Intercom & DSGVO: Ist Intercom (inkl. Fin AI) konform fuer EU-Unternehmen?

Ist Intercom DSGVO-konform?

Ja. Intercom ist DSGVO-konform und bietet einen Auftragsverarbeitungsvertrag (AVV) mit Standard-Vertragsklauseln (SCCs). EU-Datenspeicherung auf AWS Frankfurt ist ab dem Business-Tarif verfuegbar. Der Fin AI Agent begruendet zusaetzliche Pflichten nach Art. 6, Art. 22 DSGVO und Art. 50 EU-KI-Verordnung.

• Intercom stellt einen AVV gemaess Art. 28 DSGVO bereit — pruefen, ob Fin AI Agent, AI Copilot und AI Summaries explizit im Umfang erfasst sind.
• EU-Datenspeicherung auf AWS Frankfurt ab Business-Tarif — schliesst Transfers ausserhalb des EWR durch Subprozessoren oder KI-Calls nicht aus.
• Fin AI Agent begruendet Transparenzpflichten nach Art. 50 EU-KI-Verordnung — Nutzer muessen vor Beginn informiert werden, dass sie ein KI-System nutzen.
• Deutsche Deployments mit Mitarbeiterbezug loesen Mitbestimmungsrechte des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG aus.

Ist Intercom DSGVO-konform? Ja — Intercom stellt einen Auftragsverarbeitungsvertrag (AVV) mit Standard-Vertragsklauseln (SCCs) fuer internationale Datentransfers bereit. EU-Datenspeicherung auf AWS Frankfurt ist ab dem Business-Tarif verfuegbar. Intercoms Auftragsverarbeiterrolle gemaess Art. 28 DSGVO ist im AVV dokumentiert. Das ist die DSGVO-Grundlage. Was aktiv geprueft werden muss, ist ob der konkrete Einsatz — insbesondere beim Einsatz von Fin AI Agent, AI Copilot oder AI Summaries — vollstaendig vom AVV-Umfang, den Subprozessoren-Offenlegungen und den Transparenzpflichten nach Art. 50 EU-KI-Verordnung abgedeckt wird.

Kurze Einschaetzung

Intercom ist DSGVO-konform — aber den konkreten Einsatz pruefen, nicht nur die Plattform.

• Sicherstellen, dass der AVV Fin AI Agent und alle aktivierten KI-Features abdeckt, nicht nur den Basis-Chat.
• EU-Datenspeicherung: ab Business-Tarif verfuegbar, gehostet auf AWS Frankfurt — schliesst aber nicht alle EWR-externen Transfers aus.
• Art. 50 EU-KI-Verordnung: Transparenzhinweis einplanen, wenn Fin AI Kundenanfragen bearbeitet.
• Subprozessoren pruefen — insbesondere LLM-Anbieter hinter Fin-AI-Modell-Calls.

Diese Seite enthaelt allgemeine Informationen und ist keine rechtliche Beratung fuer einen konkreten Einsatz. Fuer einen Plattformvergleich empfehlen sich unsere Leitfaeden zu Zendesk und HubSpot. Einen umfassenden Rahmen zur KI-Kundenservice-Governance bietet unser Leitfaden zur KI-Kundenservice-Compliance.

Hat Intercom einen Auftragsverarbeitungsvertrag (AVV)?

Ja. Intercom stellt fuer Unternehmenskunden, die personenbezogene Daten ueber die Plattform verarbeiten, einen Auftragsverarbeitungsvertrag (AVV) bereit, der ueber das Intercom-Datenschutzportal zugaenglich ist. Der AVV regelt Intercoms Rolle als Auftragsverarbeiter gemaess Art. 28 DSGVO, legt Pflichten zu Subprozessoren, Sicherheitsmassnahmen, Loeschung und Audit-Unterstuetzung fest und verweist auf SCCs fuer Datentransfers in Drittlaender.

Fuer deutsche Unternehmen ist das relevant, weil Art. 28 DSGVO einen schriftlichen Vertrag voraussetzt, bevor ein Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeiten darf. Ein Anbieter ohne AVV schafft eine unmittelbare Compliance-Luecke. Intercom nimmt diese Huerde.

Was nach Unterzeichnung des AVV konkret zu pruefen ist:

Thema	Was zu pruefen ist
Auftragsverarbeiterrolle	Deckt der AVV alle genutzten Intercom-Produkte ab, einschliesslich Fin AI Agent?
Subprozessorenliste	Auf welche Anbieter stuetzt Intercom sich fuer Cloud, KI-Modelle und Support-Infrastruktur?
Transfermechanismus	Sind SCCs aktuell und zwischen den richtigen Rechtspersonen abgeschlossen?
Retention und Loeschung	Welche Speicherdauern gelten fuer Chat, KI-Outputs und abgeleitete Daten?
KI-Feature-Abdeckung	Sind Fin AI, AI Copilot und AI Summaries explizit in den Auftragsverarbeitungsklauseln erfasst?

Wichtiger Hinweis fuer deutsche Beschaffungsteams: Der AVV-Umfang haengt davon ab, welche Intercom-Produkte aktiviert werden. Fin AI Agent verarbeitet Daten grundlegend anders als ein einfaches Support-Widget. Wenn das Deployment Fin AI, AI Copilot oder AI Summaries umfasst, muss explizit geprueft werden, ob diese Features von denselben Auftragsverarbeitungsklauseln, Subprozessoren-Offenlegungen und Transfermechanismen abgedeckt werden wie die Basisplattform.

Wo speichert Intercom Daten? EU-Datenspeicherung

Intercom bietet fuer Kunden ab dem Business-Tarif EU-Datenspeicherung an. EU-Daten werden auf AWS-Frankfurt-Infrastruktur gespeichert — ein relevanter Ausgangspunkt fuer deutsche Beschaffungsprozesse.

Wichtige Einschraenkungen, die schriftlich bestaetigt werden muessen:

• EU-Hosting ist nicht gleichbedeutend mit ausschliesslicher EU-Verarbeitung. Globaler Support-Zugriff, KI-Modell-Calls und Subprozessoren koennen weiterhin Transfers ausserhalb des Europaeischen Wirtschaftsraums (EWR) begruenden.
• Fin-AI-Modell-Calls — nutzt Fin AI externe LLM-Anbieter ausserhalb des EWR, koennen auch EU-gehostete Intercom-Instanzen Drittlandtransfer-Anforderungen nach Kapitel V DSGVO ausloesen.
• Umfang der EU-Datenspeicherung — im AVV oder einer ergaenzenden Vereinbarung konkret klaeren, welche Datenkategorien, Produkt-Features und Verarbeitungsschritte vom EU-Hosting-Commitment erfasst sind.

Fuer deutsche Unternehmen gilt: EU-Datenspeicherung reduziert (aber eliminiert nicht) den SCC-Bedarf nach Schrems II. Auch bei EU-Hosting das vollstaendige Transfer-Bild dokumentieren — insbesondere fuer KI-Feature-Verarbeitungspfade — bevor der Rollout beginnt.

Ist Intercom DSGVO-konform? Rechtsgrundlage und Datenfluesse

Die entscheidende DSGVO-Frage fuer jedes Intercom-Deployment ist nicht, ob die Plattform abstrakt “konform” ist, sondern ob der konkrete Einsatz eine gueltige Rechtsgrundlage gemaess Art. 6 DSGVO hat.

Rechtsgrundlage fuer Chat-Datenverarbeitung

Die meisten Kundensupport-Deployments stuetzen sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfullung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Fuer Standard-Inbound-Support ist das in der Regel tragfaehig. Komplexer wird es, wenn:

• KI-Features Chat-Inhalte analysieren, um Verhaltenserkenntnisse ueber Kunden abzuleiten,
• besondere Kategorien personenbezogener Daten (Gesundheit, Finanzsituation) ueber Support-Kanaele eintreffen,
• Intercom fuer mitarbeiterfacing Support- oder HR-Kanaele genutzt wird (strengerer Massstab nach § 26 BDSG).

Die Rechtsgrundlage vor dem Rollout festlegen und dokumentieren — nicht danach.

Subprozessorenkette

Intercom setzt Subprozessoren fuer Cloud-Infrastruktur, Analytics und KI-Modellverarbeitung ein. Deutsche Unternehmen sollten die oeffentliche Subprozessorenliste pruefen und die Widerspruchsrechte verstehen. KI-Features koennen insbesondere auf Drittanbieter-Modellanbietern basieren, die nicht durch die Standard-Cloud-Infrastruktur-Offenlegung abgedeckt sind. Konkret klaeren: Nutzt der Fin AI Agent externe LLM-Anbieter — und wenn ja, zu welchen Bedingungen?

Optionen zur EU-Datenspeicherung

Intercom bietet fuer Enterprise-Kunden EU-Datenspeicherungsoptionen. EU-Datenspeicherung ist ein nuetzlicher Ausgangspunkt fuer eine klarere Hosting-Aussage, aber nicht gleichbedeutend mit ausschliesslicher EU-Verarbeitung. Den Umfang im AVV oder ergaenzend schriftlich bestaetigen lassen.

Intercom Fin AI und DSGVO — Besondere Anforderungen

Fin AI Agent ist Intercoms autonomer KI-Konversationsagent — er bearbeitet eingehende Kundenanfragen vollstaendig ohne menschlichen Agenten. Das erhoehte DSGVO-Anforderungen erheblich gegenueber einem einfachen Support-Chat.

• Verarbeitete Daten: Fin AI greift auf Gespraeche, Knowledge-Base-Inhalte und potenziell verknuepfte Kunden-Account-Daten zu, um Antworten zu generieren.
• Art. 22 DSGVO — automatisierte Entscheidungsfindung: Fin AI Agent trifft autonome Entscheidungen ueber die Bearbeitung von Kundenanfragen. Wenn diese Entscheidungen erhebliche Auswirkungen auf Nutzer haben — automatische Ablehnungen, Anspruchspruefungen oder Kontoaktionen — ist eine Art.-22-DSGVO-Analyse erforderlich.
• Modelltraining-Opt-out: Enterprise-Vertraege enthalten typischerweise Schutz dagegen, dass Kundendaten fuer das Modelltraining genutzt werden. Explizit pruefen und vertraglich bestaetigen lassen.
• Transferpfad fuer Modell-Calls: Im AVV klaeren, ob Fin-AI-Antworten ueber Modellinfrastruktur ausserhalb des EWR generiert werden und ob SCCs diesen Verarbeitungspfad abdecken.

AI Copilot schlaegt menschlichen Support-Agenten in Echtzeit Antworten vor. Der Datenschutzbezug betrifft hier primaer Beschaeftigtendaten:

• Wenn Copilot die Agenten-Aktivitaet systematisch erfasst, liegt eine Verhaltens- oder Leistungsueberwachung von Beschaeftigten vor.
• In diesem Fall hat der Betriebsrat aller Voraussicht nach Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG.
• KI-generierte Leistungserkenntnisse zu Agenten duerfen ohne ordnungsgemaesse Rechtsgrundlage und Betriebsvereinbarung nicht fuer Beurteilungen herangezogen werden.

AI Summaries und Conversation-Intelligence-Features leiten strukturierte Daten aus Chat-Inhalten ab. Pruefen: Werden KI-Zusammenfassungen separat gespeichert, und fuer wie lange? Fliessen sie in Kunden-Scoring oder CRM-Anreicherung ein? Liegt dafuer eine eigenstaendige Rechtsgrundlage vor?

DSGVO-Subprozessoren und internationale Datentransfers

Intercom hat seinen Hauptsitz in San Francisco, Kalifornien. Als US-amerikanisches Unternehmen setzt jede Uebermittlung europaeischer personenbezogener Daten an Intercoms Infrastruktur oder US-Personal einen gueltigen Transfermechanismus gemaess Kapitel V DSGVO voraus.

Der Intercom-AVV verweist auf Standard-Vertragsklauseln (SCCs) gemaess dem EU-Kommissionsbeschluss von 2021 sowie auf das EU-US Data Privacy Framework (DPF). Beide Mechanismen sind nach aktueller DSGVO-Praxis anerkannte Transferinstrumente, sofern sie ordnungsgemaess umgesetzt sind.

Schritte fuer die Subprozessoren-Due-Diligence:

1. Aktuelle Subprozessorenliste anfordern aus dem Intercom-Datenschutzportal oder dem AVV-Anhang.
2. Widerspruchsrechte pruefen — der AVV sollte das Recht einraeumen, neuen Subprozessoren vor deren Einbindung zu widersprechen.
3. Transfermechanismen verifizieren fuer jeden wesentlichen Subprozessor ausserhalb des EWR.
4. LLM-Anbieter hinter Fin AI klaeren — KI-Features koennen auf Drittanbieter-Modellanbietern basieren, die nicht durch die Standard-Cloud-Infrastruktur-Offenlegung erfasst sind.
5. Integrationen pruefen — wenn Intercom-Daten in Salesforce oder Zendesk fliessen, erfordert jede Integration einen eigenen AVV und Transfermechanismus.

Nach Schrems II gilt: SCCs zwischen den richtigen Rechtspersonen abschliessen — also der spezifischen Intercom-Gesellschaft, mit der der Vertrag besteht, und dem deutschen Verantwortlichen — und alle relevanten Datenfluesse einschliesslich KI-Verarbeitung abdecken.

Datenspeicherung und Loeschung

Intercom-Datenspeicherung ist auf Kontoebene konfigurierbar, aber Standardeinstellungen entsprechen moeglicherweise nicht den DSGVO-Anforderungen an Datensparsamkeit.

Was vor dem Rollout geprueft werden sollte:

• Gespraechronokolle: Welche Standardspeicherdauer gilt fuer Chat-Konversationen? Kann sie auf das betrieblich erforderliche Minimum verkuerzt werden?
• KI-generierte Outputs: Werden Fin-AI-Antworten und AI Summaries separat von rohen Transkripten gespeichert? Welche Speicherdauer gilt?
• Abgeleitete Daten: Speichert Intercom abgeleitete Verhaltensdaten — Themen, Stimmungswerte, Routing-Signale — laenger als die Basis-Gespraechwsdaten?
• Kontakt-Loeschung und Recht auf Vergessenwerden: Wenn ein Betroffener das Loeschungsrecht nach Art. 17 DSGVO geltend macht — loescht das Loeschen eines Kontakts in Intercom auch Gespraechronokolle, KI-Outputs und abgeleitete Datensaetze? Den vollstaendigen Loeschungsumfang schriftlich bestaetigen.
• Betroffenenrechte (DSAR): Intercom bietet Werkzeuge fuer Auskunftsersuchen. Pruefen, ob automatisierte DSAR-Antworten alle unter dem Intercom-Vertrag gehaltenen Daten erfassen — einschliesslich KI-Feature-Daten und abgeleiteter Analytics.

Fuer deutsche Deployments: sicherstellen, dass Intercom-Loeschworkflows mit dem Recht auf Vergessenwerden und dem Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) uebereinstimmen. Bei Integration mit Salesforce oder Zendesk muss die Loeschkette auch die integrierten Systeme erfassen.

Was deutsche Unternehmen vor dem Intercom-Einsatz pruefen muessen

Eine praktische Vorablauf-Checkliste fuer deutsche Rechts- und Beschaffungsteams:

AVV-Pruefung:

• AVV mit der richtigen Intercom-Rechtsperson abgeschlossen (Gesellschaft mit beschraenkter Haftung Pflicht als Verantwortlicher)
• Fin AI Agent, AI Copilot und AI Summaries explizit im Auftragsverarbeitungsumfang erfasst
• Subprozessorenliste geprueft und Widerspruchsrechte verstanden
• SCCs zwischen richtigen Rechtspersonen abgeschlossen und KI-Verarbeitungspfade abgedeckt
• Retention- und Loeschbedingungen gegen Datensparsamkeitspflichten geprueft

Betriebsrat:

• Geprueft, ob Intercom-Features Beschaeftigte ueberwachen oder bewerten (AI Copilot, Produktivitaets-Metriken)
• Betriebsrat vor dem Rollout konsultiert, wenn Monitoring-Bezug vorliegt
• Betriebsvereinbarung vorbereitet, die Nutzungsgrenzen setzt und unzulaessige Leistungsueberwachung ausschliesst

EU-KI-Verordnung:

• Art.-50-EU-KI-Verordnung-Hinweis fuer alle von Fin AI bearbeiteten Interaktionen implementiert
• Hinweis erscheint zu Beginn der Interaktion, nicht nur in AGB oder Datenschutzhinweisen

Integrationskette:

• Datentransferpfad fuer Intercom-Integrationen mit Salesforce und Zendesk geprueft
• Jede Integration hat einen eigenen AVV und Transfermechanismus

Anforderungen an den Betriebsrat

Deutsche Deployments von Intercom, die Beschaeftigte direkt oder mittelbar betreffen, loesen Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG aus.

Der Betriebsrat ist zu beteiligen, wenn technische Einrichtungen eingefuehrt werden, die eine Ueberwachung oder Beurteilung des Verhaltens oder der Leistung von Arbeitnehmern ermoeglichen. Fuer Intercom sind folgende Szenarien relevant:

• AI Copilot gibt Agenten Echtzeit-Vorschlaege. Werden diese Daten auch zur Ueberwachung von Reaktionszeiten, Qualitaets-Scores oder Produktivitaet genutzt, hat der Betriebsrat aller Voraussicht nach Mitbestimmungsrechte.
• Fin AI Agent als Ersatz oder Ergaenzung menschlicher Agenten: Wenn das Deployment Headcount, Arbeitslastverteilung oder Leistungsbenchmarks beeinflusst, sollte der Betriebsrat vor dem Rollout einbezogen werden.
• Interner IT-Helpdesk oder HR-Support ueber Intercom: Mitarbeiterfacing-Support-Kanaele unterliegen dem strengeren Massstab des § 26 BDSG fuer Beschaeftigtendaten.

Den Betriebsrat vor dem Rollout einbinden. Eine klare Beschreibung vorbereiten, welche Daten das Tool direkt oder indirekt ueber Beschaeftigte erhebt, und eine Betriebsvereinbarung anstreben, die Nutzungsgrenzen setzt und unzulaessige Leistungsueberwachung ausschliesst.

Einstufung nach EU-KI-Verordnung

Gemaess Art. 50 Abs. 1 EU-KI-Verordnung muessen KI-Systeme, die dazu bestimmt sind, mit natuerlichen Personen zu interagieren, offenlegen, dass sie ein KI-System sind — sofern dies nicht aus dem Kontext offensichtlich ist. Der Fin AI Agent — ein vollautomatischer KI-Konversationsagent, der eingehende Kundenanfragen eigenstaendig bearbeitet — faellt klar unter diesen Anwendungsbereich.

Praktische Konsequenz: Wenn das Intercom-Deployment Fin AI im kundenseitigen Chat einsetzt, muessen Nutzer zu Beginn der Interaktion informiert werden, dass sie mit einem KI-System kommunizieren, nicht mit einem menschlichen Agenten. Dies gilt im Moment des Interaktionsbeginns — allgemeine Datenschutzhinweise genuegen nicht.

Die Offenlegungspflicht ist seit August 2024 teilweise anwendbar. Nichtkonformitaet begruendet Regulierungsrisiken — insbesondere fuer B2C-Deployments in Deutschland, wo Verbraucherschutz-Enforcement aktiv ist.

FAQ

Ist Intercom DSGVO-konform?

Ja. Intercom ist auf Plattformebene DSGVO-konform. AVV, SCCs fuer US-Datentransfers und EU-Datenspeicherung auf AWS Frankfurt sind vorhanden. Ob das konkrete Deployment vollstaendig rechtskonform ist, haengt von Rechtsgrundlage, aktivierten Features, Subprozessorenkette und Retention-Konfiguration ab.

Hat Intercom einen AVV?

Ja. Intercom stellt einen Auftragsverarbeitungsvertrag (AVV) bereit, der Intercoms Auftragsverarbeiterrolle gemaess Art. 28 DSGVO, Subprozessoren, SCCs und Loeschpflichten regelt. Deutsche Unternehmen sollten pruefen, ob die AVV-Bedingungen dem konkreten Einsatz entsprechen — insbesondere KI-Feature-Abdeckung, EU-Datenspeicherungsumfang und die spezifische Intercom-Rechtsperson.

Speichert Intercom Kundendaten in der EU?

Ja, ab dem Business-Tarif. Daten werden auf AWS Frankfurt gespeichert. EU-Hosting schliesst Drittlandtransfers nicht vollstaendig aus — Fin-AI-Modell-Calls, globaler Support-Zugriff und Subprozessoren koennen weiterhin Verarbeitungen ausserhalb des EWR begruenden. Das vollstaendige Transfer-Bild schriftlich klaeren, bevor der Rollout beginnt.

Ist Intercom Fin AI DSGVO-konform?

Fin AI Agent kann unter der DSGVO rechtskonform eingesetzt werden: Der AVV muss Fin-AI-Datenfluesse und LLM-Subprozessoren explizit abdecken, eine gueltige Rechtsgrundlage nach Art. 6 DSGVO muss vorliegen, der Opt-out fuer Modelltraining muss vertraglich bestaetigt sein, und der Art.-50-EU-KI-Verordnung-Hinweis muss bei Interaktionsbeginn erscheinen.

Hat Intercom einen Auftragsverarbeitungsvertrag fuer Deutschland?

Ja. Der Intercom-AVV erfuellt die Anforderungen des Art. 28 DSGVO an einen schriftlichen Auftragsverarbeitungsvertrag zwischen Verantwortlichem und Auftragsverarbeiter. Deutsche Unternehmen sollten sicherstellen, dass der AVV alle genutzten Produkte abdeckt — einschliesslich Fin AI Agent, AI Copilot und AI Summaries.

Erfuellt der Intercom Fin AI Agent die EU-KI-Verordnung?

Fin AI Agent ist ein KI-System, das mit natuerlichen Personen interagiert, und unterliegt den Transparenzpflichten nach Art. 50 Abs. 1 EU-KI-Verordnung. Unternehmen muessen Nutzer zu Beginn der Interaktion informieren, dass sie mit einem KI-System kommunizieren. Das gilt fuer kundenseitige Deployments und ist nicht durch allgemeine Datenschutzhinweise allein erfuellt.

Wenn Ihre Rechts- oder Beschaffungsabteilung Intercom vor dem Deployment prueft, beraet Compound Law Unternehmen in Deutschland zu DSGVO, KI-Beschaffung, AVV-Pruefung und EU-KI-Verordnung. Kontakt aufnehmen fuer eine AVV-Pruefung oder eine Rollout-Checkliste fuer Ihre spezifische Intercom-Konfiguration.