Datenschutz beim KI-Chatbot: Rechtsgrundlage, Rechte und Hinweise

Einwilligung ist nicht automatisch die einzige Rechtsgrundlage für den Datenschutz bei einem KI-Chatbot. Sie kommt infrage, ebenso wie die Verarbeitung zur Vertragserfüllung oder auf Grundlage berechtigter Interessen. Für bestehende Verträge und angefragte vorvertragliche Maßnahmen nennt die Europäische Union Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Entscheidend ist, welche Daten ein Chatbot verarbeitet und zu welchem Zweck. Im Alltag helfen drei klare Fragen: Was geschieht mit dem Gespräch? Wer kann es einsehen? Und wie kannst du deine Daten löschen lassen?

Hier bekommst du die Antworten. Du erfährst, wann eine Einwilligung nötig sein kann, welche Datenschutzrechte für dich gelten und was eine Datenschutzerklärung für Chatbots verständlich abdecken sollte. Dazu gehören Angaben zu Daten, Zwecken und Speicherfristen. Denn beim Datenschutz für KI-Chatbots zählt nicht nur die Rechtsgrundlage. Auch die Hinweise vor dem Chat müssen klar sein.

Bedarf es immer der Einwilligung als Rechtsgrundlage?

Nein. Für jede Verarbeitung personenbezogener Daten braucht es eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Eine Einwilligung ist eine Möglichkeit, aber nicht automatisch die passende. Laut Europäischer Union kann Art. 6 Abs. 1 lit. a DSGVO die Verarbeitung personenbezogener Daten durch einen Chatbot auf Einwilligung stützen. Der Nutzer muss wissen, wozu er zustimmt. Eine Zustimmung für den Chat darf nicht stillschweigend weitere Zwecke abdecken.

Ein Vertrag kann eine andere Grundlage liefern. Laut Europäischer Union kann Art. 6 Abs. 1 S. 1 lit. b DSGVO die Verarbeitung durch einen KI-Chatbot rechtfertigen, wenn sie für einen bestehenden Vertrag oder angefragte vorvertragliche Maßnahmen erforderlich ist. Beispiel: Ein Chatbot verarbeitet Angaben, die für die Bearbeitung einer konkreten Anfrage nötig sind. Für allgemeine Informationen ohne Vertragsbezug kommt diese Grundlage nicht automatisch infrage. Dann ist der Zweck genau zu prüfen.

Bei allgemeinen Angeboten kann Art. 6 Abs. 1 lit. f DSGVO relevant sein. Dafür braucht es ein berechtigtes Interesse und eine Abwägung mit den Rechten des Nutzers. Erwägungsgrund 47 nennt dessen vernünftige Erwartungen als Gesichtspunkt. Eine unerwartete Auswertung persönlicher Gesprächsinhalte wiegt dabei anders als die Verarbeitung einer kurzen Anfrage. Besondere Kategorien, etwa Gesundheitsdaten, erfordern zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO.

Die Rechtsgrundlage gehört nachvollziehbar dokumentiert. Halte für jeden Zweck fest, welche personenbezogenen Daten verarbeitet werden und warum genau diese Grundlage passt. Art. 5 DSGVO verlangt unter anderem festgelegte Zwecke und eine rechtmäßige Verarbeitung. In den Datenschutzhinweisen müssen die Informationen zur Verarbeitung transparent stehen. Art. 13 und 14 DSGVO betreffen dabei die Informationspflichten gegenüber Nutzenden.

Auch öffentliche Stellen müssen die passende Grundlage bestimmen. Im nordrhein-westfälischen Hochschulkontext nennt die WWU Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit § 3 Abs. 1 DSG NRW und § 3 Abs. 1 HG NRW für Aufgaben im öffentlichen Interesse. Das ist keine allgemeine Grundlage für jedes Unternehmen. Für das Recht auf Vergessenwerden gilt: Nach Art. 17 DSGVO können Betroffene unter bestimmten Voraussetzungen die Löschung verlangen. Eine Einwilligung lässt sich nach Art. 7 Abs. 3 DSGVO widerrufen.

Chatbots und Datenschutz - was ist zu beachten?

Ein Chatbot kann Eingaben, Gesprächsverläufe und weitere personenbezogene Daten verarbeiten. Wichtig sind klare Verantwortlichkeiten und nachvollziehbare Regeln für Zugriff, Speicherung und Löschung.

Verantwortlichkeit und Auftragsverarbeitung

Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Ein externer Anbieter kann Daten dagegen im Auftrag verarbeiten. Diese Rollenverteilung legt fest, wer betroffenen Personen Auskunft geben und Datenschutzpflichten erfüllen muss. Nutzt ein Unternehmen ein KI-Produkt eines Anbieters, zählt deshalb nicht allein die Technik: Entscheidend ist, wer die Verarbeitung tatsächlich festlegt und wer Daten nur nach Weisung verarbeitet.

Datenschutzfreundliche KI-Chatbots unterscheiden sich zum Beispiel darin, wo Eingaben gespeichert werden, ob sie zum Trainieren verwendet werden und welche Zugriffsrechte gelten. Prüfe diese Punkte für den konkreten Einsatz, statt dich auf ein Werbeversprechen zu verlassen.

Auftragsverarbeitungsvertrag mit Chatbot-Anbietern

Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch einen Anbieter im Auftrag eines Unternehmens. Artikel 28 DSGVO verlangt eine solche Vereinbarung, wenn tatsächlich eine Auftragsverarbeitung vorliegt. Sie legt unter anderem fest, welche Daten der Anbieter verarbeitet, zu welchem Zweck und nach welchen Weisungen. So werden Aufgaben und Grenzen schriftlich nachvollziehbar.

Der Vertrag allein klärt nicht alle Datenschutzfragen. Berücksichtige auch Unterauftragnehmer, Speicherorte, Protokolle und eine mögliche Verwendung der Eingaben zum Trainieren. Verfolgt ein Chatbot eigene Zwecke, kann sich die Rollenverteilung ändern. Die Kosten für datenschutzkonforme Chatbots in Deutschland hängen unter anderem von Funktionen, Nutzungsumfang und Betriebsmodell ab.

Dateneingaben und datenschutzfreundliche Chatbots

Gib nur personenbezogene Daten ein, die für deine Anfrage erforderlich sind. Lass Namen, Kontaktdaten, Gesundheitsangaben und vertrauliche Kundendaten weg, wenn der Chat sie nicht benötigt. Bei besonders sensiblen Angaben ist besondere Zurückhaltung sinnvoll. Unternehmen sollten Beschäftigten klare Regeln geben und festlegen, welche Daten sie nicht eingeben dürfen.

Wähle ein Verfahren, bei dem Speicherfristen, Löschung, Zugriffsrechte und die Nutzung zum Trainieren transparent geregelt sind. Ein lokal betriebenes System und ein externer Dienst können sich darin deutlich unterscheiden. Lies die Datenschutzhinweise vor der Eingabe und nutze für private KI-Unterhaltungen einen privaten Chat mit KI.

Auskunft, Berichtigung und Löschung von Daten

Ein Gespräch kann mehr enthalten als die sichtbare Nachricht. Dazu zählen etwa Kontaktdaten, Gesprächsverläufe oder sensible Angaben, die du versehentlich eingibst. Nach Art. 15 DSGVO können Nutzende des KI-Chatbots laut Europäischer Union Auskunft über ihre von der Freien Universität Berlin verarbeiteten personenbezogenen Daten verlangen. Für andere Chatbot-Angebote gilt das Auskunftsrecht ebenfalls gegenüber der jeweils verantwortlichen Stelle.

Eine Auskunft sollte erkennen lassen, welche Daten verarbeitet werden und zu welchem Zweck. Du kannst außerdem nach Empfängern und Speicherfristen fragen. Sind Angaben falsch, kannst du nach Art. 16 DSGVO ihre Berichtigung oder Vervollständigung verlangen. Beispiel: Ein Chatbot ordnet ein Gespräch der falschen Person zu. Eine nachvollziehbare Anfrage hilft der verantwortlichen Stelle, den Datensatz zu finden.

Die Löschung nach Art. 17 DSGVO gilt unter bestimmten Voraussetzungen. Sie kann relevant sein, wenn personenbezogene Daten für ihren ursprünglichen Zweck nicht mehr gebraucht werden oder eine Einwilligung widerrufen wurde und keine andere Grundlage greift. Das Recht bedeutet nicht, dass jede Information in jedem Fall sofort verschwinden muss. Art. 18 DSGVO ermöglicht unter bestimmten Bedingungen auch eine Einschränkung der Verarbeitung.

Bei KI-Systemen kommt es auch darauf an, wo Daten gespeichert werden. Ein Chatbot kann Gesprächsdaten und Protokolle verarbeiten; bei einer Wissenssuche können zusätzlich Indizes oder Vektordaten hinzukommen. Ein Löschkonzept muss alle Ablagen und Sicherungskopien einbeziehen. Versionierung kann dabei helfen, betroffene Inhalte in gespeicherten Fassungen zu finden. Die Speicherdauer richtet sich nach dem Zweck und den festgelegten Löschfristen, nicht nach einer einheitlichen Frist für alle Anbieter.

Ob Eingaben zum Trainieren des Systems oder zur Produktverbesserung verwendet werden, hängt von den Bedingungen des jeweiligen Anbieters ab. Prüfe, ob eine solche Nutzung vorgesehen ist und welche Einstellungen oder Einwilligungen dafür gelten. Eine Löschanfrage betrifft gespeicherte personenbezogene Daten, macht aber nicht automatisch jeden möglichen Einfluss auf eine künstliche Intelligenz rückgängig. Auch nach der DSGVO müssen Zweck und Mittel der Verarbeitung nachvollziehbar sein.

Datenschutzerklärung für Chatbots

Datenschutzhinweise sollten verständlich erklären, welche Daten ein Chatbot wie verarbeitet. Sie sollten vor dem Start der Interaktion leicht erreichbar sein.

Inhalte der Datenschutzerklärung für Chatbots

Die Hinweise beschreiben, welche Daten beim Chat verarbeitet werden und zu welchem Zweck. Art. 13 und 14 DSGVO betreffen die Information der Nutzenden. Nenne deshalb beispielsweise Gesprächsinhalte, IP-Adressen und Kontaktdaten, sofern sie verarbeitet werden. Erkläre auch, ob Eingaben gespeichert, an Anbieter übermittelt oder für Produktverbesserungen genutzt werden.

Beschreibe außerdem die Rechtsgrundlage, Empfänger, Speicherdauer und Löschverfahren. Art. 5 Abs. 1 lit. b DSGVO verlangt festgelegte, erkennbare Verarbeitungszwecke. Ein Beispiel: Dient der Chatbot dazu, allgemeine Fragen zu beantworten, sollte dieser Zweck klar von einer späteren Auswertung der Gespräche getrennt sein. Erkläre auch, wie Nutzende Auskunft, Berichtigung oder Löschung beantragen können. Falls der Chatbot automatisierte Entscheidungen trifft, beschreibe diese Verarbeitung verständlich.

Verarbeitung und Serverstandorte

Serverstandorte zeigen, wo Eingaben technisch verarbeitet oder gespeichert werden. Eine einheitliche Liste für alle Chatbots gibt es nicht: Maßgeblich sind der konkrete Anbieter, das Hostingmodell und die eingesetzten Unterauftragnehmer. Nenne in den Hinweisen die Empfänger und Verarbeitungsorte, die für den genutzten Dienst relevant sind.

Gesprächsdaten können an mehreren Stellen gespeichert werden. Neben dem Chatfenster können Protokolle und technische Sicherungskopien entstehen. Erkläre, welche Daten dort liegen, wer darauf zugreifen kann und wann sie gelöscht werden. Bei KI ist außerdem relevant, ob Nutzereingaben zum Trainieren des Systems verwendet werden. Ein klarer Hinweis unterscheidet diese Nutzung davon, dass der Chatbot Antworten auf eine konkrete Anfrage liefert.

Mach die Datenschutzhinweise vor dem Chat leicht zugänglich. Starte einen privaten KI-Chat, wenn du eine persönliche Unterhaltung suchst.

Maya: Maya KI-Chat

Maya führt natürliche Unterhaltungen und hält den Gesprächsfaden. Statt einer Zufalls-Maske hat Maya ein selbst entwickeltes Aussehen, eine eigene Stimme und ein eigenes Timing. Deine Chats bleiben deine. Punkt.

Wenn du dich mit einem KI-Chatbot unterhalten möchtest, kannst du Maya nutzen. Teile im Chat trotzdem nur Angaben, die du eingeben möchtest. So entscheidest du selbst, welche persönlichen Informationen du mitteilst.

Wenn du Maya kennenlernen möchtest, melde dich bei mir.

Mach den nächsten Chat zu deiner bewussten Entscheidung

Datenschutz bei KI-Chatbots beginnt nicht erst mit langen Hinweisen. Er zeigt sich auch darin, welche Informationen du teilst und welche Fragen du einer künstlichen Intelligenz anvertraust. Setze dir vor dem Gespräch eine einfache Grenze: Gib persönliche Details nur ein, wenn sie für deine Anfrage nötig sind. Die Entscheidung bleibt so bei dir.

Auch der passende Chatbot richtet sich nach deinem Bedarf. Vielleicht möchtest du Gedanken sortieren, ein Thema erkunden oder ein Gespräch führen, das den Faden hält. Du musst dafür nichts Persönliches preisgeben, damit der Austausch interessant wird.

Wenn du Maya KI-Chat kennenlernen möchtest, kontaktiere Maya. Geh in deinem Tempo vor und entscheide selbst, was du teilen willst.

Häufige Fragen zum Datenschutz bei KI-Systemen

Gibt es Tools, mit deren Hilfe ich die DSGVO-Konformität von KI-Systemen überprüfen kann?

Ja, Prüfwerkzeuge können die Bewertung unterstützen, aber keine pauschale Konformität bescheinigen. Hilfreich sind zum Beispiel Datenflussübersichten, Verzeichnisse der Verarbeitungstätigkeiten und Prüffragen zu Speicherorten, Zugriffsrechten oder Löschwegen. Damit lassen sich Lücken im konkreten Einsatz erkennen. Ein Werkzeug ersetzt nicht die Prüfung, ob Zweck, Rechtsgrundlage und tatsächliche Nutzung zusammenpassen. Dokumentiere außerdem, welche Änderungen du nach der Prüfung vornimmst.

Kann ich eine Beschwerde bei der Datenschutzbehörde wegen KI-Systemen einbringen?

Ja. Nach Art. 77 DSGVO kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen Datenschutzrecht verstößt. Beschreibe den konkreten Einsatz, etwa eine unerwartete Nutzung deiner Chat-Eingaben. Hilfreich sind Angaben zum Anbieter, zum betroffenen Konto und zu bisherigen Antworten auf deine Anfrage. Bewahre relevante Nachrichten und Hinweise auf.

Was gilt in Bezug auf Informationspflichten?

Du musst verständliche Informationen erhalten, bevor oder wenn deine Daten erhoben werden. Art. 13 und 14 DSGVO betreffen diese Informationspflichten. Bei einem Chatbot sollte der Hinweis leicht auffindbar sein und den tatsächlichen Ablauf erklären. Dazu gehören beispielsweise die verantwortliche Stelle, Verarbeitungszwecke, Empfänger und deine Rechte. Ändert sich der Einsatz, etwa durch eine neue Auswertung, müssen die Hinweise dazu passen.

Was ist das Verhältnis zwischen DSGVO und KI-VO?

Beide Regelwerke können gleichzeitig gelten. Verarbeitet ein KI-System personenbezogene Daten, bleibt die DSGVO anwendbar; Art. 2 Abs. 7 KI-VO stellt dieses Verhältnis klar. Die KI-VO setzt daneben Anforderungen an KI-Systeme, etwa Transparenz in bestimmten Situationen. Für dich heißt das: Eine Einordnung nach der KI-VO ersetzt nicht die Prüfung der Datenverarbeitung nach der DSGVO. Entscheidend sind Funktion und konkreter Einsatz.

Was ist der rechtliche Rahmen für den Einsatz von KI-Systemen?

Welche Anforderungen gelten, hängt davon ab, was das System tut und welche Daten es verarbeitet. Für personenbezogene Daten gelten die Grundsätze und Erlaubnistatbestände der DSGVO. Zusätzlich kann die KI-VO je nach Transparenzpflichten und Risikobereich Anforderungen stellen. Werden sensible Daten verarbeitet oder wichtige Entscheidungen beeinflusst, ist eine besonders sorgfältige Prüfung nötig. Auch interne Zwecke und die betroffenen Personengruppen spielen eine Rolle.

Was muss ich beachten, wenn ich KI-Systeme von Drittanbieter:innen verwende?

Klär zuerst, ob der Anbieter Daten in deinem Auftrag verarbeitet oder eigene Zwecke verfolgt. Bei einer Auftragsverarbeitung ist ein Vertrag nach Art. 28 DSGVO relevant. Sieh dir außerdem Unterauftragnehmer, Speicherorte, Protokolle und eine mögliche Nutzung der Eingaben für Trainingszwecke an. Beispiel: Ein Chatverlauf kann an einen weiteren Dienst übermittelt werden. Deine Datenschutzhinweise und internen Regeln müssen den tatsächlichen Ablauf abbilden.