Chatbot DSGVO konform: Rechtssichere KI-Lösung für KMU

Welche 7 Compliance-Anker zählen beim Chatbot?

Ein DSGVO-konformer Chatbot steht und fällt mit sieben technischen Ankern, wer diese vor dem Go-live nicht prüft, riskiert Bußgelder ab 10.000 EUR und das Vertrauen seiner Kunden. Kein Auftragsverarbeitungsvertrag? Keine EU-Server? Kein Consent-Mechanismus? Dann ist der Chatbot nicht rechtskonform, egal, was der Anbieter auf seiner Website schreibt. Diese sieben Compliance-Anker sind keine theoretischen Empfehlungen, sondern technische Mindestanforderungen, die jeder Chatbot erfüllen muss, bevor er live geht.

Anker 1: Auftragsverarbeitungsvertrag (AVV) – Sobald ein Chatbot personenbezogene Daten verarbeitet (Name, E-Mail, Telefonnummer, Chat-Verlauf), ist der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Sie brauchen einen schriftlichen AVV, der klar regelt: Welche Daten? Wo gespeichert? Wie lange? Ohne AVV ist der Chatbot nicht rechtskonform, unabhängig von Marketing-Versprechen. Prüfen Sie vor dem Go-live: Liegt ein unterschriebener AVV vor?

Anker 2: Serverstandort EU/EWR – Chat-Daten gehören auf EU- oder EWR-Server. Viele Anbieter verstecken ihre Infrastruktur in AWS us-east-1 oder Google Cloud US, das ist nur dann DSGVO-konform, wenn der Anbieter explizit EU-Hosting garantiert oder unter dem EU-US Data Privacy Framework zertifiziert ist. Prüfen Sie: Wo stehen die Server wirklich? Gibt es eine schriftliche Bestätigung des Anbieters?

Anker 3: Logging und Protokollierung – Jeder Chat-Verlauf ist ein personenbezogenes Datum, sobald er einer Person zugeordnet werden kann (IP-Adresse, Session-ID, E-Mail). Sie müssen dokumentieren: Was wird geloggt? Wie lange? Wer hat Zugriff? Ein Chatbot, der alle Chats unbegrenzt speichert, verstößt gegen das Prinzip der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Prüfen Sie: Existiert eine Logging-Policy mit konkreten Löschfristen?

Anker 4: Consent-Mechanismus (Einwilligung) – Wenn der Chatbot Cookies setzt oder nicht-technisch notwendige Daten verarbeitet (Marketing, Analyse), brauchen Sie aktive Einwilligung vor dem ersten Chat. Ein vorausgewähltes Häkchen zählt nicht, die Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein (Art. 7 DSGVO). Prüfen Sie: Gibt es einen Consent-Banner? Kann der Nutzer ablehnen und die Einwilligung später widerrufen?

Anker 5: Datenminimierung – Der Chatbot darf nur Daten erheben, die für den konkreten Zweck notwendig sind (Art. 5 Abs. 1 lit. c DSGVO). Wenn er nach Name, E-Mail, Telefonnummer, Unternehmen, Branche, Umsatz und Mitarbeiterzahl fragt, obwohl er nur eine Terminanfrage bearbeitet, ist das ein Verstoß. Prüfen Sie: Welche Felder sind Pflichtfelder? Sind sie wirklich notwendig?

Anker 6: Löschfristen und Auskunftsrecht – Sie müssen Chat-Verläufe auf Anfrage löschen können (Art. 17 DSGVO) und dem Nutzer Auskunft über seine Daten geben (Art. 15 DSGVO). Wenn der Chatbot-Anbieter keine Lösch- oder Export-Funktion bietet, können Sie diese Rechte nicht erfüllen. Prüfen Sie: Gibt es eine Funktion zum Löschen von Chat-Verläufen? Können Sie Daten exportieren?

Anker 7: KI-Kennzeichnung und Transparenz – Wenn der Chatbot KI-generierte Antworten liefert (GPT-4, Claude oder ähnlich), müssen Sie das transparent machen. Nutzer haben ein Recht zu wissen, ob sie mit einem Menschen oder einer Maschine sprechen (Art. 13 DSGVO, Informationspflicht). Ein Hinweis wie „Dieser Chat wird von einer KI unterstützt“ reicht aus. Prüfen Sie: Ist die KI-Nutzung sichtbar?

Diese sieben Anker sind die technische Grundlage für DSGVO-konforme Chatbots, wer einen übersieht, riskiert nicht nur Bußgelder, sondern auch Kundenvertrauen. Das Gute: Alle sieben Punkte lassen sich vor dem Go-live prüfen und dokumentieren. Das Schlechte: Viele Chatbot-Anbieter liefern keine klaren Antworten auf diese Fragen. Ohne klare Antworten ist der Chatbot nicht rechtskonform, egal, wie professionell die Verkaufsunterlagen klingen.

Tidio, Intercom, Chatbase: wo liegen DSGVO-Lücken?

Bei der Auswahl eines Chatbots für den deutschen Mittelstand steht die rechtliche Sicherheit oft im Konflikt mit der Funktionalität. Während US-Anbieter durch einfache Bedienung überzeugen, müssen Sie als Unternehmer die strengen Anforderungen der DSGVO im Blick behalten, um Bußgelder oder Abmahnungen zu vermeiden. Ein zentraler Punkt ist hierbei die Automatisierung DSGVO-konform zu gestalten, was insbesondere den Datentransfer in Drittländer betrifft.

Quelle der rechtlichen Einordnung: eRecht24, Rechtliche Einordnung zu AVV, Drittlandtransfer und Datenschutzpflichten bei Chatbots.

Während Tidio durch EU-Hosting punktet, bleibt bei US-basierten Lösungen wie Intercom oder Chatbase oft eine Grauzone bezüglich der AVV-Verfügbarkeit und des Datentransfers. Individuelle Setups bieten Ihnen zwar die höchste Kontrolle über Logging und Löschfristen, erfordern jedoch eine präzise rechtliche Absicherung jeder einzelnen Komponente durch Ihr Unternehmen.

Art. 28 DSGVO: wann reicht ein AVV wirklich?

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird erforderlich, sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa ein Chatbot-Anbieter, der Kundennachrichten speichert oder analysiert. Viele Unternehmen unterschreiben Standard-AVVs, ohne zu prüfen, ob die technische Umsetzung tatsächlich DSGVO-konform ist. Das ist das zentrale Problem: Ein AVV ist kein Schutzschild. Er regelt nur die Verantwortlichkeiten zwischen Ihnen (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter) – schützt aber nicht automatisch vor Datenschutzverstößen, wenn der Anbieter Server in den USA betreibt oder Subunternehmer ohne Ihre Kenntnis einbindet. Laut eRecht24 müssen Betreiber prüfen, wann ein AVV nötig ist und welche Datenschutzpflichten sie selbst erfüllen müssen, der Vertrag allein reicht nicht.

Die Rollenverteilung ist eindeutig: Sie als Betreiber bleiben verantwortlich für die Rechtmäßigkeit der Datenverarbeitung. Der Anbieter darf Daten nur nach Ihrer Weisung verarbeiten und muss technische Maßnahmen nachweisen (Verschlüsselung, Zugriffskontrolle, Löschkonzept). In der Praxis scheitert das an drei konkreten Punkten: Erstens fehlt die Dokumentation, welche Daten der Chatbot tatsächlich speichert, Name, E-Mail, IP-Adresse, Gesprächsverlauf. Zweitens nutzen viele Anbieter US-Cloud-Dienste (AWS, Google Cloud) ohne gültige Standardvertragsklauseln oder BCR. Drittens binden sie Subunternehmer ein (für KI-Modelle, Analytics), ohne dass Sie davon wissen. Ein AVV schützt Sie nur, wenn Sie diese drei Punkte vor Vertragsabschluss geprüft haben, sonst haften Sie bei einer Datenpanne trotzdem.

Standardvertragsklauseln (SCC) der EU-Kommission sind bei US-Diensten oft die einzige rechtliche Grundlage für Datentransfers. Sie verpflichten den Anbieter, EU-Datenschutzniveau zu garantieren, auch wenn US-Behörden theoretisch Zugriff verlangen könnten. Das Risiko: SCCs sind nur wirksam, wenn der Anbieter zusätzliche Schutzmaßnahmen nachweist (Ende-zu-Ende-Verschlüsselung, Datenminimierung, Server-Standort in der EU). Viele Chatbot-Anbieter bieten SCCs an, hosten aber trotzdem auf US-Servern ohne technische Garantien. Für Sie bedeutet das konkret: Sie müssen vor Vertragsabschluss eine Transfer Impact Assessment (TIA) durchführen, eine Risikoanalyse, ob der Datentransfer trotz SCCs sicher ist. Fehlt diese Dokumentation, riskieren Sie Bußgelder ab 10.000 EUR (bei kleinen Verstößen) bis zu 4 % des Jahresumsatzes (bei systematischen Verstößen). Ein AVV ohne TIA ist rechtlich wertlos.

Die Grenze zwischen „AVV reicht“ und „AVV reicht nicht“ liegt in der technischen Umsetzung. Wenn der Chatbot nur anonymisierte Daten verarbeitet (Klickstatistiken ohne IP-Adressen), brauchen Sie keinen AVV. Wenn er personenbezogene Daten speichert (Name, E-Mail, Gesprächsverlauf), ist ein AVV Pflicht, aber nur wirksam, wenn der Anbieter DSGVO-konforme Datenflüsse nachweist. Das heißt konkret: Server in der EU (oder mit gültigen SCCs), Verschlüsselung im Transit und at Rest, Löschkonzept nach 30 Tagen oder kürzer, keine Weitergabe an Dritte ohne Ihre Zustimmung. Viele Unternehmen verlassen sich auf Standard-AVVs, ohne diese Punkte zu prüfen, und merken erst bei einer Datenpanne, dass der Vertrag keine Haftung übernimmt.

In 6 Schritten zum datenschutzkonformen Chatbot

Die Einführung eines KI-Systems im Unternehmen scheitert oft nicht an der Technik, sondern an der Sorge vor rechtlichen Konsequenzen. Ein datenschutzkonformer Chatbot ist jedoch kein Hindernis, sondern ein strukturierter Prozess, der Sicherheit für Sie und Ihre Kunden schafft.

Diese Anleitung ist Teil der 25 fertigen KI-Lösungen von Bot-Agent und zeigt Ihnen, wie Sie die rechtlichen Anforderungen im deutschen Mittelstand systematisch erfüllen. Ein korrekt aufgesetzter Bot schützt Sie vor Abmahnungen und Bußgeldern, die in der Praxis beispielsweise bis zu 4 % des weltweiten Jahresumsatzes erreichen können.

1. Prüfung der Anbieter-Infrastruktur: Analysieren Sie, wo die Daten verarbeitet werden. Bevorzugen Sie Serverstandorte innerhalb der EU oder Anbieter mit klaren Standardvertragsklauseln. Ein US-basierter Dienst ohne Zusatzabsicherung birgt Risiken für automatisierte Entscheidungen DSGVO, da der Datentransfer in Drittstaaten strengen Auflagen unterliegt.
2. Datenfluss-Mapping erstellen: Dokumentieren Sie präzise, welche Informationen der Nutzer eingibt und wohin diese fließen. Unterscheiden Sie zwischen technisch notwendigen Daten (IP-Adresse) und freiwilligen Angaben im Chatverlauf.
3. Rechtsgrundlage festlegen: Bestimmen Sie, worauf die Verarbeitung basiert. Meist ist dies die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder Ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Checkliste für die rechtssichere Einführung finden Sie beim Portal Inno Chatbot.
4. Auftragsverarbeitungsvertrag (AVV) schließen: Schließen Sie mit dem Software-Anbieter einen AVV ab. Ohne diesen Vertrag ist jede Datenweitergabe an den Dienstleister rechtswidrig. Dies ist ein häufiger Fehler, der bei einer Prüfung durch die Aufsichtsbehörden sofort auffällt.
5. Transparenzhinweise und Datenschutztexte anpassen: Integrieren Sie den Chatbot in Ihre Datenschutzerklärung. Der Nutzer muss vor Beginn des Chats wissen, was mit seinen Daten geschieht. Ein kurzer Hinweis direkt im Chat-Fenster erhöht das Vertrauen und erfüllt die Informationspflichten.
6. Löschfristen und Testbetrieb definieren: Richten Sie automatische Routinen ein, die Chat-Protokolle nach einem festgelegten Zeitraum (z. B. 30 Tage) löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Starten Sie mit einem geschlossenen Testbetrieb, um sicherzustellen, dass das System keine sensiblen Daten ungewollt speichert.

Wer diese Schritte manuell durchläuft oder versucht, mit DIY-Baukästen eine rechtssichere Lösung zu bauen, investiert oft 15 bis 20 Arbeitsstunden in die Recherche und Dokumentation. Bei einem kalkulatorischen Unternehmersatz von 100 EUR entspricht dies Kosten von 2.000 EUR, ohne Garantie auf Vollständigkeit. Eine fertige Lösung reduziert diesen Aufwand auf ein Minimum, da die technischen Leitplanken bereits DSGVO-konform vordefiniert sind.

EU AI Act: welche Kennzeichnungspflicht gilt?

Seit dem 2. August 2026 ist es in der EU Pflicht: Wer einen Chatbot auf seiner Website betreibt, muss Nutzer klar informieren, dass sie mit einer KI sprechen. Diese Regel steht in Artikel 50 des EU AI Act und gilt für alle KI-Systeme, die direkt mit Menschen kommunizieren, es sei denn, die KI-Natur springt sofort ins Auge. Für deutsche KMU heißt das konkret: Ein Chatbot ohne Hinweis verstößt ab sofort gegen Recht.

Das ist keine technische Hürde. Es ist eine Frage des Designs. Der Hinweis muss spätestens beim ersten Kontakt sichtbar sein, verständlich, griffig, überall gleich (Website, App, Messenger). Barrierefreiheit ist dabei nicht optional. Wenn der Chatbot auf mehreren Kanälen läuft, muss der Text identisch ausgespielt werden. Ein simples „Diese Antworten kommen von einer KI“ reicht vollkommen. Keine Rechtsbelehrung, keine versteckte Fußnote.

Es gibt eine Ausnahme: Wenn die KI-Natur offensichtlich ist, etwa bei einem Bot namens „KI-Assistent“ oder einem Roboter-Avatar, kann der Hinweis entfallen. Aber Vorsicht: Wer sich auf diese Ausnahme verlässt, spielt mit dem Feuer. Ein expliziter Hinweis kostet nichts und spart eine potenzielle Abmahnung. Unsicherheit? Hinweis setzen.

Welche Kosten sind für DSGVO-Chatbots realistisch?

Die Investition in einen Chatbot erfordert für deutsche Unternehmen eine klare Kalkulation, die über die reinen Softwaregebühren hinausgeht. Besonders die Einhaltung der Datenschutz-Grundverordnung (DSGVO) beeinflusst die Preisstruktur, da spezialisierte Hosting-Lösungen und rechtliche Absicherungen wie Auftragsverarbeitungsverträge (AVV) notwendig sind. Die folgende Übersicht zeigt Ihnen die marktüblichen Kostenstrukturen für verschiedene Unternehmensgrößen und Anforderungen im Jahr 2026.

Datenquelle: Level Nord, Übersicht zu DSGVO-konformen Chatbot-Anbietern und Preisstrukturen für KMU in Deutschland (Stand 2026)

Bei der Auswahl eines Systems sollten Sie darauf achten, dass Compliance-Extras wie EU-Hosting bereits in den Tarifen enthalten sind. Für Unternehmen, die eine hochgradig anpassbare und dennoch datenschutzkonforme Infrastruktur suchen, bietet sich zudem ein Blick auf die n8n DSGVO Compliance an, um Betriebskosten und Datensouveränität optimal zu vereinen.

Warum Local-first das Schrems-II-Risiko senkt

Ein KI-Chatbot, der DSGVO-konform läuft, braucht einen klaren Hosting-Standort, sonst wird es teuer. Das Schrems-II-Urteil von 2020 hat Privacy Shield gekippt. Seitdem ist klar: Wer Kundendaten auf US-Servern speichert, sitzt auf einem Risiko. Abmahnungen, Bußgelder, Vertrauensverlust, alles möglich. Local-first Hosting, also Speicherung nur auf deutschen oder EU-Servern, senkt dieses Risiko messbar. Dieser Artikel erklärt, warum der Hosting-Standort bei KI-Chatbots keine technische Nebenrolle spielt, sondern eine wirtschaftliche und rechtliche Entscheidung ist.

Schrems II war ein Weckruf: Standardvertragsklauseln reichen nicht. Unternehmen müssen zusätzliche Schutzmaßnahmen nachweisen, oder den Datentransfer in die USA bleiben lassen. Für KMU heißt das konkret: Jeder Chatbot auf US-Servern braucht eine dokumentierte Risikoanalyse, nachgewiesene Schutzmaßnahmen, regelmäßige Überprüfungen. Wer das nicht liefert, zahlt. DSGVO Artikel 83 erlaubt Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Wer das ernst nehmen will, findet auf Inno Chatbot eine praxisnahe Checkliste.

Local-first Hosting löst das Problem an der Wurzel. Alle Chatbot-Daten, Gesprächsprotokolle, Kontaktdaten, Session-IDs, bleiben auf deutschen oder EU-Servern. Kein grenzüberschreitender Transfer. Keine Standardvertragsklauseln nötig. Keine Risikoanalyse für Drittstaaten. Keine Dokumentationspflicht für zusätzliche Schutzmaßnahmen. Das spart Zeit und reduziert die Angriffsfläche für Aufsichtsbehörden. Laut dem Bundesverband Digitale Wirtschaft nutzen bereits 62 Prozent der deutschen KMU EU-Hosting für geschäftskritische Anwendungen [Quelle: BVDW, 2025].

Datenminimierung ist der zweite Punkt. Ein Chatbot sollte nur speichern, was für die konkrete Anfrage nötig ist. Ein Terminbuchungs-Chatbot braucht Name, E-Mail und Wunschtermin, aber nicht die IP-Adresse, keinen Browser-Fingerprint, keine wochenlange Session-History. Wer diese Daten trotzdem speichert, erhöht das Risiko und muss im Ernstfall erklären, warum. Local-first Hosting plus strikte Datenminimierung senken die Wahrscheinlichkeit für Bußgelder und Reputationsschäden, ohne technischen Mehraufwand.

Menschliche Eskalation ist der dritte Punkt. Ein KI-Chatbot kann 80 bis 90 Prozent der Standardanfragen lösen. Bei komplexen Fällen, rechtlichen Fragen oder Beschwerden muss ein Mensch einsteigen. Wer diese Eskalation nicht sauber dokumentiert, verstößt gegen die DSGVO-Pflicht zur Überprüfung automatisierter Entscheidungen. Local-first Hosting macht die Dokumentation einfach: Alle Gesprächsprotokolle liegen auf EU-Servern, der Zugriff ist protokolliert, die Eskalation folgt einem definierten Verfahren. Das schützt vor Bußgeldern und vor Vertrauensverlust bei Kunden, die erwarten, dass ihre Daten nicht in Drittstaaten landen.

Praktisches Fazit

Ein DSGVO-konformer Chatbot funktioniert, wenn Du drei zentrale Entscheidungen triffst. EU-Hosting, ein wasserdichter Auftragsverarbeitungsvertrag und dokumentierte Datenflüsse. Alles andere ist Glücksspiel mit Deinen Kundendaten.

Die erste Entscheidung: Hosting. Wähle einen Anbieter mit Rechenzentren in Deutschland oder der EU, fertig. Drittlandtransfers sind eine rechtliche Grauzone, die Du Dir sparen kannst. Der AVV ist nicht optional. Ohne diesen Vertrag darfst Du keinen externen Chatbot-Dienst betreiben. Was muss drin stehen? Dass Kundendaten nicht für KI-Training verwendet werden. Dass sie nach definierten Fristen automatisch gelöscht werden. Prüfe, ob der Anbieter das schriftlich zusichert. Wenn nicht, Finger weg.

Die zweite Säule: Transparenz. Deine Nutzer müssen vor dem ersten Chat-Kontakt wissen, dass sie mit einer KI sprechen. Ein einfacher Hinweis – „Dieser Chat wird von einer KI betrieben“ – reicht völlig aus. Der AI Act schreibt genau das vor. Ergänze in Deiner Datenschutzerklärung, welche Daten der Chatbot verarbeitet, wie lange sie bleiben und wer Zugriff hat. Diese Informationen gehören nach oben, nicht versteckt im Footer.

Die dritte Säule: Dokumentation. Du musst nachweisen können, was Dein Chatbot tut. Ein einfaches Verarbeitungsverzeichnis genügt: Zweck (Kundenanfragen beantworten), Datenkategorien (Name, E-Mail, Chat-Verlauf), Speicherdauer (30 Tage), Empfänger (Chatbot-Anbieter). Wenn diese drei Punkte dokumentiert sind, stehst Du im Ernstfall auf festem Boden.

Löschfristen sind kein Nebensatz. Lege fest: Nach wie vielen Tagen verschwinden Chat-Verläufe automatisch? 30 Tage reichen für die meisten Fälle aus. Brauchst Du längere Speicherung, musst Du das begründen, und in der Datenschutzerklärung offenlegen. Automatische Löschung ist technisch trivial und schützt Dich vor unnötigen Risiken.

Zusammengefasst: EU-Hosting, AVV mit klaren Regelungen, sichtbare Nutzer-Hinweise, dokumentierte Datenflüsse, feste Löschfristen. Wer diese fünf Punkte umsetzt, betreibt einen DSGVO-konformen Chatbot. Alles andere ist Spekulation.

Bot-Agent™ Team

Stanislav Tonkich

KI-Automatisierung für kleine Unternehmen in Deutschland. 40 fertige Automationen, von Chatbot über Bewertungen bis DATEV-Export. Ab 49 EUR pro Monat, DSGVO-sicher, monatlich kündbar. Wir übernehmen die Routineaufgaben, damit Sie sich auf Ihr Geschäft konzentrieren können.

Alle Artikel des Autors →