Hinweis: Dieser Artikel gibt einen fachlichen Überblick aus der Praxis und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall sprechen Sie bitte mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.
Welche Daten ein Chatbot verarbeitet
Schon beim Laden des Chatfensters wird die IP-Adresse des Besuchers an den Server des Anbieters übertragen. Im Gespräch kommen die eingetippten Inhalte dazu, außerdem Zeitpunkt und technische Angaben zum Browser. Nennt jemand seinen Namen, seine Telefonnummer oder sein Anliegen, sind das eindeutig personenbezogene Daten.
Bei KI-Chatbots werden die Nachrichten zusätzlich an ein Sprachmodell weitergegeben, das die Antwort erzeugt. Dieses Modell betreibt oft nicht der Chatbot-Anbieter selbst, sondern ein weiteres Unternehmen. Für den Datenschutz ist das ein Unterauftragsverarbeiter, und Sie sollten wissen, wer das ist und wo er sitzt.
Wer verantwortlich ist
Verantwortlicher im Sinne der DSGVO sind Sie als Betreiber der Website, nicht der Anbieter des Chatbots. Der Anbieter verarbeitet die Daten in Ihrem Auftrag. Dafür schreibt Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor, kurz AV-Vertrag.
Seriöse Anbieter stellen diesen Vertrag von sich aus bereit. Darin sollten stehen: welche Daten zu welchem Zweck verarbeitet werden, welche technischen Schutzmaßnahmen gelten, welche Unterauftragsverarbeiter eingesetzt werden und was mit den Daten nach Vertragsende passiert. Gibt es keinen AV-Vertrag, ist das ein Ausschlusskriterium.
Serverstandort und Übermittlung in Drittländer
Am einfachsten ist die Lage, wenn die gesamte Verarbeitung in der EU stattfindet, also Chatplattform und Sprachmodell. Dann brauchen Sie keine zusätzliche Absicherung für die Übermittlung.
Sitzt ein Beteiligter in den USA, ist das nicht automatisch unzulässig. Sie brauchen aber eine Grundlage für die Übermittlung. In Frage kommen die Zertifizierung des Unternehmens nach dem Data Privacy Framework zwischen EU und USA oder die Standardvertragsklauseln der EU-Kommission. Prüfen Sie das für jeden Beteiligten einzeln und nennen Sie die Übermittlung in Ihrer Datenschutzerklärung.
Fragen Sie außerdem, ob Gesprächsinhalte zum Training von KI-Modellen verwendet werden. Bei geschäftlichen Zugängen der großen Anbieter ist das üblicherweise ausgeschlossen, es sollte aber schriftlich feststehen.
Drei Fragen an jeden Anbieter: Wo laufen die Server? Welches Sprachmodell steckt dahinter? Wo ist der AV-Vertrag?
Rechtsgrundlage und Datenschutzerklärung
Als Rechtsgrundlage kommt meist das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO in Betracht: Sie möchten Anfragen schnell und nutzerfreundlich beantworten, und der Besucher entscheidet selbst, ob er den Chat nutzt. Geht es im Gespräch um eine konkrete Anfrage oder ein Angebot, greift zusätzlich Buchstabe b, die Anbahnung eines Vertrags.
In die Datenschutzerklärung gehört ein eigener Abschnitt zum Chatbot mit diesen Angaben:
- Zweck des Chatbots und Hinweis, dass Antworten automatisch durch eine KI erzeugt werden
- welche Daten verarbeitet werden
- Name und Sitz des Anbieters sowie der Hinweis auf die Auftragsverarbeitung
- Rechtsgrundlage und Speicherdauer
- gegebenenfalls Übermittlung in Drittländer und deren Absicherung
- der Hinweis, dass keine automatisierte Entscheidung im Sinne von Artikel 22 DSGVO stattfindet
Cookies, lokale Speicherung und Einwilligung
Hier gilt neben der DSGVO das TDDDG, das frühere TTDSG. Nach § 25 braucht jede Speicherung auf dem Gerät des Besuchers eine Einwilligung, es sei denn, sie ist technisch unbedingt erforderlich, um einen ausdrücklich gewünschten Dienst zu erbringen.
Für ein Chatfenster heißt das: Was nötig ist, um die laufende Unterhaltung zusammenzuhalten, ist in der Regel ohne Einwilligung zulässig. Analyse, Wiedererkennung über Wochen oder Marketingzwecke sind es nicht. Eine saubere Lösung ist, das Chatfenster erst nach einem Klick des Besuchers zu laden. Dann werden vorher gar keine Daten übertragen.
KI-Kennzeichnung: Pflicht seit August 2026
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung der EU. Menschen, die mit einem KI-System kommunizieren, müssen darüber informiert werden, und zwar spätestens bei der ersten Interaktion. Die Verschiebungen aus dem Digital Omnibus vom Sommer 2026 betreffen Hochrisiko-Systeme, nicht diese Pflicht.
In der Praxis genügen zwei Dinge: ein dauerhaft sichtbarer Hinweis im Chatfenster, zum Beispiel „KI-Chatbot“, und eine Begrüßung, in der sich der Chatbot als KI vorstellt. Ein menschlicher Vorname mit Porträtfoto und ohne Hinweis ist genau das, was die Verordnung verhindern will. Die Kennzeichnung schadet dem Gespräch übrigens nicht. Besucher reagieren verärgert, wenn sie sich getäuscht fühlen, nicht wenn sie wissen, woran sie sind.
Sensible Daten: Vorsicht in Praxis, Kanzlei und Beratung
Gesundheitsdaten und andere besondere Kategorien nach Artikel 9 DSGVO sind deutlich strenger geschützt. Ein Chatbot auf der Website einer Arztpraxis sollte deshalb organisatorische Fragen beantworten, etwa zu Sprechzeiten, Unterlagen und Terminwegen, und ausdrücklich darum bitten, keine Beschwerden oder Diagnosen einzutippen. Dasselbe gilt für Kanzleien und Steuerberater mit Blick auf Mandatsinhalte.
Das lässt sich über die Grundanweisungen des Chatbots und einen kurzen Hinweis im Chatfenster umsetzen. Wer das beachtet, kann einen Chatbot auch in diesen Branchen sinnvoll einsetzen.
Speicherdauer und Löschung
Gesprächsverläufe dürfen nicht unbegrenzt liegen bleiben. Legen Sie fest, nach welcher Frist sie gelöscht werden. Für die Verbesserung des Chatbots genügen meist wenige Wochen bis Monate. Anfragen, aus denen ein Auftrag entsteht, wandern ohnehin in Ihre normale Kundenverwaltung mit den dort geltenden Fristen. Klären Sie mit dem Anbieter, ob die Löschung automatisch erfolgt und wie Sie einzelne Gespräche auf Anfrage eines Betroffenen löschen können.
Checkliste für den Einsatz
- AV-Vertrag mit dem Anbieter des Chatbots geschlossen
- Serverstandort und Sprachmodell bekannt, Unterauftragsverarbeiter geprüft
- Übermittlung in Drittländer abgesichert oder ausgeschlossen
- Keine Nutzung der Gespräche zum Training von KI-Modellen
- Abschnitt zum Chatbot in der Datenschutzerklärung ergänzt
- Geklärt, was im Browser gespeichert wird und ob eine Einwilligung nötig ist
- Chatbot sichtbar als KI gekennzeichnet, Begrüßung angepasst
- Hinweis, keine sensiblen Daten einzugeben
- Löschfrist für Gesprächsverläufe festgelegt
- Chatbot im Verzeichnis der Verarbeitungstätigkeiten eingetragen
Wie diese Punkte in die Auswahl eines Werkzeugs einfließen, lesen Sie im Artikel Chatbot erstellen. Die Grundlagen zu den verschiedenen Chatbot-Arten stehen unter Website-Chatbot erklärt.
Häufige Fragen zu Chatbot und Datenschutz
Ist ein Chatbot auf der Website überhaupt DSGVO-konform möglich?
Ja. Die DSGVO verbietet Chatbots nicht, sie verlangt einen geordneten Umgang mit den Daten. Dazu gehören ein Vertrag zur Auftragsverarbeitung mit dem Anbieter, eine Rechtsgrundlage, vollständige Angaben in der Datenschutzerklärung und eine begrenzte Speicherdauer.
Brauche ich für den Chatbot eine Einwilligung im Cookie-Banner?
Das hängt von der Technik ab. Speichert das Chatfenster nur, was für die laufende Unterhaltung technisch nötig ist, ist in der Regel keine Einwilligung erforderlich. Setzt der Anbieter darüber hinaus Cookies zur Analyse oder Wiedererkennung, brauchen Sie eine Einwilligung. Fragen Sie den Anbieter, was genau gespeichert wird.
Muss ich darauf hinweisen, dass eine KI antwortet?
Ja. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der KI-Verordnung der EU. Wer mit einem KI-System spricht, muss das erkennen können, spätestens zu Beginn der Unterhaltung. Ein sichtbarer Hinweis im Chatfenster und eine Begrüßung, die sich als KI zu erkennen gibt, erfüllen das.
Darf ich einen Chatbot mit einem US-Sprachmodell verwenden?
Grundsätzlich ja, wenn die Übermittlung abgesichert ist, etwa über eine Zertifizierung des Anbieters nach dem Data Privacy Framework oder über Standardvertragsklauseln, und wenn Sie in der Datenschutzerklärung darüber informieren. Einfacher zu begründen ist eine Verarbeitung, die vollständig in der EU stattfindet.