DSK-Orientierungshilfe zu RAG: Was sie für Website-Chatbots bedeutet

Die meisten Website-Chatbots mit eigenen Inhalten arbeiten nach demselben Muster: Texte werden in Abschnitte zerlegt, als Vektoren in einer Datenbank abgelegt, und zu jeder Frage sucht das System passende Abschnitte, aus denen ein Sprachmodell die Antwort formuliert. Das Verfahren heißt Retrieval Augmented Generation, kurz RAG. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat dazu im Oktober 2025 eine Orientierungshilfe veröffentlicht.

Was die DSK schreibt

Die „Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme mit RAG-Methode“ liegt in Version 1.0 vor, Stand Oktober 2025. Sie hat etwa 18 Seiten und prüft, wie sich die Grundsätze der DSGVO in RAG-Systemen umsetzen lassen. Die Kernaussagen:

• Positive Effekte: RAG kann kontextbezogene und überprüfbare Inhalte liefern und damit Richtigkeit und Nachvollziehbarkeit verbessern. Auch die Vertraulichkeit und Integrität zusätzlich eingebundener personenbezogener Daten lässt sich verbessern.
• On-premise möglich: Die Methode erlaubt es in vielen Fällen, ein Sprachmodell im eigenen Betrieb einzusetzen, das weniger Trainingsdaten braucht. Dadurch sind unter Umständen weniger personenbezogene Daten aus dem Modell extrahierbar.
• Mandantentrennung und Rollenkonzept: Für die Vektordatenbank nennt die DSK bewährte Maßnahmen: Mandantentrennung beziehungsweise funktionale Trennung und ein Rechte- und Rollenkonzept, das den Zugang zu Bereichen der Datenbank und den Referenzdokumenten beschränkt. Im Sprachmodell selbst lasse sich dagegen nicht steuern, wer welche Informationen sehen darf.
• Löschung: Einträge in der Vektordatenbank und die Referenzdokumente sind direkt adressierbar und lassen sich gezielt löschen. Klassische Löschmechanismen nach Ablauf von Aufbewahrungsfristen lassen sich darauf anwenden. Ungelöst bleibt die Löschung im Sprachmodell selbst.
• Einzelfallprüfung: Herausforderungen wie fehlende Transparenz, Zweckbindung und die Umsetzung der Betroffenenrechte im Gesamtsystem hat die verantwortliche Stelle im Einzelfall zu prüfen. Die RAG-Methode kann je nach Gestaltung eine mitigierende Maßnahme im Sinne der Stellungnahme 28/2024 des Europäischen Datenschutzausschusses sein.

Die Orientierungshilfe ist eine Auslegungshilfe der Aufsichtsbehörden. Sie bindet weder Behörden noch Gerichte, zeigt aber, woran sich Betreiber messen lassen müssen.

Was das für den BlueBranch Chatbot heißt

Unser Chatbot ist ein RAG-System, und die Hinweise der DSK decken sich mit seinem Aufbau:

Was bleibt Deine Aufgabe

Die DSK betont, dass Verantwortliche ihre Bewertung im Einzelfall vornehmen. Prüfe, welche Inhalte Du trainierst, ob darin personenbezogene Daten stehen und welchem Zweck sie dienen. Schließe aus, was der Chat nicht kennen soll, und dokumentiere die Eignung des Systems. Die Checkliste dafür steht im Beitrag Chatbot DSGVO-konform einsetzen, die technischen Maßnahmen auf der Seite DSGVO & AVV.