Ist ein KI-Chatbot auf der Website DSGVO-konform? Die Checkliste

Kurz gesagt

• Sobald Nutzer Namen, E-Mail-Adressen oder Anliegen eingeben, gilt die DSGVO.
• Entscheidend sind Rechtsgrundlage, Datenschutzhinweise, Auftragsverarbeitungsvertrag, Datensparsamkeit und Löschfristen.
• Seit dem 2. August 2026 muss ein Chatbot nach Art. 50 KI-Verordnung als KI erkennbar sein.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.

Welche Daten ein Chatbot verarbeitet

Der Chatverlauf ist personenbezogen, sobald ein Name, eine E-Mail-Adresse oder eine Telefonnummer darin steht. Dazu kommen technische Daten wie die IP-Adresse. Die DSGVO gilt deshalb auch dann, wenn der Chatbot „nur“ Fragen beantwortet.

Die DSGVO-Checkliste für Ihren KI-Chatbot

1. Rechtsgrundlage klären: Für die Bearbeitung einer Anfrage kommt meist Art. 6 Abs. 1 lit. b DSGVO infrage, also Maßnahmen auf Anfrage der Person vor einem Vertrag, ergänzend das berechtigte Interesse nach lit. f.
2. Speichern im Browser: Setzt der Chatbot Cookies oder speichert er Daten im Browser, die nicht unbedingt nötig sind, braucht es nach § 25 TDDDG eine Einwilligung. Am einfachsten startet der Chatbot erst nach einem Klick.
3. Informieren: Ihre Datenschutzerklärung beschreibt den Chatbot: Zweck, Anbieter, Speicherdauer, Empfänger und die Rechte der Nutzer (Art. 13 DSGVO). Ein kurzer Hinweis im Chatfenster hilft zusätzlich.
4. Auftragsverarbeitungsvertrag: Mit dem Anbieter des Chatbots und des Sprachmodells brauchen Sie einen Vertrag nach Art. 28 DSGVO.
5. Übermittlung außerhalb der EU: Sitzt ein Anbieter in den USA, braucht es eine Grundlage nach Art. 44 ff. DSGVO, etwa die Zertifizierung unter dem EU-US Data Privacy Framework. Anbieter mit Servern in der EU machen es einfacher.
6. Datensparsamkeit: Der Chatbot fragt nur ab, was für die Anfrage nötig ist. Gesundheitsdaten (Art. 9 DSGVO) oder Mandatsdetails haben im Chat in der Regel nichts zu suchen.
7. Speicherdauer: Legen Sie fest, wann Chatverläufe gelöscht werden, und halten Sie sich daran.
8. Kein Training mit Ihren Daten: Klären Sie vertraglich, dass der Anbieter Ihre Chatverläufe nicht für das Training eigener Modelle nutzt.
9. Kennzeichnung als KI: Seit dem 2. August 2026 verlangt Art. 50 der KI-Verordnung, dass Menschen erkennen, dass sie mit einer KI kommunizieren, sofern das nicht offensichtlich ist.
10. Sicherheit: Verschlüsselte Übertragung, Zugriff nur für berechtigte Personen und sorgfältiger Umgang mit Zugangsdaten (Art. 32 DSGVO).

Besonderheiten einzelner Branchen

Praxen: Gesundheitsdaten sind besonders geschützt. Der Chatbot sollte Termine und Rückrufe aufnehmen, aber keine Beschwerden oder Befunde abfragen.

Kanzleien: Neben der DSGVO gilt die berufliche Verschwiegenheit. Der Chatbot nimmt nur auf, was für die Terminvergabe nötig ist, und leistet keine Rechtsberatung.

Handwerk und Dienstleister: Hier geht es meist um Kontaktdaten, Adressen und Fotos. Auch dafür gelten Information, Vertrag und Löschfristen.

So setzen wir es bei unseren Chatbots um

• Der Chatbot sagt im ersten Satz, dass er eine KI ist.
• Er fragt nur die Angaben ab, die Sie für die Bearbeitung brauchen.
• Für jeden eingesetzten Dienst gibt es einen Auftragsverarbeitungsvertrag.
• Sie bekommen von uns die Angaben für Ihre Datenschutzerklärung.
• Chatverläufe werden nach einer festen Frist gelöscht.

Fazit

Ein KI-Chatbot ist nicht automatisch ein Datenschutzproblem. Entscheidend ist, wie er eingerichtet ist: welche Daten er abfragt, wer sie verarbeitet und wie lange sie gespeichert werden. Mit der Checkliste haben Sie die wichtigsten Punkte im Blick. Für die abschließende Prüfung Ihrer Datenschutzerklärung empfehlen wir eine Fachperson.

Wie unser Chatbot arbeitet: KI-Chatbot für Websites.

Quellen: DSGVO (EU) 2016/679 auf EUR-Lex · KI-Verordnung (EU) 2024/1689 auf EUR-Lex