Was ist ein DSGVO-konformer Chatbot?
Ein DSGVO-konformer Chatbot ist ein KI-Assistent, bei dem die Verarbeitung personenbezogener Daten den Anforderungen der Datenschutz-Grundverordnung entspricht: mit klarer Rechtsgrundlage, Zweckbindung und Datenminimierung, ohne unkontrollierte Übermittlung in Drittländer und mit Wahrung der Betroffenenrechte. In der Praxis bedeutet das meist: Betrieb in der EU oder on-premise, kein Training mit den Eingaben der Nutzenden und ein Berechtigungskonzept, das steuert, wer welche Inhalte sehen darf.
Worauf es rechtlich und technisch ankommt
Sobald ein Chatbot Namen, Kundendaten, Personalinformationen oder andere personenbezogene Daten verarbeitet, greift die DSGVO. Verantwortlich dafür bleibt immer die Organisation, die den Chatbot einsetzt – nicht der Anbieter. Der Anbieter kann aber die technischen Voraussetzungen schaffen, die eine rechtskonforme Nutzung überhaupt erst möglich machen.
Der kritischste Punkt in der Praxis ist der Drittlandtransfer: Wird die Anfrage an einen US-Dienst geschickt, verlassen die Daten den EU-Rechtsraum. US-Anbieter unterliegen als US-Konzerne dem CLOUD Act, der Behördenzugriff auch auf Daten in europäischen Rechenzentren ermöglichen kann. Deshalb ist der Betriebsort – on-premise oder EU-Rechenzentrum – kein Detail, sondern die zentrale Weichenstellung.
Ebenso wichtig: Werden die Eingaben zum Training des Modells verwendet? Wenn ja, können Inhalte in späteren Antworten bei anderen Nutzenden auftauchen. Ein datenschutzkonformer Aufbau schließt das aus. Ergänzend geben Orientierungshilfen der Datenschutzkonferenz (DSK) praktische Leitplanken für den KI-Einsatz.
Woran ihr einen DSGVO-konformen Chatbot erkennt
Die Verarbeitung findet auf eigener Infrastruktur oder in einem Rechenzentrum im EU-Rechtsraum statt – ohne Umweg über US-Dienste.
Inhalte aus Prompts und Dokumenten fließen nicht in das Modelltraining ein und tauchen nicht bei anderen Nutzenden auf.
Es gibt einen AV-Vertrag nach Art. 28 DSGVO mit klar geregelten Pflichten, Subunternehmern und Löschfristen.
Der Assistent beantwortet nur Inhalte, die die fragende Person ohnehin sehen darf – Berechtigungen werden über Rollen gesteuert.
Antworten sind mit Quellenangabe belegt, sodass überprüfbar bleibt, woher eine Information stammt.
Auskunft, Berichtigung und Löschung sind technisch umsetzbar – auch für Inhalte, die im Index liegen.
„DSGVO-konform“ ist kein Siegel, das ein Produkt allein mitbringt. Ob ein konkreter Einsatz rechtskonform ist, hängt immer vom Anwendungsfall, den verarbeiteten Daten und der Ausgestaltung durch die verantwortliche Organisation ab. Ein Anbieter kann die Voraussetzungen schaffen – die Bewertung im Einzelfall, etwa in einer Datenschutz-Folgenabschätzung, bleibt bei euch bzw. eurem Datenschutzbeauftragten. Diese Seite ist keine Rechtsberatung.
Häufige Fragen
Ist ChatGPT DSGVO-konform einsetzbar?
Für unkritische Aufgaben oft ja, für personenbezogene oder besonders schützenswerte Daten in der Regel nicht ohne Weiteres. OpenAI ist ein US-Konzern und unterliegt dem CLOUD Act; eine Datenschutz-Folgenabschätzung ist Pflicht. Für Berufsgeheimnisträger nach § 203 StGB reicht auch die Enterprise-Variante meist nicht aus.
Reicht ein Rechenzentrum in der EU aus?
Es ist ein wichtiger Schritt, aber nicht automatisch ausreichend: Entscheidend ist auch, wer rechtlich Zugriff nehmen kann. Bei US-Konzernen bleibt der CLOUD Act relevant, selbst wenn die Server in Europa stehen. Ein europäischer Anbieter oder der On-Premise-Betrieb schließt diese Lücke.
Was ist mit personenbezogenen Daten in den hochgeladenen Dokumenten?
Sie unterliegen ebenfalls der DSGVO. Wichtig sind daher Zweckbindung, ein Berechtigungskonzept und die Möglichkeit, Inhalte gezielt wieder zu entfernen. Grundsätzlich gilt: nur die Daten indexieren, die für den Zweck wirklich gebraucht werden.
Braucht es eine Datenschutz-Folgenabschätzung?
Häufig ja – insbesondere bei umfangreicher Verarbeitung personenbezogener Daten oder bei sensiblen Kategorien. Die Einschätzung trifft die verantwortliche Organisation, in der Regel gemeinsam mit dem Datenschutzbeauftragten.
Wie das bei KOSMO aussieht
Theorie ist das eine – in 30 Minuten zeigen wir live, wie KOSMO das in eurer Organisation umsetzt. Mit euren eigenen Inhalten.
