Ein KI-Chatbot ist schnell auf der Website eingebunden – aber er verarbeitet personenbezogene Daten , oft über einen externen, teils US-amerikanischen Dienst. Genau das macht das bequeme Widget zum Haftungsrisiko, und ab dem 2. August 2026 zu einem doppelten: DSGVO-konform e Datenverarbeitung und Kennzeichnung nach dem EU AI Act müssen beide sitzen. Dieser Beitrag zeigt den kompletten Bau eines rechtssicheren Chatbots – fünf DSGVO-Pflichten plus der KI-Hinweis.
Stand: 26. Juli 2026. Dieser Beitrag ist keine Rechtsberatung. Die konkrete Ausgestaltung – Rechtsgrundlage, Auftragsverarbeitungsvertrag, Löschfristen – prüft im Einzelfall Ihre Datenschutzbeauftragte bzw. Ihr Datenschutzbeauftragter oder eine Anwältin bzw. ein Anwalt.
Die 5-Punkte-DSGVO-Checkliste für Chatbots
Ein Chatbot ist datenschutzrechtlich kein Sonderfall, sondern eine Datenverarbeitung wie jede andere – nur in Echtzeit und häufig mit einem Drittanbieter im Hintergrund. Fünf Kernpflichten machen ihn konform.
1. Rechtsgrundlage: berechtigtes Interesse oder Einwilligung (Art. 6)
Jede Verarbeitung braucht eine Rechtsgrundlage. Für den reinen Support-Betrieb eines Chatbots kommt meist das berechtigte Interesse (Art. 6 Abs. 1 lit. f) in Betracht. Sobald Sie über das Nötige hinaus Daten verarbeiten oder externe Skripte laden, die selbst Daten übertragen, ist die Einwilligung (lit. a) der saubere Weg. Sie muss freiwillig, informiert und eindeutig sein – ein Consent-Gate, das den Chatbot erst nach aktiver Zustimmung startet, setzt das technisch korrekt um.
2. Informationspflicht (Art. 13) & Datenschutzerklärung
Nutzer müssen wissen, was mit ihren Eingaben geschieht: wer verarbeitet, zu welchem Zweck, auf welcher Grundlage, wie lange, und ob Daten in ein Drittland fließen. Diese Angaben gehören in die Datenschutzerklärung, mit einem eigenen Abschnitt zum Chatbot – klar verlinkt vom Chat-Fenster aus.
3. Auftragsverarbeitungsvertrag (Art. 28) mit dem KI-Anbieter
Verarbeitet ein externer KI- oder Chatbot-Dienst personenbezogene Nutzereingaben in Ihrem Auftrag, ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO erforderlich. Fehlt er, verarbeiten Sie ohne gültige Grundlage – ein häufiger, teurer Fehler bei schnell eingebundenen Billig-Widgets. Wichtig zur Einordnung: Der AVV ist genau dann nötig, wenn tatsächlich personenbezogene Daten im Auftrag verarbeitet werden – nicht pauschal für jedes technische Tool.
4. EU-Hosting, Datensparsamkeit & Löschkonzept
Wo die Verarbeitung stattfindet, entscheidet über den Aufwand: Ein Anbieter mit Rechenzentrum in der EU erspart die komplexe Absicherung von Drittlandtransfers. Datensparsamkeit ist Pflicht – der Bot sollte nur erheben, was er für die Antwort braucht. Und jede Verarbeitung braucht ein Löschkonzept: klare Fristen, nach denen Konversationen gelöscht werden, statt sie unbegrenzt zu speichern.
| Pflicht | Norm | Konkrete Umsetzung |
|---|---|---|
| Rechtsgrundlage | Art. 6 DSGVO | Berechtigtes Interesse oder Einwilligung via Consent-Gate |
| Information | Art. 13 DSGVO | Chatbot-Abschnitt in der Datenschutzerklärung, verlinkt |
| Auftragsverarbeitung | Art. 28 DSGVO | AVV mit dem KI-Anbieter abschließen |
| Hosting & Löschung | Art. 5 DSGVO | EU-Rechenzentrum, Datensparsamkeit, Löschfristen |
| KI-Kennzeichnung | Art. 50 EU AI Act | Sichtbarer Hinweis vor der Interaktion ab 2.8.2026 |
DSGVO- & AI-Act-Chatbot-Checkliste – Pflicht, Norm, Umsetzung
Kennzeichnung nach Art. 50 – konkret am Chat-Fenster
Ab dem 2. August 2026 muss der Bot zusätzlich als KI erkennbar sein – so verlangt es die Transparenzpflicht aus Art. 50. Praktisch heißt das: eine klare einleitende Bot-Nachricht plus ein statisches Label am Chat-Fenster – nicht nur ein Satz in der Datenschutzerklärung. Was auf der Website-Ebene sonst noch zu kennzeichnen ist – etwa KI-generierte Inhalte und Deepfakes – behandelt der Beitrag zu den AI-Act-Pflichten für Websites im Detail.
Firmenwissen sicher anbinden: RAG statt Copy-Paste
Ein nützlicher Chatbot kennt Ihr Firmenwissen. Der sichere Weg dorthin ist RAG (Retrieval-Augmented Generation): Der Bot greift kontrolliert auf freigegebene Dokumente zu, statt Ihre Daten ins Modelltraining zu geben. Eine wichtige Ehrlichkeit: RAG ist nicht automatisch DSGVO-sicher – erst in Kombination mit EU-Hosting und einer Zero-Data-Retention-Vereinbarung (der Anbieter speichert die Eingaben nicht) bleiben Firmen- und Kundendaten in Ihrer Hand.
Widget einbinden vs. selbst bauen – die Haftungsfrage
Ein fertiges Widget ist in Minuten eingebunden – aber die datenschutzrechtliche Verantwortung bleibt beim Betreiber, nicht beim Anbieter. „Mein Anbieter sagt, das ist DSGVO-konform" entlastet Sie nicht: Sie müssen AVV, Hosting-Standort und Löschkonzept selbst prüfen. Ein selbst gebauter oder maßgeschneiderter Chatbot mit EU-Hosting, sauberer Rechtsgrundlage und eingebautem Transparenz-Hinweis kostet in der Entwicklung mehr, verlagert das Rechtsrisiko aber nicht auf Sie zurück.
Häufigster teurer Fehler: ein US-Chatbot-Widget ohne Auftragsverarbeitungsvertrag und ohne EU-Hosting, eingebunden ohne Consent-Gate. Dann fehlt die Rechtsgrundlage – und ab dem 2. August 2026 zusätzlich die KI-Kennzeichnung.
Kurz zusammengefasst
- Fünf DSGVO-Kernpflichten: Rechtsgrundlage (Art. 6), Information (Art. 13), AVV (Art. 28), EU-Hosting, Löschkonzept.
- AVV nur, wenn tatsächlich personenbezogene Daten im Auftrag verarbeitet werden – nicht pauschal.
- Ab 2.8.2026 zusätzlich der sichtbare KI-Hinweis nach Art. 50.
- RAG bindet Firmenwissen kontrolliert an – DSGVO-sicher erst mit EU-Hosting und Zero-Data-Retention.
- Die Verantwortung bleibt beim Betreiber: Widget-Bequemlichkeit ersetzt keine saubere Architektur.
