Chatbot und DSGVO: Checkliste für KMU (2026)

Für einen DSGVO-orientierten Chatbot müssen Unternehmen prüfen, ob ein Auftragsverarbeitungsvertrag vorliegt, wo und durch wen Chat-Daten verarbeitet werden und auf welcher Rechtsgrundlage mögliche Drittlandübermittlungen beruhen. Hinzu kommen Rechtsgrundlage, Transparenz, Löschfristen, Zugriffsschutz und die konkrete Nutzung im Unternehmen. Eine Verarbeitung auf Servern in der EU oder im EWR vereinfacht die Prüfung, ersetzt aber nicht die weiteren Datenschutzanforderungen. Seit dem 2. August 2026 greifen zudem die Transparenzpflichten des EU AI Act: Unternehmen müssen offenlegen, dass Nutzer mit einem KI-System sprechen.

Diese Checkliste fasst die wichtigsten Prüfpunkte zusammen, die vor dem Go-live eines Chatbots beachtet werden sollten.

1. Auftragsverarbeitungsvertrag (AVV) prüfen

Sobald ein Chatbot personenbezogene Daten verarbeitet (Name, E-Mail, Telefonnummer, Chat-Verlauf), ist der Anbieter Auftragsverarbeiter. Ein schriftlicher AVV muss regeln: Welche Daten werden verarbeitet, wo werden sie gespeichert und wie lange. Ohne AVV ist der Chatbot nicht rechtlich sorgfältig, unabhängig von Marketing-Versprechen.

2. Serverstandort EU/EWR sicherstellen

Chat-Daten gehören auf EU- oder EWR-Server. Manche Anbieter betreiben ihre Infrastruktur überwiegend in den USA. Das ist nur dann DSGVO-orientiert, wenn der Anbieter explizit EU-Hosting zusichert oder unter dem EU-US Data Privacy Framework zertifiziert ist. Eine schriftliche Bestätigung des Anbieters zum Serverstandort ist erforderlich.

3. Logging und Protokollierung dokumentieren

Jeder Chat-Verlauf ist ein personenbezogenes Datum, sobald er einer Person zugeordnet werden kann (IP-Adresse, Session-ID, E-Mail). Es muss dokumentiert werden: Was wird geloggt, wie lange und wer hat Zugriff. Ein Chatbot, der alle Chats unbegrenzt speichert, verstößt gegen das Prinzip der Speicherbegrenzung. Eine Logging-Policy mit konkreten Löschfristen ist erforderlich.

4. Consent-Mechanismus implementieren

Wenn der Chatbot Cookies setzt oder nicht-technisch notwendige Daten verarbeitet (Marketing, Analyse), ist eine aktive Einwilligung vor dem ersten Chat erforderlich. Ein vorausgewähltes Häkchen zählt nicht, die Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein. Ein Consent-Banner mit Ablehnungsmöglichkeit und Widerrufsfunktion ist notwendig.

5. Datenminimierung umsetzen

Der Chatbot darf nur Daten erheben, die für den konkreten Zweck notwendig sind. Wenn er nach Name, E-Mail, Telefonnummer, Unternehmen, Branche, Umsatz und Mitarbeiterzahl fragt, obwohl er nur eine Terminanfrage bearbeitet, ist das ein Verstoß. Pflichtfelder müssen auf das Notwendige beschränkt werden.

6. Löschfristen und Auskunftsrecht gewährleisten

Chat-Verläufe müssen auf Anfrage gelöscht werden können und dem Nutzer muss Auskunft über seine Daten gegeben werden. Wenn der Chatbot-Anbieter keine Lösch- oder Export-Funktion bietet, können diese Rechte nicht erfüllt werden. Eine Funktion zum Löschen von Chat-Verläufen und zum Exportieren von Daten ist erforderlich.

7. KI-Kennzeichnung und Transparenz sicherstellen

Wenn der Chatbot KI-generierte Antworten liefert, muss das transparent gemacht werden. Nutzer müssen erfahren, dass sie mit einer Maschine sprechen; diese Kennzeichnungspflicht ergibt sich aus dem EU AI Act. Ein Hinweis wie "Dieser Chat wird von einer KI unterstützt" reicht aus. Die KI-Nutzung muss sichtbar sein.

Anbieter-Vergleich: Tidio, Intercom, Chatbase

Bei der Auswahl eines Chatbots für den deutschen Mittelstand steht die rechtliche Sicherheit oft im Konflikt mit der Funktionalität. Während US-Anbieter durch einfache Bedienung überzeugen, müssen Unternehmen die strengen Anforderungen der DSGVO im Blick behalten.

Tidio

AVV verfügbar: Ja (DPA und Standardvertragsklauseln auf Anfrage)

Hosting-Standort: EWR (AWS-Rechenzentren in der EU)

Drittlandtransfer: Laut Anbieter DPF-Zertifizierung, Support teils außerhalb des EWR

Intercom

AVV verfügbar: Ja (DPA)

Hosting-Standort: EU-Hosting (Frankfurt) optional, laut Anbieter für den Business-Tarif

Drittlandtransfer: Laut Anbieter DPF-zertifiziert, optional mit EU-Hosting

Chatbase

AVV verfügbar: Ja (DPA)

Hosting-Standort: Hauptverarbeitung in den USA

Drittlandtransfer: Hauptverarbeitung in den USA, Transfergrundlage prüfen

Individuelle Setups

AVV verfügbar: Ja (selbstbestimmt)

Hosting-Standort: Frei wählbar (DE/EU)

Drittlandtransfer: Minimal

Die Angaben stammen aus den öffentlichen Datenschutzseiten der Anbieter und können sich ändern (Stand Herbst 2026, bitte prüfen). Bei jedem Anbieter sollten Serverstandort, AVV-Verfügbarkeit und Datentransfer selbst geprüft werden.

Wann reicht ein AVV wirklich?

Ein Auftragsverarbeitungsvertrag wird erforderlich, sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, etwa ein Chatbot-Anbieter, der Kundennachrichten speichert oder analysiert. Viele Unternehmen unterschreiben Standard-AVVs, ohne zu prüfen, ob die technische Umsetzung tatsächlich DSGVO-orientiert ist. Ein AVV ist kein Schutzschild: Er regelt nur die Verantwortlichkeiten zwischen Verantwortlichem und Auftragsverarbeiter, schützt aber nicht automatisch vor Datenschutzverstößen.

Die Rollenverteilung ist eindeutig: Der Betreiber bleibt verantwortlich für die Rechtmäßigkeit der Datenverarbeitung. Der Anbieter darf Daten nur nach Weisung verarbeiten und muss technische Maßnahmen nachweisen (Verschlüsselung, Zugriffskontrolle, Löschkonzept). In der Praxis scheitert das an drei konkreten Punkten: Erstens fehlt die Dokumentation, welche Daten der Chatbot tatsächlich speichert. Zweitens nutzen viele Anbieter US-Cloud-Dienste ohne gültige Standardvertragsklauseln. Drittens binden sie Subunternehmer ein, ohne dass der Betreiber davon weiß.

Bei US-Diensten ohne DPF-Zertifizierung sind Standardvertragsklauseln (SCC) der EU-Kommission oft die rechtliche Grundlage für Datentransfers. SCCs sind nur wirksam, wenn der Anbieter zusätzliche Schutzmaßnahmen nachweist (Ende-zu-Ende-Verschlüsselung, Datenminimierung, Server-Standort in der EU). Bei einem Transfer auf Basis von SCC sollte vor Vertragsabschluss eine Transfer Impact Assessment (TIA) durchgeführt werden. Das ist eine Risikoanalyse, ob der Datentransfer trotz SCCs sicher ist. Rechtliche Prüfung im Einzelfall empfohlen.

6 Schritte zum datenschutzorientierten Chatbot

Die Einführung eines KI-Systems im Unternehmen scheitert oft nicht an der Technik, sondern an der Sorge vor rechtlichen Konsequenzen. Ein datenschutzorientierter Chatbot ist jedoch ein strukturierter Prozess, der Sicherheit für Unternehmen und Kunden schafft.

Schritt 1: Prüfung der Anbieter-Infrastruktur

Es sollte analysiert werden, wo die Daten verarbeitet werden. Serverstandorte innerhalb der EU oder Anbieter mit klaren Standardvertragsklauseln sind zu bevorzugen.

Schritt 2: Datenfluss-Mapping erstellen

Es muss präzise dokumentiert werden, welche Informationen der Nutzer eingibt und wohin diese fließen. Zwischen technisch notwendigen Daten (IP-Adresse) und freiwilligen Angaben im Chatverlauf ist zu unterscheiden.

Schritt 3: Rechtsgrundlage festlegen

Es ist zu bestimmen, worauf die Verarbeitung basiert. Meist ist dies die Vertragserfüllung oder das berechtigte Interesse.

Schritt 4: Auftragsverarbeitungsvertrag (AVV) schließen

Mit dem Software-Anbieter ist ein AVV abzuschließen. Ohne diesen Vertrag ist jede Datenweitergabe an den Dienstleister rechtswidrig.

Schritt 5: Transparenzhinweise und Datenschutztexte anpassen

Der Chatbot ist in die Datenschutzerklärung zu integrieren. Der Nutzer muss vor Beginn des Chats wissen, was mit seinen Daten geschieht. Ein kurzer Hinweis direkt im Chat-Fenster erhöht das Vertrauen und erfüllt die Informationspflichten.

Schritt 6: Löschfristen und Testbetrieb definieren

Es sind automatische Routinen einzurichten, die Chat-Protokolle nach einem festgelegten Zeitraum löschen. Die passende Frist hängt vom Zweck ab. Ein Testbetrieb mit ausgewählten Nutzern hilft, technische und rechtliche Schwachstellen zu identifizieren.

EU AI Act: Kennzeichnungspflicht ab 02.08.2026

Seit dem 2. August 2026 greifen die Transparenzpflichten des EU AI Act. Unternehmen müssen offenlegen, dass Nutzer mit einem KI-System sprechen. Ein Hinweis wie "Dieser Chat wird von einer KI unterstützt" reicht aus, um die Anforderung zu erfüllen.

Bot-Agent plant für diese Anforderung eine Automatisierung im Katalog (40 Automatisierungen in Entwicklung, Verkauf noch nicht geöffnet, Stand Herbst 2026, bitte prüfen).

Kosten für DSGVO-Chatbots

Die Preise für Chatbot-Software mit AVV unterscheiden sich stark nach Anbieter, Funktionsumfang und Nachrichtenvolumen. Aktuelle Beträge stehen in den Preislisten der Anbieter (Stand Herbst 2026, bitte prüfen).

Local-first senkt Schrems-II-Risiko

Viele Unternehmen bevorzugen Rechenzentren in Deutschland. Eine Verarbeitung auf Servern in der EU oder im EWR vereinfacht die Prüfung, ersetzt aber nicht die weiteren Datenschutzanforderungen. Local-first-Ansätze minimieren das Risiko von Drittlandübermittlungen und erleichtern die Einhaltung der DSGVO.

Zusammenfassung: Checkliste für DSGVO-Chatbots

1. AVV prüfen: Schriftlicher Auftragsverarbeitungsvertrag erforderlich, wenn personenbezogene Daten verarbeitet werden.
2. Serverstandort: EU- oder EWR-Server bevorzugen, bei US-Diensten DPF-Zertifizierung oder gültige Standardvertragsklauseln prüfen.
3. Logging dokumentieren: Was wird geloggt, wie lange, wer hat Zugriff; Logging-Policy mit konkreten Löschfristen erforderlich.
4. Consent-Mechanismus: Aktive Einwilligung vor dem ersten Chat, freiwillig, informiert, jederzeit widerrufbar.
5. Datenminimierung: Nur Daten erheben, die für den konkreten Zweck notwendig sind.
6. Löschfristen und Auskunftsrecht: Funktion zum Löschen von Chat-Verläufen und zum Exportieren von Daten erforderlich.
7. KI-Kennzeichnung: Transparenter Hinweis, dass Nutzer mit einer KI sprechen (ab 02.08.2026).
8. Anbieter-Infrastruktur: Serverstandort, AVV-Verfügbarkeit und Datentransfer vor Vertragsabschluss prüfen.
9. Datenfluss-Mapping: Dokumentieren, welche Informationen wohin fließen.
10. Rechtsgrundlage: Vertragserfüllung oder berechtigtes Interesse festlegen.
11. Transparenzhinweise: Chatbot in Datenschutzerklärung integrieren, Hinweis im Chat-Fenster.
12. Testbetrieb: Technische und rechtliche Schwachstellen vor unternehmensweitem Einsatz identifizieren.

Ein sauber dokumentierter Prozess senkt das Risiko von Beanstandungen. Weitere Details und Praxisbeispiele finden sich in der ausführlichen Fassung zu Chatbot und DSGVO für KMU im Blog von Bot-Agent.