PIPELINERatgeber
Chatbot und Datenschutz: was rechtlich zu beachten ist
Ein Chatbot verarbeitet personenbezogene Daten, sobald jemand seinen Namen tippt. Was das konkret bedeutet.
01
Was verarbeitet wird
Chatverläufe enthalten regelmäßig mehr als geplant: Namen, Telefonnummern, Adressen, manchmal Gesundheits- oder Vertragsdaten. Das ist der Ausgangspunkt jeder datenschutzrechtlichen Betrachtung.
02
Die Grundlagen
Rechtsgrundlage benennen, Zweck festlegen, Datensparsamkeit einhalten, Löschfristen definieren, Betroffene informieren. Dazu ein Auftragsverarbeitungsvertrag mit dem Anbieter und die Prüfung, wo verarbeitet wird.
03
Wo es in der Praxis klemmt
Drei Punkte fehlen fast immer: eine definierte Löschfrist für Chatverläufe, ein Hinweis im Chatfenster selbst statt nur in der Datenschutzerklärung, und die Klärung, ob der Anbieter die Daten für Training nutzt.
04
Die AI-Act-Ebene
Zusätzlich zur DSGVO gilt seit August 2026 die Transparenzpflicht: Nutzer müssen erkennen können, dass sie mit einem KI-System sprechen. Das ist eine eigene Anforderung, die sich nicht durch die Datenschutzerklärung erledigt.
05
Was praktisch reicht
Für einen FAQ-Chatbot ohne Erfassung sensibler Daten: europäischer Anbieter, Auftragsverarbeitungsvertrag, Löschfrist von wenigen Wochen, Hinweis im Chatfenster, Passage in der Datenschutzerklärung, KI-Kennzeichnung. Eine Folgenabschätzung ist dabei üblicherweise nicht erforderlich.
Fragen
Häufige Fragen
Brauchen wir eine Datenschutz-Folgenabschätzung?
Nur bei voraussichtlich hohem Risiko — etwa umfangreicher Profilbildung oder systematischer Verarbeitung sensibler Daten. Für einen Auskunfts-Chatbot ist sie in der Regel nicht nötig. Die Prüfung sollte trotzdem dokumentiert werden.
Dürfen Chatverläufe gespeichert werden?
Ja, mit Zweck und Frist. Zur Verbesserung des Bots und zur Nachvollziehbarkeit von Anfragen ist eine begrenzte Speicherung zulässig. Unbegrenzt ist sie es nicht.
Was ist mit Chatbots von US-Anbietern?
Möglich, aber aufwendiger: Es braucht eine tragfähige Grundlage für die Übermittlung und eine dokumentierte Prüfung. Für die meisten kleinen Betriebe ist ein europäischer Anbieter der einfachere Weg.
Nächster Schritt
Schickt uns ein paar Sätze zu eurem Vorhaben.
Wir lesen jede Anfrage selbst und melden uns persönlich zurück. Kein Vertriebsteam, kein Rückrufformular in die Leere.