KI-Chatbot: Was Unternehmen mit Kundeneingaben dürfen

vor 3 Tagen

3 Min. Lesezeit

Datenschutz bei KI-Chatbots: Sensible Daten, Einwilligung und Transparenzpflicht im Kundenkontakt

Das Landgericht Köln hat dem Betreiber einer großen, auch von Jugendlichen genutzten Social-Media-Plattform untersagt, Eingaben in den dortigen KI-Chatbot ohne Rechtsgrundlage für Werbezwecke zu verarbeiten (Urteil vom 17.09.2026 – 33 O 120/24, nicht rechtskräftig). Geklagt hatte ein Verbraucherverband. Die Entscheidung betrifft nicht nur große Plattformen: Sie zeigt, worauf jedes Unternehmen achten sollte, das Kunden über einen KI-Chatbot ansprechen lässt.

Sensible Daten entstehen, ohne dass man danach fragt

Die Datenschutz-Grundverordnung (DSGVO) schützt bestimmte Daten besonders streng. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung von Daten, aus denen etwa religiöse Überzeugungen hervorgehen, sowie von Gesundheitsdaten oder Daten zur sexuellen Orientierung grundsätzlich „untersagt“. Erlaubt ist sie unter anderem, wenn die betroffene Person „ausdrücklich eingewilligt“ hat (Art. 9 Abs. 2 lit. a DSGVO).

Nach den Urteilsgründen kam es nicht darauf an, ob der Chatbot gezielt nach solchen Angaben fragt. Die Nutzer wurden zu persönlichen Fragen ermuntert, solche Angaben waren deshalb zu erwarten, und der Anbieter wertete die Eingaben für Werbung aus. Ein Hinweis auf einer Unterseite, keine sensiblen Daten einzugeben, reichte nicht. Auf ein „berechtigtes Interesse“ (Art. 6 Abs. 1 lit. f DSGVO) kann sich der Anbieter bei solchen Daten nicht stützen; Art. 9 DSGVO verlangt eine eigene Ausnahme, hier eine ausdrückliche Einwilligung.

Für Unternehmen heißt das: Wer einen Chatbot im Kundenservice einsetzt, muss damit rechnen, dass Kunden von sich aus etwa über Krankheiten oder familiäre Umstände schreiben. Art. 9 DSGVO erfasst jede Verarbeitung, also auch das Speichern von Chatverläufen. Das Gericht hat nur über die Werbenutzung entschieden; ob schon die bloße Beantwortung einer Anfrage eine besondere Rechtfertigung braucht, ist offen. Datensparsamkeit, kurze Löschfristen und der Ausschluss von Profilbildung und Training mit Chat-Inhalten verringern das Risiko.

Eine Einwilligung lässt sich nicht voreinstellen

Das Gericht beanstandete außerdem vorangekreuzte Werbeoptionen und ein Hinweisfenster, das nur „Okay“ zuließ. Das entspricht gefestigter Rechtsprechung: Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, ist keine wirksame Einwilligung (EuGH, Urteil vom 01.10.2019 – C-673/17; BGH, Urteil vom 28.05.2020 – I ZR 7/16). Das Widerspruchsrecht (Art. 21 DSGVO) wirkt erst nachträglich und setzt eine rechtmäßige Verarbeitung voraus; eine fehlende Einwilligung kann es nicht ersetzen.

Verbände können klagen

Datenschutzverstöße verfolgen nicht nur Aufsichtsbehörden. Der Europäische Gerichtshof hat entschieden, dass qualifizierte Verbraucherverbände auch ohne Auftrag eines konkret Betroffenen gegen DSGVO-Verstöße klagen dürfen (EuGH, Urteil vom 28.04.2022 – C-319/20). Unternehmen mit Verbraucherkontakt sollten daher auch mit Abmahnungen und Unterlassungsklagen von Verbänden rechnen.

Transparenzpflicht nach der KI-Verordnung

Nach Art. 50 Abs. 1 der europäischen KI-Verordnung müssen Anbieter von KI-Systemen, die mit Menschen interagieren, grundsätzlich dafür sorgen, dass Nutzer erfahren, dass sie mit einer KI kommunizieren – es sei denn, das ist offensichtlich. Diese Pflicht gilt seit dem 2. August 2026; der im Juli 2026 in Kraft getretene „Digital Omnibus“ hat vor allem Pflichten für Hochrisiko-Systeme verschoben, nicht diese. Verpflichtet ist der Anbieter, also wer das System entwickelt oder unter eigenem Namen in Betrieb nimmt. Wer einen fremden Chatbot nur einsetzt, sollte prüfen, welche Rolle er hat, und die Kennzeichnung vertraglich absichern.

Praxis-Checkliste für Unternehmen

Erfassen, welche Daten im Chat anfallen, wofür sie genutzt und wann sie gelöscht werden.
Chat-Inhalte nicht für Werbeprofile oder Werbeauswahl verwenden, solange keine ausdrückliche Einwilligung vorliegt.
Einwilligungen nur aktiv einholen; keine vorangekreuzten Kästchen, kein bloßes „Okay“.
Datenschutzhinweise schon beim Start des Chats konkret und vollständig geben.
Verträge mit dem KI-Dienstleister prüfen: Auftragsverarbeitung, Nutzung der Daten zu eigenen Zwecken, Datenübermittlung in Drittländer.
Kennzeichnung als KI-System sicherstellen.
Bei Angeboten, die auch Minderjährige nutzen, Jugendschutz und Werbebeschränkungen gesondert prüfen.

Fazit

Ein KI-Chatbot ist rechtlich kein Selbstläufer. Wer Eingaben sauber behandelt, Einwilligungen aktiv einholt und den Einsatz transparent macht, reduziert das Risiko von Abmahnungen und Verbandsklagen. Sprechen Sie uns bei Fragen gern an.

Stand: 17.10.2026

NIETZER Rechtsanwälte · Attorneys at Law (USA) · Heilbronn · www.unternehmensrecht.com

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.