Zahlen ohne Quellenlink in diesem Beitrag sind eigene Einschätzungen oder illustrative Beispiele (Stand 09/2026).
- EU AI Act Frist: Kennzeichnungspflicht für KI-Interaktionen ab 02.08.2026 (Art. 50 EU AI Act)
- KMU-Kosten: Die Preise für Chatbot-Software mit AVV unterscheiden sich stark nach Anbieter, Funktionsumfang und Nachrichtenvolumen; aktuelle Beträge stehen in den Preislisten der Anbieter (siehe Kostenstruktur)
- Haftungsrisiko: Bußgelder drohen bei fehlendem AVV (Rahmen bis 10 Mio. € oder 2 %) oder unzulässigem Drittlandtransfer (Rahmen bis 20 Mio. € oder 4 %) (Art. 83 DSGVO)
- Hosting-Trend: Viele Unternehmen bevorzugen Rechenzentren in Deutschland (Quelle: Bitkom Cloud Report)
Ein Chatbot ist DSGVO-orientiert, wenn ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorliegt, Sie wissen, wo und durch wen Chat-Daten verarbeitet werden, und jede Übermittlung in Drittländer eine tragfähige Rechtsgrundlage hat. Am einfachsten gelingt das mit Verarbeitung auf Servern in der EU oder im EWR. Da seit dem 2. August 2026 die Transparenzpflichten des EU AI Act, Art. 50 greifen, müssen Unternehmen zudem offenlegen, dass Nutzer mit einem KI-System sprechen. Bot-Agent plant dafür eine Automatisierung im Katalog (40 Automatisierungen in Entwicklung, Verkauf noch nicht geöffnet).
- Welche 7 Compliance-Anker zählen beim Chatbot?
- Tidio, Intercom, Chatbase: Datenschutzangaben der Anbieter im Überblick
- Art. 28 DSGVO: wann reicht ein AVV wirklich?
- In 6 Schritten zum datenschutzorientierten Chatbot
- EU AI Act: welche Kennzeichnungspflicht gilt?
- Welche Kosten sind für DSGVO-Chatbots realistisch?
- Warum Local-first das Schrems-II-Risiko senkt
- Praktisches Fazit
Welche 7 Compliance-Anker zählen beim Chatbot?
Ein DSGVO-orientierter Chatbot steht und fällt mit sieben technischen Ankern. Wer diese vor dem Go-live nicht prüft, riskiert Bußgelder und das Vertrauen seiner Kunden. Kein Auftragsverarbeitungsvertrag? Keine EU-Server? Kein Consent-Mechanismus? Dann ist der Chatbot nicht rechtlich sorgfältig, egal, was der Anbieter auf seiner Website schreibt. Diese sieben Compliance-Anker sind keine theoretischen Empfehlungen, sondern technische Mindestanforderungen, die jeder Chatbot erfüllen muss, bevor er live geht. Einen ersten Überblick über Cookie-Banner, eingebundene US-Dienste und KI-Hinweise Ihrer Website liefert der kostenlose DSGVO- und AI-Act-Check; er ersetzt keine Rechtsberatung.
Anker 1: Auftragsverarbeitungsvertrag (AVV): Sobald ein Chatbot personenbezogene Daten verarbeitet (Name, E-Mail, Telefonnummer, Chat-Verlauf), ist der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Sie brauchen einen schriftlichen AVV, der klar regelt: Welche Daten? Wo gespeichert? Wie lange? Ohne AVV ist der Chatbot nicht rechtlich sorgfältig, unabhängig von Marketing-Versprechen. Prüfen Sie vor dem Go-live: Liegt ein unterschriebener AVV vor?
Anker 2: Serverstandort EU/EWR: Chat-Daten gehören auf EU- oder EWR-Server. Manche Anbieter betreiben ihre Infrastruktur überwiegend in den USA. Das ist nur dann DSGVO-orientiert, wenn der Anbieter explizit EU-Hosting zusichert oder unter dem EU-US Data Privacy Framework zertifiziert ist. Prüfen Sie: Wo stehen die Server wirklich? Gibt es eine schriftliche Bestätigung des Anbieters?
Anker 3: Logging und Protokollierung: Jeder Chat-Verlauf ist ein personenbezogenes Datum, sobald er einer Person zugeordnet werden kann (IP-Adresse, Session-ID, E-Mail). Sie müssen dokumentieren: Was wird geloggt? Wie lange? Wer hat Zugriff? Ein Chatbot, der alle Chats unbegrenzt speichert, verstößt gegen das Prinzip der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Prüfen Sie: Existiert eine Logging-Policy mit konkreten Löschfristen?
Anker 4: Consent-Mechanismus (Einwilligung): Wenn der Chatbot Cookies setzt oder nicht-technisch notwendige Daten verarbeitet (Marketing, Analyse), brauchen Sie aktive Einwilligung vor dem ersten Chat. Ein vorausgewähltes Häkchen zählt nicht, die Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein (Art. 7 DSGVO). Prüfen Sie: Gibt es einen Consent-Banner? Kann der Nutzer ablehnen und die Einwilligung später widerrufen?
Anker 5: Datenminimierung: Der Chatbot darf nur Daten erheben, die für den konkreten Zweck notwendig sind (Art. 5 Abs. 1 lit. c DSGVO). Wenn er nach Name, E-Mail, Telefonnummer, Unternehmen, Branche, Umsatz und Mitarbeiterzahl fragt, obwohl er nur eine Terminanfrage bearbeitet, ist das ein Verstoß. Prüfen Sie: Welche Felder sind Pflichtfelder? Sind sie wirklich notwendig?
Anker 6: Löschfristen und Auskunftsrecht: Sie müssen Chat-Verläufe auf Anfrage löschen können (Art. 17 DSGVO) und dem Nutzer Auskunft über seine Daten geben (Art. 15 DSGVO). Wenn der Chatbot-Anbieter keine Lösch- oder Export-Funktion bietet, können Sie diese Rechte nicht erfüllen. Prüfen Sie: Gibt es eine Funktion zum Löschen von Chat-Verläufen? Können Sie Daten exportieren?
Anker 7: KI-Kennzeichnung und Transparenz: Wenn der Chatbot KI-generierte Antworten liefert (etwa durch aktuelle Sprachmodelle), müssen Sie das transparent machen. Nutzer müssen erfahren, dass sie mit einer Maschine sprechen; diese Kennzeichnungspflicht ergibt sich aus Art. 50 EU AI Act, die Informationspflichten zur Datenverarbeitung aus Art. 13 DSGVO. Ein Hinweis wie „Dieser Chat wird von einer KI unterstützt“ reicht aus. Prüfen Sie: Ist die KI-Nutzung sichtbar?
Diese sieben Anker sind die technische Grundlage für DSGVO-orientierte Chatbots. Wer einen übersieht, riskiert nicht nur Bußgelder, sondern auch Kundenvertrauen. Das Gute: Alle sieben Punkte lassen sich vor dem Go-live prüfen und dokumentieren. Das Schlechte: Viele Chatbot-Anbieter liefern keine klaren Antworten auf diese Fragen. Ohne klare Antworten ist der Chatbot nicht rechtlich sorgfältig, egal, wie professionell die Verkaufsunterlagen klingen.
Tidio, Intercom, Chatbase: Datenschutzangaben der Anbieter im Überblick
Bei der Auswahl eines Chatbots für den deutschen Mittelstand steht die rechtliche Sicherheit oft im Konflikt mit der Funktionalität. Während US-Anbieter durch einfache Bedienung überzeugen, müssen Sie als Unternehmer die strengen Anforderungen der DSGVO im Blick behalten, um Bußgelder oder Abmahnungen zu vermeiden. Ein zentraler Punkt ist hierbei die Automatisierung DSGVO-orientiert zu gestalten, was insbesondere den Datentransfer in Drittländer betrifft.
| Kriterium | Tidio | Intercom / Chatbase | Individuelle Setups |
|---|---|---|---|
| AVV (DPA) verfügbar | Ja (DPA und Standardvertragsklauseln auf Anfrage) | Intercom: Ja (DPA). Chatbase: Ja (DPA) | Ja (selbstbestimmt) |
| Hosting-Standort | EWR (AWS-Rechenzentren in der EU) | Intercom: EU-Hosting (Frankfurt) optional, laut Anbieter für den Business-Tarif. Chatbase: Hauptverarbeitung in den USA | Frei wählbar (DE/EU) |
| Drittlandtransfer laut Anbieter | Laut Anbieter DPF-Zertifizierung, Support teils außerhalb des EWR | Intercom: laut Anbieter DPF-zertifiziert, optional mit EU-Hosting. Chatbase: Hauptverarbeitung in den USA, Transfergrundlage prüfen | Minimal |
| Kontrolle über Logging | Standardisiert | Je nach Tarif und Konfiguration | Vollständig |
| Löschfristen-Management | Vorhanden | Variabel | Individuell konfigurierbar |
Die Angaben stammen aus den öffentlichen Datenschutzseiten der Anbieter (Tidio, Intercom, Chatbase) und können sich ändern. Bei jedem Anbieter sollten Sie Serverstandort, AVV-Verfügbarkeit und Datentransfer selbst prüfen. Individuelle Setups bieten Ihnen zwar die höchste Kontrolle über Logging und Löschfristen, erfordern jedoch eine präzise rechtliche Absicherung jeder einzelnen Komponente durch Ihr Unternehmen.
Weiterführend: Chatbot-Quality-Check von Bot-Agent. Das Ergebnis ist eine unverbindliche Einschätzung und ersetzt keine Rechts- oder Fachberatung.
Art. 28 DSGVO: wann reicht ein AVV wirklich?
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird erforderlich, sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa ein Chatbot-Anbieter, der Kundennachrichten speichert oder analysiert. Viele Unternehmen unterschreiben Standard-AVVs, ohne zu prüfen, ob die technische Umsetzung tatsächlich DSGVO-orientiert ist. Das ist das zentrale Problem: Ein AVV ist kein Schutzschild. Er regelt nur die Verantwortlichkeiten zwischen Ihnen (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter), schützt aber nicht automatisch vor Datenschutzverstößen, wenn der Anbieter Server in den USA betreibt oder Subunternehmer ohne Ihre Kenntnis einbindet. Laut eRecht24 müssen Betreiber prüfen, wann ein AVV nötig ist und welche Datenschutzpflichten sie selbst erfüllen müssen. Der Vertrag allein reicht nicht.
Die Rollenverteilung ist eindeutig: Sie als Betreiber bleiben verantwortlich für die Rechtmäßigkeit der Datenverarbeitung. Der Anbieter darf Daten nur nach Ihrer Weisung verarbeiten und muss technische Maßnahmen nachweisen (Verschlüsselung, Zugriffskontrolle, Löschkonzept). In der Praxis scheitert das an drei konkreten Punkten: Erstens fehlt die Dokumentation, welche Daten der Chatbot tatsächlich speichert: Name, E-Mail, IP-Adresse, Gesprächsverlauf. Zweitens nutzen viele Anbieter US-Cloud-Dienste (AWS, Google Cloud) ohne gültige Standardvertragsklauseln oder BCR. Drittens binden sie Subunternehmer ein (für KI-Modelle, Analytics), ohne dass Sie davon wissen. Ein AVV schützt Sie nur, wenn Sie diese drei Punkte vor Vertragsabschluss geprüft haben, sonst haften Sie bei einer Datenpanne trotzdem.
Bei US-Diensten ohne DPF-Zertifizierung sind Standardvertragsklauseln (SCC) der EU-Kommission oft die rechtliche Grundlage für Datentransfers. Sie verpflichten den Anbieter, EU-Datenschutzniveau zu gewährleisten, auch wenn US-Behörden theoretisch Zugriff verlangen könnten. Das Risiko: SCCs sind nur wirksam, wenn der Anbieter zusätzliche Schutzmaßnahmen nachweist (Ende-zu-Ende-Verschlüsselung, Datenminimierung, Server-Standort in der EU). Manche Chatbot-Anbieter bieten SCCs an, hosten aber trotzdem auf US-Servern ohne technische Garantien. Für Sie bedeutet das konkret: Bei einem Transfer auf Basis von SCC sollten Sie vor Vertragsabschluss eine Transfer Impact Assessment (TIA) durchführen (bei Anbietern mit gültiger DPF-Zertifizierung stützt sich der Transfer stattdessen auf den Angemessenheitsbeschluss). Das ist eine Risikoanalyse, ob der Datentransfer trotz SCCs sicher ist. Fehlt diese Dokumentation, riskieren Sie Bußgelder, deren Höhe sich nach dem Einzelfall richtet (Rahmen nach Art. 83 DSGVO: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist). Ein AVV ohne geeignete Transfergrundlage und gegebenenfalls TIA reicht bei US-Diensten nicht aus. Rechtliche Prüfung im Einzelfall empfohlen.
Die Grenze zwischen „AVV reicht“ und „AVV reicht nicht“ liegt in der technischen Umsetzung. Wenn der Chatbot nur anonymisierte Daten verarbeitet (Klickstatistiken ohne IP-Adressen), brauchen Sie keinen AVV. Wenn er personenbezogene Daten speichert (Name, E-Mail, Gesprächsverlauf), ist ein AVV Pflicht, aber nur wirksam, wenn der Anbieter DSGVO-orientierte Datenflüsse nachweist. Das heißt konkret: Server in der EU (oder mit gültigen SCCs), Verschlüsselung bei Übertragung und Speicherung, Löschkonzept mit klar definierter Frist, keine Weitergabe an Dritte ohne Ihre Zustimmung. Viele Unternehmen verlassen sich auf Standard-AVVs, ohne diese Punkte zu prüfen, und merken erst bei einer Datenpanne, dass der Vertrag keine Haftung übernimmt.

In 6 Schritten zum datenschutzorientierten Chatbot
Die Einführung eines KI-Systems im Unternehmen scheitert oft nicht an der Technik, sondern an der Sorge vor rechtlichen Konsequenzen. Ein datenschutzorientierter Chatbot ist jedoch kein Hindernis, sondern ein strukturierter Prozess, der Sicherheit für Sie und Ihre Kunden schafft.
Die Bußgeldrahmen der DSGVO reichen bis zu 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Ein sauber dokumentierter Prozess senkt das Risiko von Beanstandungen, schließt es aber nicht aus.
- Prüfung der Anbieter-Infrastruktur: Analysieren Sie, wo die Daten verarbeitet werden. Bevorzugen Sie Serverstandorte innerhalb der EU oder Anbieter mit klaren Standardvertragsklauseln. Ein US-basierter Dienst ohne Zusatzabsicherung birgt Risiken für automatisierte Entscheidungen DSGVO, da der Datentransfer in Drittstaaten strengen Auflagen unterliegt.
- Datenfluss-Mapping erstellen: Dokumentieren Sie präzise, welche Informationen der Nutzer eingibt und wohin diese fließen. Unterscheiden Sie zwischen technisch notwendigen Daten (IP-Adresse) und freiwilligen Angaben im Chatverlauf.
- Rechtsgrundlage festlegen: Bestimmen Sie, worauf die Verarbeitung basiert. Meist ist dies die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder Ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Checkliste für die rechtlich sorgfältig ausgestaltete Einführung finden Sie beim Portal Inno Chatbot.
- Auftragsverarbeitungsvertrag (AVV) schließen: Schließen Sie mit dem Software-Anbieter einen AVV ab. Ohne diesen Vertrag ist jede Datenweitergabe an den Dienstleister rechtswidrig. Dies ist ein häufiger Fehler, der bei einer Prüfung durch die Aufsichtsbehörden sofort auffällt.
- Transparenzhinweise und Datenschutztexte anpassen: Integrieren Sie den Chatbot in Ihre Datenschutzerklärung. Der Nutzer muss vor Beginn des Chats wissen, was mit seinen Daten geschieht. Ein kurzer Hinweis direkt im Chat-Fenster erhöht das Vertrauen und erfüllt die Informationspflichten.
- Löschfristen und Testbetrieb definieren: Richten Sie automatische Routinen ein, die Chat-Protokolle nach einem festgelegten Zeitraum (als Beispielwert 30 Tage, die passende Frist hängt vom Zweck ab) löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Starten Sie mit einem geschlossenen Testbetrieb, um sicherzustellen, dass das System keine sensiblen Daten ungewollt speichert.
Wer diese Schritte manuell durchläuft oder versucht, mit DIY-Baukästen eine rechtlich sorgfältig ausgestaltete Lösung zu bauen, muss Zeit für Recherche und Dokumentation einplanen. Als Rechenbeispiel mit angenommenen Werten: 15 bis 20 Arbeitsstunden bei einem kalkulatorischen Satz von 100 EUR je Stunde entsprechen 1.500 bis 2.000 EUR, ohne Gewähr auf Vollständigkeit. Der tatsächliche Aufwand hängt von Vorwissen und Umfang ab. Eine Automatisierung mit vordefinierten, DSGVO-orientierten Leitplanken kann diesen Aufwand verringern, ersetzt aber nicht Ihre eigene Prüfung.
EU AI Act: welche Kennzeichnungspflicht gilt?
Seit dem 2. August 2026 ist es in der EU Pflicht: Wer einen Chatbot auf seiner Website betreibt, muss Nutzer klar informieren, dass sie mit einer KI sprechen. Diese Regel steht in Artikel 50 des EU AI Act und gilt für alle KI-Systeme, die direkt mit Menschen kommunizieren, es sei denn, die KI-Natur springt sofort ins Auge. Für deutsche KMU heißt das konkret: Ein Chatbot ohne den erforderlichen Hinweis kann gegen Art. 50 KI-Verordnung verstoßen. Für solche Verstöße sieht Art. 99 KI-Verordnung Bußgelder bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor (Überblick zu Art. 50 KI-VO). Die Höhe im Einzelfall hängt von den Umständen ab.
Das ist keine technische Hürde. Es ist eine Frage des Designs. Der Hinweis muss spätestens beim ersten Kontakt sichtbar sein, verständlich, griffig, überall gleich (Website, App, Messenger). Barrierefreiheit ist dabei nicht optional. Wenn der Chatbot auf mehreren Kanälen läuft, muss der Text identisch ausgespielt werden. Ein simples „Diese Antworten kommen von einer KI“ reicht vollkommen. Keine Rechtsbelehrung, keine versteckte Fußnote.
Es gibt eine Ausnahme: Wenn die KI-Natur offensichtlich ist, etwa bei einem Bot namens „KI-Assistent“ oder einem Roboter-Avatar, kann der Hinweis entfallen. Aber Vorsicht: Wer sich auf diese Ausnahme verlässt, spielt mit dem Feuer. Ein expliziter Hinweis kostet nichts und spart eine potenzielle Abmahnung. Unsicherheit? Hinweis setzen.
Welche Kosten sind für DSGVO-Chatbots realistisch?
Die Investition in einen Chatbot erfordert für deutsche Unternehmen eine klare Kalkulation, die über die reinen Softwaregebühren hinausgeht. Besonders die Einhaltung der Datenschutz-Grundverordnung (DSGVO) beeinflusst die Preisstruktur, da spezialisierte Hosting-Lösungen und rechtliche Absicherungen wie Auftragsverarbeitungsverträge (AVV) notwendig sind. Die folgende Übersicht zeigt Ihnen die marktüblichen Kostenstrukturen für verschiedene Unternehmensgrößen und Anforderungen. Konkrete Beträge nennt sie bewusst nicht, weil Preise häufig wechseln und von Nachrichtenvolumen, Nutzerzahl und Funktionsumfang abhängen.
| Segment | Laufende Gebühr | Setup-Kosten | Compliance-Fokus |
|---|---|---|---|
| KMU SaaS (Standard) | Tarifmodell mit Staffelung nach Nutzern oder Nachrichten | Gering oder keine Einrichtungsgebühr | Standard-AVV, EU-Server |
| Gehobener Mittelstand | Höhere Tarife mit mehr Funktionen und Support | Projektbezogen, je nach Integrationsaufwand | Individuelle Integration, Support |
| Enterprise / Custom | Auf Anfrage | Projektbezogen, individuell kalkuliert | SSO, dediziertes Hosting, SLA |
Die Einordnung beschreibt die typische Staffelung von Chatbot-Anbietern und ist keine Preisliste. Fragen Sie Angebote mit Angabe von AVV, Hosting-Standort und Löschkonzept an.
Bei der Auswahl eines Systems sollten Sie darauf achten, dass Compliance-Extras wie EU-Hosting bereits in den Tarifen enthalten sind. Für Unternehmen, die eine hochgradig anpassbare und dennoch datenschutzorientierte Infrastruktur suchen, bietet sich zudem ein Blick auf die n8n DSGVO Compliance an, um Betriebskosten und Datensouveränität optimal zu vereinen.
Warum Local-first das Schrems-II-Risiko senkt
Ein KI-Chatbot, der DSGVO-orientiert läuft, braucht einen klaren Hosting-Standort, sonst wird es teuer. Das Schrems-II-Urteil des EuGH von 2020 hat Privacy Shield für ungültig erklärt. Seitdem müssen Übermittlungen in die USA besonders abgesichert werden. Local-first Hosting, also Speicherung nur auf deutschen oder EU-Servern, senkt dieses Risiko. Dieser Artikel erklärt, warum der Hosting-Standort bei KI-Chatbots keine technische Nebenrolle spielt, sondern eine wirtschaftliche und rechtliche Entscheidung ist.
Schrems II hat gezeigt: Standardvertragsklauseln allein reichen nicht. Unternehmen müssen bei Transfers auf dieser Basis zusätzliche Schutzmaßnahmen prüfen. Seit dem 10.07.2023 gibt es mit dem EU-US Data Privacy Framework (DPF) wieder einen Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Das Gericht der EU wies am 03.09.2025 eine Nichtigkeitsklage dagegen ab (Taylor Wessing zum Urteil T-553/23); ein Rechtsmittel beim EuGH ist anhängig (C-703/25 P). Der Beschluss gilt derzeit weiter, seine Zukunft ist aber nicht abschließend geklärt (Stand 10/2026, bitte aktuell prüfen). Für KMU heißt das: Ein Chatbot auf US-Servern braucht entweder eine gültige DPF-Zertifizierung des Anbieters oder SCC mit dokumentierter Risikoanalyse und regelmäßiger Überprüfung. Art. 83 DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Wer das ernst nehmen will, findet auf Inno Chatbot eine praxisnahe Checkliste.
Local-first Hosting löst das Problem an der Wurzel. Alle Chatbot-Daten, Gesprächsprotokolle, Kontaktdaten, Session-IDs, bleiben auf deutschen oder EU-Servern. Kein grenzüberschreitender Transfer. In der Regel keine Standardvertragsklauseln nötig. Keine Risikoanalyse für Drittstaaten. Prüfen Sie dennoch, ob der Anbieter Unterauftragsverarbeiter in Drittländern einsetzt. Das spart Zeit und reduziert die Angriffsfläche für Aufsichtsbehörden. EU-Hosting ist für viele Unternehmen eine naheliegende Wahl für geschäftskritische Anwendungen.
Datenminimierung ist der zweite Punkt. Ein Chatbot sollte nur speichern, was für die konkrete Anfrage nötig ist. Ein Terminbuchungs-Chatbot braucht Name, E-Mail und Wunschtermin, aber nicht die IP-Adresse, keinen Browser-Fingerprint, keine wochenlange Session-History. Wer diese Daten trotzdem speichert, erhöht das Risiko und muss im Ernstfall erklären, warum. Local-first Hosting plus strikte Datenminimierung senken das Risiko von Beanstandungen und Reputationsschäden.
Menschliche Eskalation ist der dritte Punkt. Bei komplexen Fällen, rechtlichen Fragen oder Beschwerden muss ein Mensch einsteigen. Wer diese Eskalation nicht sauber dokumentiert, kann seine Nachweis- und Rechenschaftspflichten (Art. 5 Abs. 2 DSGVO) nur schwer erfüllen; Art. 22 DSGVO betrifft ausschließlich vollautomatisierte Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Local-first Hosting macht die Dokumentation einfach: Alle Gesprächsprotokolle liegen auf EU-Servern, der Zugriff ist protokolliert, die Eskalation folgt einem definierten Verfahren. Das hilft bei Prüfungen und vermeidet Vertrauensverlust bei Kunden, die erwarten, dass ihre Daten nicht in Drittstaaten landen.
Praktisches Fazit
Ein DSGVO-orientierter Chatbot funktioniert, wenn Sie drei zentrale Entscheidungen treffen. EU-Hosting, ein belastbarer Auftragsverarbeitungsvertrag und dokumentierte Datenflüsse. Alles andere ist Glücksspiel mit Ihren Kundendaten.
Die erste Entscheidung: Hosting. Wählen Sie einen Anbieter mit Rechenzentren in Deutschland oder der EU. Drittlandtransfers erfordern zusätzliche Prüfung (DPF-Zertifizierung oder SCC mit Risikoanalyse), die Sie sich mit EU-Hosting sparen. Der AVV ist nicht optional. Ohne diesen Vertrag dürfen Sie keinen externen Chatbot-Dienst betreiben. Was muss drin stehen? Dass Kundendaten nicht für KI-Training verwendet werden. Dass sie nach definierten Fristen automatisch gelöscht werden. Prüfen Sie, ob der Anbieter das schriftlich zusichert. Wenn nicht, Finger weg.
Die zweite Säule: Transparenz. Ihre Nutzer müssen vor dem ersten Chat-Kontakt wissen, dass sie mit einer KI sprechen. Ein einfacher Hinweis, „Dieser Chat wird von einer KI betrieben“, reicht völlig aus. Der AI Act schreibt genau das vor. Ergänzen Sie in Ihrer Datenschutzerklärung, welche Daten der Chatbot verarbeitet, wie lange sie bleiben und wer Zugriff hat. Diese Informationen gehören nach oben, nicht versteckt im Footer.
Die dritte Säule: Dokumentation. Sie müssen nachweisen können, was Ihr Chatbot tut. Ein einfaches Verarbeitungsverzeichnis genügt: Zweck (Kundenanfragen beantworten), Datenkategorien (Name, E-Mail, Chat-Verlauf), Speicherdauer (z. B. 30 Tage), Empfänger (Chatbot-Anbieter). Wenn diese drei Punkte dokumentiert sind, stehen Sie im Ernstfall auf festem Boden.
Löschfristen sind kein Nebensatz. Legen Sie fest: Nach wie vielen Tagen verschwinden Chat-Verläufe automatisch? Als Beispielwert eignen sich 30 Tage; die passende Frist hängt vom Zweck ab. Brauchen Sie längere Speicherung, müssen Sie das begründen, und in der Datenschutzerklärung offenlegen. Automatische Löschung ist technisch trivial und schützt Sie vor unnötigen Risiken.
Zusammengefasst: EU-Hosting, AVV mit klaren Regelungen, sichtbare Nutzer-Hinweise, dokumentierte Datenflüsse, feste Löschfristen. Wer diese fünf Punkte umsetzt, betreibt einen DSGVO-orientierten Chatbot. Alles andere ist Spekulation.
Bot-Agent Katalog: 40 Automatisierungen in Entwicklung
Der Katalog umfasst 40 Automatisierungen in Entwicklung, 4 davon im eigenen Einsatz (keine Kundenreferenz), 36 als Prototyp-Entwurf. Der Verkauf ist noch nicht geöffnet. Vorläufiger Preis ab 49 € pro Monat zzgl. einmaligem Setup je Automatisierung, unverbindlich.
Häufig gestellte Fragen
Brauche ich einen Auftragsverarbeitungsvertrag (AVV) für meinen Chatbot?
Welche Strafen drohen bei DSGVO-Verstößen bei Chatbots?
Muss ich Nutzer darauf hinweisen, dass sie mit einer KI sprechen?
Sind US-basierte Chatbot-Anbieter DSGVO-orientiert?
Wie lange darf ein Chatbot Chat-Verläufe speichern?
Hinweis zu Zahlen und Preisen: Zahlen-, Zeit- und Preisangaben ohne Quellenlink sind eigene Einschätzungen oder illustrative Rechenbeispiele (Stand 09/2026), keine belegten Marktdaten und kein Ergebnisversprechen. Preise Dritter ändern sich, bitte beim Anbieter aktuell prüfen. Der Beitrag ist keine Rechts-, Steuer- oder Fachberatung.
Mehr dazu im Artikel Chatbot Score: So bewerten Sie KI-Systeme 2026 objektiv.
Angaben ohne Gewähr, keine Rechtsberatung. Preise und Funktionen Dritter können sich ändern; maßgeblich sind die Angaben der Anbieter.