Datenschutzerklärung für den Website-Chatbot: Muster mit Bausteinen zum Kopieren

Diese Seite ist ein Baukasten. Die Bausteine zum Kopieren sind Beispiele: Passen Sie sie an Ihren Chat an und lassen Sie das Ergebnis prüfen, wenn Ihr Chat heikle Themen berührt. Alle Quellen haben wir am 25. Oktober 2026 gelesen.

Was in die Datenschutzerklärung gehört, wenn ein Chatbot antwortet#

Wer einen Chat auf die Website stellt, erhebt Daten direkt bei den Besuchern. Dann gilt Art. 13 DSGVO: Sie informieren „zum Zeitpunkt der Erhebung“, und zwar „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ (Art. 12 Abs. 1). Für einen Chat heißt das:

Bei den Empfängern genügen nach dem Wortlaut Kategorien. Die Transparenz-Leitlinien der Artikel-29-Gruppe (WP 260 rev.01) sehen das enger: Auftragsverarbeiter zählen zu den Empfängern, und „in der Praxis werden dies gemeinhin die benannten Empfänger sein“. Wer nur Kategorien angibt, soll sie mit Tätigkeit, Branche und Standort so genau wie möglich beschreiben. Bei Übermittlungen in Drittländer sollen Sie die Grundlage genau nennen und normalerweise auch das Land.

Art. 22 DSGVO betrifft eine ausschließlich automatisierte Entscheidung, die einer Person gegenüber „rechtliche Wirkung entfaltet“ oder sie „in ähnlicher Weise erheblich beeinträchtigt“. Die Antwort auf die Frage nach Ihren Öffnungszeiten ist keine solche Entscheidung. Anders liegt es, wenn ein Chat über Menschen entscheidet. Die DSK nennt in ihrer Orientierungshilfe zu KI als Beispiel eine Anwendung, die alle Bewerbungen auswertet und selbstständig zu Vorstellungsgesprächen einlädt, und wertet das als Verstoß gegen Art. 22 Abs. 1 DSGVO (Rn. 13).

Schreiben Besucher über andere Menschen, erhalten Sie Daten, die nicht bei der betroffenen Person erhoben wurden. Dafür gilt Art. 14 DSGVO. Bei einem Auskunfts-Chat ist das ein Randfall, den Sie mit einer Bitte im Chat klein halten (Baustein E unten).

Welche Rechtsgrundlage zu welchem Chat-Zweck passt#

Art. 6 Abs. 1 DSGVO verlangt, dass „mindestens eine“ der dort genannten Bedingungen erfüllt ist. Die DSK legt sich in ihrer Orientierungshilfe zu KI nicht fest: In Betracht kämen „verschiedene Rechtsgrundlagen“, je nach Stelle und Zweck (Rn. 9). Die Tabelle zeigt eine vertretbare Zuordnung, keine behördliche Vorgabe. Für Behörden fällt eine Grundlage weg: Lit. f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung (Art. 6 Abs. 1 Unterabsatz 2). Der Chat einer Gemeinde braucht deshalb eine andere Grundlage, etwa die Wahrnehmung einer Aufgabe im öffentlichen Interesse (lit. e).

Manche Ratgeber empfehlen, vor dem ersten Chat eine Einwilligung einzuholen. Die DSGVO schreibt das nicht vor: Die Einwilligung ist eine der Bedingungen in Art. 6 Abs. 1, nicht die einzige. Wer sie trotzdem wählt, muss sie nachweisen können (Art. 7 Abs. 1), den Widerruf so einfach machen wie die Erteilung (Art. 7 Abs. 3) und nach einem Widerruf löschen, wenn keine andere Grundlage trägt (Art. 17 Abs. 1 lit. b).

Beim berechtigten Interesse prüfen Sie stattdessen, ob die Interessen der Besucher überwiegen. Erwägungsgrund 47 nennt dafür die „vernünftigen Erwartungen der betroffenen Person“. Wer ein Chatfenster öffnet und eine Frage tippt, rechnet damit, dass sie verarbeitet wird, damit eine Antwort kommt. Ob er damit rechnet, dass sie ein Jahr lang gespeichert bleibt, ist eine andere Frage, und die beantwortet Ihre Speicherfrist.

Welche Daten ein Chat verarbeitet: das Beispiel ChatterLab#

Die Pflichtangaben setzen voraus, dass Sie wissen, was Ihr Chat speichert und wohin er Daten schickt. Als Beispiel ein Chat, der mit ChatterLab betrieben wird, nach unserer Dokumentation Daten und Datenschutz (auf Englisch). Mit einem anderen Anbieter ersetzen Sie jede Zeile durch dessen Angaben.

Dazu kommt Ihr Team: Kolleginnen und Kollegen, die Sie in den Workspace einladen, lesen Gespräche, Kontaktdaten und Tickets wie Sie.

Was ChatterLab übernimmt:

• Das Widget setzt keine Cookies und speichert nichts im Browser, bevor der Besucher den Chat nutzt, außer Ihre Website übergibt seine Einwilligung für die zweite Nachricht, eine spätere Einladung zum Chat.
• ChatterLab trainiert keine KI-Modelle mit Ihren Inhalten oder Gesprächen. OpenAI verwendet die Daten für die Suchvektoren nicht zum Training seiner Modelle.
• Kontaktformular und Tickets lassen sich nur mit einem Link zu Ihrer Datenschutzerklärung einschalten.
• Der KI-Hinweis steht in jedem Gespräch und lässt sich nicht abschalten.
• Einen Auftragsverarbeitungsvertrag (AVV) erhalten Sie auf Anfrage an management@sri-group.eu.

Was bei Ihnen bleibt:

• der Text Ihrer Datenschutzerklärung und die Wahl der Rechtsgrundlage
• eine Frist für Gespräche, denn ChatterLab löscht sie nicht von selbst
• die Antwort auf Anfragen von Besuchern
• was in Ihren Quellen steht: Alles dort kann jeder Besucher erfragen, personenbezogene Daten gehören nicht hinein
• die Vorabprüfung zur DSFA

Was in einem AVV mit einem Chatbot-Anbieter stehen sollte, zeigt die Checkliste zum Auftragsverarbeitungsvertrag. Mehr zu ChatterLab und der DSGVO finden Sie auf der Seite DSGVO-konformer KI-Chatbot.

Muster: Bausteine für Ihre Datenschutzerklärung#

Die Bausteine folgen dem Aufbau, den Art. 13 DSGVO vorgibt. Den Basisbaustein brauchen Sie immer, die übrigen nur, wenn Ihr Chat die Funktion hat. Eckige Klammern füllen Sie aus. Die Fristen sind die von ChatterLab; mit einem anderen Anbieter setzen Sie dessen Werte ein. Verantwortlichen und Datenschutzbeauftragten nennt Ihre Datenschutzerklärung meist schon am Anfang, dann verweisen Sie darauf.

Basisbaustein: der KI-Chatassistent (immer)

Chat mit einem KI-Assistenten

Auf unserer Website können Sie Fragen an einen KI-gestützten Chatassistenten stellen. Er antwortet auf Grundlage von Inhalten, die wir ihm bereitstellen, etwa unserer Website, Dokumenten und Antworten auf häufige Fragen. Die Antworten erzeugt ein KI-System, kein Mensch. Sie können unvollständig oder fehlerhaft sein. Verbindliche Auskünfte erhalten Sie unter [Telefon oder E-Mail-Adresse].

Wenn Sie den Chat nutzen, verarbeiten wir Ihre Nachrichten und die Antworten des Assistenten mit Datum und Uhrzeit, die Adresse der Seite, auf der Sie fragen, eine zufällige Besuchernummer und Ihre Bewertung einer Antwort, falls Sie eine abgeben. Damit die Nachrichten eines Besuchs zusammenbleiben, speichert Ihr Browser die Besuchernummer, die Nummer des Gesprächs und ähnliche technische Werte bis zum Schließen des Tabs. Ihre IP-Adresse speichern wir nicht. Zum Schutz vor Missbrauch wird aus ihr ein Fingerabdruck gebildet, der sich ohne einen täglich wechselnden Schlüssel nicht auf die Adresse zurückführen lässt und nach 24 Stunden gelöscht wird.

Zwecke sind, Ihre Fragen zu beantworten, die Qualität der Antworten zu prüfen und zu verbessern und den Chat vor Missbrauch zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Fragen zu unserem Angebot schnell und auch außerhalb unserer Geschäftszeiten zu beantworten. Betrifft Ihre Frage ein Angebot, eine Buchung oder einen Vertrag mit uns, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung dafür erforderlich ist.

Der Assistent lernt nicht selbstständig aus Ihren Gesprächen, und [ChatterLab] verwendet sie nicht zum Training von KI-Modellen. Wir lesen Gespräche, um Antworten zu verbessern, und können eine häufige Frage als Frage-Antwort-Paar in seine Wissensquellen übernehmen. Personenbezogene Angaben übernehmen wir dabei nicht. Die Nutzung des Chats ist freiwillig. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

Den Satz zum Training schreiben Sie nur, wenn Ihr Anbieter das zusagt; die DSK hält Anwendungen, die Ein- und Ausgaben nicht zum Training verwenden, für datenschutzrechtlich vorzugswürdig (Rn. 24). Was ChatterLab und OpenAI zusagen, steht oben. Cortecs schreibt in seiner eigenen Dokumentation, dass Daten standardmäßig nicht für KI-Training verwendet werden (gelesen am 25. Oktober 2026); lassen Sie sich bestätigen, welche Einstellungen für Ihren Chat gelten. Teilt Ihre Website dem Chat mit, wer ein angemeldeter Besucher ist, ergänzen Sie, dass das Gespräch zusammen mit der Kundennummer gespeichert wird, die Ihre Website übergibt.

Baustein A: Kontaktdaten im Chat (optional)

Kontaktdaten im Chat

Möchten Sie, dass wir Sie kontaktieren, können Sie im Chat Ihre Kontaktdaten hinterlassen: [E-Mail-Adresse, Name, Telefonnummer, Firma, je nach Formular]. Wir verwenden sie, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage ein Angebot oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Gespeichert werden außerdem der Wortlaut, den Sie im Formular gesehen haben, und die Seite, auf der Sie es ausgefüllt haben. Ihre Angaben erreichen uns per E-Mail (siehe „Dienstleister und Übermittlung in Drittländer“). Wir löschen sie nach 3 Jahren oder früher, wenn wir sie nicht mehr benötigen.

Werbung per E-Mail senden wir Ihnen nur, wenn Sie das gesonderte Häkchen dafür setzen (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an [Adresse].

Baustein B: Anfragen an das Team und Antworten per E-Mail (optional)

Anfragen an unser Team aus dem Chat

Sie können Ihre Frage im Chat an unser Team übergeben. Dafür verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, falls Sie ihn angeben, Ihre Frage, die Seite und die Sprache des Chats. Wir antworten Ihnen per E-Mail und ordnen Ihre Antworten auf unsere E-Mails der Anfrage zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Frage ein Angebot oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Eine erledigte Anfrage löschen wir 2 Jahre nach ihrer Erledigung.

Baustein C: Dateien im Chat (optional)

Dateien und Bilder im Chat

Sie können im Chat Dokumente oder Bilder senden. Wir verarbeiten die Datei und den daraus gelesenen Text, um Ihre Frage dazu zu beantworten. Aus Bildern werden vorher die Kameradaten entfernt, etwa der Aufnahmeort. Datei und Text löschen wir nach 30 Tagen, danach bleibt nur der Dateiname beim Gespräch. Rechtsgrundlage ist dieselbe wie für Ihre Frage. Bitte senden Sie nur, was für Ihre Frage nötig ist.

Baustein D: Dienstleister und Übermittlung in Drittländer (fast immer nötig)

Dienstleister und Übermittlung in Drittländer

Den Chat betreibt für uns [ChatterLab, SRI Group BV, Belgien] als Auftragsverarbeiter nach Art. 28 DSGVO. Gespräche, Wissensquellen und Dateien werden in der EU gespeichert. Die Antworten schreibt ein Sprachmodell, das über [Cortecs, ein europäisches Modell-Gateway] angesprochen wird. Damit Ihre Frage mit unseren Inhalten abgeglichen werden kann, wird ihr Text in Zahlenreihen umgewandelt. Das geschieht bei [OpenAI] in den USA. E-Mails zu Kontaktanfragen und Anfragen an unser Team versendet und empfängt [Resend], das E-Mails in den USA verarbeitet. Für diese Übermittlungen stützen wir uns auf [je Empfänger: den Angemessenheitsbeschluss der EU-Kommission zum Datenschutzrahmen EU-USA nach Art. 45 DSGVO, soweit der Empfänger danach zertifiziert ist, oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO]. Eine Kopie der Garantien erhalten Sie auf Anfrage unter [Adresse].

Die Übermittlungsgrundlage tragen Sie je Empfänger aus Ihrem AVV ein. Unsere Dokumentation nennt für Resend den Datenschutzrahmen EU-USA und Standardvertragsklauseln; für OpenAI fragen Sie die Grundlage bei uns an, bevor Sie die Erklärung veröffentlichen. Den Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 führt EUR-Lex als in Kraft, und die Kommission listet die USA nur für Organisationen, die am Datenschutzrahmen teilnehmen (Stand 25. Oktober 2026). Ob ein Standort in der EU allein reicht, prüft die Checkliste zum EU-Hosting.

Baustein E: Bitte um Zurückhaltung (empfehlenswert)

Was Sie im Chat nicht eingeben sollten

Bitte geben Sie im Chat keine Gesundheitsdaten oder andere besonders geschützte Angaben im Sinne von Art. 9 DSGVO ein, keine Passwörter, Ausweis- oder Kontonummern und keine Angaben über andere Personen. Der Assistent braucht sie nicht, um Ihre Frage zu beantworten. Haben Sie solche Angaben gemacht, löschen wir das Gespräch auf Ihre Bitte.

Baustein F: Speicherdauer der Gespräche (immer, mit Ihrer Frist)

Wie lange wir Gespräche speichern

Gespräche löschen wir [Frist, zum Beispiel 90 Tage] nach der letzten Nachricht, es sei denn, wir benötigen ein Gespräch länger, um Ihre Anfrage abzuschließen oder um Rechtsansprüche geltend zu machen oder abzuwehren. Für Kontaktdaten, Anfragen an unser Team und Dateien gelten die Fristen in den jeweiligen Abschnitten.

Baustein G: Ihre Rechte beim Chat (immer)

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreiben Sie dafür an [E-Mail-Adresse]. Haben Sie im Chat keine Kontaktdaten hinterlassen, ordnen wir Ihr Gespräch keinem Namen zu. Damit wir Ihr Gespräch finden, nennen Sie uns bitte ungefähr Datum und Uhrzeit, die Seite, auf der Sie gefragt haben, und Ihre erste Frage. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen [Name der Aufsichtsbehörde].

Baustein H: Widerspruchsrecht (immer, getrennt von den übrigen Angaben)

Ihr Widerspruchsrecht

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit widersprechen (Art. 21 Abs. 2 DSGVO). Eine formlose Nachricht an [E-Mail-Adresse] genügt.

Den Widerspruch setzen Sie ab, weil Art. 21 Abs. 4 verlangt, dass der Hinweis „in einer verständlichen und von anderen Informationen getrennten Form“ erfolgt. Für die Beschwerde nennen Sie die richtige Behörde: Für Unternehmen sind die Datenschutzbehörden der Länder zuständig (§ 40 Abs. 1 BDSG), bei mehreren Niederlassungen zählt die Hauptniederlassung (§ 40 Abs. 2). Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt öffentliche Stellen des Bundes und Telekommunikationsunternehmen (§ 9 Abs. 1 BDSG), nicht gewöhnliche Unternehmen. In Bayern ist für den privaten Bereich das Bayerische Landesamt für Datenschutzaufsicht zuständig. Links zu allen Aufsichtsbehörden finden Sie bei der DSK.

Formulierungen, die Sie vermeiden sollten#

• „Wir speichern keine personenbezogenen Daten.“ Gespräche werden gespeichert, und Besucher tippen Namen, Bestellnummern und Adressen in Chatfenster.
• „Alle Daten bleiben in der EU.“ Das stimmt nur, wenn wirklich jeder Schritt in der EU läuft. Bei ChatterLab laufen zwei Schritte in den USA.
• „Wir speichern Ihre Daten, solange es erforderlich ist.“ Nach WP 260 reicht diese allgemeine Aussage nicht.
• „Der Chat ist anonym.“ Die Besuchernummer nennt keinen Namen, aber sie hält alle Nachrichten eines Besuchs zusammen, und deren Inhalt kann eine Person erkennbar machen.
• „Unser Team beantwortet Ihre Fragen im Chat.“ Wenn ein KI-System antwortet, stimmt das nicht.

Wie lange Sie Chatverläufe speichern dürfen#

Eine feste Frist für Chatprotokolle nennt die DSGVO nicht. Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, „wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ (Art. 5 Abs. 1 lit. e). Erwägungsgrund 39 empfiehlt dem Verantwortlichen, „Fristen für ihre Löschung oder regelmäßige Überprüfung“ vorzusehen. In die Datenschutzerklärung gehört die Dauer oder das Kriterium dafür (Art. 13 Abs. 2 lit. a), und zwar konkret: Nach WP 260 genügt der Satz, man speichere so lange wie nötig, nicht, und für verschiedene Datenarten oder Zwecke sollen verschiedene Fristen gelten.

Zwei Dinge sollten Sie in ChatterLab wissen, bevor Sie eine Frist hineinschreiben:

1. Gespräche löscht ChatterLab nicht von selbst. Ihre Frist setzen Sie um, indem Sie in Aktivität ältere Gespräche mit Löschen entfernen, eines nach dem anderen, oder ab dem Tarif Studio über die API. Legen Sie dafür einen festen Termin fest, etwa den ersten Werktag im Monat.
2. Mit einem Gespräch gehen sein Lead, sein Ticket und seine Dateien. Bewahren Sie Kontaktdaten länger auf als Gespräche, löschen Sie Gespräche mit Kontaktdaten oder Ticket erst, wenn auch diese gehen dürfen.

Der KI-Hinweis und der Kurzhinweis gehören in den Chat#

Kaum jemand liest die Datenschutzerklärung, bevor er tippt. Zwei Hinweise gehören deshalb ins Chatfenster selbst.

Der KI-Hinweis. Art. 50 der KI-Verordnung verlangt, dass Menschen informiert werden, „dass sie mit einem KI-System interagieren“, und zwar „spätestens zum Zeitpunkt der ersten Interaktion“ (Abs. 1 und 5). Art. 50 gilt seit dem 2. August 2026 (Art. 113), und die Änderung der KI-Verordnung durch die Verordnung (EU) 2026/1744 vom 8. Juli 2026 hat diese beiden Absätze nicht verändert. In ChatterLab steht über jedem Gespräch „Sie chatten mit einem KI-Assistenten“, in der Sprache des Widgets, und lässt sich nicht abschalten. Weitere Formulierungen mit Beispielen finden Sie im Artikel zum KI-Hinweis im Chatbot.

Der Kurzhinweis zum Datenschutz. Die Transparenz-Leitlinien empfehlen Datenschutzhinweise in mehreren Ebenen (WP 260, Ziffer 35 und 36). Die erste Ebene soll Zwecke, Verantwortlichen und Rechte nennen, dazu die Verarbeitung, mit der Betroffene nicht rechnen, und zwar zum Zeitpunkt der Erhebung. Für einen Chat ist das ein kurzer Text über dem Gespräch. In ChatterLab dient dafür das Feld Hinweis unter Einstellungen, in der Karte Inhalt. Es nimmt einfaches Markdown wie einen Link auf, und Besucher können den Hinweis schließen. Ein Beispiel:

Verantwortlich für diesen Chat: [Firmenname]. Wir speichern Ihre Nachrichten, um Ihre Fragen zu beantworten und den Assistenten zu verbessern. Bitte geben Sie keine Gesundheitsdaten, Passwörter oder Kontonummern ein. Ihre Rechte und alle Einzelheiten: [Link zur Datenschutzerklärung]

Der Text existiert in einer Fassung. Spricht Ihre Website mehrere Sprachen und soll der Hinweis sich unterscheiden, brauchen Sie einen Agenten je Sprache. Kontaktformular und Ticket-Karte verlinken Ihre Datenschutzerklärung von selbst.

Wenn ein Besucher fragt: Was haben Sie über mich gespeichert?#

Ein Besucher hat das Recht auf Auskunft samt Kopie (Art. 15 DSGVO) und auf Löschung (Art. 17). Sie antworten „innerhalb eines Monats“; bei komplexen oder vielen Anträgen lässt sich die Frist um zwei Monate verlängern (Art. 12 Abs. 3).

Anfragen, die im Chat selbst ankommen. Nach Art. 12 Abs. 2 DSGVO erleichtern Sie Betroffenen die Ausübung ihrer Rechte. Schreibt jemand „Löschen Sie meine Daten“ in den Chat, sollte das nicht untergehen. Legen Sie in den Anweisungen des Agenten fest, an welche Adresse er bei Datenschutzanfragen verweist, und sehen Sie Aktivität regelmäßig durch.

Was Sie zuordnen können. Die Besuchernummer gilt nur für einen Tab und ist weder mit einem Konto noch mit einer IP-Adresse verknüpft. Wer am nächsten Tag wiederkommt, beginnt ein neues Gespräch. Sie finden Gespräche also über das, was der Besucher Ihnen sagt: ungefähre Zeit, Seite, erste Frage. Hat er Kontaktdaten oder ein Ticket hinterlassen, finden Sie ihn über die E-Mail-Adresse auf den Seiten Leads und Tickets. Bei angemeldeten Besuchern speichert ChatterLab Ihre eigene Kennung des Besuchers beim Gespräch. Kann ein Verantwortlicher nachweisen, dass er eine Person nicht identifizieren kann, gelten die Art. 15 bis 20 nicht, es sei denn, die Person liefert zusätzliche Angaben, die ihre Identifizierung ermöglichen (Art. 11 Abs. 2 DSGVO). Darüber unterrichten Sie sie, sofern möglich. In der Praxis heißt das: nachfragen statt abweisen.

So gehen Sie in ChatterLab vor:

1. Grenzen Sie in Aktivität den Zeitraum ein. Die Datumsfilter richten sich nach der letzten Nachricht eines Gesprächs. Öffnen Sie das Gespräch.
2. Für die Auskunft geben Sie dem Besucher nur sein eigenes Gespräch. PDF exportieren enthält alle Gespräche des gewählten Zeitraums, und fremde Gespräche gehören nicht in die Kopie (Art. 15 Abs. 4 DSGVO). Ab Studio liefert die API ein einzelnes Gespräch mit seinen Nachrichten.
3. Für die Löschung wählen Sie Löschen oben im Gespräch. Das entfernt alle Nachrichten sowie Lead, Ticket und Dateien des Gesprächs und lässt sich nicht rückgängig machen.
4. Will der Besucher nur eine versehentlich gesendete Datei loswerden, nutzen Sie Datei löschen unter seiner Nachricht.
5. Einen Lead oder ein Ticket allein löschen Sie auf den Seiten Leads und Tickets mit Löschen. Das Gespräch bleibt dann bestehen.

Im Audit-Protokoll bleibt vermerkt, was das System getan hat, nicht, was jemand geschrieben hat. ChatterLab beantwortet solche Anfragen nicht an Ihrer Stelle, denn die Daten sind Ihre. Einzelheiten stehen in Aktivität.

Brauchen Sie eine Datenschutz-Folgenabschätzung?#

Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn eine Verarbeitung „insbesondere bei Verwendung neuer Technologien“ voraussichtlich ein hohes Risiko für die Betroffenen zur Folge hat (Art. 35 Abs. 1 DSGVO). Die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungen, für die sie durchzuführen ist (Art. 35 Abs. 4).

Die deutsche Liste für den nicht-öffentlichen Bereich (DSK, Version 1.1 vom 17. Oktober 2018) nennt unter Nummer 11 den „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“. Als typisches Einsatzfeld steht dort „Kundensupport mittels künstlicher Intelligenz“, als Beispiel ein System, das „mit Kunden durch Konversation interagiert“ und für deren Beratung personenbezogene Daten verarbeitet. Die Liste ist nach eigener Aussage nicht abschließend. In der Orientierungshilfe zu KI vom 6. Mai 2024 verlangt die DSK zuerst eine Vorabprüfung des Risikos; ergibt sie ein voraussichtlich hohes Risiko, ist eine DSFA erforderlich, und beim Einsatz von KI-Anwendungen werde „dies vielfach der Fall sein“ (Rn. 38 und 39).

Eine DSFA enthält mindestens eine systematische Beschreibung der Vorgänge und Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken und die geplanten Abhilfemaßnahmen (Art. 35 Abs. 7). Für die technische Seite sind Sie auf Angaben des Anbieters angewiesen, wie die DSK betont (Rn. 40). Für ChatterLab stehen sie in Daten und Datenschutz und Sicherheit.

Checkliste vor dem Veröffentlichen#

• Der Chat hat einen eigenen Abschnitt in der Datenschutzerklärung, und die Erklärung ist von jeder Seite aus erreichbar. Grund: Art. 13 DSGVO verlangt die Information bei der Erhebung.
• Jeder Zweck hat eine Rechtsgrundlage, beim berechtigten Interesse ist das Interesse benannt und die Abwägung dokumentiert. Grund: Art. 6 und Art. 13 Abs. 1 lit. d, Rechenschaftspflicht nach Art. 5 Abs. 2.
• Die Empfänger sind benannt, auch der Anbieter des Sprachmodells und der E-Mail-Dienst, mit Drittland und Übermittlungsgrundlage. Grund: Art. 13 Abs. 1 lit. e und f, WP 260.
• Jede Datenart hat eine Frist, und Sie haben einen Termin, an dem Sie Gespräche löschen. Grund: Art. 5 Abs. 1 lit. e. ChatterLab löscht Gespräche nicht von selbst.
• Rechte, Widerspruchsrecht und Aufsichtsbehörde stehen drin, der Widerspruch abgesetzt von den übrigen Angaben. Grund: Art. 13 Abs. 2, Art. 21 Abs. 4, § 40 BDSG.
• Im Chatfenster stehen der KI-Hinweis und ein Kurzhinweis mit Link und der Bitte, keine sensiblen Angaben zu machen. Grund: Art. 50 KI-Verordnung, WP 260, Art. 9 DSGVO.
• Der AVV mit dem Anbieter ist abgeschlossen und nennt die Unterauftragsverarbeiter. Grund: Art. 28 Abs. 2 bis 4 DSGVO.
• Die Vorabprüfung zur DSFA ist dokumentiert. Grund: Art. 35 DSGVO und Nummer 11 der DSK-Liste.

Häufige Fragen zur Chatbot-Datenschutzerklärung#

Muss ich meine Datenschutzerklärung anpassen, wenn ich einen Chatbot einbaue?#

Ja. Ein Chat verarbeitet personenbezogene Daten: was Besucher schreiben, die Seite, auf der sie fragen, oft auch Kontaktdaten. Nach Art. 13 DSGVO informieren Sie bei der Erhebung, wer verantwortlich ist, wozu und auf welcher Grundlage Sie verarbeiten, wer die Daten erhält, ob sie in Drittländer gehen, wie lange Sie speichern und welche Rechte bestehen. Ein Abschnitt in der bestehenden Erklärung genügt, wenn er diese Punkte für den Chat beantwortet.

Welche Rechtsgrundlage gilt für einen Website-Chatbot?#

Das hängt vom Zweck ab. Für allgemeine Fragen liegt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO nahe, mit dokumentierter Abwägung und einem Hinweis auf das Widerspruchsrecht; Behörden können sich für ihre Aufgaben nicht darauf stützen. Geht es um ein Angebot, eine Buchung oder einen Vertrag, kommt Art. 6 Abs. 1 lit. b in Betracht, soweit die Verarbeitung dafür erforderlich ist. Für Werbung per E-Mail brauchen Sie eine Einwilligung. Die DSK schreibt für KI-Anwendungen keine bestimmte Grundlage vor.

Brauche ich für den Chatbot eine Einwilligung der Besucher?#

Nicht grundsätzlich. Die DSGVO nennt die Einwilligung als eine von mehreren Rechtsgrundlagen, und für einen Auskunfts-Chat trägt oft eine andere. Eine Einwilligung brauchen Sie für Werbung per E-Mail (Art. 6 Abs. 1 lit. a DSGVO und § 7 UWG), in vielen Fällen für Gesundheitsangaben und andere besondere Kategorien (Art. 9 Abs. 2 lit. a) und nach § 25 TDDDG, wenn das Widget vor der Nutzung etwas im Browser speichert, das nicht unbedingt erforderlich ist.

Wie lange darf ich Chatprotokolle speichern?#

Eine feste Frist gibt es nicht. Die DSGVO erlaubt die Speicherung nur so lange, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e), und Sie müssen die Dauer oder ihre Kriterien in der Datenschutzerklärung nennen. Der Satz „so lange wie nötig“ reicht nach den Transparenz-Leitlinien nicht. Legen Sie je Datenart eine begründete Frist fest, zum Beispiel einige Wochen für reine Auskunftsgespräche, und löschen Sie danach auch wirklich.

Muss ich den KI-Anbieter in der Datenschutzerklärung namentlich nennen?#

Die DSGVO verlangt die Empfänger „oder Kategorien von Empfängern“ (Art. 13 Abs. 1 lit. e), Namen schreibt sie also nicht ausdrücklich vor. Nach den Transparenz-Leitlinien der Artikel-29-Gruppe sind es in der Praxis aber gemeinhin benannte Empfänger, Auftragsverarbeiter eingeschlossen, und Kategorien müssen genau beschrieben sein. Bei einer Übermittlung in ein Drittland nennen Sie zudem das Land und die Grundlage. Der Name ist deshalb der sichere Weg.

Braucht der Chatbot eine eigene Datenschutzerklärung?#

Nein, ein eigener Abschnitt in Ihrer bestehenden Datenschutzerklärung genügt, wenn er alle Angaben nach Art. 13 DSGVO für den Chat enthält. Wichtig ist, dass Besucher ihn vor der ersten Nachricht finden: Verlinken Sie ihn im Chatfenster, etwa in einem Kurzhinweis über dem Gespräch. Kontaktformular und Ticket-Karte von ChatterLab verlinken Ihre Datenschutzerklärung ohnehin, denn ohne diesen Link lassen sie sich nicht einschalten.

Quellen#

• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Amtsblatt der Europäischen Union, auf EUR-Lex, gelesen am 25. Oktober 2026.
• Verordnung (EU) 2024/1689 (Verordnung über künstliche Intelligenz), mit der konsolidierten Fassung vom 27. Juli 2026, EUR-Lex, gelesen am 25. Oktober 2026.
• Durchführungsbeschluss (EU) 2023/1795 der Kommission über die Angemessenheit des Schutzniveaus nach dem Datenschutzrahmen EU-USA, EUR-Lex, gelesen am 25. Oktober 2026.
• Adequacy decisions, Europäische Kommission, gelesen am 25. Oktober 2026.
• Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1, Datenschutzkonferenz (DSK), gelesen am 25. Oktober 2026.
• Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, DSK, gelesen am 25. Oktober 2026.
• WP 260 rev.01: Leitlinien für Transparenz gemäß der Verordnung 2016/679, Artikel-29-Gruppe, deutsche Fassung bei der DSK, gelesen am 25. Oktober 2026.
• Die Datenschutzaufsichtsbehörden, DSK, gelesen am 25. Oktober 2026.
• § 40 BDSG: Aufsichtsbehörden der Länder, gesetze-im-internet.de, gelesen am 25. Oktober 2026.
• § 9 BDSG: Zuständigkeit, gesetze-im-internet.de, gelesen am 25. Oktober 2026.
• § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen, gesetze-im-internet.de, gelesen am 25. Oktober 2026.
• § 7 UWG: Unzumutbare Belästigungen, gesetze-im-internet.de, gelesen am 25. Oktober 2026.
• Data Governance & Controls, Cortecs, gelesen am 25. Oktober 2026.

So ist dieser Beitrag entstanden: mit KI-Unterstützung verfasst und anschließend mit der tatsächlichen Funktionsweise von ChatterLab und den im Beitrag genannten Quellen abgeglichen. Fehler entdeckt? Schreiben Sie an management@sri-group.eu.