Chatbot & DSGVO: Was Sie wissen müssen

Die erste Frage, die fast jedes Unternehmen vor einem KI-Chatbot stellt: “Dürfen wir das überhaupt?“ Die kurze Antwort: Ja — aber mit klarer Rechtsgrundlage. Ein Chatbot ist datenschutzrechtlich erst einmal ein weiterer Kanal, wie Telefon oder E-Mail. Die Regeln der DSGVO gelten unverändert, nur dass viele sie beim Thema KI plötzlich vergessen (Praxisleitfaden TaskPilot FlowDesk, 2026).

Drei Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO dominieren in der Praxis: Vertragsanbahnung (b) für Support-Fragen wie “Wo ist meine Bestellung?“, berechtigtes Interesse (f) für die interne Auswertung von Chatverläufen — mit dokumentierter Interessenabwägung — und Einwilligung (a), sobald der Bot proaktiv Angebote schickt oder Leads für Marketing sammelt. Die häufigste Grenzüberschreitung: Wer Chatverläufe für Marketingzwecke nutzt oder Leads an den Vertrieb weitergibt, braucht ein aktives Opt-in — der Bot “lernt ja sowieso aus allem“ ist keine Rechtsgrundlage.

Läuft die KI über einen externen Anbieter, verarbeitet dieser Ihre Kundendaten in Ihrem Auftrag — dafür brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Entscheidend ist der Blick auf den Server-Standort: Fließen Daten in die USA, braucht es zusätzliche Absicherung (Standardvertragsklauseln) und eine transparente Erwähnung in der Datenschutzerklärung. Anbieter mit nachweislicher EU-Verarbeitung vermeiden das Drittlandrisiko von vornherein — wir planen Speicher- und Verarbeitungsorte bei KI-Projekten bewusst.

Art. 22 DSGVO (automatisierte Entscheidungen) betrifft die meisten Support-Chatbots nicht: Wer Öffnungszeiten nennt oder Termine vorschlägt, entscheidet nicht im rechtlichen Sinn. Relevant wird die Norm erst, wenn der Bot allein über etwas mit rechtlicher oder ähnlich erheblicher Wirkung entscheidet — etwa eine automatische Bonitätsprüfung oder Vertragskündigung. Die Praxisregel: Immer wenn eine Anfrage über “beantworten“ hinausgeht und in Richtung “entscheiden“ geht, gehört ein Mensch als Rückfallebene in den Ablauf.

Seit dem 02.08.2026 kommt die EU-KI-Verordnung dazu: Nutzer müssen klar erkennen, dass sie mit einer KI chatten (Art. 50 KI-VO — Transparenzpflicht). Das gilt für Chatbots im Kundenkontakt, für KI-Hinweise auf der Website und für Agenten. Die fünf Bausteine eines DSGVO-konformen Bots: Transparenz (“Sie chatten mit einer KI“), Rechtsgrundlage, Datensparsamkeit, AVV mit EU-Verarbeitung und Mensch als Fallback bei heiklen Fällen. Unsere KI-Hinweise und die Datenschutzerklärung zeigen, wie das in der Praxis aussieht.

Die Durchsetzung hat Fahrt aufgenommen. Die DSGVO erlaubt Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes — und die Behörden nutzen sie: 15 Millionen Euro gegen OpenAI in Italien (2024), 1,2 Milliarden Euro gegen Meta in Irland (2023) (Lurus / DSGVO, 2026). Bei Chatbots geht es meist nicht um solche Dimensionen, sondern um die typischen Einzelfälle: fehlende Rechtsgrundlage für Marketing-Nutzung von Chatverläufen, unklare Löschfristen, fehlender AVV mit dem Modellanbieter. Genau diese drei Punkte prüfen Aufsichtsbehörden zuerst — und sie sind mit überschaubarem Aufwand heilbar.

Der Zeitpunkt ist günstig, die Erwartungshaltung aber real: 82 Prozent der Deutschen zwischen 16 und 69 Jahren nutzen KI bereits zur Informationssuche (BR-Studie, Oktober 2025) — der Chatbot ist für viele Kunden inzwischen der erste Kanal. Ein DSGVO-konformer Betrieb ist damit nicht nur Pflicht, sondern Vertrauensmerkmal: Wer Transparenz, Opt-in und EU-Verarbeitung nachweisen kann, unterscheidet sich im Markt von Anbietern, die mit US-Clouds und unklaren Nutzungsbedingungen arbeiten. Die EU-KI-Verordnung kam 2026 über den Digital-Omnibus schrittweise in Kraft; die Transparenzpflicht nach Art. 50 gilt seit dem 02.08.2026 (Tageswissen EU-KI-VO, 2026).

Konkret bedeutet das für Ihren Betrieb: vier Dokumente und Einstellungen, die vor dem Go-Live stehen sollten. Erstens ein Absatz in der Datenschutzerklärung, der den Chatbot nennt, den Anbieter, die verarbeiteten Daten und die Löschfrist. Zweitens die Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO — mit Rechtsgrundlage, Empfängern und Aufbewahrungsdauer. Drittens technische Maßnahmen: Logging ohne Klartext-Kundendaten, Zugriffsbeschränkung auf die Wissensbasis, keine Verwendung der Chats für Training. Viertens ein kurzer interner Ablauf für Betroffenenanfragen: Wer gibt Auskunft über gespeicherte Chatverläufe, wer löscht sie auf Wunsch? Diese vier Punkte sind mit überschaubarem Aufwand umsetzbar — und sie sind genau das, was bei einer Prüfung vorgelegt wird.

Wichtig ist dabei der Unterschied zwischen Anbieter und Verarbeiter: Der Chatbot-Anbieter ist Auftragsverarbeiter nach Art. 28 und braucht einen Vertrag; das Unternehmen bleibt Verantwortlicher und muss die Einhaltung regelmäßig prüfen. Auch die Wissensbasis selbst ist ein Datenschutzthema: Wer Dokumente mit personenbezogenen Daten (Kundenakten, Personalunterlagen) in den Bot lädt, erweitert deren Verarbeitung — hier gilt Datensparsamkeit von Anfang an. Die Faustregel: Nur Daten in die Wissensbasis, die auch ein neuer Mitarbeiter am ersten Tag sehen dürfte. Wer diese Linie zieht, hat die meisten DSGVO-Probleme gar nicht erst.

Und die Aufbewahrung? Die DSGVO schreibt keine feste Frist vor, verlangt aber zweckgebundene, begrenzte Speicherung — eine klar dokumentierte Löschfrist für Chatverläufe gehört zum Betriebskonzept. Rechtliche Details im Einzelfall klären Sie mit Ihrem Datenschutzbeauftragten; die Antworten auf häufige Fragen finden Sie im FAQ. Für die Umsetzung: KI-Begleiter und AI-Agenten bauen wir mit diesen Leitplanken von Beginn an — sprechen Sie uns über Kontakt an.