Dokumentenarbeit im Back Office an einen BPO-Anbieter auslagern oder mit KI auf eigenen Servern automatisieren: Wie ein COO entscheidet

Wenn sich Schadenakten, Support-Tickets oder KYC-Unterlagen stapeln, kann ein COO mehr Personal einstellen, die Arbeit an einen BPO-Anbieter abgeben oder sie mit KI auf den eigenen Servern des Unternehmens automatisieren. KYC-Unterlagen (Know Your Customer) sind die Ausweisdokumente und anderen Nachweise, die ein Finanzunternehmen einholt, bevor es einen Kunden aufnimmt. BPO, Business Process Outsourcing, bedeutet, dass die Mitarbeiter eines anderen Unternehmens die Arbeit erledigen, manchmal aus einem anderen Land. Bei der Automatisierung liest Software auf Servern, die Ihr Unternehmen kontrolliert, die Dokumente und gibt die Akten, die sie nicht bewältigt, an Menschen weiter. Ein BPO-Anbieter passt zu Arbeit, bei der die meisten Akten das Urteil einer Person brauchen und externe Mitarbeiter die Dokumente sehen dürfen. Dokumenttypen, die sich wiederholen, passen zur Automatisierung, ebenso Dokumente, die im Unternehmen bleiben müssen. Manche Unternehmen kombinieren beides.

Welche Möglichkeiten haben wir für die Dokumentenarbeit im Back Office?

Wenn Sie das eigene Team vergrößern, bleiben die Dokumente und das Know-how im Unternehmen. Jeder Anstieg des Volumens bedeutet dann, Leute einzustellen und einzuarbeiten, die Zeit brauchen, bis sie das volle Tempo erreichen.

Ein BPO-Anbieter übernimmt einen ganzen Prozess, etwa die Prüfung von Schadenfällen oder das Sortieren von Support-Tickets, auf Grundlage eines Vertrags mit Service-Levels. Service-Levels sind die Zielwerte, zu denen sich der Anbieter verpflichtet, zum Beispiel wie schnell jede Akte bearbeitet sein muss. Mitarbeiter zu finden und einzuarbeiten wird zur Aufgabe des Anbieters. Seine Mitarbeiter sitzen womöglich in einem anderen Land und arbeiten entweder in den eigenen Systemen des Anbieters oder in Ihren, über einen Zugang, den Sie ihnen einrichten.

Automatisierung mit KI auf Ihren eigenen Servern bedeutet Software, die jedes Dokument mit einem großen Sprachmodell (LLM) liest, der Art von KI hinter ChatGPT. Die Software prüft die extrahierten Felder anhand Ihrer Regeln und schreibt die Felder, die die Prüfung bestehen, in Ihre Systeme. Akten, die die Prüfungen nicht bestehen, gehen an eine Person.

Die Wege lassen sich kombinieren. Software kann Routinefelder übernehmen, etwa Namen, Datumsangaben und Beträge auf einem Standardformular, und den Rest Menschen überlassen.

Wer sieht unsere Dokumente, wenn ein BPO-Anbieter die Arbeit erledigt?

Die Mitarbeiter des Anbieters sehen sie, denn die Dokumente zu lesen ist ihre Arbeit, und Schadenakten und KYC-Unterlagen sind voller personenbezogener Daten. Nach der Datenschutz-Grundverordnung der EU (DSGVO) ist ein Unternehmen, das personenbezogene Daten in Ihrem Auftrag verarbeitet, ein Auftragsverarbeiter. Ihr Unternehmen bleibt der Verantwortliche, also derjenige, der entscheidet, wozu und wie die Daten verwendet werden.

Art. 28 DSGVO, abgerufen am 19. Oktober 2026 auf EUR-Lex, der offiziellen Website der EU für ihre Rechtsakte, legt fest: Der Verantwortliche arbeitet „nur mit Auftragsverarbeitern, die hinreichend Garantien bieten“. Außerdem verlangt der Artikel mit jedem Auftragsverarbeiter einen Vertrag oder ein anderes verbindliches Rechtsinstrument. Nach diesem Vertrag muss der Auftragsverarbeiter gewährleisten, dass die „zur Verarbeitung der personenbezogenen Daten befugten Personen“ zur Vertraulichkeit verpflichtet sind, durch eigene Zusage oder kraft Gesetzes. Zudem braucht der Anbieter Ihre schriftliche Genehmigung, bevor er einen weiteren Auftragsverarbeiter hinzuzieht, etwa einen Subunternehmer, der einen Teil der Arbeit übernimmt.

Auch wenn sich die Mitarbeiter des Anbieters nur in Ihre Systeme einloggen und keine Dateien zum Anbieter kopiert werden, sind ihnen die Daten damit zugänglich. Der Europäische Datenschutzausschuss (EDSA, englisch EDPB), in dem die Datenschutzbehörden der EU zusammenarbeiten, behandelt diesen Fall in seinen Leitlinien 05/2021, Version 2.0 vom 14. Februar 2023, am selben Tag abgerufen.

Nach den Leitlinien des EDSA wird ein Fernzugriff aus einem Drittland, also aus einem Land außerhalb des Europäischen Wirtschaftsraums (EWR), „ebenfalls als Übermittlung betrachtet“, wenn drei Kriterien erfüllt sind. Das gilt, „selbst wenn er nur dadurch erfolgt, dass personenbezogene Daten auf einem Bildschirm angezeigt werden“. Eines der Kriterien ist, dass das Unternehmen, das den Zugriff erhält, hier der BPO-Anbieter, in einem Drittland sitzt. Der EDSA fügt hinzu, dass eine solche Übermittlung „nur unter bestimmten Bedingungen erfolgen kann“, die in Kapitel V DSGVO festgelegt sind.

Bleiben die Dokumente bei uns, wenn die KI auf unseren eigenen Servern läuft?

Die Dokumente bleiben bei Ihnen, wenn jeder Teil des Systems, einschließlich des Sprachmodells, auf Servern läuft, die Ihr Unternehmen kontrolliert. Kein externes Personal liest die Dokumente im Rahmen der täglichen Arbeit, und der Text der Dokumente geht weder an OpenAI noch an einen anderen Modellanbieter. Nutzt das System ein Modell, das ein externer Anbieter hostet, gehen die Dokumente an diesen Anbieter.

Auch auf Ihren eigenen Servern müssen Sie entscheiden, welche Mitarbeiter welche Akten öffnen dürfen und was das System in seine Logs schreiben darf, also in die Aufzeichnungen darüber, was es getan hat. Die Leute, die das System bauen und betreiben, müssen womöglich echte Dokumente sehen. Eine Engineering-Firma, die diese Arbeit für Sie übernimmt, ist dann in der Regel Auftragsverarbeiter im Sinne der DSGVO, genau wie ein BPO-Anbieter. Der oben verlinkte Artikel darüber, wie Sie KI-Entwicklung auslagern, ohne dass Ihre Daten das Haus verlassen, beschreibt, wie externe Entwickler an einem solchen System arbeiten können.

In einem gemischten Modell können die Mitarbeiter eines BPO-Anbieters die Review-Queue Ihres Systems abarbeiten, also die Liste der Akten, die die Software an eine Person weitergegeben hat. Die Mitarbeiter des Anbieters sehen dann nur diese Akten, und die Regeln der DSGVO zu Verträgen mit Auftragsverarbeitern und zum Fernzugriff von außerhalb des EWR gelten für sie weiterhin.

Wer ist verantwortlich, wenn bei der ausgelagerten Arbeit etwas schiefgeht?

Ihr Unternehmen behält die Pflichten, die ihm das Gesetz auferlegt, und der Anbieter übernimmt nach dem Vertrag eigene Pflichten. Die Geldwäscheverordnung der EU, Verordnung (EU) 2024/1624, am selben Tag auf EUR-Lex abgerufen, zeigt, wie das bei KYC funktioniert. Sobald die Verordnung gilt, erlaubt ihr Artikel 18 den Unternehmen, für die sie gilt, darunter Banken und anderen Finanzinstituten, Aufgaben, die die Verordnung von ihnen verlangt, an Dienstleister auszulagern.

Ein Unternehmen, das solche Aufgaben auslagert, muss seine Aufsichtsbehörde benachrichtigen, bevor der Dienstleister mit der Arbeit beginnt. Das Unternehmen „bleibt für jede Handlung im Zusammenhang mit den ausgelagerten Aufgaben in vollem Umfang haftbar, gleich ob es sich um ein Tun oder ein Unterlassen handelt“. Artikel 18 nennt außerdem Aufgaben, die „unter keinen Umständen ausgelagert werden dürfen“. Dazu gehören:

• Die Entscheidung darüber, welches Risikoprofil ein Kunde erhält
• Die Entscheidung, einen Kunden aufzunehmen oder eine gelegentliche Transaktion mit ihm durchzuführen
• Die Genehmigung der internen Strategien, Verfahren und Kontrollen des Unternehmens gegen Geldwäsche und Terrorismusfinanzierung
• Die Genehmigung der Kriterien, nach denen verdächtige oder ungewöhnliche Transaktionen und Tätigkeiten erkannt werden

Derselbe Artikel verbietet es, solche Aufgaben an Dienstleister mit Sitz in Drittländern auszulagern, die die EU wegen Geldwäscherisiken auflistet. Ausgenommen ist ein Dienstleister aus derselben Gruppe, unter weiteren Bedingungen. Artikel 90 bestimmt, dass die Verordnung „ab dem 10. Juli 2027 gilt“, für zwei Arten von Unternehmen später, prüfen Sie also die nationalen Regeln, die heute für Sie gelten.

Erwägungsgrund 47, Teil der einleitenden Erwägungen der Verordnung, ergänzt, dass „die Nutzung oder der Erwerb von Software Dritter“ durch das Unternehmen keine Auslagerung ist, wenn kein Dienstleister die Aufgabe ausführt.

Software kann eine KYC-Akte zusammenstellen und ihre Felder prüfen, während eine namentlich benannte Person in Ihrem Unternehmen den Kunden freigibt. Halten Sie für Schadenfälle schriftlich fest, welche Entscheidungen immer Ihre eigenen Mitarbeiter treffen, gleich auf welchem Weg die Akte vorbereitet wird.

Wie kommt jeder Weg mit einem sprunghaften Anstieg des Volumens zurecht?

Das Monatsende oder eine aufsichtsrechtliche Frist kann eine Flut von Akten bringen. Ein BPO-Anbieter fängt eine solche Spitze auf, indem er Mitarbeiter von anderen Aufgaben abzieht oder neue einstellt. Fragen Sie, wie viel Vorlauf er braucht und was mit seinen Service-Levels geschieht, während neue Mitarbeiter Ihre Regeln lernen.

Software kann nach denselben Regeln mehr Dokumente verarbeiten, sobald genug Serverkapazität vorhanden ist. Die Akten, die sie nicht bewältigt, gehen weiterhin an Menschen, sodass eine Flut schlechter Scans oder ungewöhnlicher Fälle die Review-Queue wachsen lässt. Legen Sie vorab fest, wer diese Queue an Ihrem arbeitsreichsten Tag abarbeitet: Ihre eigenen Mitarbeiter oder Mitarbeiter eines Anbieters auf Abruf.

Wer erledigt die Arbeit an unseren Dokumenten besser, die Mitarbeiter eines Anbieters oder die Software?

Für beide funktioniert dieselbe Messung. Nehmen Sie eine Stichprobe aktueller Dokumente jedes Typs und lassen Sie Ihre eigenen Mitarbeiter den richtigen Wert jedes Feldes aufschreiben. Die Mitarbeiter des Anbieters und die Software werden dann an dieser Stichprobe bewertet, für jedes Feld jedes Dokumenttyps.

Ein Anbieter kann die Stichprobe in einem Test abarbeiten, wenn Ihre Compliance-Regeln seinen Mitarbeitern erlauben, diese Dokumente zu sehen. Die Software wird an derselben Stichprobe getestet, auf Servern, auf denen diese Dokumente verarbeitet werden dürfen. Vergleichen Sie die Genauigkeit für jedes Feld, den Anteil der Akten, die an eine Person gehen, und die Zeit vom Eingang eines Dokuments bis zum fertigen Datensatz.

Messen Sie Ihre eigenen Mitarbeiter an derselben Stichprobe. Auch Menschen machen Fehler, und das Ergebnis Ihrer Mitarbeiter ist das Niveau, das beide Wege erreichen sollten. Die oben verlinkten Artikel über die Fragen an eine Firma für KI-Automatisierung und über den Kauf oder Bau von KI für Dokumente erklären, wie Sie die Stichprobe aufbauen. Der zweite davon nennt sie Abnahmeset.

Wie rechnen BPO-Anbieter und Engineering-Firmen die Arbeit ab?

Die Preismodelle unterscheiden sich, fragen Sie also jeden BPO-Anbieter und jede Engineering-Firma, wie abgerechnet wird. Ein BPO-Anbieter rechnet womöglich pro Person, pro Stunde oder pro bearbeitetem Dokument ab. Das Angebot einer Engineering-Firma kann aus zwei Teilen bestehen: dem Bau des Systems und danach seiner Betreuung.

Notieren Sie Ihre erwarteten Volumen nach Dokumenttyp und Monat für drei Jahre, einschließlich Ihres stärksten Monats, und lassen Sie sich jedes Angebot auf genau diese Zahlen erstellen. Rechnen Sie Ihre eigenen Kosten hinzu: Server und Personal für die Review-Queue bei der Software oder die Zeit Ihrer Führungskräfte für die Steuerung eines Anbieters. Jedes Angebot sollte außerdem zeigen, wie sich der Preis ändert, wenn Ihr Volumen sinkt oder sich ein Formular ändert.

Was behalten wir, wenn wir den Vertrag beenden?

Bei einem BPO-Anbieter steckt ein großer Teil des Know-hows, etwa wie mit ungewöhnlichen Fällen umzugehen ist, in den Köpfen seiner Mitarbeiter. Dieses Wissen geht am Ende des Vertrags mit ihnen, sofern es nicht aufgeschrieben wurde.

Verlangen Sie vom Anbieter von Anfang an schriftliche Prozessregeln, und lassen Sie sie aktualisieren, wenn sich die Arbeit ändert. Bewahren Sie die Stichprobe mit den richtigen Antworten in Ihren eigenen Ablagen auf. Mit den schriftlichen Regeln und der Stichprobe können Sie die Arbeit an einen neuen Anbieter oder an Software übergeben und prüfen, ob die Qualität gleich bleibt.

Für die personenbezogenen Daten in den Dokumenten verlangt Art. 28 DSGVO, dass der Vertrag mit dem Auftragsverarbeiter regelt, was nach dem Ende der Arbeit geschieht. Nach Wahl Ihres Unternehmens muss der Auftragsverarbeiter „nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten“ löschen oder an den Verantwortlichen zurückgeben. Außerdem löscht er seine Kopien, sofern ihn das Recht nicht zur Aufbewahrung verpflichtet. Vereinbaren Sie vor der Unterschrift, welche der beiden Varianten Sie wollen und wie der Anbieter sie bestätigt.

Beim Weg über die Automatisierung behalten Sie den Code, die Anweisungen an das Modell und jedes mit Ihren Daten weitertrainierte Modell, wenn der Vertrag sie auf Sie überträgt. Lesen Sie, was der Vertrag ausnimmt, etwa Komponenten, die die Firma projektübergreifend wiederverwendet.

Was sollten wir einen BPO-Anbieter und eine Engineering-Firma fragen?

Schicken Sie allen Kandidaten auf beiden Wegen dieselben Fragen:

• Wo werden die Leute sitzen, die unsere Dokumente sehen, und werden sie sich in unsere Systeme einloggen oder Dateien in Ihre kopieren?
• Welche anderen Unternehmen wären an der Arbeit beteiligt, und in welchen Ländern?
• Sind Sie bereit, unsere Stichprobe von Dokumenten vor der Unterschrift abzuarbeiten, damit wir die Ergebnisse Feld für Feld bewerten können?
• Was geschieht mit einer Akte, die Sie nicht bewältigen können, und wer in unserem Unternehmen sieht sie als Nächstes?
• Welche schriftlichen Regeln, welcher Code und welche Daten kommen nach Vertragsende zu uns zurück, und in welcher Form?

Die Regeln zu Auslagerung, Datenübermittlung und Kundenprüfung unterscheiden sich je nach Land und Branche. Dieser Artikel nutzt EU-Texte als Beispiele und ist keine Rechtsberatung, prüfen Sie Ihren Weg also mit einem Anwalt oder Ihrer Aufsichtsbehörde.

Wo passt amBrain ins Bild?

Das einzige Sprachmodell-Projekt, das amBrain öffentlich beschreibt, ist dieses: „Wir haben eine LLM-Integration innerhalb des FinTech-Perimeters eines Kunden in Produktion gebracht: die Extraktion und Normalisierung unstrukturierter Mitteilungen von Brokern und Handelsplätzen – Kapitalmaßnahmen, Instrumenten- und Margin-Änderungen – zu strukturierten Datensätzen, die das Handelssystem verarbeitet.“

Dieser Artikel ist keine Case Study, und der Kunde wird nicht genannt. Die zitierte Zeile sagt nicht, wo das Modell in diesem Projekt lief oder welche der oben beschriebenen Schritte es umfasste. Nichts hier sagt, dass amBrain Systeme für Schadenakten, Support-Tickets, KYC-Unterlagen oder andere Back-Office-Dokumente gebaut hat. Ebenso wenig sagt der Artikel, dass amBrain einen BPO-Anbieter ersetzt, mit einem zusammengearbeitet oder ein gemischtes Modell aus Software und Mitarbeitern eines Anbieters betrieben hat.

Die DSGVO und die Geldwäscheverordnung kommen in diesem Artikel nur als Regeln vor, die Ihr Unternehmen womöglich einhalten muss. Der Artikel macht keine Aussage zum eigenen Compliance-Status von amBrain nach diesen oder anderen Regeln. Er nennt weder Preise noch Zeitpläne von amBrain und keine Bedingungen für einen Prototyp oder Pilot, einschließlich eines Tests an Ihrer Stichprobe vor der Unterschrift.

amBrain entwickelt seit 2019 Software. Es arbeitet in drei Formaten: vollständige Umsetzung, ein dediziertes Team oder in Ihr Team eingebettete Entwickler. Zum Eigentum lautet sein Satz: „Der Kunde behält das volle Eigentum an Produkt und Code, ausgenommen unsere wiederverwendbaren Komponenten.“ Wenn amBrain auf Ihrer Shortlist steht, geben Sie ihm dieselbe Stichprobe und dieselben Fragen wie jeder anderen Engineering-Firma.