PIPELINERatgeber
Chatbot und Datenschutz: was rechtlich zu beachten ist
Ein Chatbot verarbeitet personenbezogene Daten, sobald jemand seinen Namen tippt. Was das konkret bedeutet.
Ein Chatbot verarbeitet personenbezogene Daten, sobald jemand seinen Namen eingibt — das ist der Ausgangspunkt jeder datenschutzrechtlichen Betrachtung. Für einen einfachen FAQ-Chatbot reicht in der Praxis meist: europäischer Anbieter, Auftragsverarbeitungsvertrag, eine Löschfrist von wenigen Wochen, ein Hinweis im Chatfenster selbst und die KI-Kennzeichnung nach EU AI Act. Drei Punkte fehlen in der Praxis fast immer: die definierte Löschfrist, der Hinweis im Chatfenster, und die Klärung, ob der Anbieter Daten für Training nutzt. Eine Folgenabschätzung ist bei geringem Risiko üblicherweise nicht erforderlich.
01
Was verarbeitet wird
Chatverläufe enthalten regelmäßig mehr als geplant: Namen, Telefonnummern, Adressen, manchmal Gesundheits- oder Vertragsdaten. Das ist der Ausgangspunkt jeder datenschutzrechtlichen Betrachtung.
02
Die Grundlagen
Rechtsgrundlage benennen, Zweck festlegen, Datensparsamkeit einhalten, Löschfristen definieren, Betroffene informieren. Dazu ein Auftragsverarbeitungsvertrag mit dem Anbieter und die Prüfung, wo verarbeitet wird.
03
Wo es in der Praxis klemmt
Drei Punkte fehlen fast immer: eine definierte Löschfrist für Chatverläufe, ein Hinweis im Chatfenster selbst statt nur in der Datenschutzerklärung, und die Klärung, ob der Anbieter die Daten für Training nutzt.
04
Die AI-Act-Ebene
Zusätzlich zur DSGVO gilt seit August 2026 die Transparenzpflicht: Nutzer müssen erkennen können, dass sie mit einem KI-System sprechen. Das ist eine eigene Anforderung, die sich nicht durch die Datenschutzerklärung erledigt.
05
Was praktisch reicht
Für einen FAQ-Chatbot ohne Erfassung sensibler Daten: europäischer Anbieter, Auftragsverarbeitungsvertrag, Löschfrist von wenigen Wochen, Hinweis im Chatfenster, Passage in der Datenschutzerklärung, KI-Kennzeichnung. Eine Folgenabschätzung ist dabei üblicherweise nicht erforderlich.
06
Was in der Praxis oft fehlt
Viele Chatbots speichern Verläufe unbegrenzt, weil beim Aufsetzen niemand eine Löschfrist festgelegt hat — nicht aus Nachlässigkeit, sondern weil es niemand explizit entschieden hat. Eine Frist von wenigen Wochen gehört von Anfang an in die Konfiguration, nicht in eine spätere Nachbesserung.
Fragen
Häufige Fragen
Brauchen wir eine Datenschutz-Folgenabschätzung?
Nur bei voraussichtlich hohem Risiko — etwa umfangreicher Profilbildung oder systematischer Verarbeitung sensibler Daten. Für einen Auskunfts-Chatbot ist sie in der Regel nicht nötig. Die Prüfung sollte trotzdem dokumentiert werden.
Dürfen Chatverläufe gespeichert werden?
Ja, mit Zweck und Frist. Zur Verbesserung des Bots und zur Nachvollziehbarkeit von Anfragen ist eine begrenzte Speicherung zulässig. Unbegrenzt ist sie es nicht.
Was ist mit Chatbots von US-Anbietern?
Möglich, aber aufwendiger: Es braucht eine tragfähige Grundlage für die Übermittlung und eine dokumentierte Prüfung. Für die meisten kleinen Betriebe ist ein europäischer Anbieter der einfachere Weg.
Nächster Schritt
Schickt uns ein paar Sätze zu eurem Vorhaben.
Wir lesen jede Anfrage selbst und melden uns persönlich zurück. Kein Vertriebsteam, kein Rückrufformular in die Leere.