Start · Wissen · KI-Chatbot & DSGVO
KI-Chatbot DSGVO-konform betreiben: Checkliste 2026
Ein DSGVO-konformer KI-Chatbot braucht mehr als ein Cookie-Banner: einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter, eine klare Rechtsgrundlage, einen Hinweis im Chat, eine ergänzte Datenschutzerklärung und definierte Speicherfristen. Bei ASAP HUB gehört das DSGVO-Setup zum Festpreis von 1.900 € — das System läuft auf deinem Konto, bei uns liegen keine Daten.
Viele Unternehmen glauben, mit einem Cookie-Banner sei das Thema Datenschutz beim Chatbot erledigt. Das Gegenteil ist der Fall: Das Banner regelt das Tracking — der Chatbot selbst verarbeitet Daten auf einem ganz anderen Weg. Wer das verwechselt, hat am Ende ein sauberes Banner und einen unsauberen Bot. Dieser Guide erklärt, worauf es wirklich ankommt, und liefert eine Checkliste mit zehn Punkten, die du vor dem Livegang abhaken solltest.
Warum DSGVO beim Chatbot mehr ist als ein Banner
Sobald ein Besucher etwas in den Chat tippt, verarbeitest du personenbezogene Daten — spätestens, wenn er seinen Namen, seine E-Mail-Adresse oder sein Anliegen nennt. Fünf Themen musst du dafür geklärt haben:
1. Die Verarbeitung durch LLM-APIs. Moderne Chatbots schicken die Nutzereingabe an das API eines KI-Anbieters, der die Antwort erzeugt. Dieser Anbieter ist damit Auftragsverarbeiter — die Daten verlassen deine Website und werden auf fremden Servern verarbeitet. Das ist zulässig, muss aber vertraglich geregelt sein.
2. Der Auftragsverarbeitungsvertrag (AVV). Nach Art. 28 DSGVO brauchst du mit jedem Dienstleister, der personenbezogene Daten für dich verarbeitet, einen AVV — auch mit dem KI-Anbieter. Die großen Anbieter stellen dafür Standardverträge (Data Processing Agreements) bereit; du musst sie aktiv abschließen, nicht nur davon wissen.
3. Der Drittlandtransfer. Viele KI-Anbieter sitzen außerhalb der EU. Dann braucht der Transfer eine Grundlage — etwa Standardvertragsklauseln oder eine anerkannte Angemessenheitsregelung. Einige Anbieter bieten inzwischen EU-Verarbeitung an; wenn du die Wahl hast, nimm sie.
4. Die Speicherung von Chat-Verläufen. Verläufe sind personenbezogene Daten. Du musst wissen: Wo liegen sie, wie lange, wer kann sie einsehen — und wann werden sie gelöscht? „Das speichert das Tool irgendwo" ist keine Antwort, die du einer Aufsichtsbehörde geben willst.
5. Die Rechtsgrundlage: Einwilligung oder berechtigtes Interesse. Nach Art. 6 DSGVO braucht jede Verarbeitung eine Rechtsgrundlage. Beim Chatbot wird meist mit berechtigtem Interesse oder der Anbahnung eines Vertrags argumentiert — der Besucher startet den Chat schließlich selbst, um eine Frage zu stellen. Tracking und Marketing-Cookies sind davon getrennt zu betrachten: Dafür bleibt es bei der Einwilligung. Welche Grundlage in deinem Fall trägt, ist eine Einzelfallfrage.
Der häufigste Fehler in der Praxis ist übrigens keiner dieser fünf Punkte, sondern ihre Reihenfolge: Erst wird der Bot live geschaltet, dann — irgendwann — kümmert sich jemand um den Datenschutz. Sauber ist der umgekehrte Weg: Das Setup steht, bevor der erste Besucher tippt. Nachträglich reparieren ist teurer und peinlicher als von Anfang an richtig bauen.
Die 10-Punkte-Checkliste für den Livegang
Diese zehn Punkte solltest du abgehakt haben, bevor der Chatbot auf deiner Website live geht. Sie sind bewusst so formuliert, dass du sie an jedem Anbieter prüfen kannst — auch an uns:
- AVV mit dem KI-Anbieter abschließen. Data Processing Agreement aktiv akzeptieren und archivieren — inklusive der Regelungen zum Drittlandtransfer.
- Keine sensiblen Daten erfragen. Der Bot sollte so konfiguriert sein, dass er keine Gesundheitsdaten, Ausweisnummern oder Zahlungsdaten abfragt — und Besucher aktiv davon abhält, sie einzutippen.
- Hinweis im Chat-UI. Direkt im Chat-Fenster: Hier antwortet eine KI, Eingaben werden zur Beantwortung verarbeitet, Link zur Datenschutzerklärung.
- Datenschutzerklärung ergänzen. Ein eigener Abschnitt zum Chatbot: welcher Anbieter, welche Daten, welche Rechtsgrundlage, welche Speicherdauer.
- Speicherfristen festlegen. Chat-Verläufe nicht unbegrenzt aufheben — eine definierte Frist festlegen, dokumentieren und technisch durchsetzen.
- Tracking vom Chat trennen. Der Chatbot darf nicht heimlich als Tracking-Werkzeug dienen. Analyse-Tools bleiben Consent-gated hinter dem Banner — der Chat funktioniert auch, wenn der Besucher Tracking ablehnt.
- Eigenes Konto = Datenhoheit. Läuft das System auf deinem API-Konto, weißt du genau, welche Daten wohin fließen — statt sie durch die Infrastruktur eines Zwischenhändlers zu schicken, dessen Subdienstleister du nicht kennst.
- Ausgabengrenze einrichten. Kein direkter Datenschutzpunkt, aber Teil eines kontrollierten Betriebs: ein Kostenlimit auf dem API-Konto, damit das System auch wirtschaftlich beherrschbar bleibt.
- Lösch-Prozess definieren. Wer löscht was, wann und wo — Verläufe, Logs, gegebenenfalls Daten beim KI-Anbieter? Einmal aufschreiben, dann ist es im Ernstfall kein Suchspiel.
- Betroffenenrechte bedienen können. Auskunft, Berichtigung, Löschung: Wenn ein Besucher fragt, was über ihn gespeichert ist, musst du antworten können. Das setzt voraus, dass du Punkt 4 und 9 sauber gelöst hast.
Wie ASAP HUB das löst
Wir behandeln Datenschutz nicht als Zusatzpaket, sondern als Teil der Installation. Beim Website Concierge (1.900 € Festpreis) sieht das konkret so aus:
- Das System läuft auf deinem Konto. Dein API-Vertrag, dein AVV, deine Datenhoheit — wir richten alles ein, aber die Daten laufen nicht über uns. Nach der Übergabe liegen keine Chat-Daten bei ASAP HUB.
- Datensparsamkeit ist Standard. Der Bot fragt nur ab, was er für sein Ziel braucht — Anliegen, Kontakt, Terminwunsch. Sensible Daten weist er aktiv ab.
- Fonts und Assets selbst gehostet. Keine Schriften von US-CDNs, keine Drittanbieter-Requests beim Seitenaufruf — so, wie wir es auf asaphub.io selbst machen.
- Consent-Banner ohne Vorab-Tracking. Unser Consent-Setup lädt kein einziges Tracking-Skript, bevor der Besucher zugestimmt hat — der Chat bleibt davon unabhängig nutzbar.
- Dokumentierte Übergabe. Du bekommst schriftlich, welche Daten wo verarbeitet werden — als Grundlage für deine Datenschutzerklärung und dein Verarbeitungsverzeichnis. Dazu 30 Tage Fehlerbehebung inklusive.
Was ein Chatbot insgesamt kostet und welche Preismodelle es am Markt gibt, haben wir im Guide Was kostet ein KI-Chatbot? aufgeschlüsselt. Alle Festpreise stehen auf der Preisliste.
Häufige Fragen zu Chatbot und DSGVO
Brauche ich eine Einwilligung, bevor jemand den Chat nutzt?
Für den Chat selbst wird meist berechtigtes Interesse oder Vertragsanbahnung (Art. 6 DSGVO) als Grundlage herangezogen — der Besucher startet das Gespräch aktiv. Eine Einwilligung brauchst du für Tracking und Marketing, das getrennt vom Chat läuft. Die Einordnung deines Einzelfalls gehört in die Hände einer Datenschutz-Kanzlei.
Darf ein KI-Chatbot Daten außerhalb der EU verarbeiten?
Ja, wenn der Transfer eine Grundlage hat — etwa Standardvertragsklauseln oder eine anerkannte Angemessenheitsregelung — und der AVV das abdeckt. Einige Anbieter bieten EU-Verarbeitung an; wo verfügbar, ist das die einfachere Wahl.
Muss der Chatbot in die Datenschutzerklärung?
Ja. Ein eigener Abschnitt mit Anbieter, Datenarten, Rechtsgrundlage und Speicherdauer gehört hinein — plus ein Hinweis direkt im Chat-Fenster. Bei uns bekommst du die nötigen Angaben dokumentiert mit der Übergabe.
Wie lange darf ich Chat-Verläufe speichern?
So lange, wie du sie für den Zweck brauchst — danach müssen sie weg. Die DSGVO nennt keine feste Frist; entscheidend ist, dass du eine Frist definierst, begründest und technisch durchsetzt. Unbegrenztes Aufheben „für später" ist keine Option.
Ist ein DSGVO-sauberer Chatbot teurer?
Bei manchen Abo-Tools ja — EU-Hosting oder AVV-Funktionen stecken dort in höheren Tarifen. Bei ASAP HUB ist das Setup im Festpreis von 1.900 € enthalten: eigenes Konto, Datensparsamkeit, Consent-Trennung, dokumentierte Übergabe. Kein Aufpreis, kein Abo.