KI-Chatbot und DSGVO: Worauf es beim Einsatz auf der eigenen Website ankommt

Sobald Nutzende in einen KI-Chatbot etwas eingeben, werden personenbezogene Daten verarbeitet – spätestens dann, wenn sie ihren Namen, eine Rückrufnummer oder ein konkretes Anliegen nennen. Fünf Punkte entscheiden über die datenschutzkonforme Einbindung: Transparenz, Datenminimierung, Auftragsverarbeitung, Verarbeitungsort und die Frage, ob Eingaben zum Training verwendet werden.

1. Transparenz und Kennzeichnung

Nutzende müssen erkennen, dass sie mit einem automatisierten System schreiben – das folgt aus dem Transparenzgrundsatz der DSGVO und aus den Kennzeichnungspflichten für KI-Systeme. In der Praxis genügt ein deutlicher Hinweis im Chatfenster, ergänzt um einen Link zu den Datenschutzhinweisen.

2. Datenminimierung: am besten gar nicht erst erheben

Der wirksamste Datenschutz ist, Daten nicht zu erheben. Ein Chatbot, der allgemeine Fragen beantwortet, braucht keinen Namen und keine E-Mail-Adresse. Erst wenn ein Anliegen tatsächlich weitergegeben werden soll, ist eine Kontaktangabe erforderlich – und dann auch nur die, die für die Bearbeitung nötig ist.

• Keine Pflichtfelder für Daten, die für die Antwort nicht gebraucht werden
• Speicherdauer der Verläufe festlegen und automatisch löschen
• Klar trennen zwischen allgemeiner Auskunft und Übergabe eines Anliegens

3. Auftragsverarbeitungsvertrag

Wird der Chatbot über einen Dienstleister betrieben, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich, inklusive der Frage, welche Unterauftragsverarbeiter eingebunden sind. Das betrifft insbesondere das verwendete Sprachmodell.

4. Verarbeitungsort

Eine Verarbeitung innerhalb der EU erspart die zusätzlichen Anforderungen an Drittlandtransfers. Bei Modellen außerhalb der EU braucht es eine tragfähige Transfergrundlage. Dieser Punkt gehört vor der Auswahl geklärt, nicht danach – er schränkt die Anbieterauswahl praktisch am stärksten ein.

5. Werden Eingaben zum Training verwendet?

Der Punkt, der in Datenschutzprüfungen am häufigsten übersehen wird. Vertraglich sollte ausgeschlossen sein, dass die Eingaben Ihrer Website-Besucher zum Training fremder Modelle verwendet werden. Andernfalls verlassen Inhalte den vereinbarten Zweck – mit entsprechenden Folgen für die Rechtmäßigkeit.

Verwandt damit ist die Frage der Wissensquelle: Ein Chatbot, der ausschließlich aus den eigenen Unterlagen des Betriebs antwortet, ist nicht nur fachlich verlässlicher, sondern auch datenschutzrechtlich leichter zu beherrschen als einer, der frei aus dem Internet schöpft.

Häufige Fragen zu KI-Chatbot und DSGVO

Brauche ich für den Chatbot eine Einwilligung?

Für die Beantwortung einer Frage, die Nutzende selbst stellen, ist eine Einwilligung meist nicht erforderlich. Anders sieht es aus, wenn Verläufe längerfristig gespeichert oder mit anderen Daten zusammengeführt werden – das ist gesondert zu prüfen.

Muss ich die Datenschutzerklärung anpassen?

Ja. Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und ein etwaiger Drittlandtransfer gehören in die Datenschutzhinweise. Das ist einer der häufigsten Mängel bei bereits eingebundenen Chatbots.

Dürfen Chatverläufe gespeichert werden?

Für einen begrenzten Zeitraum und mit klarem Zweck – etwa zur Qualitätssicherung – ist das grundsätzlich möglich. Erforderlich sind eine festgelegte Speicherdauer und ein funktionierendes Löschkonzept.

Was ist der sicherste Aufbau?

Ein Chatbot, der nur aus den freigegebenen eigenen Unterlagen antwortet, so wenig wie möglich erhebt, innerhalb der EU verarbeitet und dessen Eingaben vertraglich vom Modelltraining ausgeschlossen sind.

Nächster Schritt

Wie ein Chatbot aussieht, der aus den eigenen Unterlagen antwortet, zeigt die Produktseite KI-Chatbot. Die datenschutzkonforme Einführung ist über INQA-Coaching zu 80 % förderfähig.

Stand: September 2026. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.