Wettbewerbsanalyse Methoden mit KI rechtssicher einsetzen

Das Wichtigste auf einen Blick

KI-Werkzeuge wie ChatGPT, Perplexity und Semrush beschleunigen Wettbewerbsanalysen, liefern aber keine belastbaren Belege.
Personenbezogene Daten brauchen nach DSGVO und BDSG eine Rechtsgrundlage und meist einen Auftragsverarbeitungsvertrag.
Die Verordnung (EU) 2024/1689 ordnet die meisten Analysewerkzeuge geringem Risiko zu, verlangt aber Transparenz.
Jede Zahl aus einem KI-System gehört gegen eine Primärquelle geprüft.
In Deutschland ist die Bundesnetzagentur als Marktüberwachung für KI-Systeme vorgesehen.

Welche KI-Werkzeuge Wettbewerbsanalysen beschleunigen

ChatGPT eignet sich für Zusammenfassungen von Geschäftsberichten, Pressemitteilungen und Stellenanzeigen. Perplexity liefert Antworten mit Quellenverweisen und erleichtert die erste Recherche. Semrush bündelt Sichtbarkeits-, Keyword- und Backlink-Daten und vergleicht Domains im Marktumfeld.

Diese Werkzeuge arbeiten mit unterschiedlichen Datenbasen. Semrush stützt sich auf eigene Crawling- und Panel-Daten. Sprachmodelle erzeugen Text auf Basis von Trainingsdaten, die nicht offengelegt sind. Wer die Herkunft einer Zahl nicht kennt, kann sie nicht belegen.

Ein Beispiel: Ein Modell nennt für einen Anbieter einen Marktanteil von 18,4 Prozent. Ohne Quelle ist die Zahl wertlos. Mit einer Verbandsstatistik wird sie prüfbar.

Für die Themenbeobachtung eignen sich außerdem Alert-Dienste und Medienbeobachtung. Sie liefern Hinweise, ersetzen aber keine Analyse. Entscheidend bleibt, wer die Daten erhebt und wie sie belegt werden.

Rechtlicher Rahmen: DSGVO, BDSG und EU AI Act

Sobald Sie personenbezogene Daten verarbeiten, greift die DSGVO. Artikel 6 verlangt eine Rechtsgrundlage, etwa berechtigtes Interesse oder Einwilligung. Für die Beauftragung eines Anbieters brauchen Sie nach Artikel 28 einen Vertrag zur Auftragsverarbeitung.

Das BDSG ergänzt die DSGVO um nationale Sonderregeln. Relevant wird es, wenn Auskunftsrechte, Löschfristen oder Beschäftigtendaten betroffen sind. Kundenlisten, Ansprechpartner und Bewertungen mit Namen sind fast immer personenbezogene Daten.

Die Verordnung (EU) 2024/1689 regelt den rechtlichen Rahmen für KI-Systeme. Sie ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Systeme zur Marktanalyse fallen in der Regel unter minimales Risiko. Pflichten entstehen dennoch, wenn ein System mit Menschen interagiert: Dann muss erkennbar sein, dass eine KI antwortet.

Die DIHK erklärt diese Pflichten praxisnah und ordnet Begriffe wie Anbieter, Betreiber und Hochrisiko ein. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) veröffentlichen eigene Orientierungshilfen zu KI.

Verträge und Anbieterprüfung

Prüfen Sie vor der Einführung den Anbieter. Fragen Sie nach Serverstandort, Löschfristen und Trainingsnutzung. Viele Anbieter erlauben, die Nutzung eigener Daten zum Modelltraining zu deaktivieren. Lassen Sie sich das schriftlich bestätigen.

Bei US-Anbietern kommt der Transfer personenbezogener Daten hinzu. Nach dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework ist ein Transfer möglich, wenn der Anbieter zertifiziert ist. Fehlt die Zertifizierung, brauchen Sie Standardvertragsklauseln und eine Risikoabwägung.

Quellenprüfung: Zahlen ohne Beleg sind wertlos

Ausgaben von Sprachmodellen können falsch sein, auch wenn sie flüssig formuliert sind. Prüfen Sie jede Zahl, jeden Namen und jedes Datum gegen eine Primärquelle. Für die Prüfung gelten drei Regeln: Zahlen nur mit Quelle verwenden, Zitate im Original nachlesen, Stichproben dokumentieren.

Eine Scheingenauigkeit entsteht schnell. Wenn ein Modell Marktanteile mit zwei Nachkommastellen nennt, fehlt jede Grundlage. Verlangen Sie stattdessen Quellenangaben mit Erhebungsjahr und Stichprobengröße.

Speichern Sie zu jeder Kennzahl die Quelle, das Erhebungsdatum und die Methode. Diese Dokumentation hilft bei internen Rückfragen und bei Aufsichtsverfahren.

In fünf Schritten zur Einführung

Vor dem Rollout lohnt eine kurze Prüfung. Die folgenden Schritte lassen sich in wenigen Tagen abarbeiten.

Zweck und Datenkategorien festlegen: Welche Fragen beantwortet das Werkzeug, welche personenbezogenen Daten fließen hinein?
Rechtsgrundlage und Auftragsverarbeitungsvertrag prüfen, bevor Daten eingegeben werden.
Anbieter konfigurieren: Trainingsnutzung abschalten, EU-Hosting wählen, Zugriffe begrenzen.
Vier-Augen-Regel einführen: Jede KI-Ausgabe wird vor Veröffentlichung geprüft.
Ergebnisse und Quellen dokumentieren, damit Prüfungen und Updates nachvollziehbar bleiben.

Online-Erhebung und Einwilligung nach TDDDG

Wer Wettbewerbsdaten über Online-Befragungen oder Web-Tracking erhebt, braucht nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz eine Einwilligung für nicht notwendige Cookies und vergleichbare Technologien. Die Einwilligung muss freiwillig, informiert und widerrufbar sein.

Wie das in der Praxis aussieht, beschreibt die Dokumentation des Bayerischen Landesamts für Datenschutzaufsicht zu Telemedien. Dort finden sich Hinweise zu Einwilligung, Nachweis und Widerruf bei Online-Erhebungen. Für Wettbewerbsanalysen heißt das: Erheben Sie nur, was Sie belegen können.

Häufige Fragen

Dürfen Wettbewerbsdaten in ChatGPT eingegeben werden?

Nur wenn keine personenbezogenen Daten enthalten sind. Sonst brauchen Sie eine Rechtsgrundlage nach Artikel 6 DSGVO und einen Auftragsverarbeitungsvertrag mit dem Anbieter.

Ist Semrush datenschutzkonform nutzbar?

Die Plattform verarbeitet eigene Marktdaten. Sobald Sie dort eigene Kundenlisten hochladen, sind Sie Verantwortlicher und müssen die Verarbeitung rechtfertigen.

Wann greift der EU AI Act bei Analysewerkzeugen?

Für reine Marktanalyse gilt in der Regel minimales Risiko. Transparenzpflichten greifen, wenn Nutzer mit einem KI-System interagieren.

Muss ich KI-Ergebnisse kennzeichnen?

Kennzeichnen Sie im Zweifel die Herkunft. Bei Veröffentlichungen zählt die Nachvollziehbarkeit, nicht die Technik.

Wer prüft die Einhaltung?

In Deutschland ist die Bundesnetzagentur als Marktüberwachung vorgesehen. Für Datenschutz sind die Landesaufsichtsbehörden und der BfDI zuständig.