KI-Chatbot im Kundenservice: Was gilt datenschutzrechtlich?

Immer mehr Unternehmen setzen KI-Chatbots im Kundenservice ein – für die erste Kontaktaufnahme, zur Beantwortung von Standardfragen oder zur Vorbereitung von Entscheidungen. Datenschutzrechtlich ist damit mehr verbunden als nur die Frage, ob eine Datenschutzerklärung existiert.

Wer Kundendaten über einen KI-Chatbot verarbeitet, braucht eine tragfähige Rechtsgrundlage, muss die Nutzer klar informieren – und darf dem Chatbot keine folgenreichen Entscheidungen allein überlassen.

Welche Rechtsgrundlage brauche ich für die Datenverarbeitung?

Jede Verarbeitung personenbezogener Daten durch einen Chatbot braucht eine Rechtsgrundlage nach Art. 6 DSGVO – unabhängig davon, ob ein Mensch oder ein KI-System die Anfrage bearbeitet.

Art. 6 Abs. 1 lit. b DSGVODie Verarbeitung ist rechtmäßig, wenn [...] die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen.

Für die reine Bearbeitung von Kundenanfragen im Rahmen eines bestehenden Vertragsverhältnisses trägt diese Grundlage regelmäßig. Werden die im Chatverlauf erhobenen Daten zusätzlich für andere Zwecke genutzt – etwa zur Profilbildung, zum Training des eigenen KI-Modells oder für Werbezwecke –, braucht es dafür eine eigene, gesondert zu prüfende Rechtsgrundlage, häufig ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder eine Einwilligung.

Was gilt für die Informationspflichten?

Nutzerinnen und Nutzer müssen nach Art. 13 DSGVO bereits bei Erhebung ihrer Daten wissen, wer verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange gespeichert wird. Bei einem Chatbot kommt hinzu, dass diese Informationen praktisch zugänglich sein müssen – ein reiner Verweis auf eine allgemeine Datenschutzerklärung an anderer Stelle der Website genügt den Transparenzanforderungen häufig nicht, wenn er im Gesprächsverlauf selbst nicht auffindbar ist.

Darf der Chatbot eigenständig Entscheidungen treffen?

Hier verläuft die datenschutzrechtlich wichtigste Grenze.

Art. 22 Abs. 1 DSGVODie betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Für einen Kundenservice-Chatbot bedeutet das: Solange er Informationen liefert, Standardanfragen beantwortet oder eine menschliche Bearbeitung vorbereitet, ist er unproblematisch. Sobald er aber faktisch allein über etwas rechtlich Bedeutsames entscheidet – etwa eine Vertragskündigung ablehnt, eine Reklamation endgültig zurückweist oder einen Rabatt verweigert –, ohne dass eine tatsächliche menschliche Prüfung im Einzelfall stattfindet, ist Art. 22 DSGVO berührt. Die engen gesetzlichen Ausnahmen (Vertragserfüllung, ausdrückliche Einwilligung oder gesetzliche Erlaubnis, jeweils mit Schutzmaßnahmen) sind eng auszulegen und tragen den Regelfall nicht.

Wie lässt sich das praktisch sicherstellen?

Wesentlich ist eine nachvollziehbare Dokumentation: Welche Fälle entscheidet der Chatbot abschließend, welche werden an einen Menschen weitergegeben, und ist diese Weitergabe technisch tatsächlich sichergestellt – nicht nur auf dem Papier vorgesehen. Diese Dokumentation ist auch deshalb wichtig, weil im Streitfall der Verantwortliche die Rechtmäßigkeit der Verarbeitung nachweisen muss, nicht die betroffene Person das Gegenteil.

Was ändert die EU-KI-Verordnung zusätzlich?

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 der KI-Verordnung. Für Chatbots einschlägig ist Absatz 1:

Art. 50 Abs. 1 KI-VerordnungDie Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich.

Diese Pflicht besteht unabhängig von den datenschutzrechtlichen Anforderungen und zusätzlich zu ihnen: Selbst wenn die Datenverarbeitung selbst rechtmäßig ist, kann die fehlende Kennzeichnung des Chatbots als KI-System einen eigenständigen Verstoß gegen die KI-Verordnung darstellen.

Was bedeutet das für Unternehmen konkret?

Drei Punkte lassen sich unabhängig von der konkreten technischen Umsetzung bereits jetzt prüfen: erstens, ob für jede Verarbeitungsart im Chatbot-Kontext eine tragfähige Rechtsgrundlage dokumentiert ist; zweitens, ob Nutzerinnen und Nutzer im Gesprächsverlauf selbst – nicht nur in einer separaten Datenschutzerklärung – erkennen können, dass sie mit einem KI-System sprechen; und drittens, ob es für rechtlich bedeutsame Entscheidungen einen echten, dokumentierten menschlichen Prüfungsschritt gibt. Wer diese drei Punkte nicht beantworten kann, sollte das vor einem produktiven Einsatz nachholen – im Streitfall trägt das Unternehmen die Nachweislast, nicht die betroffene Person.