenten oder Kunden erheben, muss Ihr Datenschutzhinweis die Verarbeitung, die Rechtsgrundlage, die Aufbewahrungsfrist und den Übermittlungsmechanismus beschreiben. Viele Unternehmen betreiben veraltete Hinweise, die sowohl dem DPF als auch der aktuellen Generation von KI-Tools vorausgehen.
- Legen Sie einen Prüfrhythmus fest. Das regulatorische Umfeld bewegt sich schnell. DPF-Zertifizierungsstatus, EuGH-Verfahrenszeitpläne und Aufsichtsschwerpunkte ändern sich alle im Zwölf-Monats-Zyklus. Planen Sie mindestens jährlich eine Compliance-Prüfung Ihrer Vertriebsdaten-Architektur und weisen Sie die Verantwortung einer namentlich benannten Person in Ihrer Organisation zu.
Die Kosten, dies falsch zu machen, sind nicht mehr hypothetisch. Die AP hat mit dem Uber-Urteil gezeigt, dass sie hohe Bußgelder für systemische Übermittlungsverstöße verfolgt. Sie hat über ihre Prioritäten für 2025 signalisiert, dass KI-Tools (einschließlich der Art von Revenue-Intelligence-Software, die die meisten europäischen B2B-Unternehmen heute einsetzen) ausdrücklich im Anwendungsbereich liegen. Das Fenster für proaktive Nachbesserung ist offen. Es wird nicht unbegrenzt offen bleiben.
Vertriebsteams, die dem zuvorkommen, vermeiden nicht nur Risiko. Sie bauen eine dauerhafte Wettbewerbsposition auf. Zunehmend verlangen Enterprise-Käufer in Deutschland, Österreich, den Niederlanden und der breiteren EU von Anbietern den Nachweis, dass ihre Datenpraktiken konform sind, bevor sie unterzeichnen. Sagen zu können, dass Ihre Sales-Intelligence-Infrastruktur vollständig auf EU-souveräner Infrastruktur läuft, ohne CLOUD-Act-Exposition und mit einem dokumentierten TIA in der Akte, ist ein kommerzielles Unterscheidungsmerkmal, nicht bloß eine rechtliche Formalität.
Einen breiteren Blick darauf, wie Vertriebsteams einen modernen, konformen Revenue-Intelligence-Stack aufbauen können, bietet unsere Übersicht dazu, wie Numi für EU-Teams gebaut ist.