Chatbot DSGVO: So setzt du KI-Chatbots auf der Website rechtssicher ein
Chatbot DSGVO: KI-Chatbots beantworten Kundenfragen rund um die Uhr, verarbeiten dabei aber personenbezogene Daten. Wir zeigen, welche Pflichten aus DSGVO und KI-Verordnung gelten und wie du sauber startest.
Ein KI-Chatbot beantwortet Kundenfragen um drei Uhr nachts, qualifiziert Leads und entlastet den Support. Für kleine und mittlere Unternehmen ist das verlockend, denn die Einrichtung dauert oft nur Stunden. Doch jede Chatnachricht kann personenbezogene Daten enthalten: Namen, E-Mail-Adressen, Bestellnummern, manchmal sogar Gesundheitsangaben. Die Frage Chatbot DSGVO gehört deshalb vor den Start, nicht danach.
Seit August 2026 kommen zusätzlich Transparenzpflichten aus der europäischen KI-Verordnung hinzu. In diesem Leitfaden erfährst du, welche Regeln für Chatbots auf deiner Website gelten, wie du Anbieter prüfst und mit welcher Checkliste du rechtssicher und kundenfreundlich startest.
Inhaltsverzeichnis
Chatbot DSGVO: Das Wichtigste auf einen Blick
Kurz gesagt: Ein Chatbot verarbeitet personenbezogene Daten und unterliegt damit der DSGVO. Du brauchst eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter, eine Grundlage für Datenübermittlungen außerhalb der EU, transparente Datenschutzhinweise und feste Löschfristen. Setzt das Chat-Widget nicht notwendige Cookies, ist eine Einwilligung nötig. Bei KI-Chatbots kommt die Pflicht hinzu, auf die KI hinzuweisen.
Die gute Nachricht: Keine dieser Pflichten ist exotisch. Wer seine Website bereits datenschutzkonform betreibt, kennt die Bausteine. Neu ist vor allem die Kombination aus KI, externen Anbietern und frei formulierten Eingaben, die sich schwer vorhersagen lassen.
Regelbasierte und KI-basierte Chatbots
Nicht jeder Chatbot ist gleich. Regelbasierte Bots arbeiten mit festen Entscheidungsbäumen und vordefinierten Antworten. KI-basierte Chatbots nutzen große Sprachmodelle und formulieren Antworten frei. Für die DSGVO spielt das zunächst keine Rolle, beide verarbeiten personenbezogene Daten. KI-Chatbots bringen aber zusätzliche Risiken mit: Sie können falsche Antworten erfinden, unerwartete Daten preisgeben und unterliegen der KI-Verordnung.
Rechtsgrundlagen: Wann der Chatbot Daten verarbeiten darf
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Welche passt, hängt vom Zweck des Chats ab.
| Einsatzzweck | Mögliche Rechtsgrundlage | Hinweis |
|---|---|---|
| Fragen zu Produkten, Bestellungen, Verträgen | Vertrag oder Vertragsanbahnung | Nur Daten, die für die Anfrage nötig sind |
| Allgemeiner Kundenservice | Berechtigtes Interesse | Interessenabwägung dokumentieren |
| Auswertung von Chats für Marketing | Einwilligung | Gesondert und freiwillig einholen |
| Nutzung von Chats zum Training von Modellen | In der Regel Einwilligung | Besser vertraglich ausschließen |
| Cookies oder Gerätezugriffe des Widgets | Einwilligung, außer unbedingt erforderlich | Regel aus dem TDDDG |
Cookies und das Chat-Widget
Viele Chat-Widgets setzen beim Laden der Seite Cookies oder speichern Daten im Browser, oft auch für Analysezwecke des Anbieters. Nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, brauchst du dafür eine Einwilligung, wenn der Zugriff nicht unbedingt erforderlich ist. Bewährt hat sich eine Zwei-Klick-Lösung: Der Chat lädt erst, wenn Besucher aktiv auf das Chat-Symbol klicken und dem Hinweis zustimmen.
Besondere Daten im Chat
Besucher schreiben manchmal mehr, als du wissen willst. Eine Praxis, ein Pflegedienst oder eine Versicherung erhält schnell Gesundheitsdaten. Solche besonderen Kategorien personenbezogener Daten sind nach Artikel 9 DSGVO streng geschützt. Weise im Chatfenster darauf hin, keine sensiblen Angaben einzugeben, und prüfe, ob der Chatbot für deinen Einsatz überhaupt geeignet ist.
Anbieter prüfen: AVV, Drittland und Training
Die meisten Unternehmen bauen ihren Chatbot nicht selbst, sondern nutzen einen Dienst. Damit wird der Anbieter in aller Regel zum Auftragsverarbeiter. Du bleibst aber für den Datenschutz verantwortlich.
Auftragsverarbeitungsvertrag
Nach Artikel 28 DSGVO brauchst du einen Auftragsverarbeitungsvertrag, kurz AVV. Seriöse Anbieter stellen ihn im Kundenkonto bereit. Prüfe, ob er Unterauftragsverarbeiter nennt, also etwa das Sprachmodell eines Dritten oder den Hosting-Dienst. Jeder dieser Dienste ist Teil der Kette.
Datenübermittlung in Drittländer
Viele KI-Dienste haben ihren Sitz oder ihre Server in den USA. Eine Übermittlung dorthin ist möglich, wenn der Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln samt Risikobewertung vorliegen. Stand: Oktober 2026 ist das Data Privacy Framework in Kraft. Weil sich die Rechtslage in diesem Bereich schon mehrfach geändert hat, solltest du die Entwicklung beobachten. Ein Anbieter mit Verarbeitung ausschließlich in der EU reduziert dieses Risiko.
Training mit deinen Chatdaten
Ein oft übersehener Punkt: Manche Dienste verwenden Eingaben, um ihre Modelle weiterzuentwickeln. Dann verlassen Kundendaten deinen Einflussbereich dauerhaft. Achte darauf, dass der Anbieter Chatdaten nicht für eigene Trainingszwecke nutzt. Bei vielen Diensten ist das in Business-Tarifen der Standard, bei kostenlosen Varianten oft nicht.
| Betriebsmodell | Vorteile | Datenschutz-Aufwand |
|---|---|---|
| SaaS-Anbieter mit EU-Hosting | Schnell startklar, wenig Technik | Gering bis mittel, AVV prüfen |
| SaaS-Anbieter mit US-Verarbeitung | Große Auswahl, leistungsstarke Modelle | Mittel, Drittlandübermittlung absichern |
| Eigenes Hosting mit offenem Modell | Volle Kontrolle über die Daten | Gering beim Transfer, hoch bei Betrieb und Sicherheit |
Interne Chatbots für Mitarbeitende
Viele Unternehmen setzen KI-Assistenten nicht nur auf der Website ein, sondern auch intern, etwa für Fragen zu Prozessen oder Richtlinien. Hier verarbeitest du Beschäftigtendaten. Kläre, welche Eingaben protokolliert werden und wer sie einsehen darf. Eine Leistungs- oder Verhaltenskontrolle über Chatprotokolle ist heikel. Gibt es einen Betriebsrat, ist die Einführung solcher Systeme in der Regel mitbestimmungspflichtig. Regle die Nutzung deshalb früh in einer Betriebsvereinbarung oder einer klaren KI-Richtlinie.
KI-Verordnung: Was seit August 2026 gilt
Die europäische KI-Verordnung ergänzt die DSGVO. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Für Chatbots bedeutet das: Menschen müssen erkennen können, dass sie mit einer KI kommunizieren, sofern das nicht ohnehin offensichtlich ist.
Die Pflicht richtet sich formal zunächst an die Anbieter von KI-Systemen. In der Praxis solltest du als Betreiber trotzdem selbst dafür sorgen, dass der Hinweis sichtbar ist. Schon wer den Bot unter eigenem Namen anbietet, kann in die Anbieterrolle rücken. Ein kurzer Satz im Begrüßungstext reicht meist aus, etwa: „Ich bin ein KI-Assistent. Für eine persönliche Beratung verbinde ich dich gern mit unserem Team.“
Wann es kritischer wird
Ein Chatbot für Kundenservice fällt in der Regel nicht unter die Hochrisiko-Kategorien der KI-Verordnung. Anders kann es aussehen, wenn der Bot über den Zugang zu wichtigen Leistungen entscheidet, etwa bei Krediten oder bei der Auswahl von Bewerbern. Dann greifen deutlich strengere Pflichten. Zusätzlich verbietet Artikel 22 DSGVO grundsätzlich Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert getroffen werden.
Transparenz, Löschfristen und Betroffenenrechte
Neben Rechtsgrundlage und Vertrag verlangt die DSGVO, dass Besucher verstehen, was mit ihren Daten passiert, und ihre Rechte ausüben können.
Datenschutzerklärung ergänzen
Ergänze deine Datenschutzerklärung um einen eigenen Abschnitt zum Chatbot. Diese Angaben gehören hinein:
- Name und Sitz des Anbieters sowie wichtiger Unterauftragsverarbeiter
- Zwecke und Rechtsgrundlagen der Verarbeitung
- Hinweis auf Drittlandübermittlungen und deren Grundlage
- Speicherdauer der Chatverläufe
- Hinweis, dass ein KI-System eingesetzt wird
- Rechte der Betroffenen und Kontakt für Anfragen
Verlinke diesen Abschnitt direkt im Chatfenster. Eine kurze Zusammenfassung vor dem ersten Chat schafft zusätzlich Vertrauen.
Beispiel für einen Hinweis zum Chatstart
Ein guter Starttext ist kurz und ehrlich. Er könnte etwa so lauten: „Hallo, ich bin der KI-Assistent von Muster GmbH. Ich beantworte Fragen zu Produkten und Lieferzeiten. Bitte gib keine sensiblen Daten wie Gesundheits- oder Kontodaten ein. Deine Nachrichten werden 30 Tage gespeichert. Mehr dazu in unserer Datenschutzerklärung.“ Die Werte im Beispiel sind Platzhalter, passe sie an deine tatsächlichen Einstellungen an.
Löschkonzept
Chatverläufe dürfen nicht unbegrenzt gespeichert werden. Lege fest, wie lange du sie brauchst. Für die Beantwortung einer Anfrage reichen oft wenige Wochen. Entsteht ein Auftrag, können handels- und steuerrechtliche Aufbewahrungspflichten greifen. Prüfe, ob dein Anbieter automatische Löschfristen unterstützt, und richte sie ein.
Auskunft und Löschung
Besucher können Auskunft verlangen, welche Daten du über sie gespeichert hast, und deren Löschung fordern. Das klappt nur, wenn du Chats einer Person zuordnen und gezielt finden kannst. Teste diesen Prozess, bevor die erste Anfrage kommt. Weitere Grundlagen findest du in unserer DSGVO-Checkliste für Unternehmen.
Datenschutz-Folgenabschätzung
Bei neuen Technologien mit hohem Risiko für Betroffene verlangt Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung. Ob sie für deinen Chatbot nötig ist, hängt von Umfang, Art der Daten und Einsatzzweck ab. Ein einfacher FAQ-Bot ist weniger kritisch als ein Bot, der Gesundheitsdaten verarbeitet oder mit Kundenkonten verknüpft ist. Orientierung bieten die Veröffentlichungen der Datenschutzkonferenz, darunter eine Orientierungshilfe zu KI-Anwendungen.
Haftung und Sicherheit: Wenn der Bot sich irrt
Datenschutz ist nur ein Teil des Risikos. KI-Chatbots können falsche Informationen liefern, die plausibel klingen. Gegenüber deinen Kunden werden dir diese Aussagen in der Regel zugerechnet. Bekannt wurde ein Fall aus Kanada, in dem eine Fluggesellschaft für eine falsche Auskunft ihres Chatbots zu Erstattungsregeln einstehen musste.
So begrenzt du das Risiko
- Wissensbasis kuratieren: Lass den Bot nur auf geprüfte Inhalte wie FAQ, Produktblätter und AGB zugreifen.
- Themen eingrenzen: Verbindliche Aussagen zu Preisen, Rabatten, Verträgen oder Rechtsfragen leitet der Bot an Menschen weiter.
- Zugriffe beschränken: Gib dem Bot keinen Zugriff auf interne Daten, die er nicht braucht, etwa Kundenkonten oder Personalakten.
- Manipulation testen: Prüfe, ob sich der Bot durch geschickte Eingaben dazu bringen lässt, Systemanweisungen oder Daten preiszugeben.
- Regelmäßig auswerten: Stichproben aus anonymisierten Chats zeigen, wo der Bot danebenliegt.
Wie du KI im Kundenservice sinnvoll einsetzt und wo ihre Grenzen liegen, beschreibt unser Beitrag zu KI im Kundenservice. Für die technische Absicherung deiner Website lohnt ein Blick in den Artikel zur Website-Sicherheit für KMU.
Checkliste: Chatbot DSGVO-konform starten
Mit diesen Schritten bringst du deinen Chatbot strukturiert und rechtssicher an den Start:
- Zweck festlegen: Welche Fragen soll der Bot beantworten, welche nicht?
- Anbieter auswählen: Serverstandort, AVV, Unterauftragsverarbeiter und Trainingsnutzung prüfen.
- Rechtsgrundlage bestimmen: Pro Zweck dokumentieren, inklusive Interessenabwägung.
- Einbindung planen: Zwei-Klick-Lösung oder Einbindung über das Consent-Management.
- KI-Hinweis einbauen: Klarer Satz im Begrüßungstext und im Chatfenster.
- Datenschutzerklärung ergänzen: Eigener Abschnitt, im Chat verlinkt.
- Löschfristen einrichten: Automatisch und dokumentiert.
- Verarbeitungsverzeichnis aktualisieren: Chatbot als eigene Verarbeitungstätigkeit erfassen.
- Folgenabschätzung prüfen: Bei sensiblen Daten oder großem Umfang.
- Testen und überwachen: Antworten, Weiterleitung an Menschen und Betroffenenanfragen probelaufen lassen.
Barrierefreiheit nicht vergessen
Ein Chatbot ist Teil deiner Website. Für viele Online-Angebote gelten seit Juni 2025 die Anforderungen des Barrierefreiheitsstärkungsgesetzes. Achte darauf, dass das Chat-Widget per Tastatur bedienbar ist, mit Screenreadern funktioniert und gut lesbare Kontraste hat. Dass der Bot dabei auch Menschen mit Einschränkungen hilft, ist ein starkes Argument für eine sorgfältige Auswahl.
Fazit: Chatbot DSGVO als Qualitätsmerkmal verstehen
Ein KI-Chatbot kann deinen Kundenservice spürbar entlasten. Rechtssicher wird er durch eine klare Rechtsgrundlage, einen geprüften Anbieter mit AVV, transparente Hinweise, feste Löschfristen und den Hinweis auf die KI. Wer diese Bausteine sauber umsetzt, gewinnt zusätzlich Vertrauen bei Kunden, die zunehmend genau hinschauen.
Deine nächsten Schritte: Definiere den Einsatzzweck, wähle einen Anbieter mit EU-Verarbeitung oder sauber abgesichertem Drittlandtransfer, schließe die Nutzung deiner Daten für Training aus und arbeite die Checkliste ab. Bei sensiblen Daten oder Entscheidungen mit Rechtswirkung ziehe deine Datenschutzberatung hinzu. Dieser Beitrag ersetzt keine Rechtsberatung, Stand: Oktober 2026.
Häufige Fragen zu Chatbot und DSGVO
Brauche ich für einen Chatbot auf der Website eine Einwilligung?
Nicht in jedem Fall. Beantwortet der Chatbot Anfragen zu Produkten oder Verträgen, kann die Verarbeitung auf Vertragsanbahnung oder berechtigtes Interesse gestützt werden. Setzt das Chat-Widget aber Cookies oder liest Informationen vom Gerät, die nicht unbedingt erforderlich sind, brauchst du eine Einwilligung. Viele Unternehmen laden den Chat deshalb erst nach einem Klick.
Welche Pflichten bringt die KI-Verordnung für Chatbots?
Nach der KI-Verordnung müssen Menschen seit dem 2. August 2026 erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Ein klarer Hinweis im Chatfenster erfüllt diese Transparenzpflicht in der Praxis. Weitere Pflichten hängen davon ab, wofür der Chatbot eingesetzt wird. Stand: Oktober 2026.
Ist ein Chatbot DSGVO-konform, wenn der Anbieter aus den USA kommt?
Das ist möglich. Du brauchst einen Auftragsverarbeitungsvertrag und eine Grundlage für die Datenübermittlung, etwa eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Prüfe außerdem, ob der Anbieter Chatdaten für das Training eigener Modelle nutzt, und schließe das vertraglich oder in den Einstellungen aus.
Wie lange darf ich Chatverläufe speichern?
Nur so lange, wie du sie für den Zweck brauchst. Für die Beantwortung einer Anfrage reichen oft wenige Wochen. Längere Speicherung ist möglich, wenn ein Geschäftsvorfall entsteht und Aufbewahrungspflichten greifen. Lege feste Löschfristen fest, setze sie technisch um und nenne sie in deiner Datenschutzerklärung.
Wer haftet, wenn der Chatbot falsche Auskünfte gibt?
Im Verhältnis zu deinen Kunden in der Regel du als Betreiber. Aussagen deines Chatbots werden dir zugerechnet wie Aussagen deiner Mitarbeiter. Begrenze deshalb die Themen, auf die der Bot antwortet, gib ihm geprüfte Wissensquellen und leite verbindliche Fragen zu Preisen, Verträgen oder Recht an Menschen weiter.
Foto: Levart_Photographer / Unsplash
