Die Checkliste
Diese Punkte sollten vor dem Livegang erledigt sein:
- Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit Hosting- und Modellanbieter
- Verarbeitung in der EU – oder eine gültige Grundlage für Übermittlungen in Drittländer
- Keine Nutzung der Gesprächsdaten zum Training fremder Modelle (vertraglich ausgeschlossen)
- Datenschutzerklärung um den Chatbot ergänzt: Zweck, Daten, Anbieter, Speicherdauer
- Speicherfristen festgelegt und technisch umgesetzt (z. B. Löschung nach 30 bzw. 90 Tagen)
- Hinweis im Chat, dass eine KI antwortet (EU AI Act, Art. 50)
- Keine besonderen Kategorien personenbezogener Daten abfragen, sensible Eingaben abfangen
- Widget ohne Tracking und ohne Cookies, die eine Einwilligung bräuchten – oder Einwilligung einholen
Darf ich OpenAI oder andere US-Anbieter nutzen?
Grundsätzlich ja. Für Übermittlungen in die USA gibt es mit dem EU-US Data Privacy Framework eine Rechtsgrundlage, sofern der Anbieter zertifiziert ist. Das Gericht der EU hat es im September 2025 bestätigt, ein Rechtsmittel beim EuGH läuft noch; zusätzlich braucht es einen AVV. Viele Anbieter bieten außerdem Verarbeitung in europäischen Rechenzentren an. Wer auf Nummer sicher gehen will, nutzt europäische Anbieter wie Mistral oder ein Open-Source-Modell auf eigenem Server.
Was verlangt der EU AI Act?
Seit dem 2. August 2026 gelten die Transparenzpflichten des AI Act: Menschen müssen erkennen können, dass sie mit einem KI-System kommunizieren, sofern das nicht ohnehin offensichtlich ist. Für einen Website-Chatbot heißt das: ein klarer Hinweis im Chatfenster, etwa „Hier antwortet ein KI-Assistent“. Ein normaler Kundenservice-Chatbot ist kein Hochrisiko-System; weitergehende Pflichten fallen in der Regel nicht an.
Braucht ein Chatbot eine Cookie-Einwilligung?
Nur, wenn er auf dem Gerät des Besuchers Informationen speichert oder ausliest, die für den Betrieb nicht unbedingt nötig sind – etwa für Tracking oder Marketing (§ 25 TDDDG). Ein schlank gebautes Widget, das den Gesprächsverlauf nur für die laufende Sitzung hält, kommt ohne Einwilligung aus. Fertige Chat-Tools aus den USA laden dagegen oft Tracking mit und brauchen deshalb eine.
Was gehört in die Datenschutzerklärung?
Ein eigener Abschnitt zum Chatbot mit:
- Zweck: Beantwortung von Anfragen, Aufnahme von Kontaktwünschen
- Verarbeitete Daten: Chat-Inhalte, ggf. Name und Kontaktdaten, technische Daten
- Rechtsgrundlage: in der Regel berechtigtes Interesse bzw. vorvertragliche Maßnahmen
- Empfänger: Hosting- und Modellanbieter, ggf. mit Drittlandbezug
- Speicherdauer und Löschung
Wer haftet für falsche Antworten?
Sie als Betreiber – wie bei jedem anderen Text auf Ihrer Website. Deshalb sollte ein Chatbot nur aus freigegebenen Inhalten antworten, bei Unsicherheit an einen Menschen übergeben und keine verbindlichen Zusagen zu Preisen, Fristen oder Rechtsfragen machen. Ein kurzer Hinweis, dass Antworten unverbindlich sind, ist sinnvoll, ersetzt aber keine sorgfältige Einrichtung.