KI-Chatbot, DSGVO und AI Act: was eine Firmenwebsite tun muss

Ein KI-Chatbot auf der Website eines Unternehmens in der EU muss zwei Regelwerke erfüllen. Nach dem EU AI Act (der KI-Verordnung) müssen Besucher spätestens bei der ersten Interaktion erfahren, dass sie mit einer KI sprechen, und das gilt seit dem 2. August 2026. Nach der DSGVO enthält das, was Besucher eintippen, oft personenbezogene Daten: Du brauchst also eine Rechtsgrundlage, eine Datenschutzerklärung, die den Chat erwähnt, eine Speicherfrist und einen Vertrag mit dem KI-Anbieter, der die Nachrichten verarbeitet.

Dieser Leitfaden erklärt jede Pflicht in einfachen Worten und endet mit einer Checkliste. Er ist eine allgemeine Information für kleine Unternehmen und keine Rechtsberatung: Kläre deinen konkreten Fall mit deinem Datenschutzbeauftragten oder einer Anwaltskanzlei.

Was der AI Act von einem Chatbot verlangt

Der AI Act (Verordnung (EU) 2024/1689, auf Deutsch KI-Verordnung) regelt viele Arten von KI. Für einen Kundenservice-Chat auf einer Website zählt vor allem die Transparenzpflicht in Artikel 50.

• Was: Nach Artikel 50 Absatz 1 müssen KI-Systeme, die für die direkte Interaktion mit Menschen bestimmt sind, so gestaltet sein, dass die betreffenden Personen informiert werden, dass sie mit einem KI-System interagieren.
• Wann: Nach Artikel 50 Absatz 5 muss diese Information in klarer und eindeutiger Weise bereitgestellt werden, spätestens zum Zeitpunkt der ersten Interaktion, und sie muss den geltenden Anforderungen an die Barrierefreiheit entsprechen.
• Ab wann: Artikel 50 gilt ab dem 2. August 2026. Die Europäische Kommission bestätigt das Datum in ihren FAQ zu den Transparenzpflichten nach Artikel 50. Die dort genannte Übergangsfrist bis zum 2. Dezember 2026 betrifft die Kennzeichnung KI-generierter Inhalte, nicht den Hinweis im Chatbot.
• Ausnahme: Die Pflicht gilt nicht, wenn es für eine angemessen informierte, aufmerksame und verständige Person offensichtlich ist, dass sie mit einer KI spricht. Eine Chatblase mit freundlichem Namen und Foto ist nicht offensichtlich. Verlass dich bei einem Support-Chat nicht auf diese Ausnahme.
• Bußgelder: Laut den FAQ der Kommission können sie bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes erreichen. Durchgesetzt wird das von nationalen Marktüberwachungsbehörden.

Formal richtet sich Artikel 50 Absatz 1 an den Anbieter des KI-Systems. Deine Besucher sehen aber nur deine Website. Egal wer den Chat gebaut hat: Prüfe selbst, dass der Hinweis auf deiner Website vor der ersten Nachricht erscheint.

So sieht ein guter KI-Hinweis aus

Kurz, sichtbar, bevor der Besucher tippt, und ehrlich zu den Grenzen. Zum Beispiel: „Du chattest mit einem automatischen Assistenten, nicht mit einem Menschen. Er antwortet mit den Dokumenten dieser Organisation und kann sich irren.“ Ergänze, wie lange die Unterhaltung gespeichert wird, und einen Link zu deiner Datenschutzerklärung. Übersetze den Hinweis in jede Sprache deiner Website, und wenn du deine Kunden siezt, formuliere ihn in der Sie-Form.

KI-Chatbot und DSGVO: die vier Punkte, die du klären musst

Menschen tippen Namen, Bestellnummern, E-Mail-Adressen und manchmal noch viel mehr in ein Chatfenster. Damit ist die Unterhaltung personenbezogen, und dein Unternehmen ist der Verantwortliche: derjenige, der entscheidet, warum und wie die Daten verarbeitet werden.

1. Eine Rechtsgrundlage

Die DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, öffentliches Interesse, lebenswichtige Interessen und berechtigte Interessen. Die Einwilligung ist nicht die einzige Möglichkeit. Für die Beantwortung von Fragen, die Kunden und Interessenten von sich aus stellen, passen Vertrag oder berechtigte Interessen oft besser, berechtigte Interessen verlangen aber eine Abwägung, dass die Rechte der Betroffenen nicht überwiegen. Entscheide, auf welche Grundlage du dich stützt, und halte sie schriftlich fest.

2. Eine Datenschutzerklärung, die den Chat erwähnt

Die Europäische Kommission listet auf, welche Informationen du Menschen geben musst (Seite auf Englisch), wenn du ihre Daten erhebst. Für einen Chat sollte deine Datenschutzerklärung mindestens Folgendes nennen:

• dass die Website einen automatischen Chat-Assistenten hat und wofür er da ist;
• welche Daten er verarbeitet (die Nachrichten und alles, was du zusätzlich dazu speicherst);
• deine Rechtsgrundlage;
• wie lange Unterhaltungen gespeichert werden;
• wer die Nachrichten erhält (dein KI-Anbieter und jeder andere beteiligte Dienst);
• ob Daten die EU verlassen und auf welcher Grundlage;
• die Rechte der Betroffenen, darunter Auskunft, Löschung und Beschwerde bei einer Datenschutzaufsichtsbehörde.

Verlinke die Datenschutzerklärung direkt im Chat, neben dem KI-Hinweis.

3. Eine Speicherfrist

Die Kommission sagt klar, dass Daten so kurz wie möglich gespeichert werden müssen, mit festen Fristen für ihre Löschung oder Überprüfung. Alte Unterhaltungen zu lesen, hilft dir, deine Antworten zu verbessern, aber dafür reichen meist ein paar Wochen oder Monate. Leg eine Anzahl von Tagen fest, nenne sie in deiner Datenschutzerklärung und sorge dafür, dass die Löschung wirklich automatisch passiert. Chats aufzubewahren, „bis jemand ans Aufräumen denkt“, ist der am leichtesten vermeidbare Fehler.

4. Dein KI-Anbieter: Auftragsverarbeitung und Drittlandtransfer

Das Unternehmen, dessen KI die Antworten schreibt, bekommt jede Nachricht. Nach der DSGVO ist es dein Auftragsverarbeiter, und die Kommission erklärt, dass die Zusammenarbeit mit einem Auftragsverarbeiter einen Vertrag voraussetzt (Seite auf Englisch). Die meisten KI-Anbieter bieten einen Auftragsverarbeitungsvertrag (AVV, englisch DPA) in den Kontoeinstellungen oder in ihren Bedingungen an. Akzeptiere oder unterschreibe ihn, bevor der Chat live geht.

Verarbeitet der Anbieter Daten außerhalb der EU, sollte der AVV sagen, welchen Übermittlungsmechanismus er nutzt. Für die USA ist das oft das EU-US Data Privacy Framework (für danach zertifizierte Unternehmen, auf Grundlage des Angemessenheitsbeschlusses der Kommission vom 10. Juli 2023) oder die Standardvertragsklauseln der Kommission. Wenn dir die Verarbeitung in der EU lieber ist: Manche Anbieter bieten sie an. Unser Leitfaden zur Wahl des KI-Modells für einen Website-Chatbot vergleicht die Möglichkeiten.

Eine praktische Checkliste für deinen Website-Chat

1. Der Chat zeigt über der ersten Nachricht einen KI-Hinweis, in jeder Sprache der Website.
2. Der Hinweis verlinkt deine Datenschutzerklärung.
3. Deine Datenschutzerklärung hat einen Abschnitt zum Chat: Zweck, Daten, Rechtsgrundlage, Speicherfrist, Empfänger, Drittlandtransfer, Rechte.
4. Du hast den AVV deines KI-Anbieters akzeptiert oder unterschrieben (und den jedes zweiten Dienstes, zum Beispiel des Dienstes, der den Suchindex aufbaut).
5. Unterhaltungen werden nach einer festen Anzahl von Tagen automatisch gelöscht.
6. Du speicherst nicht mehr als nötig: keine IP-Adressen oder zusätzliches Tracking ohne Grund.
7. Der Chat antwortet nur aus deinen eigenen Dokumenten und kann deshalb nichts versprechen, was dein Unternehmen nie gesagt hat.
8. Wenn er nicht antworten kann, nennt er einen Weg zu einem Menschen.
9. Du kannst die Unterhaltungen einer Person finden und löschen, wenn sie darum bittet.
10. Jemand liest die Unterhaltungen ab und zu und weiß, was zu tun ist, wenn ein Besucher sensible Daten preisgibt.

Die Umsetzung: von Hand, mit einem allgemeinen Tool oder mit Answer Desk

Von Hand oder mit einem allgemeinen Chatbot

Die meisten Punkte der Checkliste sind Schreib- und Papierarbeit: der Abschnitt in der Datenschutzerklärung, der AVV, die Rechtsgrundlage. Die bleiben bei dir, egal welches Tool du nutzt. Die technischen Punkte (Hinweis vor der ersten Nachricht, automatische Löschung, Unterhaltungen einer Person finden) hängen vom Chatbot ab. Bevor du dich für einen entscheidest, frag den Anbieter: Kann der KI-Hinweis versehentlich ausgeblendet werden? Wo werden Unterhaltungen gespeichert, und kann ich eine Löschfrist festlegen? Wer bekommt die Nachrichten, und wo?

Mit Answer Desk unter WordPress

Answer Desk ist unser WordPress-Plugin für einen Support-Chat, der aus deinen eigenen Dokumenten antwortet. Es erledigt den technischen Teil des Chats auch in der kostenlosen Version, unter Answer Desk > Rules and privacy:

• KI-Hinweis: wird über der ersten Nachricht angezeigt und lässt sich nicht abschalten, nur unter Your wording umformulieren. Der vorgeschlagene Text ist auf Englisch, auf einer deutschsprachigen Website schreibst du dort also deine eigene Fassung. Der Satz zur Speicherdauer und der Datenschutz-Link werden automatisch ergänzt; Shown to visitors right now: zeigt den endgültigen Text.
• Speicherfrist: Delete them after legt die Anzahl der Tage fest (Standard 90). Die Löschung läuft einmal am Tag und entfernt die Daten wirklich. Die kostenlose Version wendet höchstens 30 Tage an; mit einer Lizenz gilt die Zahl, die du gewählt hast.
• Keine gespeicherte IP-Adresse: Um Nachrichten pro Besucher zu begrenzen, behält das Plugin einen Einweg-Fingerabdruck, der einen Besucher eine Stunde lang wiedererkennt.
• Auftragsverarbeiter: Eine Tabelle listet deinen KI-Anbieter, den Index-Anbieter und deine eigene Website, jeweils mit dem, was sie bekommen, und wo sie verarbeiten.
• Datenschutz-Werkzeuge von WordPress: Das Plugin schlägt unter Einstellungen > Datenschutz einen Absatz „Automated chat assistant“ vor und arbeitet mit Werkzeuge > Personenbezogene Daten exportieren und Werkzeuge > Personenbezogene Daten löschen zusammen (diese finden Unterhaltungen von Besuchern, die angemeldet waren, über die E-Mail-Adresse).

Die Karte Where you stand zeigt für fünf Punkte ein Häkchen oder ein Ausrufezeichen. Sie ist eine Checkliste, kein Zertifikat: Den AVV mit deinem KI-Anbieter abzuschließen und den Chat in deiner Datenschutzerklärung zu erwähnen, bleibt deine Aufgabe. Die vollständige Anleitung steht unter KI-Hinweis, Datenschutz und Limits, und Unterhaltungen lesen und exportieren erklärt, wie du einzelne Chats liest und löschst.

Häufige Fehler

• Ein Hinweis nur im Footer oder in der Datenschutzerklärung. Der AI Act verlangt ihn bei der ersten Interaktion, er gehört also in den Chat.
• Ein menschlich klingender Name mit Foto und ohne Hinweis. Genau darum geht es bei der Transparenzpflicht.
• Jede Unterhaltung für immer aufbewahren, „fürs Training“ oder „für alle Fälle“.
• Die KI aus Allgemeinwissen antworten lassen. Kein DSGVO-Thema, aber ein erfundener Preis oder Liefertermin spricht im Namen deines Unternehmens.
• Den zweiten Anbieter vergessen. Wenn ein Dienst die Antworten schreibt und ein anderer den Suchindex aufbaut, sind beide Auftragsverarbeiter.

Zusammenfassung: wer was braucht

Jedes Unternehmen in der EU mit einem KI-Chat auf der Website braucht den KI-Hinweis vor der ersten Nachricht (seit dem 2. August 2026) und eine saubere DSGVO-Grundlage: Rechtsgrundlage, eine Datenschutzerklärung, die den Chat abdeckt, eine Speicherfrist und einen AVV mit dem KI-Anbieter. Wenn du schon einen Chatbot hast, prüfe zuerst den Hinweis und die Löschfrist, denn diese zwei Punkte fehlen am häufigsten. Wenn du einen auswählst, nimm ein Tool, bei dem sich der Hinweis nicht ausblenden lässt und das alte Chats selbst löscht, und steck deine Zeit in die Papierarbeit, die nur du erledigen kannst. Wie der Chat seine Antworten findet, liest du unter KI-Chatbots mit eigenen Daten.