7
Prüfpunkte für deinen Chatbot
4
davon direkt im Browser prüfbar
1 Std.
reicht für den ersten Durchgang

Warum sich der Check gerade bei bestehenden Bots lohnt

Viele Chatbots wurden schnell eingebaut: Skript in die Seite kopiert, Farben angepasst, fertig. Der Datenschutz kam dabei oft zu kurz – nicht aus böser Absicht, sondern weil niemand daran gedacht hat. Typisch sind ein Widget, das vor dem Cookie-Banner lädt, eine Datenschutzerklärung, die den Chat gar nicht erwähnt, oder ein Anbieter, bei dem niemand weiß, wo die Daten eigentlich liegen.

Die gute Nachricht: Die meisten dieser Lücken lassen sich beheben, ohne den Anbieter zu wechseln. Du musst sie nur finden. Die folgenden sieben Punkte sind so sortiert, dass du mit dem beginnst, was du selbst im Browser sehen kannst.

1. Lädt das Widget vor der Einwilligung?

Das ist der häufigste Fehler und gleichzeitig der am leichtesten zu prüfende. Öffne deine Website in einem privaten Browserfenster und klicke im Cookie-Banner noch nichts an. Erscheint die Chat-Blase trotzdem? Dann lädt das Widget, bevor eine Entscheidung gefallen ist.

Ob das zulässig ist, hängt davon ab, was das Widget dabei tut. Nach § 25 TDDDG braucht es in der Regel eine Einwilligung, wenn Informationen auf dem Gerät des Besuchers gespeichert oder ausgelesen werden, die für den gewünschten Dienst nicht unbedingt erforderlich sind. Viele Chat-Widgets setzen beim Laden Cookies oder schreiben in den Local Storage, etwa für eine Besucher-ID oder Statistik. Dazu kommt: Schon das Laden des Skripts überträgt die IP-Adresse an den Anbieter.

So prüfst du es: In den Entwicklertools des Browsers (Taste F12) unter „Netzwerk“ siehst du, ob Anfragen an den Chat-Anbieter gehen, bevor du im Banner zugestimmt hast. Unter „Anwendung“ beziehungsweise „Speicher“ siehst du Cookies und Local-Storage-Einträge. Eine verbreitete Lösung ist, das Widget erst nach Zustimmung zu laden oder zunächst nur einen Platzhalter-Button zu zeigen, der den Chat erst beim Klick nachlädt.

2. Nennt die Datenschutzerklärung den Chat?

Such in deiner Datenschutzerklärung nach „Chat“, „Chatbot“ und dem Namen deines Anbieters. Nach Art. 13 DSGVO gehören unter anderem hinein: welche Daten verarbeitet werden (Eingaben, IP-Adresse, eventuell Kontaktdaten), zu welchem Zweck, auf welcher Rechtsgrundlage, wer Empfänger ist – also der Chatbot-Anbieter und gegebenenfalls dessen KI-Dienstleister –, wie lange gespeichert wird und ob Daten in ein Drittland gehen.

Fehlt der Chat komplett, ist das ein klarer Handlungsbedarf. Steht dort nur ein allgemeiner Satz ohne Anbieter, solltest du nachbessern.

3. Wo werden die Daten verarbeitet?

Bei KI-Chatbots gibt es meist mindestens zwei Stellen: die Plattform des Chat-Anbieters (Speicherung der Gespräche, Verwaltung) und das Sprachmodell, das die Antworten erzeugt. Beide können an unterschiedlichen Orten laufen. Schau in die Datenschutzerklärung und die Liste der Unterauftragnehmer deines Anbieters: Wo stehen die Server, und welches KI-Modell wird über welchen Dienstleister genutzt?

Eine Übermittlung in die USA ist nicht automatisch verboten. Sie kann sich zum Beispiel auf das EU-US Data Privacy Framework stützen, wenn der Empfänger zertifiziert ist, oder auf Standardvertragsklauseln mit zusätzlichen Maßnahmen. Du musst sie aber kennen, benennen und begründen können. Mit einem Anbieter, der Plattform und KI-Verarbeitung in der EU betreibt, fällt dieser Teil deutlich einfacher aus.

Abkürzung
Die Punkte 1, 2 und 7 sind von außen sichtbar. Unser kostenloser KI-Chatbot-Check sieht sich deine Website an und zeigt dir dazu in rund einer Minute Hinweise mit Ampel – plus einen Demo-Bot, der deine Inhalte kennt.

4. Gibt es einen AVV?

Verarbeitet der Chatbot-Anbieter in deinem Auftrag personenbezogene Daten – und das tut er, sobald Chatverläufe gespeichert werden –, brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Prüfe, ob er abgeschlossen ist, wer ihn wo abgelegt hat und ob die Liste der Unterauftragnehmer aktuell ist. Viele Anbieter stellen den AVV im Kundenkonto bereit; manchmal muss man ihn nur einmal akzeptieren.

5. Wie lange werden Chats gespeichert?

Schau in die Einstellungen deines Chat-Tools: Gibt es eine Löschfrist für Gespräche? Steht sie auf „unbegrenzt“? Die DSGVO schreibt keine feste Frist vor, verlangt aber, dass Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. Leg eine Frist fest, die zu deinem Zweck passt, stell sie im Tool ein und nenne sie in der Datenschutzerklärung.

6. Was passiert mit Kontaktdaten aus dem Chat?

Viele Bots fragen nach Name, E-Mail oder Telefonnummer, etwa für einen Rückruf. Kläre: Für welchen Zweck werden die Daten erhoben, wohin fließen sie (Postfach, CRM, Newsletter-Tool) und wird der Besucher an der Stelle kurz informiert? Wer Kontaktdaten aus dem Chat für Werbung nutzen will, braucht dafür eine eigene, klare Grundlage – eine Rückrufbitte ist keine Newsletter-Anmeldung.

7. Ist der Bot als KI gekennzeichnet?

Kein klassischer DSGVO-Punkt, aber seit dem 2. August 2026 Pflicht: Nach Art. 50 der KI-Verordnung müssen Besucher spätestens bei der ersten Interaktion erfahren, dass sie mit einer KI chatten. Was das genau heißt, steht in unserem Artikel zur KI-Kennzeichnungspflicht für Website-Chatbots.

Die Checkliste auf einen Blick

Prüfpunkt Wie du es prüfst
1. Laden vor EinwilligungPrivates Fenster, Banner ignorieren, Netzwerk-Tab ansehen
2. DatenschutzerklärungNach „Chat“ und Anbietername suchen; Zweck, Empfänger, Speicherdauer vorhanden?
3. DatenstandortServerstandort und KI-Dienstleister in Unterauftragnehmer-Liste prüfen
4. AVVVertrag nach Art. 28 DSGVO abgeschlossen und abgelegt?
5. LöschfristEinstellung im Tool prüfen, Frist in Datenschutzerklärung nennen
6. KontaktdatenZweck, Weitergabe und Hinweis im Chat klären
7. KI-KennzeichnungBegrüßung und Chatfenster: Ist klar, dass eine KI antwortet?
Keine Rechtsberatung
Diese Liste hilft dir, typische Lücken zu finden. Sie ersetzt keine Rechtsberatung und keine Prüfung durch deine Datenschutzbeauftragte oder deinen Datenschutzbeauftragten. Stand: Oktober 2026.

Häufig gestellte Fragen

Darf ein Chat-Widget ohne Einwilligung laden?
Das hängt davon ab, was das Widget beim Laden tut. Speichert oder liest es Informationen auf dem Gerät des Besuchers, etwa Cookies oder Einträge im Local Storage, die für den vom Nutzer gewünschten Dienst nicht unbedingt erforderlich sind, verlangt § 25 TDDDG in der Regel eine Einwilligung. Viele Websites laden das Widget deshalb erst nach Zustimmung im Cookie-Banner oder erst, wenn jemand aktiv auf den Chat klickt.
Muss der Chatbot-Anbieter in der Datenschutzerklärung stehen?
Ja. Nach Art. 13 DSGVO musst du unter anderem über Zweck, Rechtsgrundlage, Empfänger und Speicherdauer informieren. Der Chatbot-Anbieter ist als Empfänger der Daten zu nennen, ebenso eine mögliche Übermittlung in Drittländer.
Brauche ich einen AVV mit dem Chatbot-Anbieter?
In der Regel ja. Verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag, also zum Beispiel Chatverläufe oder Kontaktdaten, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Viele Anbieter stellen ihn als Download oder im Kundenkonto bereit.
Ist ein Chatbot-Anbieter aus den USA automatisch unzulässig?
Nein. Übermittlungen in die USA sind möglich, etwa wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit zusätzlichen Maßnahmen vereinbart sind. Du musst die Übermittlung aber in der Datenschutzerklärung nennen und prüfen, worauf sie sich stützt. Ein Anbieter mit Verarbeitung in der EU macht das deutlich einfacher.
Wie lange darf ich Chatverläufe speichern?
Nur so lange, wie es für den Zweck erforderlich ist. Eine feste Frist schreibt die DSGVO nicht vor. Lege eine Löschfrist fest, die zu deinem Zweck passt, stelle sie im Chat-Tool ein, falls möglich, und nenne sie in der Datenschutzerklärung.

Fazit

Ein bestehender Chatbot muss kein Datenschutz-Risiko sein. Meist sind es dieselben drei, vier Stellen, an denen nachgebessert werden muss: das Laden vor der Einwilligung, eine lückenhafte Datenschutzerklärung, ein fehlender AVV und eine unbegrenzte Speicherung. Wer diese Punkte einmal sauber klärt und dokumentiert, ist für die meisten Fragen gut vorbereitet.

Wenn du schnell sehen willst, wo deine Website steht: Starte den KI-Chatbot-Check. Du bekommst Hinweise zu den von außen sichtbaren Punkten und kannst direkt ausprobieren, wie ein KI-Assistent mit Verarbeitung in der EU auf deinen eigenen Inhalten antwortet.