Lead-Qualifizierung: von 4 Stunden auf 90 Sekunden, DSGVO-konform und ohne US-Cloud

Die Ausgangslage

Ein kleines B2B-Beratungsunternehmen bekam über ein Kontaktformular ~20 Anfragen pro Woche. Jede erforderte rund vier Stunden manuelle Arbeit:

• LinkedIn-Profil und Unternehmens-Website recherchieren
• Technografie-Fit bewerten
• Notizen im CRM anlegen
• Priorisierung ins Team kommunizieren

Das Ergebnis: Anfragen lagen 2 bis 5 Werktage, bis jemand sie priorisiert hatte. Die besten Leads verschwanden in diesem Fenster, die Konkurrenz meldete sich früher.

Ein ursprünglich angedachter Entwurf hätte die Klassifikation über die OpenAI-API gelöst. Der CTO stoppte das mit zwei Sätzen: “Wir schicken keine Kundendaten in die US-Cloud, solange wir es vermeiden können. Nicht wegen Paranoia, sondern weil unsere Kunden uns genau das regelmäßig fragen.”

Die Lösung in 2 Wochen

Architektur. Eine n8n-Pipeline, die auf einen Webhook des Kontaktformulars lauscht, die Payload an einen lokal betriebenen Ollama-Container (Llama 3.1 8B, Q4_K_M quantisiert) sendet, die JSON-Antwort parst und HubSpot + Slack anspricht.

Der Ollama-Container läuft auf derselben GCP-Frankfurt-VM wie n8n. Kein personenbezogener Datenpunkt verlässt diese VM: kein Zugriff auf OpenAI, Anthropic oder Google-APIs. Das ist der Kern der Compliance-Architektur.

Das LLM-Prompt. Statt einer einzigen Frage trennt der Workflow Klassifikation (HOT/WARM/COLD) von Begründung (2 Sätze, in der E-Mail-Vorschau für den Vertrieb). Beide Antworten kommen als JSON zurück, ein kleiner Temperatur-Wert (0.1) und explizite Format-Instruktionen (“Antwort als JSON mit den Feldern score und rationale”) liefern zuverlässig parsebare Strukturen.

Das HubSpot-Mapping. Jeder eingehende Lead wird als Contact angelegt. Die lifecyclestage wird auf Basis der Klassifikation gesetzt (marketingqualifiedlead für HOT, lead für WARM, subscriber für COLD). Die LLM-Begründung landet in einem eigenen Contact-Property “First-Impression-Notes”, damit der Vertrieb sie beim Aufmachen sofort sieht.

Der Slack-Alert. Nur HOT-Leads triggern eine Slack-Message mit Kontaktname, Unternehmen, LLM-Begründung und direktem HubSpot-Link. WARM und COLD laufen still ins CRM, der Vertrieb sieht sie beim nächsten Weekly.

Die Compliance-Architektur

Der kritische Teil, der sonst gern weggelassen wird:

Verarbeitungsverzeichnis (Art. 30 DSGVO). Vor Go-Live dokumentiert: Zweck (Lead-Qualifizierung), Rechtsgrundlage (Art. 6 Abs. 1 lit. f, berechtigtes Interesse an effizienter Anfragenbearbeitung), Empfänger (HubSpot und Slack, beide mit AV-Verträgen), Löschfrist (6 Monate nach letztem Kontakt für COLD, 24 Monate für HOT/WARM), technisch-organisatorische Maßnahmen.

Keine automatisierte Einzelentscheidung mit Rechtsfolge (Art. 22 DSGVO). Die Klassifikation ist eine Priorisierungshilfe, kein Mensch wird ohne menschliche Überprüfung abgelehnt oder bevorzugt. Wichtig: Jeder COLD-Lead wird vom Vertrieb in der Wochenmeetings-Sichtung noch einmal manuell angeschaut, bevor er stirbt. Das ist dokumentiert und damit Art.-22-konform.

Transparenzhinweis nach Art. 50 EU AI Act. Der Absender bekommt eine automatische Bestätigungs-E-Mail mit dem Hinweis: “Ihre Anfrage wird zur effizienten Bearbeitung automatisiert vorkategorisiert. Ein Mensch liest jede Anfrage spätestens innerhalb von einer Woche persönlich.”

Kein PII-Transfer in Drittstaaten. Das Herzstück: Das zu klassifizierende Prompt enthält Name, Firma, E-Mail, Nachricht. Genau diese Daten bleiben auf dem EU-Server. Die meisten Schnell-Lösungen, die ich in anderen Unternehmen sehe, senden diese Daten ungefiltert an OpenAI, und das ist seit dem Schrems-II-Urteil und dem Data Privacy Framework ein Abwägungsfall, den viele Datenschutzbeauftragte lieber vermeiden wollen.

Die Ergebnisse

Was aus dem Projekt lernbar ist

On-Premise LLMs sind 2026 produktionsreif. Llama 3.1 8B auf einer einzigen n2-standard-8 VM klassifiziert Leads so gut wie GPT-4o-mini, jedenfalls in Klassifikations-Aufgaben mit klarer Taxonomie sieht man den Unterschied kaum. Für Langform-Generierung (z. B. angepasste Antwort-Entwürfe) wäre ein größeres Modell nötig; für die Klassifikation nicht.

n8n ist das richtige Werkzeug für die Orchestrierung. Fertiger Webhook-Trigger, HTTP-Nodes für Ollama, HubSpot- und Slack-Nodes vorgefertigt, visuelle Pipeline. Der eigentliche Custom-Code beschränkt sich auf ein JSON-Schema-Parsing im Function-Node, alles andere ist Konfiguration.

JSON-Formatierung muss erzwungen werden. Ohne explizite JSON-Schema-Instruktion und niedrige Temperatur produzieren auch sehr gute Modelle gelegentlich Markdown-umrahmtes JSON oder zusätzliche Erklärtexte. Der Function-Node wirkt als Guard.

Die Compliance-Architektur ist Teil des Projekts, nicht ein Nachgedanke. Wer das Verarbeitungsverzeichnis nicht vor Go-Live hat, hat eine Zeitbombe. Die ~2 zusätzliche Tage, die das kostet, sind in jedem späteren Datenschutz-Audit gut angelegt.

Vergleichbare Projekte bekommen Sie hier

Für Mittelständler biete ich diese Architektur als Starter-Automatisierungs-Paket ab € 4.500 an, inklusive DSGVO-Dokumentation und 30 Tagen Hypercare-Support. Die typische Implementierungszeit ist 2 Wochen von Kickoff bis Go-Live.

Wenn Sie wissen wollen, was Ihr eigener Use Case nach EU AI Act braucht, ist der AI-Act-Risikoklassifikator der richtige erste Schritt: drei Minuten, keine Registrierung.