KI-Chatbot und DSGVO: Das musst du als Betreiber tun

Kein Rechtsrat: Dieser Artikel erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Einen KI-Chatbot DSGVO-konform einzusetzen heißt für dich als Website-Betreiber: Du informierst Besucher über die Verarbeitung, schließt mit dem Anbieter einen Vertrag zur Auftragsverarbeitung, prüfst Datenübermittlungen in Drittländer und klärst, ob für Cookies oder localStorage eine Einwilligung nötig ist. Website AI Agent gibt dazu in seiner Datenschutzerklärung konkrete Angaben, die du für deine eigene Dokumentation brauchst – auch dort, wo sie unbequem sind.

Wer ist verantwortlich?

Besucher tippen ihre Fragen in ein Chatfenster auf deiner Website. Du entscheidest, ob und wie der Chatbot eingesetzt wird – damit bist du im Regelfall der Verantwortliche. Website AI Agent verarbeitet die Daten in deinem Auftrag. Die Datenschutzerklärung der Provimedia GmbH beschreibt es so: „Soweit wir im Auftrag unserer Kunden personenbezogene Daten verarbeiten (z. B. Chat-Nachrichten der Endnutzer), handeln wir als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. In diesem Fall ist der Kunde der Verantwortliche.“

Pflicht 1: Informieren (Art. 13 DSGVO)

Wer Daten bei der betroffenen Person erhebt, muss ihr zum Zeitpunkt der Erhebung bestimmte Angaben mitteilen. Die Datenschutzkonferenz (DSK) nennt in ihrem Kurzpapier Nr. 10 unter anderem: Name und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage, Empfänger oder Kategorien von Empfängern, die Absicht einer Übermittlung in ein Drittland samt Hinweis auf Garantien, die Speicherdauer sowie die Betroffenenrechte.

Für den Chatbot heißt das: Deine eigene Datenschutzerklärung muss den Chatbot erwähnen. Nenne den Zweck, den Anbieter als Empfänger, die Speicherdauer und eine etwaige Drittlandübermittlung. Die Angaben, die Website AI Agent dir dafür liefert, stehen weiter unten. Die Rechtsgrundlage für den Chatbot-Betrieb wählst du selbst; die Provimedia GmbH nennt für ihre eigene Verarbeitung der Chat-Nachrichten das berechtigte Interesse nach Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Pflicht 2: Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Die DSK schreibt in ihrer Orientierungshilfe zu KI: Setzt eine Stelle eine KI-Anwendung eines externen Anbieters zum Beispiel als Cloud-Lösung ein, besteht zwischen Anbieter und Verantwortlichem häufig ein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO. Dann ist mit dem Anbieter eine Vereinbarung nach Art. 28 Abs. 3 DSGVO abzuschließen.

Bei Website AI Agent läuft das so: „Kunden schließen den Vertrag zur Auftragsverarbeitung im Kundenbereich unter „Verträge & Datenschutz“ ab; dort stehen auch die technischen und organisatorischen Maßnahmen und die Liste der weiteren Auftragsverarbeiter.“ Schließe den Vertrag ab, bevor der Chatbot live geht, und lege Vertrag samt Unterauftragsverarbeiter-Liste in deiner Dokumentation ab.

Pflicht 3: Drittlandübermittlung prüfen (Kapitel V DSGVO)

Die DSK weist darauf hin, dass bei KI-Anwendungen Datenübermittlungen in Drittstaaten häufig vorkommen und dann die Regeln des Kapitels V DSGVO zu berücksichtigen sind. Welche Angaben Website AI Agent dazu macht, hängt vom gewählten KI-Anbieter ab. Die Tabelle der Auftragsverarbeiter in der Datenschutzerklärung nennt für die Plattform als Standort „Nürnberg, Deutschland“ (netcup GmbH) und „Falkenstein, Deutschland“ (Hetzner Online GmbH). Für die KI-Anbieter gilt:

Google Gemini (Standard). Die Datenschutzerklärung sagt: „Standard ist Google Gemini; für Google Gemini sagen wir keinen Verarbeitungsort in der EU zu.“ Und weiter: „Ein Verarbeitungsort in der EU ist für diese Schnittstelle nicht zugesichert; eine Übermittlung in Drittländer erfolgt auf Grundlage der EU-Standardvertragsklauseln oder des EU-US Data Privacy Frameworks.“

Mistral AI (wahlweise). Die Datenschutzerklärung sagt: „Laut Anbieter werden die Daten standardmäßig in der EU gespeichert und verarbeitet; wir nutzen den EU-Endpunkt. Nach dem Auftragsverarbeitungsvertrag von Mistral AI sind vorübergehende Übermittlungen an Unterauftragsverarbeiter außerhalb der EU möglich; sie erfolgen auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln.“

Auch bei Mistral läuft ein Teil über Google. Die Datenschutzerklärung nennt: „Für die semantische Suche in der Wissensbasis wird die Frage des Besuchers vorerst auch bei einem Bot mit Mistral AI an die Google Gemini API übermittelt, ebenso die Textabschnitte der Wissensbasis selbst; diese Übergangslösung gilt bis zur angekündigten Umstellung (Abschnitt 8.1).“ Für deine Dokumentation bedeutet das: Auch wer Mistral wählt, hat Google als Empfänger.

Aufbereitung der Wissensbasis (Ollama Cloud). Hier ist die Datenschutzerklärung deutlich: „Die Verarbeitung findet überwiegend in den USA statt, also in einem Drittland; eine gesonderte Garantie nach Kapitel V DSGVO ist derzeit nicht dokumentiert.“ Übermittelt werden dabei „Inhalte öffentlich zugänglicher Seiten der Kunden-Website; keine Chat-Nachrichten“.

Ob eine Übermittlung für dich zulässig ist, bewertest du als Verantwortlicher. Dafür brauchst du genau diese Angaben – und sie sind der Grund, die Verarbeitungsorte nicht aus Marketingseiten, sondern aus der Datenschutzerklärung zu übernehmen.

Pflicht 4: Cookies und localStorage (§ 25 TDDDG)

§ 25 Abs. 1 TDDDG erlaubt die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff darauf nur, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Absatz 2 Nr. 2 nimmt Fälle aus, in denen die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

Das Chat-Widget gibt laut Datenschutzerklärung Folgendes an: „Das Chat-Widget setzt einen funktionalen Cookie (_wai_sid, Laufzeit: 30 Tage), um den Gesprächsverlauf bei erneutem Besuch wiederherzustellen.“ Außerdem: „Das Chat-Widget setzt keine Tracking-Cookies und führt keine Nutzeranalyse durch.“ Zusätzlich wird der Gesprächsverlauf im localStorage des Browsers zwischengespeichert.

Ob diese Speicherungen für deinen Einsatz unter die Ausnahme fallen, ist eine Einzelfallfrage, die du mit deiner Datenschutzberatung klärst. Möchtest du den Chat erst nach einer Zustimmung freischalten, bietet der Bot-Designer einen Cookie-Consent-Modus (data-require-consent="true" und anschließend WebsiteAIAgent.grantConsent()).

Pflicht 5: Transparenz nach der KI-Verordnung (Art. 50)

Nach Angaben der Europäischen Kommission gilt Art. 50 der KI-Verordnung ab dem 2. August 2026. Für Chatbots verlangt Art. 50 Abs. 1, dass Personen informiert werden, dass sie mit einem KI-System interagieren – es sei denn, das ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände offensichtlich. Die Kommission nennt als Beispiele ausdrücklich Chatbots, KI-Agenten und Avatare und beschreibt: Die Information muss ab Beginn der ersten Interaktion klar erkennbar und barrierefrei erfolgen.

Der Wortlaut adressiert zunächst die Anbieter der KI-Systeme. Ob und welche Pflichten dich als Betreiber zusätzlich treffen, hängt von deiner Rolle ab. Unabhängig davon ist ein klarer Hinweis im Chat sinnvoll: Schreibe in die Begrüßungsnachricht deines Bots, dass hier eine KI antwortet.

Checkliste vor dem Livegang

1. Datenschutzerklärung um den Chatbot ergänzen (Zweck, Rechtsgrundlage, Empfänger, Drittland, Speicherdauer).
2. AVV im Kundenbereich abschließen und Unterauftragsverarbeiter-Liste ablegen.
3. KI-Anbieter bewusst wählen und die Verarbeitungsorte dokumentieren.
4. § 25 TDDDG prüfen: Einwilligung oder Ausnahme.
5. KI-Hinweis in die Begrüßung schreiben.
6. Speicherdauer festlegen: Laut Datenschutzerklärung gelten für Chat-Verläufe „90 Tage nach der letzten Interaktion, sofern der Kunde keine abweichende Konfiguration vornimmt“.

Häufige Fragen

Ist ein KI-Chatbot DSGVO-konform möglich?

Grundsätzlich ja, wenn du die Pflichten oben erfüllst. „Konform“ ist dabei kein Produktmerkmal, sondern das Ergebnis deiner Prüfung im Einzelfall.

Brauche ich einen Vertrag mit Website AI Agent?

Wenn der Anbieter in deinem Auftrag Chat-Nachrichten verarbeitet, ja: Nach der Datenschutzerklärung schließt du den Vertrag zur Auftragsverarbeitung im Kundenbereich ab.

Werden Daten in die USA übermittelt?

Das hängt vom gewählten Anbieter und den genutzten Funktionen ab. Für Google Gemini ist ein Verarbeitungsort in der EU nicht zugesichert, bei Ollama Cloud findet die Verarbeitung überwiegend in den USA statt. Die genauen Angaben stehen oben und auf der Seite Datenschutz und KI.

Wo finde ich die vollständigen Angaben des Anbieters?

In der Datenschutzerklärung von Website AI Agent und im Kundenbereich unter „Verträge & Datenschutz“. Wie der Chatbot technisch eingebunden wird, steht auf der Seite Integration.