Dieser Beitrag zeigt, worauf Unternehmen beim Einsatz von KI-Chatbots achten müssen und wie sich der Betrieb rechtssicher gestalten lässt.
Was ist ein KI-Chatbot und wo setzen Unternehmen ihn ein?
KI-Chatbots sind vielfältig einsetzbar. Im Kundenservice übernehmen Chatbots die Beantwortung wiederkehrender Fragen, die Statusabfrage von Bestellungen oder die Vorqualifizierung von Anfragen. In der internen Wissenssuche durchsuchen sie Handbücher, Richtlinien und Wikis. Im HR-Bereich beantworten sie Fragen zu Urlaub, Gehaltsabrechnung oder Bewerbungsprozessen. Im Marketing erstellen sie Texte, Produktbeschreibungen und Kampagnenideen.
Der Begriff Chatbot wird dabei oft undifferenziert verwendet, obwohl sich hinter ihm technisch und rechtlich sehr unterschiedliche Systeme verbergen. Für die rechtliche Bewertung kommt es genau auf diese Unterschiede an.
Von der Standard-Antwort zum eigenständigen Handeln
Ein regelbasierter Bot arbeitet mit vordefinierten Entscheidungsbäumen. Er erkennt Schlüsselwörter und gibt darauf hinterlegte Standardantworten aus. Solche Systeme sind kalkulierbar, weil sie nur das ausgeben, was zuvor programmiert wurde.
Ein KI-Chatbot auf Basis eines großen Sprachmodells (Large Language Model) wie GPT generiert seine Antworten dagegen dynamisch. Er formuliert eigenständig Texte und kann auf Fragen reagieren, die niemand vorher bedacht hat. Genau diese Fähigkeit macht ihn nützlich, aber auch rechtlich riskant, weil sich die Antworten nicht vollständig vorhersagen lassen.
Ein KI-Agent geht noch einen Schritt weiter: Er trifft nicht nur Aussagen, sondern führt eigenständig Handlungen aus, etwa Buchungen, Bestellungen oder Datenbankänderungen. Hier verschärft sich die Haftungsfrage erheblich, weil der Agent Rechtsgeschäfte anbahnen oder auslösen kann.
In Bezug auf die rechtlichen Anforderungen an KI-Chatbots beginnt die Weichenstellung bei der Frage, ob der Chatbot nach innen oder nach außen wirkt. Ein intern genutztes Tool, mit dem Beschäftigte Texte entwerfen oder recherchieren, wirft vor allem datenschutz-, arbeits- und geheimnisschutzrechtliche Fragen auf. Ein kundengerichteter Chatbot trifft dagegen nach außen Aussagen, die dem Unternehmen zugerechnet werden und wettbewerbs- sowie vertragsrechtliche Folgen auslösen können.
Datenschutz beim Chatbot-Einsatz (DSGVO)
Sobald ein Chatbot mit Menschen interagiert, verarbeitet er in aller Regel personenbezogene Daten. Damit ist der Anwendungsbereich der DSGVO eröffnet, und das Unternehmen muss die datenschutzrechtlichen Pflichten erfüllen.
Wann verarbeitet der Chatbot personenbezogene Daten?
Personenbezug entsteht bereits, wenn Nutzer:innen ihren Namen, ihre Kundennummer oder eine E-Mail-Adresse eingeben. Auch der Inhalt der Konversation selbst kann personenbezogen sein, etwa wenn jemand seine gesundheitliche Situation, ein Vertragsproblem oder persönliche Beschwerden schildert. Bei internen Chatbots werden häufig Personaldaten oder Angaben über Kolleg:innen verarbeitet. Es genügt, dass eine Person bestimmbar ist. Ein direkter Namensbezug ist nicht erforderlich.
Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO
Jede Verarbeitung braucht eine Rechtsgrundlage. Die DSGVO enthält in Art. 6 Abs. 1 eine Liste mit möglichen Erlaubnistatbeständen. Beim Chatbot-Einsatz kommen typischerweise drei in Betracht: Art. 6 Abs. 1 lit. a), b) und f).
Art. 6 Abs. 1 DSGVO
Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich;
(…)
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen.
Für einen Kundenservice-Bot, der eine bestehende Bestellung abwickelt, lässt sich die Verarbeitung häufig auf die Vertragserfüllung (lit. b) stützen. Wollen Sie den Chatbot zur Effizienzsteigerung im Support einsetzen, kommt das berechtigte Interesse (lit. f) in Betracht, das aber eine Interessenabwägung erfordert. Für weitergehende Zwecke, etwa Analyse des Gesprächsverhaltens zu Marketingzwecken, ist regelmäßig eine Einwilligung (lit. a) nötig.
Wird ein Chatbot eingesetzt, in dem es zur Eingabe und somit auch zur Verarbeitung personenbezogener Daten kommen kann, ist es notwendig, zu überprüfen, ob für die mögliche Verarbeitung eine Rechtsgrundlage nach der DSGVO besteht.
Auftragsverarbeitung mit dem Anbieter
Greifen Sie auf einen externen Anbieter zurück, der den von Ihnen genutzten KI-Chatbot betreibt, verarbeitet dieser Anbieter die Daten in Ihrem Auftrag. Sie müssen deshalb einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen. Ohne diesen Vertrag ist die Weitergabe der Daten an den Chatbot-Dienstleister rechtswidrig, unabhängig davon, wie sicher das System technisch sein mag.
Art. 28 Abs. 1 DSGVO
Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen dieser Verordnung genügt.
US-Anbieter und Drittlandtransfer
Viele leistungsfähige Chatbot-Dienste, wie die GPT-Modelle von openAI, stammen von US-Anbietern. Werden bei der Nutzung von Diensten solcher Anbieter personenbezogene Daten in die USA übertragen, sind die Regeln zum Drittlandtransfer nach Art. 44 ff. DSGVO als besondere Voraussetzungen zu erfüllen. Seit dem EU-US Data Privacy Framework ist ein Transfer an zertifizierte US-Unternehmen grundsätzlich erleichtert möglich. Ob der konkrete Anbieter zertifiziert ist, müssen Sie im Einzelfall prüfen. Ist er es nicht, brauchen Sie sog. Standardvertragsklauseln und gegebenenfalls zusätzliche Schutzmaßnahmen. Das sind von der EU-Kommission vorgegebene Vertragsklauseln, die den Schutz personenbezogener Daten bei Übermittlungen in Drittländer gewährleisten sollen. Sie werden unmittelbar von der EU-Kommission zur Verfügung gestellt und werden auf deren Webseite veröffentlicht.
Bei US-Anbietern sollten Sie gezielt prüfen: Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert? Wo werden die Daten tatsächlich gespeichert? Bietet der Anbieter eine Option, die Eingaben von der Modellverbesserung auszuschließen (Opt-out oder Enterprise-Tarif)? Liegt ein DSGVO-konformer AVV vor? Lassen sich diese Punkte nicht klären, ist der Einsatz für personenbezogene Daten riskant.
Datenschutz-Folgenabschätzung und Löschpflichten
Führt der Einsatz eines KI-Chatbots voraussichtlich zu einem hohen Risiko für die Rechte betroffener Personen, ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung durchzuführen. Das gilt vor allem bei umfangreicher oder systematischer Verarbeitung, etwa wenn ein Chatbot alle Kundenkommunikationen auswertet. Zudem müssen Sie ein Löschkonzept haben: Konversationsdaten dürfen nicht unbegrenzt gespeichert werden, sondern nur so lange, wie es für den jeweiligen Zweck erforderlich ist.
Die bloße Aussage des Anbieters eines KI-Chatbots, das Modell sei anonym, entbindet nicht von einer eigenen datenschutzrechtlichen Bewertung. Aus datenschutzrechtlicher Perspektive kommt es immer auf den Einzelfall und vor allem die konkrete Anwendung an. Daher ist eine individuelle Prüfung für jedes Unternehmen zwingend notwendig
Dies gilt insbesondere, da Datenschutzverstöße beim KI-Einsatz konsequent verfolgt werden können. Gegen Anbieter von KI haben die europäischen Datenschutzbehörde bereits Bußgelder in Millionenhöhe verhängt, unter anderem wegen fehlender Rechtsgrundlage und unzureichender Information der Nutzer:innen. Wer als Unternehmen einen Dienst einbindet, der gegen die DSGVO verstößt, kann für die eigene Nutzung ebenfalls in die Haftung geraten.
Die EU-KI-Verordnung (AI Act) und ihre Pflichten
Mit der Verordnung (EU) 2024/1689, dem AI Act, gilt erstmals ein einheitlicher Rechtsrahmen für künstliche Intelligenz in der EU. KI-Chatbots sind davon unmittelbar betroffen.
Die rechtliche Rolle Ihres Unternehmens entscheidet über die bestehenden Pflichten. Nach der EU-KI-Verordnung ist zu unterscheiden, ob Sie Anbieter (Sie entwickeln das System und bringen es in Verkehr) oder Betreiber (Sie setzen ein fremdes System unter eigener Verantwortung ein) sind. Unternehmen, die einen fertigen Chatbot einkaufen, sind in der Regel Betreiber und tragen entsprechend geringere, aber keineswegs unerhebliche Pflichten.
Transparenzpflicht nach Art. 50 KI-VO
Die zentrale Pflicht für Chatbots ist die Kennzeichnung. Nutzer:innen müssen erkennen können, dass sie mit einer Maschine und nicht mit einem Menschen kommunizieren.
Art. 50 Abs. 1 VO (EU) 2024/1689
Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so gestaltet und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten Person aufgrund der Umstände offensichtlich.
Die Transparenzpflicht aus Art. 50 Abs. 1 richtet sich an Anbieter, die das System gestalten. Als Betreiber eines eingekauften Systems trifft Sie die Verpflichtung, das System bestimmungsgemäß und im Einklang mit den Vorgaben zu verwenden. In der Praxis sollten Sie vertraglich sicherstellen, dass der Anbieter die technische Kennzeichnungsmöglichkeit bereitstellt, und diese dann auch tatsächlich aktivieren.
Vertiefende Informationen zur Kennzeichnung finden Sie in unserem Beitrag KI-Kennzeichnungspflicht 2026: Was gilt nach Art. 50 KI-VO?.
Eine klare Kennzeichnung kann so aussehen:
„Hinweis: Sie chatten mit einem KI-gestützten Assistenten. Für komplexe Anliegen leiten wir Sie an eine:n Mitarbeiter:in weiter.“
Platzieren Sie den Hinweis gut sichtbar zu Beginn der Konversation, nicht versteckt in den Datenschutzbestimmungen.
KI-Kompetenz der Mitarbeitenden
Bereits seit Februar 2025 gilt eine oft übersehene Pflicht: Anbieter und Betreiber müssen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen.
Art. 4 VO (EU) 2024/1689
Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Praktisch bedeutet das: Beschäftigte, die den Chatbot betreuen oder mit KI-Tools arbeiten, müssen geschult werden. Sie müssen die Funktionsweise, die Grenzen und die Risiken verstehen.
Sie planen den Einsatz eines KI-Chatbots oder nutzen bereits ein System und sind unsicher, ob Sie alle rechtlichen Vorgaben erfüllen? Wir prüfen Ihren konkreten Einsatz auf DSGVO-Konformität, AI-Act-Pflichten und Haftungsrisiken und entwickeln mit Ihnen eine rechtssichere Lösung.
Haftung für Chatbot-Aussagen
Auch KI-Chatbots sind nicht unfehlbar und machen Falschaussagen. Ein bekanntes Phänomen beim Einsatz von Künstlicher Intelligenz ist das sogenannte Halluzinationen der KI: das System erfindet Fakten, ohne dies zu kennzeichnen.
Während menschliche Fehler von Mitarbeitenden eines Unternehmens dem Betrieb zugerechnet werden, stellt sich beim Einsatz von KI-Chatbots die Frage, wer für falsche Auskünfte eines KI-Chatbots herangezogen werden kann.
Wer haftet, wenn der Bot Falsches sagt?
Der Chatbot ist kein eigenes Rechtssubjekt. Er kann nicht selbst haften. Setzen Sie ihn ein, werden seine Aussagen Ihrem Unternehmen zugerechnet. Sie können sich nicht darauf berufen, „die KI“ habe etwas Falsches gesagt. Rechtlich verhält es sich ähnlich wie bei einer fehlerhaften Auskunft einer Mitarbeiterin: Das Unternehmen steht dafür ein.
Besonders problematisch wird es, wenn ein Chatbot falsche oder irreführende Angaben macht – etwa zu Preisen, Rabatten, Lieferzeiten, Produkteigenschaften oder Vertragsbedingungen. Je nach Inhalt und Kontext können solche Aussagen unterschiedliche rechtliche Folgen haben: Eine vermeintliche Zusage kann unter Umständen einen vertraglichen Anspruch begründen, unzutreffende Angaben über Produkte oder Preise können als irreführende geschäftliche Handlung nach §§ 5, 5a UWG wettbewerbsrechtlich relevant sein.
Das OLG Hamm hat entschieden, dass die Antworten eines auf einer Unternehmenswebsite eingesetzten KI-Chatbots dem Unternehmen als eigene geschäftliche Handlungen zugerechnet werden können. Das gilt auch dann, wenn der Chatbot die irreführende Aussage eigenständig generiert hat und zuvor mit korrekten Informationen „gefüttert“ wurde.
Unternehmen können sich daher nicht darauf berufen, dass eine falsche Aussage allein auf einem Fehler der KI beruht.
Für Unternehmen bedeutet das: Insbesondere bei rechtlich oder tatsächlich relevanten Angaben sollten diese kontrolliert und der Chatbot angemessen überwacht werden.
(OLG Hamm, Urteil vom 12.05.2026, Az. 4 UKl 3/25)
Äußert sich der Chatbot hingegen falsch über eine konkrete Person, können Persönlichkeitsrechtsverletzungen und daraus resultierende Unterlassungs- oder Schadensersatzansprüche drohen. Unternehmen können sich dabei nicht ohne Weiteres darauf berufen, dass die Aussage von der KI eigenständig generiert wurde. Der Einsatz eines Chatbots entbindet daher nicht von der Verantwortung für dessen Kommunikation.
Ein pauschaler Disclaimer wie „Alle Angaben ohne Gewähr“ schützt nicht zuverlässig vor Haftung. Verbraucherschützende Vorschriften lassen sich nicht per AGB aushebeln, und eine irreführende Angabe bleibt irreführend, auch wenn irgendwo ein Hinweis steht. Wirksamer ist, den Bot technisch so zu begrenzen, dass er keine verbindlichen Zusagen zu Preisen und Konditionen macht, und diese Aussagen einem menschlichen Mitarbeiter vorzubehalten.
Schreiben Sie einen Kommentar