DSGVO-konforme KI-Chatbots: eure Optionen
Die kurze Antwort
Ja, KI-Chatbots lassen sich DSGVO-konform betreiben. Entscheidend ist, wo das Sprachmodell läuft und was mit den Daten passiert. Drei Betriebsmodelle stehen zur Wahl: US-Anbieter wie OpenAI oder Anthropic mit Auftragsverarbeitungsvertrag und ohne Training auf euren Daten, EU-Clouds wie Hetzner, bei denen eure Daten Europa nicht verlassen, oder lokale Modelle auf eigener Hardware für maximale Kontrolle. Die Faustregel: Je sensibler die Daten, desto näher sollte das Modell an euer Haus rücken. Pflicht sind in jedem Fall ein Auftragsverarbeitungsvertrag mit jedem Dienstleister, ein Eintrag im Verarbeitungsverzeichnis, ein Löschkonzept für Chat-Verläufe und der klare Hinweis, dass Nutzer mit einer KI schreiben; diese Transparenz verlangt seit 2024 auch der EU AI Act. Besonders datenschutzfreundlich sind RAG-Systeme: Der Bot antwortet auf Basis eurer Dokumente und zitiert die Quelle, das Modell wird nie mit euren Daten trainiert und die Wissensbasis bleibt jederzeit korrigierbar.
Welche Betriebsmodelle gibt es und wie unterscheiden sie sich?
- US-Cloud mit Vertragswerk: Anbieter wie OpenAI oder Anthropic bieten Unternehmens-APIs mit Auftragsverarbeitungsvertrag und ohne Training auf euren Daten. Für viele Anwendungsfälle zulässig, aber die Daten verlassen die EU. Das Data Privacy Framework trägt die Übermittlung, solange es Bestand hat.
- EU-Cloud: Modelle laufen in europäischen Rechenzentren, etwa bei Hetzner oder anderen EU-Hostern. Eure Daten bleiben in Deutschland oder der EU, die Leistungsfähigkeit moderner offener Modelle reicht für die meisten Chatbot- und Automatisierungs-Aufgaben.
- On-Premise / lokale LLMs: Das Modell läuft auf eurer eigenen Hardware. Maximale Kontrolle, kein Datenabfluss, dafür Investition in Hardware und Betrieb. Sinnvoll bei Gesundheitsdaten, Mandantendaten und ähnlich sensiblen Informationen.
Was ist RAG und warum ist es datenschutzfreundlich?
RAG (Retrieval Augmented Generation) bedeutet: Der Chatbot beantwortet Fragen auf Basis eurer Dokumente, FAQs und Wissensquellen und zitiert die Quelle. Das Modell muss dafür nicht mit euren Daten trainiert werden, die Wissensbasis bleibt unter eurer Kontrolle und lässt sich jederzeit korrigieren oder löschen. Genau solche Systeme bauen wir am häufigsten.
Welche Pflichten gelten beim Betrieb?
- Auftragsverarbeitungsvertrag mit jedem beteiligten Dienstleister
- Transparenz: Nutzer müssen erkennen, dass sie mit einer KI schreiben, und die Datenschutzerklärung muss die Verarbeitung beschreiben
- Datenminimierung: Der Bot bekommt nur die Daten, die er braucht. Keine Kundendatenbank als Prompt.
- Löschkonzept: Chat-Verläufe brauchen eine definierte Aufbewahrung
- Menschlicher Kanal: Für Eskalationen braucht es immer einen Weg zu einem Menschen
Welche Daten fließen bei einem Chatbot überhaupt?
Drei Datenströme sind zu betrachten. Erstens die Wissensbasis, also eure Dokumente und FAQs, die der Bot durchsucht: Sie enthält im Idealfall keine personenbezogenen Daten. Zweitens die Nutzereingaben: Hier landen schnell Namen, E-Mail-Adressen oder Vertragsdetails, deshalb gehören Chat-Verläufe in ein Löschkonzept. Drittens Metadaten wie Zeitstempel und Session-IDs. Wer diese drei Ströme sauber trennt, kann für jeden einzeln entscheiden, wo er verarbeitet wird, und genau das macht ein Setup DSGVO-tauglich.
Welche Dokumente braucht ihr wirklich?
- Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister, der Daten für euch verarbeitet, vom Modellanbieter bis zum Hoster
- Eintrag im Verarbeitungsverzeichnis: Zweck, Datenkategorien, Empfänger und Löschfristen des Chatbots
- Ergänzung der Datenschutzerklärung: Nutzer müssen erfahren, dass und wie der Bot Daten verarbeitet
- Transfer-Prüfung nur bei Übermittlung in Drittländer außerhalb der Angemessenheitsbeschlüsse
Das klingt nach viel Papier, ist aber überschaubar: Für ein typisches Chatbot-Setup sind das wenige Seiten, die im Projekt einmal sauber aufgesetzt werden.
Reicht ein US-Anbieter mit AVV nicht einfach aus?
Oft ja, und das ist eine legitime Entscheidung, solange die Daten unkritisch sind und die Übermittlung über das Data Privacy Framework abgesichert ist. Die ehrliche Gegenfrage lautet: Was passiert, wenn dieses Framework kippt, so wie seine beiden Vorgänger? Wer von Anfang an auf EU-Hosting oder lokale Modelle setzt, macht sich von dieser Rechtslage unabhängig. Deshalb empfiehlt GEKKOS die US-Route nur dort, wo ihre Vorteile (Modellqualität, Geschwindigkeit) den Unterschied wirklich machen.
Und was verlangt der EU AI Act?
Zusätzlich zur DSGVO gilt seit 2024 die europäische KI-Verordnung. Für typische Support- und Website-Chatbots ist die wichtigste Pflicht die Transparenz: Nutzer müssen klar erkennen können, dass sie mit einer KI schreiben, nicht mit einem Menschen. Ein sichtbarer Hinweis im Chat-Fenster erfüllt das bereits. In risikoreiche Kategorien fallen normale Kundenservice-Bots nicht; wer KI dagegen für Bewerberauswahl oder Kreditentscheidungen einsetzen will, spielt in einer anderen Regelklasse und braucht eine eigene Prüfung. Für die Praxis heißt das: Kennzeichnung einbauen, Zuständigkeit intern klären, fertig.
Was kostet der Einstieg?
Unser KI-Kickstart beginnt ab 990 Euro: Workflow-Audit, Workshop und eine konkrete Automatisierungs-Roadmap mit Kosten-Nutzen-Einschätzung. Danach wisst ihr, welches Betriebsmodell zu euren Daten passt und was sich zuerst lohnt. Eure Daten bleiben dabei auf Wunsch komplett in Deutschland oder der EU.
( bereit, wenn ihr es seid )