Ist ein KI-Chatbot DSGVO-konform?

Ein Chatbot ist nicht an sich konform oder nicht konform; entscheidend ist, wie Sie ihn einsetzen. Sie brauchen eine Rechtsgrundlage für die Verarbeitung, klare Informationen für die Nutzer, Auftragsverarbeitungsverträge mit jedem Anbieter, der die Daten verarbeitet, einen gültigen Mechanismus für Übermittlungen außerhalb der EU, eine begrenzte Speicherdauer und einen Weg, Auskunfts- und Löschanfragen zu beantworten.

Sieht der LLM-Anbieter die Nachrichten meiner Kunden?

Ja, alles, was Sie im Prompt senden, gelangt zum Anbieter, der das Modell betreibt, einschließlich des Gesprächsverlaufs und abgerufener Wissensinhalte. Deshalb sind Anbieterwahl, Vertragsbedingungen, Einstellungen zur Datenspeicherung und Region wichtig, und deshalb sollten Sie unnötige personenbezogene Daten aus Prompts heraushalten.

Was verlangt das KVKK für KI-Chatbots?

Das türkische Datenschutzgesetz Nr. 6698 gilt für Chatbot-Gespräche mit Personen in der Türkei wie jede andere Verarbeitung auch. Sie müssen die betroffenen Personen informieren, eine Rechtsgrundlage für die Verarbeitung haben, bei besonderen Kategorien wie Gesundheitsdaten besondere Sorgfalt walten lassen und bei Übermittlungen ins Ausland, zum Beispiel an einen LLM-Anbieter außerhalb der Türkei, einen zulässigen Mechanismus nutzen, etwa die Standardverträge der Behörde.

Wie lange sollte ich Chatbot-Gespräche aufbewahren?

Nur so lange, wie Sie sie für den Zweck benötigen, über den Sie die Kunden informiert haben, etwa zur Bearbeitung der Anfrage, aufgrund gesetzlicher Pflichten oder zur Qualitätskontrolle. Legen Sie für jeden Datenspeicher eine Speicherdauer fest, einschließlich Gesprächsprotokollen, Protokollen des LLM-Anbieters und jeder Vektordatenbank, und löschen oder anonymisieren Sie die Daten nach Ablauf.

KI-Chatbots und Kundendaten: eine DSGVO- und KVKK-Datenschutz-Checkliste für Messaging-Teams

Ein KI-Agent auf WhatsApp oder Instagram leitet Kundennachrichten durch mehrere Unternehmen. Diese Checkliste zeigt, wie Sie diese Daten abbilden, Anbieter auswählen, Speicherfristen festlegen und die Einwilligung nach DSGVO und dem türkischen KVKK handhaben.

MonoChat-Team Aktualisiert: 13. Oktober 2026 8 Min. Lesezeit

Auf dieser Seite

Wohin Kundendaten fließen, wenn ein KI-Agent antwortet
Die Datenschutz-Checkliste für KI-Chatbots
Kurzübersicht: DSGVO und KVKK im Vergleich
Wie MonoChat Ihnen hilft, die Kontrolle über KI und Daten zu behalten
Quellen

Um einen KI-Chatbot DSGVO- und KVKK-konform zu betreiben, bilden Sie jedes System ab, durch das Kundennachrichten laufen, sorgen für eine Rechtsgrundlage und eine klare Datenschutzerklärung, schließen mit jedem Anbieter einen Auftragsverarbeitungsvertrag, nutzen einen gültigen Übermittlungsmechanismus, wenn Daten die EU oder die Türkei verlassen, halten personenbezogene Daten nach Möglichkeit aus Prompts heraus, legen Speicherfristen fest und informieren die Nutzer darüber, dass sie mit einer KI sprechen. Compliance ergibt sich daraus, wie Sie den Chatbot einsetzen, nicht aus dem Chatbot selbst.

Die Schwierigkeit: Eine einzige WhatsApp-Antwort kann vier oder fünf Unternehmen berühren: Meta, Ihre Messaging-Plattform, einen LLM-Anbieter, eine Vektordatenbank und das CRM, in dem der Agent Informationen nachschlägt. Diese Checkliste geht jede dieser Stellen durch. Sie ist praktische Orientierung für Messaging-Teams und keine Rechtsberatung. Klären Sie die Details daher mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Wohin Kundendaten fließen, wenn ein KI-Agent antwortet

Zeichnen Sie zunächst den Weg einer einzelnen Nachricht auf. Ein typischer Ablauf sieht so aus:

Schritt	System	Beteiligte Daten	Ihre Frage
1	Messaging-Kanal (WhatsApp, Instagram, Messenger)	Telefonnummer oder Benutzername, Nachrichteninhalt, Medien	Welche Bedingungen und Speicherregeln gelten?
2	Messaging-Plattform	Gesprächsverlauf, Kontaktprofil, Tags, Notizen	Wer hat Zugriff, wo wird es gespeichert, wie lange?
3	Wissensdatenbank und Vektordatenbank	Ihre Inhalte; personenbezogene Daten nur, wenn Sie sie hochgeladen haben	Liegen personenbezogene Daten im Index?
4	LLM-Anbieter	Prompt: Anweisungen, abgerufener Text, Verlauf, letzte Nachricht	Werden Daten gespeichert, für Training genutzt, wo verarbeitet?
5	Angebundene Tools (CRM, Buchung, Shop)	Bestelldaten, Termine, Kontodetails	Was darf der Agent lesen und schreiben?
6	Menschliche Agenten	Vollständiges Gespräch nach der Übergabe	Wer sieht was, und wird es protokolliert?

Jede Zeile ist eine Stelle, an der personenbezogene Daten verarbeitet werden und an der Sie einen Vertrag, eine Speicherregel und eine Zugriffskontrolle brauchen. Wenn Sie eine Zeile nicht ausfüllen können, ist das Ihre erste Aufgabe.

Die Datenschutz-Checkliste für KI-Chatbots

1. Rechtsgrundlage wählen und dokumentieren

Nach der DSGVO (Artikel 6) braucht jeder Verarbeitungszweck eine Rechtsgrundlage. Die Antwort an einen Kunden, der Sie angeschrieben hat, stützt sich meist auf Vertrag oder berechtigtes Interesse. Marketingnachrichten stützen sich meist auf eine Einwilligung. Die Nutzung von Gesprächen zur Verbesserung Ihres Agenten ist ein eigener Zweck, den Sie gesondert bewerten sollten, statt anzunehmen, dass die ursprüngliche Grundlage ihn abdeckt.

Das KVKK hat eine eigene Liste von Verarbeitungsbedingungen. Wenn Sie Kunden in der EU und in der Türkei betreuen, dokumentieren Sie die Grundlage nach beiden Gesetzen.

2. Über die KI und über die Daten informieren

Ihre Datenschutzerklärung sollte angeben, dass Gespräche von einem KI-System bearbeitet werden können, welche Anbieter die Daten verarbeiten, wo, wie lange und wie man einen Menschen erreicht. DSGVO Artikel 13 und 14 legen fest, was dazugehört, und das KVKK kennt eine entsprechende Informationspflicht.

In der EU gelten die Transparenzpflichten der KI-Verordnung ab dem 2. August 2026. Sie verlangen, dass Menschen informiert werden, wenn sie mit einem KI-System interagieren, es sei denn, das ergibt sich aus dem Kontext. Eine kurze erste Nachricht erfüllt sowohl den rechtlichen Punkt als auch die Erwartungen der Kunden:

Hallo, ich bin der virtuelle Assistent von Nordwind Home, eine KI. Ich helfe
bei Bestellungen, Retouren und Lieferung. Schreiben Sie jederzeit "Mitarbeiter",
um mit unserem Team zu sprechen.
Datenschutzerklärung: nordwindhome.example/datenschutz

3. Mit jedem Auftragsverarbeiter einen Auftragsverarbeitungsvertrag schließen

Ihre Messaging-Plattform, Ihr LLM-Anbieter, der Host Ihrer Vektordatenbank und jeder Tool-Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein Auftragsverarbeiter. DSGVO Artikel 28 verlangt einen schriftlichen Vertrag, der die Verarbeitung auf Ihre Weisungen beschränkt, Vertraulichkeit und Sicherheit verlangt und Unterauftragsverarbeiter, Löschung und Audits regelt. Führen Sie eine Liste der Unterauftragsverarbeiter und prüfen Sie sie, wenn Anbieter wechseln.

4. Übermittlungen außerhalb der EU oder der Türkei prüfen

Viele LLM-Anbieter verarbeiten Daten in anderen Ländern. Nach DSGVO Kapitel V brauchen Übermittlungen außerhalb des EWR einen Angemessenheitsbeschluss oder geeignete Garantien, etwa Standardvertragsklauseln.

Die KVKK-Regeln zur Übermittlung ins Ausland haben sich im Juni 2024 geändert. Übermittlungen stützen sich nun auf einen Angemessenheitsbeschluss, geeignete Garantien wie die von der Datenschutzbehörde (Personal Data Protection Board) veröffentlichten Standardverträge oder eng begrenzte Ausnahmen. Standardverträge müssen der Behörde innerhalb von fünf Werktagen nach Unterzeichnung gemeldet werden. Prüfen Sie, wo jeder Anbieter Daten verarbeitet, und wählen Sie Regionen oder Anbieter, die zu Ihren Pflichten passen.

Bei WhatsApp bietet die Cloud API von Meta lokale Speicherung: Sie können für jede Geschäftsrufnummer wählen, wo Nachrichtendaten im Ruhezustand gespeichert werden. Inhalte können während der Nutzung weiterhin international in Rechenzentren von Meta verarbeitet werden, bei der Cloud API bis zu 60 Minuten, bevor sie nur noch in der gewählten Region gespeichert werden.

5. Den LLM-Anbieter bewusst auswählen

Der Modellanbieter sieht alles, was Sie in den Prompt geben. Prüfen Sie vor der Anbindung:

Nutzung für Training. Nutzt der Anbieter API-Daten zum Trainieren von Modellen, und können Sie widersprechen?
Speicherdauer. Wie lange werden Prompts und Ausgaben gespeichert, auch zur Missbrauchserkennung?
Region. Wo werden Daten verarbeitet und gespeichert, und können Sie das wählen?
Vertrag. Ist für Ihren Tarif ein Auftragsverarbeitungsvertrag verfügbar?
Eigenbetrieb. Wäre ein Open-Source-Modell auf Ihren eigenen Servern für sensible Anwendungsfälle geeignet?

Wenn Sie Ihr eigenes Anbieterkonto verwenden (Bring your own key), gehören Vertrag, Regionseinstellungen und Speicheroptionen Ihnen, statt vom Konto eines Dienstleisters übernommen zu werden.

6. Daten in Prompts und Tools minimieren

Datenminimierung (DSGVO Artikel 5) ist die wirksamste Datenschutzmaßnahme für KI-Agenten.

Laden Sie keine Kundendatensätze, Ausweisdokumente oder internen Notizen in die Wissensdatenbank hoch.
Senden Sie dem Modell nur den Verlauf, den es braucht, nicht das vollständige Kontaktprofil.
Geben Sie Tools den engstmöglichen Zugriff: Ein Tool für den Bestellstatus braucht eine Bestellnummer, nicht die gesamte Kundendatenbank.
Maskieren oder vermeiden Sie Felder wie Ausweisnummern, Kartennummern und Passwörter.
Weisen Sie den Agenten an, niemals nach sensiblen Daten zu fragen, die er nicht braucht.

Agentenregel: Frage im Chat nie nach Kartennummern, Passwörtern oder
Ausweisnummern. Wenn ein Kunde eine davon mitteilt, wiederhole sie nicht
und biete stattdessen den sicheren Zahlungslink oder ein Gespräch mit
unserem Team an.

Wenn Ihr Agent über Protokolle wie MCP mit Geschäftssystemen verbunden ist, gilt dieselbe Regel für jedes angebundene System. Die Risiken finden Sie unter MCP für Kunden-Messaging.

7. Gesundheitsdaten und andere besondere Daten mit besonderer Sorgfalt behandeln

Gesundheitsdaten, Religion, biometrische Daten und ähnliche Kategorien genießen nach DSGVO Artikel 9 und KVKK besonderen Schutz. Kliniken, Apotheken und Versicherer sollten begrenzen, was die KI verarbeitet, keine medizinische Beratung durch KI anbieten und klinische Fragen an qualifiziertes Personal weiterleiten. Erwägen Sie eine Datenschutz-Folgenabschätzung (DSGVO Artikel 35), bevor Sie einen KI-Agenten einführen, der solche Daten in großem Umfang verarbeitet.

8. Für jeden Speicher eine Aufbewahrungsfrist festlegen

Speicherbegrenzung (DSGVO Artikel 5) bedeutet, dass Sie personenbezogene Daten nur so lange aufbewahren, wie es nötig ist. Legen Sie eine Frist fest und dokumentieren Sie sie für:

den Gesprächsverlauf in Ihrer Messaging-Plattform,
Protokolle beim LLM-Anbieter,
exportierte Transkripte und Analysen,
alle personenbezogenen Daten in einer Vektordatenbank oder Wissensdatenbank.

Stellen Sie dann sicher, dass die Löschung tatsächlich erfolgt, wenn möglich auch in Backups.

9. Auf Auskunfts- und Löschanfragen vorbereitet sein

Kunden können erfragen, welche Daten Sie über sie speichern, und die Löschung verlangen (DSGVO Artikel 15 und 17, mit ähnlichen Rechten nach KVKK). Wissen Sie, wie Sie die Gespräche einer Person in allen Systemen Ihrer Datenlandkarte finden und wie Sie sie in jedem davon löschen.

10. Entscheidungen allein durch KI vermeiden

DSGVO Artikel 22 schränkt Entscheidungen ein, die ausschließlich auf automatisierter Verarbeitung beruhen und Menschen erheblich beeinträchtigen. Lassen Sie die KI antworten, Informationen erfassen und weiterleiten, und überlassen Sie Genehmigungen, Ablehnungen, Kreditentscheidungen und Ausnahmen Menschen. Eine zuverlässige Übergabe von KI an Mitarbeiter ist zugleich ein Service- und ein Compliance-Merkmal.

11. Zugriff sichern und Protokolle führen

Beschränken Sie, wer Gespräche lesen darf, nutzen Sie rollenbasierte Zugriffe, verlangen Sie Multi-Faktor-Authentifizierung und führen Sie Audit-Logs darüber, wer was getan hat. DSGVO Artikel 32 verlangt Sicherheit, die dem Risiko angemessen ist, und Artikel 33 setzt eine Frist von 72 Stunden für die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde, wenn die Verletzung ein Risiko für Personen darstellt.

12. Die Regeln des jeweiligen Kanals beachten

Metas WhatsApp Business Messaging Policy stellt eigene Anforderungen an Opt-in, Datennutzung und KI. Unser Leitfaden zur WhatsApp-KI-Chatbot-Richtlinie 2026 erklärt, was Meta erlaubt, und WhatsApp Opt-in behandelt die Einwilligung für proaktive Nachrichten.

Kurzübersicht: DSGVO und KVKK im Vergleich

Thema	DSGVO	KVKK (Gesetz Nr. 6698)
Nutzer informieren	Artikel 13 und 14	Informationspflicht
Verträge mit Auftragsverarbeitern	Artikel 28	Verantwortlicher haftet gemeinsam für die Sicherheit beim Auftragsverarbeiter (Artikel 12)
Übermittlung ins Ausland	Kapitel V: Angemessenheit, Standardvertragsklauseln	Angemessenheit, der Behörde gemeldete Standardverträge, begrenzte Ausnahmen
Besondere Kategorien	Artikel 9	Besondere Kategorien personenbezogener Daten
Speicherdauer	Speicherbegrenzung, Artikel 5	Löschung, Vernichtung oder Anonymisierung, wenn der Zweck entfällt
Betroffenenrechte	Auskunft, Löschung und weitere	Ähnliche Rechte, einschließlich Auskunft und Löschung

Wie MonoChat Ihnen hilft, die Kontrolle über KI und Daten zu behalten

MonoChat ist so aufgebaut, dass die sensiblen Teile des Stacks unter Ihrer Kontrolle bleiben können. Das bietet das Produkt, wie auf unserer Seite zu Sicherheit und Compliance beschrieben:

Ihre eigenen LLM-Schlüssel. Mit eigenen LLMs verbinden Sie Ihr eigenes Konto bei OpenAI, Anthropic, Google, Azure, AWS oder einem anderen Anbieter, behalten so Ihre eigenen Preise und Datenvereinbarungen und entscheiden, welcher Assistent welches Modell nutzt.
Selbst gehostete Modelle. Sie können Modelle anbinden, die auf Ihren eigenen Servern laufen, über Ollama oder Ihre eigene Modell-API, wenn Prompts auf Ihrer Infrastruktur bleiben sollen.
Ihre eigene Vektordatenbank. Die VectorDB-Integration hält die Vektoren der Wissensdatenbank in der Vektordatenbank Ihrer Wahl, mit Ihren eigenen Speicher- und Aufbewahrungsrichtlinien, in der Region oder Cloud Ihrer Wahl.
Abgegrenztes Wissen. Die KI-Wissensdatenbank trennt Inhalte in Bereiche mit eigener Zugriffskontrolle, sodass jeder Agent nur abruft, was er abrufen soll.
Kontrollierte KI-Aktionen. KI-Funktionstools laufen mit Validierung, Berechtigungen, freigegebenen Endpunkten und Protokollen, sodass ein Assistent nur tun kann, was Sie erlauben.
Zugriffskontrolle und Protokolle. Rollenbasierter Zugriff, Workspace-Isolation, Audit-Logs sowie verschlüsselte, auf den Workspace begrenzte Anbieter-Zugangsdaten.
Offizielle Kanal-APIs. WhatsApp wird über die offizielle WhatsApp Business Platform (Cloud API) angebunden, und MonoChat ist ein offizieller Meta Business Partner.
Zertifizierungen und Richtlinie. MonoChat verfügt über die Zertifizierungen ISO 27001 und ISO 9001, und die Datenschutzerklärung ist nach KVKK (Gesetz Nr. 6698) erstellt. Anfragen zu Auskunft, Berichtigung oder Löschung personenbezogener Daten werden innerhalb von 30 Tagen beantwortet.
On-Premise-Option. Der Enterprise-Plan bietet On-Prem-Bereitstellung für strengere Anforderungen.

Sie können das Produkt im kostenlosen Basic-Plan (ein Agent, ein Kanal) unter app.monochat.ai testen und vor Ihrer Prüfung die vollständige Datenschutzerklärung lesen.

Quellen

Mit MonoChat umsetzen

Alle Ratgeber