ChatGPT und DSGVO: Was Website-Betreiber beim Chatbot beachten müssen

Ein Chatbot, der Besucherfragen mit einem großen Sprachmodell beantwortet, ist technisch in einem Nachmittag eingebaut. Datenschutzrechtlich fängt die Arbeit dann erst an. Wer als Betreiber einer Website einen KI-Dienst einbindet, übernimmt Pflichten, die mit der Technik nichts zu tun haben, aber über Abmahnung oder Aufsichtsverfahren entscheiden können. Dieser Beitrag ordnet die wichtigsten ein.

Ein Website-Chatbot ist in der Regel Auftragsverarbeitung

Sobald der Anbieter eines KI-Dienstes im Auftrag Deines Unternehmens personenbezogene Daten verarbeitet, brauchst Du einen Vertrag nach Art. 28 DSGVO. Die IHK Frankfurt nennt den Auftragsverarbeitungsvertrag (AVV) deshalb als erste Pflicht beim Einsatz von KI. Die Kanzlei Heuking schreibt in einem Fachbeitrag vom 3. April 2025 sogar, dass bei einer Auftragsverarbeitung „zwingend“ ein Vertrag mit dem KI-Anbieter geschlossen werden müsse, der einen DSGVO-konformen Schutz auch tatsächlich sicherstellt.

Personenbezogene Daten stecken schneller in einer Chat-Frage, als man denkt: ein Name, eine Bestellnummer, eine Telefonnummer. Du kannst nicht ausschließen, dass Besucher sie eintippen. Also gilt der Chatbot als Verarbeitung personenbezogener Daten.

Drittland: Auch Metadaten zählen

Sitzt der Modellanbieter oder werden Daten in einem Rechenzentrum außerhalb der EU verarbeitet, greifen die Regeln zur Drittlandübermittlung (Art. 44 ff. DSGVO). Heuking weist ausdrücklich darauf hin, dass sie auch gelten, wenn nur Meta- oder Telemetriedaten übermittelt werden. Nötig ist dann ein Angemessenheitsbeschluss oder geeignete Garantien, in der Regel Standarddatenschutzklauseln.

Für die USA kommt das EU-US Data Privacy Framework in Betracht. Heuking rät aber zur Vorsicht, weil der Beschluss angegriffen wird. Wie der Stand ist, fassen wir im Beitrag Data Privacy Framework: Berufung beim EuGH anhängig zusammen.

Rechtsgrundlage und Transparenz

Jede Verarbeitung braucht eine Rechtsgrundlage, und Besucher müssen vorab informiert werden (Art. 12 ff. DSGVO). Wie die Rechtsgrundlage aussieht, ist in der Praxis nicht einheitlich. eRecht24 sieht die Einwilligung als zentrale Grundlage und empfiehlt eine aktive Zustimmung per Opt-in zu Beginn der Unterhaltung, ein einfacher Cookie-Hinweis genüge nicht. Je nach Einsatz kommen auch das berechtigte Interesse oder vorvertragliche Maßnahmen in Betracht. Das entscheidest Du für Deine Website, am besten mit Deiner oder Deinem Datenschutzbeauftragten.

Wie ernst Aufsichtsbehörden Transparenz und Rechtsgrundlage nehmen, zeigt der Fall OpenAI: Die italienische Behörde Garante verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro, unter anderem weil Nutzerdaten ohne ausreichende Rechtsgrundlage zum Training von ChatGPT verarbeitet wurden und Informationspflichten verletzt waren. Der Fall betraf OpenAI als Betreiber von ChatGPT selbst, nicht Betreiber von Websites. Er zeigt aber, worauf Behörden schauen.

Drei Wege für den Website-Chatbot

1. Cloud-Modell mit Vertrag. AVV, Standarddatenschutzklauseln, Prüfung des Drittlandtransfers, Abschalten des Trainings mit Eingaben. Machbar, aber mit laufendem Prüfaufwand und einem zusätzlichen Auftragsverarbeiter.
2. Anbieter in der EU. Entschärft die Drittlandfrage, den AVV brauchst Du trotzdem.
3. Eigenes Modell auf eigener Hardware. Heuking zitiert die Empfehlung des Bayerischen Landesbeauftragten für den Datenschutz an bayerische Behörden, im Zweifel den Betrieb im eigenen Rechenzentrum zu wählen, weil er am sichersten sei. Genau diesen Weg gehen wir: Das Sprachmodell läuft auf einem dedizierten Server bei Hetzner in Deutschland, ohne Schnittstelle zu OpenAI oder anderen Modellanbietern.

Warum wir uns so entschieden haben und was das technisch bedeutet, steht im Beitrag Lokale KI statt Cloud.

Was das für Deine Website heißt

Auch mit eigenem Modell bleibst Du als Betreiber der Website verantwortlich: AVV abschließen, Datenschutzerklärung ergänzen, Rechtsgrundlage festlegen, den Chat als KI kennzeichnen. Die vollständige Liste steht in der Checkliste für Websites, die technischen Zusagen auf der Seite DSGVO & AVV.