Datenschutz

DSGVO und Chatbot

Ein Chatbot auf Ihrer Website verarbeitet, was Besucher hineinschreiben, und das sind regelmäßig personenbezogene Daten. Damit gilt die DSGVO, unabhängig davon, wie klein Ihr Betrieb ist.

Diese Seite erklärt, welche Pflichten daraus üblicherweise entstehen, welche davon wir als Anbieter übernehmen und welche bei Ihnen bleiben. Sie ist keine Rechtsberatung, dazu steht am Ende ein eigener Absatz.

Welche Daten ein Chatbot überhaupt verarbeitet

Bevor man über Pflichten redet, lohnt der Blick darauf, worum es tatsächlich geht. Bei unserem Bot sind es drei Dinge, und mehr nicht.

Den Text des Gesprächs: Alles, was der Besucher schreibt, und alles, was der Bot antwortet. Was ein Besucher hineinschreibt, bestimmt er selbst, und manche schreiben mehr, als sie müssten.
Freiwillig hinterlassene Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse, wenn der Besucher sie von sich aus nennt, weil er zurückgerufen werden will. Der Bot fragt nicht danach, solange der Besucher es nicht will.
Technisch Notwendiges: Eine zufällige Kennung, damit das Gespräch beim Nachladen der Seite nicht abreißt. Keine IP-Adresse bei den Gesprächen und keine Cookies.

Was wir als Anbieter übernehmen

Diese Punkte sind unsere Sache. Sie stehen wortgleich in unserer Datenschutzerklärung und im Auftragsverarbeitungsvertrag, den Sie von uns bekommen.

Gespräche und Kontaktdaten aus dem Chat werden spätestens nach 30 Tagen gelöscht, sofern nichts anderes vereinbart ist.
Das Chatfenster setzt keine Cookies. Bei den Gesprächen werden keine IP-Adressen gespeichert.
Gespeichert wird auf einem Server in Deutschland.
Für die Antwort geht die Frage an Anthropic in die USA, auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 DSGVO.
Mit jedem Kunden wird vor Beginn der Verarbeitung ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.
Im Chatfenster steht der Hinweis nach Art. 50 Abs. 1 KI-Verordnung, dass hier eine KI antwortet.

Was bei Ihnen bleibt

Vier Punkte, die kein Anbieter für Sie erledigen kann, weil sie an Ihrem Betrieb hängen. Die Textbausteine dafür bekommen Sie von uns, eintragen müssen Sie sie selbst.

1. Auftragsverarbeitungsvertrag schließen: Er ist nach Art. 28 DSGVO Pflicht, sobald wir für Sie personenbezogene Daten verarbeiten, und er wird vor dem Start geschlossen. Sie bekommen ihn von uns, Sie müssen ihn nicht aufsetzen.
2. Ihre Datenschutzerklärung ergänzen: Dort muss stehen, dass Sie einen Chatbot einsetzen, wer ihn betreibt, welche Daten dabei anfallen, wie lange sie gespeichert werden und dass für die Antwort eine Übermittlung in die USA stattfindet. Die Bausteine liefern wir.
3. Das Verzeichnis der Verarbeitungstätigkeiten pflegen: Nach Art. 30 DSGVO führen die meisten Betriebe ein solches Verzeichnis. Der Chatbot gehört als eigener Eintrag hinein.
4. Die Rechtsgrundlage bestimmen: Für den Betrieb eines Chatbots zur Beantwortung von Kundenanfragen stützen sich Betriebe üblicherweise auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder auf die Anbahnung eines Vertrags nach lit. b. Welche in Ihrem Fall die richtige ist, hängt von Ihrem Einsatz ab.

Brauche ich für den Chatbot einen Cookie-Banner?

Für unseren Chatbot nicht. Das Chatfenster setzt keine Cookies und liest keine Informationen aus dem Gerät des Besuchers aus, für die eine Einwilligung nötig wäre.

Das ist der Punkt, an dem sich Anbieter deutlich unterscheiden. Viele Chatfenster setzen von sich aus Cookies zur Wiedererkennung oder binden fremde Zählwerkzeuge ein. Dann ist eine Einwilligung nötig, und der Bot darf erst nach dem Klick auf den Banner laden. Praktisch heißt das: Ein Teil Ihrer Besucher sieht ihn nie.

Ob Ihre Website aus anderen Gründen einen Banner braucht, ändert sich dadurch nicht. Der Chatbot ist dann nur kein weiterer Grund dafür.

Der Hinweis nach der KI-Verordnung

Seit der KI-Verordnung der EU gilt zusätzlich zur DSGVO eine eigene Pflicht: Nach Art. 50 Abs. 1 müssen Menschen darüber informiert werden, dass sie mit einem KI-System sprechen, sofern das nicht offensichtlich ist.

Bei uns steht dieser Hinweis sichtbar im Chatfenster, ohne dass Sie etwas tun müssen. Der Bot gibt sich außerdem nicht als Mensch aus, wenn ihn jemand direkt danach fragt.

Woran Sie einen Anbieter prüfen können

Fünf Fragen, die Sie jedem Chatbot-Anbieter stellen sollten, einschließlich uns. Die Antworten sollten schriftlich kommen und nicht am Telefon.

In welchem Land stehen die Server, auf denen die Gespräche gespeichert werden?
Verlässt eine Anfrage die EU, und wenn ja, auf welcher Grundlage nach Kapitel V DSGVO?
Nach welcher Frist werden Gespräche und Kontaktdaten gelöscht, und läuft das selbsttätig?
Bekomme ich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und darf ich ihn vorher lesen?
Setzt das Chatfenster Cookies oder bindet es fremde Dienste ein?

Passt dazu

Fragen zum Datenschutz? Stellen Sie sie uns vorher.

Wir schicken Ihnen den Auftragsverarbeitungsvertrag und die Textbausteine für Ihre Datenschutzerklärung zum Lesen, bevor irgendetwas läuft. Antwort innerhalb von 48 Stunden.

Unterlagen anfragen

Zuletzt geprüft: 28. August 2026