- DSGVO und AI Act gelten beide für Ihren Chatbot.
- Kern: EU-Hosting, Auftragsverarbeitungsvertrag, Datensparsamkeit, Information der Nutzer.
- Seit 2. August 2026 muss sich ein Chatbot als KI zu erkennen geben.
Ein KI-Chatbot lässt sich DSGVO-konform betreiben, wenn vier Dinge stimmen: Die Daten werden in der EU oder mit geeigneten Garantien verarbeitet, mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag, der Bot fragt nur ab, was er wirklich braucht, und die Nutzer werden transparent informiert. Seit dem 2. August 2026 kommt aus dem AI Act hinzu: Menschen müssen erkennen können, dass sie mit einer KI sprechen.
1. Anbieter und Hosting
Klären Sie, wo die Gespräche verarbeitet und gespeichert werden und ob der Anbieter die Daten zum Training eigener Modelle nutzt. Bevorzugen Sie Verarbeitung in der EU. Werden Daten in ein Drittland übermittelt, brauchen Sie eine Rechtsgrundlage für diese Übermittlung.
2. Auftragsverarbeitungsvertrag
Der Chatbot-Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag. Nach Art. 28 DSGVO brauchen Sie deshalb einen Auftragsverarbeitungsvertrag, der Zweck, Dauer, Sicherheitsmaßnahmen und Unterauftragsverarbeiter regelt.
3. Datensparsamkeit
- Fragen Sie nur Daten ab, die für das Anliegen nötig sind.
- Vermeiden Sie besondere Kategorien wie Gesundheitsdaten, wenn sie nicht zwingend erforderlich sind.
- Legen Sie fest, wie lange Gesprächsverläufe gespeichert werden, und löschen Sie danach automatisch.
- Pseudonymisieren Sie Auswertungen, wo es geht.
4. Transparenz gegenüber Nutzern
Ergänzen Sie Ihre Datenschutzerklärung um den Chatbot: Zweck, Rechtsgrundlage, Anbieter, Speicherdauer und Rechte der Betroffenen. Im Chatfenster selbst gehört ein kurzer Hinweis dazu, dass eine KI antwortet, mit Link zur Datenschutzerklärung.
5. AI Act: Kennzeichnung als KI
Art. 50 AI Act verlangt seit dem 2. August 2026, dass Menschen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Eine klare Begrüßung wie „Ich bin der KI-Assistent von …“ und ein dauerhafter Hinweis im Chatfenster erfüllen das zuverlässig.
6. Qualität und Haftung
- Begrenzen Sie den Bot auf Ihre freigegebenen Inhalte und lassen Sie ihn Quellen nennen.
- Definieren Sie Themen, bei denen der Bot an einen Menschen übergibt, etwa Beschwerden oder Vertragsfragen.
- Testen Sie regelmäßig mit kritischen Fragen und werten Sie echte Gespräche aus.
Wir entwickeln KI-Chatbots mit EU-Hosting, AVV und AI-Act-Kennzeichnung als Standard. Lesen Sie auch AI Act 2026 oder fordern Sie den kostenlosen KI-Scan an.
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.
Häufige Fragen
Ist ein KI-Chatbot DSGVO-konform möglich?
Ja, mit Verarbeitung in der EU oder geeigneten Garantien, einem Auftragsverarbeitungsvertrag, Datensparsamkeit und transparenter Information der Nutzer.
Muss ich den Chatbot in der Datenschutzerklärung erwähnen?
Ja. Nennen Sie Zweck, Rechtsgrundlage, Anbieter, Speicherdauer und die Rechte der Betroffenen.
Muss der Chatbot sagen, dass er eine KI ist?
Ja. Seit dem 2. August 2026 verlangt Art. 50 AI Act das, sofern es nicht offensichtlich ist.