KI-Chatbots im Unternehmen: was der Datenschutz verlangt
Aktualisiert am 23. September 2026: Verweise auf Behördenpapiere, die sich keinem veröffentlichten Dokument zuordnen ließen, sind entfernt. Die Anforderungen an Übermittlungen in Drittländer nennen jetzt neben Standardvertragsklauseln auch das EU-US Data Privacy Framework.
KI-Chatbots verarbeiten personenbezogene Daten. Welche DSGVO-Anforderungen gelten für Rechtsgrundlage, Informationspflicht, AVV und Löschung? Ein Praxis-Leitfaden.
KI-Chatbots sind überall. Auf Unternehmenswebseiten beantworten sie Kundenfragen, im Intranet unterstützen sie Mitarbeiter bei der Dokumentensuche, und als virtuelle Assistenten übernehmen sie zunehmend den First-Level-Support. Die Einstiegshürden sind niedrig, und die Funktionalität hat sich durch große Sprachmodelle (Large Language Models) deutlich verbessert.
Ein Chatbot auf der Website verarbeitet ab Tag eins personenbezogene Daten (Namen, E-Mail-Adressen, Anliegen, manchmal sogar Gesundheits- oder Finanzdaten). Deshalb brauchen Sie von Anfang an einen angepassten Datenschutzhinweis, einen Auftragsverarbeitungsvertrag mit dem Chatbot-Anbieter und Löschroutinen für Chat-Verläufe.
Dieser Artikel geht systematisch durch die relevanten DSGVO-Artikel und zeigt, was Unternehmen konkret beachten müssen, wenn sie einen Chatbot einsetzen, ob auf der eigenen Website, im Kundenservice oder intern. Keine theoretischen Abhandlungen, sondern Praxis, die Ihr Datenschutzbeauftragter am Montag umsetzen kann.
Art. 6 DSGVO: Die Rechtsgrundlage für Chatbot-Daten
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für Chatbots kommen in der Praxis drei Varianten in Frage, und die Wahl hat weitreichende Konsequenzen für die Gestaltung des gesamten Systems.
Die häufigste Grundlage für Website-Chatbots ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Argumentation: Das Unternehmen hat ein berechtigtes Interesse daran, Kundenanfragen effizient zu beantworten und den Kundenservice zu verbessern. Die Datenschutzkonferenz (DSK) hat in ihrem Kurzpapier Nr. 3 die Voraussetzungen für das berechtigte Interesse konkretisiert: Es muss eine Interessenabwägung dokumentiert werden, die das Unternehmensinteresse gegen die berechtigten Erwartungen der Betroffenen abwägt. Bei einem Website-Chatbot, der allgemeine Produktfragen beantwortet, wird diese Abwägung in der Regel zugunsten des Unternehmens ausfallen. Der Nutzer erwartet auf einer Unternehmenswebseite einen Kommunikationskanal, und die Datenverarbeitung ist auf das Gespräch beschränkt.
Anders sieht es aus, wenn der Chatbot besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet, etwa Gesundheitsdaten bei einem Chatbot für eine Arztpraxis oder einer Versicherung. Hier greift Art. 6 Abs. 1 lit. f nicht mehr, und es wird eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a i.V.m. Art. 9 Abs. 2 lit. a DSGVO erforderlich. Das bedeutet: aktives Opt-in vor dem Chat, keine vorangekreuzten Checkboxen, klare Information über die Datenverarbeitung, und jederzeitige Widerrufbarkeit. Ein Einverständnis, das nur aus der Nutzung des Chatbots abgeleitet wird, genügt dafür nicht, denn Art. 9 Abs. 2 lit. a DSGVO verlangt eine ausdrückliche Einwilligung.
Für interne Chatbots, die Mitarbeiterdaten verarbeiten, kommt außerdem Art. 6 Abs. 1 lit. b DSGVO in Betracht, die Verarbeitung zur Durchführung des Arbeitsvertrags. Allerdings nur, wenn der Chatbot tatsächlich für die Erbringung der Arbeitsleistung erforderlich ist und nicht lediglich ein optionales Tool darstellt. Die Dokumentation der gewählten Rechtsgrundlage im Verarbeitungsverzeichnis nach Art. 30 DSGVO ist in jedem Fall Pflicht.
Art. 13/14: Was User VOR dem Chat wissen müssen
Die Informationspflichten der Art. 13 und 14 DSGVO sind beim Einsatz von Chatbots zentral. Art. 13 verlangt, dass der Verantwortliche zum Zeitpunkt der Datenerhebung, also bevor der User die erste Nachricht eingibt, eine umfassende Liste von Informationen bereitstellt. Dazu gehören: Identität und Kontaktdaten des Verantwortlichen, Kontaktdaten des Datenschutzbeauftragten, die Zwecke und Rechtsgrundlage der Verarbeitung, berechtigte Interessen (falls Art. 6 Abs. 1 lit. f), Empfänger der Daten, Speicherdauer und die Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde bei der Aufsichtsbehörde).
In der Praxis bedeutet das: Bevor der Chatbot-Dialog beginnt, muss der User Zugang zu diesen Informationen haben. Bewährt hat sich dabei ein gestufter Ansatz: Eine Kurzinformation direkt im Chatbot-Fenster (z. B. "Ihre Daten werden zur Beantwortung Ihrer Anfrage verarbeitet. Mehr erfahren Sie in unserer Datenschutzerklärung.") mit Verlinkung auf die vollständige Datenschutzerklärung, in der alle Angaben nach Art. 13 DSGVO enthalten sind. Wichtig ist, dass der Link vor der ersten Dateneingabe sichtbar ist, nicht erst nach dem Absenden der ersten Nachricht.
Eine besonders elegante Lösung ist ein Pre-Chat-Formular: Bevor der eigentliche Chat beginnt, werden Name und E-Mail abgefragt, und der User bestätigt per Checkbox, die Datenschutzhinweise gelesen zu haben. Das hat drei Vorteile: Erstens sind die Informationspflichten nachweisbar erfüllt. Zweitens ermöglicht es die Zuordnung des Chat-Verlaufs zu einer Person, was für die Erfüllung von Auskunftsersuchen nach Art. 15 relevant ist. Drittens kann bei Bedarf eine Einwilligung für besondere Datenkategorien eingeholt werden.
Art. 28 Auftragsverarbeitung: Der AVV mit dem Chatbot-Anbieter
Wenn ein Unternehmen einen externen Chatbot-Dienst einsetzt (und das ist bei der überwiegenden Mehrzahl der Implementierungen der Fall), handelt es sich regelmäßig um eine Auftragsverarbeitung nach Art. 28 DSGVO. Der Chatbot-Anbieter verarbeitet personenbezogene Daten (Chat-Nachrichten, IP-Adressen, ggf. Namen und E-Mail-Adressen) im Auftrag und auf Weisung des Unternehmens. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich, nicht optional, nicht "nice to have", sondern gesetzliche Pflicht. Ein Verstoß kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden.
Der AVV muss nach Art. 28 Abs. 3 DSGVO mindestens folgende Punkte regeln: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien der betroffenen Personen, Pflichten und Rechte des Verantwortlichen, technische und organisatorische Maßnahmen (TOMs), Einsatz von Sub-Auftragsverarbeitern, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Ende der Verarbeitung und Nachweispflichten. Die DSK hat in ihrem Kurzpapier Nr. 13 detaillierte Anforderungen an den AVV formuliert, die über den reinen Gesetzestext hinausgehen.
Besonders genau hinsehen sollten Sie, wenn Ihr Chatbot-Anbieter Sub-Auftragsverarbeiter außerhalb der EU einsetzt. Verarbeiten diese die Daten außerhalb der EU oder greifen sie von dort darauf zu, liegt in der Regel eine Übermittlung in ein Drittland nach Kapitel V DSGVO vor. Dann braucht es zusätzlich zum AVV eine Grundlage für die Übermittlung: etwa die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln (SCCs), für die das Schrems-II-Urteil eine Prüfung des Schutzniveaus im Einzelfall verlangt, meist dokumentiert als Transfer Impact Assessment (TIA). Einfacher wird es mit einem Chatbot-Anbieter, der die gesamte Verarbeitungskette innerhalb der EU abbildet: europäisches Hosting, europäisches KI-Modell, keine US-Sub-Auftragsverarbeiter.
Art. 17 Recht auf Löschung: Chat-Verläufe löschen
Das Recht auf Löschung nach Art. 17 DSGVO (auch "Recht auf Vergessenwerden") gilt uneingeschränkt für Chat-Verläufe. Wenn ein Nutzer die Löschung seiner Chat-Daten verlangt, muss das Unternehmen diese Daten "ohne unangemessene Verzögerung" löschen. Art. 12 Abs. 3 DSGVO setzt für die Antwort auf einen solchen Antrag eine Frist von einem Monat, die sich nur bei komplexen oder zahlreichen Anträgen verlängern lässt. In der Praxis sollte es deutlich schneller gehen. Das gilt für die Chat-Nachrichten selbst, für Metadaten (IP-Adresse, Zeitstempel, Session-ID) und für alle Ableitungen, die das KI-Modell aus dem Chat generiert hat.
In der Praxis scheitert die Umsetzung oft an der technischen Architektur. Wenn Chat-Verläufe in einer Datenbank gespeichert werden, die dem Unternehmen gehört, ist die Löschung technisch einfach. Problematisch wird es, wenn der Chatbot-Anbieter die Daten auf seinen Servern speichert, oder schlimmer noch, wenn die Chat-Daten zum Training des KI-Modells verwendet werden. In diesem Fall kann die Löschung aus den Trainingsdaten technisch unmöglich sein ("Machine Unlearning" ist ein aktives Forschungsfeld, aber noch keine marktreife Technologie).
Unternehmen sollten daher bei der Wahl des Chatbot-Anbieters auf folgende Punkte achten: Erstens, werden Chat-Verläufe ausschließlich im Konto des Unternehmens gespeichert und nicht beim Anbieter? Zweitens, werden Chat-Daten nicht zum Training des KI-Modells verwendet? Drittens, gibt es eine technische Schnittstelle (API) zur automatisierten Löschung einzelner Chat-Verläufe? Und viertens, ist die Speicherdauer konfigurierbar? Denn auch ohne aktives Löschverlangen eines Nutzers gebieten die Grundsätze der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO, dass Chat-Verläufe nach Wegfall des Verarbeitungszwecks gelöscht werden. Eine Aufbewahrung von Chat-Verläufen "für immer" oder "zur Qualitätsverbesserung" ohne zeitliche Begrenzung ist nicht DSGVO-konform.
Der Praxistest: US-Anbieter und Art. 15 Auskunftsrecht
Stellen Sie sich folgendes Szenario vor: Ein Kunde Ihres Unternehmens stellt ein Auskunftsersuchen nach Art. 15 DSGVO. Er will wissen, welche Daten über ihn gespeichert sind, einschließlich seiner Chat-Verläufe mit dem Chatbot auf Ihrer Website. Sie sind als Verantwortlicher verpflichtet, innerhalb eines Monats eine vollständige Auskunft zu erteilen: welche Daten verarbeitet werden, zu welchem Zweck, wer Zugang hat, wie lange sie gespeichert werden und ob sie in Drittländer übermittelt werden.
Wenn Ihr Chatbot von einem europäischen Anbieter betrieben wird, der die Daten auf europäischen Servern speichert, ist das machbar. Sie fordern die Daten vom Anbieter an (der AVV verpflichtet ihn zur Unterstützung bei Betroffenenrechten nach Art. 28 Abs. 3 lit. e DSGVO) und übermitteln sie an den Kunden. Doch was passiert, wenn Ihr Chatbot über einen US-Anbieter läuft? Die Daten liegen dann bei einem Anbieter, der US-Recht unterliegt, auch wenn er sie in Europa speichert. Für ihn gilt der CLOUD Act. Danach können US-Behörden unter bestimmten Voraussetzungen die Herausgabe von Daten verlangen, auch wenn diese außerhalb der USA gespeichert sind.
In der Auskunft nach Art. 15 Abs. 1 lit. c DSGVO müssen Sie die "Empfänger oder Kategorien von Empfängern" der Daten angeben. Sind US-Behörden "Empfänger" im Sinne der DSGVO, wenn sie auf Basis des CLOUD Act Zugriff haben? Der Europäische Datenschutzausschuss hat in seinen Empfehlungen 02/2020 klargestellt, dass behördlicher Zugriff in Drittländern bei der Risikobewertung berücksichtigt werden muss. Praktisch bedeutet das: Wenn Sie nicht mit Sicherheit ausschließen können, dass US-Behörden auf die Chatbot-Daten zugegriffen haben, haben Sie ein Problem bei der Erfüllung Ihrer Auskunftspflicht, und ein noch größeres Problem bei der Gewährleistung der Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO. Am einfachsten lösen Sie dieses Dilemma, indem Sie von vornherein einen Chatbot-Anbieter wählen, dessen Verarbeitungskette innerhalb der EU liegt und der keinem extraterritorialen Zugriffsrecht unterliegt.
Checkliste: DSGVO-konformer Chatbot in 7 Punkten
Die folgenden sieben Punkte fassen die wesentlichen DSGVO-Anforderungen an einen Chatbot zusammen. Nutzen Sie diese Checkliste als Ausgangspunkt für Ihre eigene Compliance-Prüfung, und besprechen Sie jeden Punkt mit Ihrem Datenschutzbeauftragten.
- 1. Rechtsgrundlage dokumentieren (Art. 6 DSGVO): Definieren Sie die Rechtsgrundlage für die Datenverarbeitung durch den Chatbot. Für allgemeine Website-Chatbots in der Regel Art. 6 Abs. 1 lit. f (berechtigtes Interesse) mit dokumentierter Interessenabwägung. Bei besonderen Datenkategorien: ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a. Eintrag im Verarbeitungsverzeichnis nach Art. 30 nicht vergessen.
- 2. Informationspflichten erfüllen (Art. 13/14 DSGVO): Stellen Sie sicher, dass Nutzer vor der ersten Dateneingabe über die Verarbeitung informiert werden. Mindestens: Kurzhinweis im Chat-Fenster mit Link zur vollständigen Datenschutzerklärung. Optimal: Pre-Chat-Formular mit aktiver Kenntnisnahme der Datenschutzhinweise.
- 3. AVV abschließen (Art. 28 DSGVO): Schließen Sie einen vollständigen Auftragsverarbeitungsvertrag mit dem Chatbot-Anbieter. Prüfen Sie die Sub-Auftragsverarbeiter-Kette. Sind Dienste außerhalb der EU beteiligt? Falls ja: Die Übermittlung braucht eine Grundlage nach Kapitel V DSGVO, etwa das EU-US Data Privacy Framework oder SCCs mit TIA. Das Recht, dem der Anbieter unterliegt, bleibt dabei Teil der Risikobewertung.
- 4. Löschroutinen implementieren (Art. 17 + Art. 5 Abs. 1 lit. e DSGVO): Definieren Sie Speicherfristen für Chat-Verläufe und implementieren Sie automatisierte Löschung. Stellen Sie sicher, dass individuelle Löschanfragen technisch umsetzbar sind. Klären Sie, ob der Anbieter Chat-Daten zum Modell-Training verwendet. Falls ja, ist das ein Ausschlusskriterium.
- 5. Auskunftsfähigkeit sicherstellen (Art. 15 DSGVO): Können Sie innerhalb eines Monats eine vollständige Auskunft über alle Chat-Daten eines bestimmten Nutzers erteilen? Gibt es eine Export-Funktion? Ist der Chat-Verlauf einem Nutzer zuordenbar? Klären Sie diese Fragen vor dem Go-Live, nicht erst beim ersten Auskunftsersuchen.
- 6. Technische und organisatorische Maßnahmen prüfen (Art. 32 DSGVO): Verschlüsselung der Chat-Daten bei Übertragung (TLS) und Speicherung (AES-256). Zugriffskontrollen: Wer in Ihrem Unternehmen kann Chat-Verläufe lesen? Protokollierung der Zugriffe. Regelmäßige Überprüfung der Maßnahmen.
- 7. Datenschutz-Folgenabschätzung prüfen (Art. 35 DSGVO): Bei umfangreicher oder systematischer Verarbeitung (etwa bei Chatbots im Gesundheitswesen, bei Banken oder bei Chatbots mit Profiling-Funktionen) ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht. Art. 35 Abs. 3 lit. c DSGVO nennt die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche ausdrücklich als Fall der DSFA-Pflicht. Ergänzend führt die DSK in ihrer Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (Version 1.1 vom 17. Oktober 2018, oft „Blacklist“ genannt) unter Nummer 11 den "Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person" auf und nennt als typisches Einsatzfeld ausdrücklich den Kundensupport mittels künstlicher Intelligenz. Ein Chatbot, der Kundinnen und Kunden im Dialog berät, fällt damit unmittelbar in den Anwendungsbereich.