Kassendaten mit KI auswerten: Möglichkeiten und Grenzen

Wer mit einem Kassensystem arbeitet, erzeugt mit jedem Vorgang eine Datenzeile: Artikel, Menge, Betrag, Uhrzeit, Zahlungsart, je nach System eine Bedienererkennung. Ob ein KI-Assistent daraus mehr macht als der Standardbericht, entscheidet die Datenlage: Aus denselben Zeilen lassen sich Gruppen, Prognosen und Abweichungsmeldungen ableiten, solange je Auswertungsebene genug Werte vorliegen. Begrenzt wird eine solche Auswertung durch die Datenlage und das Datenschutzrecht.

Was eine KI-Auswertung aus Kassendaten macht

Eine KI-gestützte Kassenauswertung ist ein Verfahren, das aus gespeicherten Vorgängen der Kasse Muster ableitet und daraus Vorhersagen, Gruppen oder Auffälligkeiten erzeugt. Sie arbeitet auf Daten, die Ihr System ohnehin führt: Verkaufsdaten, Artikelstammdaten, Buchungszeiten und die Kennungen von Bedienern und Kundenkonten.

Der Unterschied zum festen Bericht liegt in der Frage. Ein Bericht beantwortet “Wie viel war es?”, ein Modell beantwortet “Was kommt, was hängt zusammen, was weicht ab”. Was Sie täglich kennen sollten, steht in den Kennzahlen für die Gastronomie.

Bevor Sie einen Anbieter auswählen, klären Sie, welche Felder der Export enthält, wo die Daten verarbeitet werden und wer über Zweck und Mittel entscheidet. Die letzte Frage bestimmt, ob Sie Verantwortlicher nach Art. 4 Nr. 7 DSGVO sind.

Welche Kassendaten personenbezogen sind

Dieselbe Auswertung kann datenschutzfrei und datenschutzpflichtig sein, je nach Feldern. Die Tabelle ordnet die Datenarten ein, die in Kassenauswertungen zusammenlaufen.

Datenart	Beispiel	Personenbezug
Position und Betrag	3 Brötchen, 2,10 Euro, 07:42 Uhr	kein Personenbezug, solange sich der Vorgang keiner identifizierbaren Person zuordnen lässt (Art. 4 Nr. 1 DSGVO)
Bedienerkennung	Bediener-Login oder Bedienernummer am Bon	personenbezogen: die Kennung ordnet den Vorgang einer Beschäftigten zu
Kundenkonto oder Kundenkarte	Bon auf ein Konto, gesammelte Punkte	personenbezogen, mit Verhaltensbezug über die Zeit
Kartentransaktion	Zahlung am Terminal	personenbezogen; welche Felder der Terminal an die Kasse übergibt, hängt von der Anbindung ab und steht im Export
Uhrzeit im Ein-Personen-Fenster	eine Person in der Spätschicht	personenbezogen, auch ohne Namensfeld

Arbeitet in einem Zeitfenster nur eine Person, erlaubt das Muster einen Rückschluss auf sie, auch ohne Namensfeld. Prüfen Sie deshalb den Besetzungsplan gegen den Auswertungszeitraum, bevor Sie einen Export als anonym bezeichnen.

Was die KI leisten kann und wo sie endet

Die rechte Spalte nennt Prüfschritte, keine Eigenschaften eines bestimmten Produkts.

Anwendung	Ausgabe	Bedingung und Grenze
Absatzprognose je Artikel, Wochentag und Stunde	erwartete Menge für die Bestellung	trägt nur, wenn je Zelle genug Beobachtungen vorliegen; neue Artikel haben keine Historie
Warengruppen- und Korbanalyse	Artikel, die zusammen gekauft werden	zeigt Zusammenhänge, nicht Ursachen; Sortimentsänderungen ändern die Gruppen
Auffälligkeitsmeldung	Vorgänge mit ungewöhnlichem Storno, Rabatt oder Entnahme	markiert Abweichungen, beweist aber weder Fehler noch Absicht; die Prüfung gehört zu einer Person
Frage in natürlicher Sprache	Antwort mit Zahl und Text	die Zahl hängt an Zeitraum, Brutto und Netto; gegen den Originalbericht abgleichen
Kundenbindung aus Kundenkarten	Wiederkaufwahrscheinlichkeit	personenbezogen und Profiling; Rechtsgrundlage nötig

Checkliste: Datenschutz je Anwendungsfall

Diese Punkte klären Sie vor dem ersten Datenexport: in Deutschland und Österreich nach der DSGVO, in der Schweiz nach dem DSG.

Anwendungsfall	Personenbezug	Zu klären
Umsatz- und Absatzprognose ohne Bediener- und Kundendaten	nein, solange sich der Export keiner identifizierbaren Person zuordnen lässt	Empfehlung: nur die Felder exportieren, die der Zweck braucht. Wird der Export personenbezogen, gelten Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 Buchst. c und e DSGVO; in der Schweiz Art. 6 Abs. 2 und 4 DSG)
Auswertung nach Bediener	ja	Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO; in der Schweiz Grundsätze nach Art. 6 DSG und bei Persönlichkeitsverletzung Rechtfertigung nach Art. 31 DSG. Beschäftigten-Bewertung ist ein Hochrisiko-Fall der KI-Verordnung (Anhang III Nr. 4 Buchst. b), sofern keine Ausnahme nach Art. 6 Abs. 3 greift
Auswertung aus Kundenkonten	ja	Information bei der Erhebung (Art. 13 DSGVO), Rechtsgrundlage nach Art. 6; in der Schweiz Art. 19 DSG
Automatisierte Entscheidung über Kunden (Rabatt, Sperre)	ja	Nur bei einer ausschließlich automatisierten Entscheidung, die rechtliche Wirkung entfaltet oder ähnlich erheblich beeinträchtigt: Ausnahmen des Art. 22 Abs. 2 DSGVO, sonst menschliche Entscheidung; in der Schweiz Information und Überprüfung nach Art. 21 Abs. 1 und 2 DSG, Ausnahmen nach Art. 21 Abs. 3 DSG
Cloud-Assistent mit Kassendaten	ja, sobald personenbezogene Felder mitgehen und der Anbieter sie in Ihrem Auftrag verarbeitet	Vertrag nach Art. 28 Abs. 3 DSGVO mit Weisungsbindung und Sicherheit (Art. 32 DSGVO); Drittland nur nach Art. 44 bis 46 DSGVO, in der Schweiz Art. 9 DSG für den Auftragsbearbeiter und Art. 16 DSG für die Bekanntgabe ins Ausland. Bleibt der Export anonym, fehlt es an personenbezogenen Daten, und Art. 28 ist nicht anwendbar (Art. 2 Abs. 1 DSGVO)
Sprachassistent, der Kunden bedient	ja	der Anbieter muss dafür sorgen, dass Kunden über die Interaktion mit einem KI-System informiert werden (Art. 50 Abs. 1 KI-Verordnung, ab 2. August 2026), außer das ist für eine angemessen informierte Person offensichtlich

Wenn Sie neue Technologien einsetzen und Menschen dabei systematisch und umfassend bewerten, prüfen Sie, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 Abs. 1 und Abs. 3 Buchst. a DSGVO; in der Schweiz Art. 22 DSG). Pflichten an der Kasse selbst stehen in DSGVO im Laden und in Datenschutz für Kassensysteme in der Schweiz.

Ein Rechenbeispiel zu den Grenzen

Beispielrechnung mit erfundenen Zahlen: Ein Betrieb mit 250 Öffnungstagen je Jahr und 300 Bons am Tag hat 75.000 Bons je Jahr. Für den Absatz eines Produkts an einem Mittwoch von 8 bis 9 Uhr steht nicht diese Summe zur Verfügung, sondern ein Wert je Termin: bei Öffnung an jedem Mittwoch 52 im Jahr, 104 in zwei Jahren.

Verkauft das Produkt an einzelnen Mittwochsterminen zwischen 0 und 9 Stück, sagt ein Mittelwert von 4 Stück wenig über den nächsten Mittwoch. Ob eine Prognose für Ihre Bestellung reicht, hängt davon ab, auf welcher Ebene Sie planen: Woche, Wochentag oder Stunde an einem Wochentag. Je feiner die Ebene, desto weniger Termine trägt sie.

Wenn Beschäftigte bewertet werden

Anhang III Nr. 4 Buchst. b der Verordnung (EU) 2024/1689 zählt KI-Systeme zu den Hochrisiko-Systemen, die für Entscheidungen bestimmt sind, die die Bedingungen von Arbeitsverhältnissen, Beförderungen oder Kündigungen beeinflussen, für die Zuweisung von Aufgaben aufgrund individuellen Verhaltens oder persönlicher Merkmale und Eigenschaften oder für die Beobachtung und Bewertung der Leistung und des Verhaltens von Beschäftigten. Bewertet ein Betrieb mit Kassendaten, wer wie viel storniert, liegt das auf diesem Feld, sobald das Ergebnis das Verhalten einer Person bewertet; maßgeblich ist die Zweckbestimmung. Die Bewertung ist ein eigener Zweck und braucht in Deutschland und Österreich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO; in der Schweiz muss sie die Grundsätze nach Art. 6 DSG einhalten und ist bei einer Persönlichkeitsverletzung nach Art. 31 DSG zu rechtfertigen.

Nach Art. 6 Abs. 3 der KI-Verordnung gilt ein System aus Anhang III ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko der Beeinträchtigung in Bezug auf Gesundheit, Sicherheit oder Grundrechte birgt, etwa als eng gefasste Verfahrensaufgabe oder als Erkennung von Abweichungen von früheren Entscheidungsmustern ohne Einfluss auf eine menschliche Bewertung. Profiling natürlicher Personen macht es jedoch in jedem Fall hochriskant. Die Dokumentation dieser Einstufung ist Aufgabe des Anbieters (Art. 6 Abs. 4); als Betreiber verlangen Sie sie.

Ein Verbot gilt schon jetzt: Ein KI-System darf am Arbeitsplatz keine Emotionen ableiten, außer das System soll aus medizinischen oder Sicherheitsgründen eingesetzt werden (Art. 5 Abs. 1 Buchst. f der KI-Verordnung, anwendbar seit 2. Februar 2025). Verboten sind das Inverkehrbringen, die Inbetriebnahme für diesen Zweck und die Verwendung. Die Vorschrift meint Systeme, die Emotionen oder Absichten aus biometrischen Daten feststellen oder ableiten (Art. 3 Nr. 39 der KI-Verordnung); eine Auswertung von Kassenbons ohne biometrische Daten fällt nicht darunter.

Ab wann die KI-Verordnung Ihren Betrieb trifft

Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt seit 2. August 2026 allgemein (Art. 113). Sie erfasst Akteure mit Sitz in der Union und solche in Drittländern, wenn die Ausgabe in der Union verwendet wird (Art. 2 Abs. 1); für einen Betrieb, der nur in der Schweiz tätig ist, bleibt das DSG maßgeblich, das nach dem EDÖB auf KI-gestützte Datenbearbeitungen direkt anwendbar ist.

Für die Kassenpraxis sind vier Punkte maßgeblich:

Punkt	Inhalt	Gilt ab
KI-Kompetenz	Anbieter und Betreiber ergreifen Maßnahmen für die KI-Kompetenz ihres Personals; der heute geltende Wortlaut stammt aus der Änderungsverordnung (EU) 2026/1744	2. Februar 2025; in der Fassung der Änderungsverordnung seit 27. Juli 2026
Verbotene Praktik	Ableitung von Emotionen am Arbeitsplatz aus biometrischen Daten, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f)	2. Februar 2025
Transparenz	Anbieter müssen sicherstellen, dass Nutzer über die Interaktion mit einem KI-System informiert werden (Art. 50 Abs. 1)	2. August 2026
Hochrisiko-Pflichten	Kapitel III Abschnitte 1 bis 3 für Systeme nach Anhang III, ausgenommen Art. 6 Abs. 5, darunter Betreiberpflichten wie menschliche Aufsicht (Art. 26 Abs. 2) und Information der Beschäftigten vor dem Einsatz (Art. 26 Abs. 7)	2. Dezember 2027; Art. 6 Abs. 5 ab 2. August 2026

Die Änderungsverordnung (EU) 2026/1744 nimmt Art. 6 Abs. 5 von dieser Verschiebung aus (Art. 1 Nr. 40 Buchst. b); nur für diese Vorschrift bleibt es beim allgemeinen Geltungsbeginn am 2. August 2026. Art. 6 Abs. 5 richtet sich an die Kommission; nach dem Wortlaut stellt sie spätestens bis zum 2. Februar 2026 Leitlinien zur praktischen Umsetzung des Artikels 6 und eine Liste praktischer Beispiele bereit, die Betreiberpflichten ab 2. Dezember 2027 bleiben davon unberührt.

Für Akteure von Hochrisiko-KI-Systemen, die vor dem Beginn der Anwendung der Kapitel III Abschnitte 1 bis 3 in Verkehr gebracht oder in Betrieb genommen wurden (2. Dezember 2027 für Systeme nach Anhang III, 2. August 2028 für Systeme nach Anhang I), gilt die Verordnung nach Art. 111 Abs. 2 nur, wenn diese Systeme danach in ihrer Konzeption erheblich verändert wurden; die Verbote nach Art. 5 gelten unabhängig davon.

Kapitel XII der KI-Verordnung gilt seit 2. August 2025 (Art. 113 Abs. 3 Buchst. b). Ein Verstoß gegen Betreiberpflichten nach Art. 26 kann nach Art. 99 Abs. 4 Buchst. e mit bis zu 15.000.000 Euro oder, bei einem Unternehmen, bis zu 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem welcher Betrag höher ist; nach Art. 99 Abs. 6 gilt für KMU und nach dem mit der Änderungsverordnung (EU) 2026/1744 eingefügten Art. 99 Abs. 6a auch für kleine Midcap-Unternehmen der jeweils niedrigere Betrag. Für Datenschutzverstöße reicht der Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO bis 20.000.000 Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist; in der Schweiz sind vorsätzliche Verstöße gegen die Informations- und Sorgfaltspflichten auf Antrag mit Busse bis CHF 250’000 bedroht (Art. 60 und 61 DSG).

Typische Fehler

• Personenbezug übersehen. Der Export enthält weiter eine Bedienernummer; die Auswertung läuft ohne Rechtsgrundlage über einzelne Beschäftigte.
• Auftragsverarbeitung nicht geregelt. Der Cloud-Dienst verarbeitet personenbezogene Kassendaten ohne Vertrag nach Art. 28 Abs. 3 DSGVO; siehe Auftragsverarbeitung bei der Cloud-Kasse.
• Bewertung als Feststellung behandelt. Die Meldung über ungewöhnliche Stornos markiert eine Abweichung und beweist keinen Fehler.
• Ergebnis unkontrolliert übernommen. Die Bestellmenge folgt der Prognose ohne Abgleich mit Streuung, Aktion und Feiertag; zum Vertrag siehe Datenexport im Kassenvertrag.

So gehen Sie vor

1. Legen Sie den Zweck fest: Bestellplanung, Kontrolle, Kundenbindung. Er muss zu den Exportfeldern passen.
2. Streichen Sie aus dem Export, was der Zweck nicht braucht, insbesondere Bediener- und Kundenschlüssel; für personenbezogene Felder verlangt Art. 5 Abs. 1 Buchst. c DSGVO diese Beschränkung.
3. Prüfen Sie die Zuordenbarkeit im Zeitraum anhand von Besetzungsplan und Kundenzahl.
4. Regeln Sie für personenbezogene Felder, die ein Dienstanbieter in Ihrem Auftrag verarbeitet, Auftragsverarbeitung, Verarbeitungsort und Löschung schriftlich; holen Sie die Einstufung nach Art. 6 Abs. 4 der KI-Verordnung ein.
5. Bestimmen Sie, welche Entscheidung eine Person trifft und welche Zahl die KI vorbereitet, und schreiben Sie die Prüfung von Stichproben fest.