Chatbot im kleinen Unternehmen: was die DSGVO verlangt

Ein Gast fragt abends um halb elf, ob in der Ferienwohnung ein Hochstuhl steht. Ein Chatbot auf deiner Seite kann das beantworten, während du schläfst. Die Frage danach kommt bei mir fast immer: Darf ich das überhaupt? Kurze Antwort: ja, wenn du ein paar Punkte sauber regelst. Ich gehe sie der Reihe nach durch. Rechtsberatung ist das nicht, bei Zweifeln fragst du eine Fachanwältin.

Gilt die DSGVO auch für einen kleinen Chatbot auf meiner Seite?

Ja. Sobald jemand mit dem Chatbot schreibt und dabei Name, Mailadresse, Buchungsnummer oder auch nur sein Anliegen eingibt, verarbeitest du personenbezogene Daten. Damit fällt der Chatbot vollständig unter die DSGVO, unabhängig von der Betriebsgröße. Das gilt für die Pension mit vier Zimmern genauso wie für den Malerbetrieb mit drei Mitarbeitern (compound.law, cegtec).

Wichtig ist der Blickwechsel: Ein Chatbot ist rechtlich kein Sonderfall, sondern eine normale Datenverarbeitung wie dein Kontaktformular. Du brauchst also keine Spezialkenntnisse, sondern die gleichen vier Bausteine wie überall sonst: Rechtsgrundlage, Transparenz, Vertrag mit dem Dienstleister, Löschkonzept. eRecht24 weist darauf hin, dass du den Einsatz solcher Tools auf der Website offenlegen musst, zum Beispiel in der Datenschutzerklärung (eRecht24).

Brauche ich eine Einwilligung oder reicht Vertragserfüllung?

Es hängt am Zweck. Eine Einwilligung ist nicht automatisch in jedem Fall nötig, eine saubere und dokumentierte Rechtsgrundlage nach Art. 6 DSGVO schon (digitalmonetizer, Steinbock und Partner). Praxisleitfäden ordnen das so ein:

Für einen kleinen Betrieb heißt das konkret: Trenne den reinen Service-Chat vom Marketing. Wenn dein Bot am Ende fragt, ob er die Mailadresse für Angebote speichern darf, braucht dieser Schritt eine eigene Einwilligung. Die Antwort auf die Hochstuhl-Frage braucht sie nicht. Notiere deine Zuordnung in zwei Sätzen pro Zweck, das genügt als Dokumentation für ein kleines Unternehmen (ki-rise).

Was muss in Datenschutzerklärung und Chatfenster stehen?

Nach Art. 13 und 14 DSGVO musst du deine Gäste vor der ersten Dateneingabe informieren, nicht erst danach. Praxis-Checklisten empfehlen dafür einen eigenen Chatbot-Abschnitt in der Datenschutzerklärung und zusätzlich einen kurzen Hinweis direkt im Chatfenster, bevor getippt wird (cegtec, inno-chatbot). In den Abschnitt gehören:

• welche Daten der Chat erfasst, also Eingaben, Zeitstempel, technische Daten
• zu welchem Zweck du sie nutzt, getrennt nach Service und Marketing
• die Rechtsgrundlage je Zweck
• wie lange die Verläufe gespeichert bleiben
• wer der Anbieter ist und wo verarbeitet wird
• die Rechte deiner Gäste, insbesondere Auskunft und Löschung nach Art. 17 DSGVO

Dazu kommt der Hinweis auf das automatisierte System. Nach der europäischen KI-Verordnung müssen Nutzer spätestens bei der ersten Interaktion klar erkennen, dass sie nicht mit einem Menschen sprechen. Ein versteckter Satz in AGB oder Datenschutzerklärung reicht dafür nicht (meiti, Steinbock und Partner). Ein Satz im Begrüßungstext des Chats erledigt das: automatisierter Assistent, bei komplexen Fragen übernimmt ein Mensch.

Reicht es, wenn der Anbieter mit DSGVO-Konformität wirbt?

Nein. Wenn du einen externen Dienst oder eine angebundene Schnittstelle nutzt, ist der Anbieter dein Auftragsverarbeiter. Dafür brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, unabhängig davon, was auf der Produktseite steht (Steinbock und Partner). Verantwortlich für die Verarbeitung bleibst du. Abzuarbeiten sind vier Punkte:

1. Auftragsverarbeitungsvertrag mit dem Chatbot-Anbieter abschließen und ablegen
2. zusätzlichen Vertrag mit dem Anbieter des Sprachmodells prüfen, falls das separat eingebunden ist
3. die Liste der Unterauftragsverarbeiter beim Anbieter anfordern und speichern
4. die Verarbeitung in dein Verarbeitungsverzeichnis nach Art. 30 DSGVO aufnehmen

Das ist in der Regel eine Stunde Arbeit, meist reichen zwei PDF-Dateien im Ordner und drei Zeilen im Verzeichnis (zenku, inno-chatbot).

Wie lange darf ich Chatverläufe speichern?

So lange, wie du sie für den Zweck brauchst, und nicht länger. Das folgt aus der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Aktuelle Praxisleitfäden empfehlen feste Aufbewahrungsfristen von 30 bis 90 Tagen, automatische Löschroutinen und anonymisierte Protokolle, wenn du die Verläufe für Auswertungen nutzen willst (compound.law, cegtec). Praktisch heißt das für dich:

• eine Frist festlegen und in die Datenschutzerklärung schreiben
• im Tool prüfen, ob es eine automatische Löschung gibt, und sie einschalten
• nur erheben, was du wirklich brauchst, Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO
• Löschanfragen nach Art. 17 DSGVO beantworten können, auch für den Chatverlauf

Was gilt, wenn die Server in den USA stehen?

Hosting in der EU oder im EWR macht dir die Konformität deutlich einfacher. Sitzt der Anbieter oder sein Rechenzentrum in einem Drittland, brauchst du zusätzliche Garantien wie Standardvertragsklauseln nach der Schrems-II-Rechtsprechung (lomageek, chatbyte). Ausschlusskriterium ist das nicht, aber es bedeutet mehr Papier.

Mein Vorgehen bei kleinen Betrieben: Ich frage den Anbieter vor dem Vertrag nach dem Verarbeitungsort, lasse mir EU-Hosting vertraglich zusichern und dokumentiere einen eventuellen Drittlandtransfer im Verarbeitungsverzeichnis und in der Datenschutzerklärung (intochat). Wenn zwei Anbieter sonst gleichwertig sind, nimm den mit EU-Hosting. Das spart dir dauerhaft Aufwand.

Wenn du jetzt starten willst, arbeite in dieser Reihenfolge. Das Digitalzentrum Fokus Mensch nennt als Einstiegsfragen für kleine und mittlere Unternehmen genau zwei Dinge: Gibt es eine rechtliche Grundlage, und werden Daten automatisch gespeichert oder weitergegeben (Digitalzentrum Fokus Mensch). Die IHK ergänzt, dass du zuerst einen Überblick über alle eingesetzten Systeme brauchst und Verantwortlichkeiten klar benennen solltest (IHK Bayreuth).

1. Schreib auf, welche drei bis fünf Fragen der Bot beantworten soll, und welche Daten er dafür braucht
2. ordne jedem Zweck eine Rechtsgrundlage zu, in zwei Sätzen
3. hol den Auftragsverarbeitungsvertrag und die Info zum Hosting-Ort beim Anbieter ein
4. ergänze den Chatbot-Abschnitt in der Datenschutzerklärung und den Hinweis im Begrüßungstext
5. stell die Löschfrist im Tool ein und leg fest, wer Anfragen von Gästen beantwortet

Wenn du wissen willst, ob ein Chatbot in deinem Betrieb überhaupt Arbeit spart und was du vorher klären musst, kannst du einen Digital-Check anfragen. Wir schauen gemeinsam auf deine Seite, die häufigsten Gastfragen und den Aufwand dahinter. Danach entscheidest du in Ruhe.