DSGVO und Chatbots: Welche Daten Sie legal aus Kundengesprächen sammeln dürfen

Ein Chatbot auf der Website klingt nach einer einfachen Idee: Er beantwortet nachts Fragen, fängt Leads ein und erspart Telefonate. Doch sobald ein Besucher etwas in dieses Fenster schreibt, verarbeiten Sie personenbezogene Daten. Und das bedeutet DSGVO – mit allem, was dazugehört: Rechtsgrundlage, Informationspflicht, Einwilligung, wo nötig, und eine Aufsichtsbehörde, die Erklärungen verlangen kann.

Die gute Nachricht: Sie müssen kein Jurist sein, um einen Chatbot korrekt einzusetzen. Sie müssen nur ein paar konkrete Regeln verstehen und von Anfang an befolgen – nicht erst nach einer Beschwerde. In diesem Artikel zeige ich Ihnen genau, welche Daten Sie aus einer Konversation sammeln dürfen, was Sie vermeiden sollten und wie ein sauberes Setup aussieht, ohne übertriebene Versprechen und ohne unnötige Panik.

Fast alles, was der Kunde im Chat schreibt, ist ein personenbezogenes Datum

Viele Website-Betreiber glauben, die DSGVO gelte nur für Namen und Ausweisnummern. Tatsächlich ist die Definition in der Verordnung viel weiter gefasst: jede Information, durch die eine Person direkt oder indirekt identifiziert werden kann.

Bei einem Chatbot bedeutet das unter anderem:

• Vor- und Nachname
• Telefonnummer und E-Mail-Adresse
• Lieferadresse oder Standort
• Inhalt der Nachrichten, wenn er etwas über die Person preisgibt
• IP-Adresse und automatisch erfasste technische Kennungen

Selbst ein scheinbar banales Gespräch kann sensible Daten enthalten: Jemand schreibt Ihnen vor einem Termin von einem gesundheitlichen Problem, von seiner sexuellen Orientierung oder seiner finanziellen Lage. Diese besonderen Kategorien erfordern zusätzliche Sorgfalt. Die einfache Regel: Behandeln Sie alles, was im Chat landet, als Information, die Sie schützen müssen – nicht als beliebiges Protokoll.

Sie brauchen eine Rechtsgrundlage – und das ist nicht immer die Einwilligung

Die DSGVO verbietet Ihnen nicht, Daten zu sammeln. Sie verlangt einen legitimen Grund für jede Sache, die Sie damit tun. Die häufigsten Rechtsgrundlagen für einen Business-Chatbot sind:

• Erfüllung eines Vertrags oder vorvertragliche Maßnahmen: Jemand fragt nach einem Angebot, einem Termin, einem Preis
• berechtigtes Interesse: die Beantwortung einer vom Kunden selbst initiierten Support-Anfrage
• Einwilligung: nötig vor allem, wenn Sie die Daten später zu Marketingzwecken nutzen wollen

Der Unterschied zählt. Fragt jemand nach einem Preis, haben Sie die Grundlage, ihm zu antworten und das Gespräch eine angemessene Zeit aufzubewahren. Wollen Sie ihn aber zum Newsletter hinzufügen oder ihm später Angebote schicken, brauchen Sie eine separate, klare, aktiv erteilte Einwilligung – keine vermutete. Vermischen Sie die Zwecke nicht: Jede Nutzung der Daten braucht ihre eigene Rechtsgrundlage.

Was Sie NICHT sammeln und NICHT unnötig speichern sollten

Die einfachste Regel für Compliance ist die Datenminimierung: Sie sammeln nur, was Sie für den konkreten Zweck brauchen, nichts darüber hinaus.

Für einen Chatbot bedeutet das in der Praxis:

• fragen Sie im Chat-Fenster niemals nach Ausweis- oder Sozialversicherungsnummern oder Kartendaten
• bewahren Sie Transkripte nicht endlos auf; legen Sie eine Aufbewahrungsfrist fest und löschen Sie danach
• senden Sie Konversationen nicht an externe Dienste, ohne zu wissen, wo die Daten landen

Der Punkt mit den externen Diensten wird am häufigsten übersehen. Viele KI-Chatbots senden jede Nachricht an einen Anbieter außerhalb der EU. Das ist erlaubt, muss aber in der Datenschutzerklärung angegeben und vertraglich abgesichert sein. Wenn Sie nicht wissen, wo die Daten Ihrer Kunden zirkulieren, können Sie nicht korrekt antworten, wenn jemand danach fragt – und jemand wird fragen.

Information, Transparenz und die Rechte des Kunden

Bevor jemand im Chat schreibt, muss er leicht herausfinden können, wer die Daten sammelt, zu welchem Zweck und wie lange sie aufbewahrt werden. Sie brauchen keinen juristischen Roman – ein sichtbarer Link zur Datenschutzerklärung neben dem Chat-Fenster löst den größten Teil des Problems.

Nützliche Elemente:

• ein kurzer Hinweis beim Öffnen des Chats: wer Sie sind und warum Sie Daten sammeln
• Link zur vollständigen Datenschutzerklärung
• ein Weg, über den der Kunde die Löschung oder Auskunft über seine Daten verlangen kann

Die DSGVO gibt Menschen konkrete Rechte: zu sehen, welche Daten Sie über sie haben, diese zu berichtigen, die Löschung zu verlangen. Wenn Sie Konversationen speichern, müssen Sie diese Anfragen innerhalb einer angemessenen Frist erfüllen können. Ein Setup, bei dem selbst Sie nicht wissen, wo die Transkripte liegen, macht es Ihnen unmöglich zu reagieren – und genau das zieht Probleme nach sich.

Wie wir bei MPO einen konformen Chatbot angehen

Wir bauen Premium-Websites, die remote in ganz Rumänien geliefert werden, und wenn wir einen Chatbot hinzufügen, beginnen wir mit der einfachen Frage: Was darf er sammeln und wo landen die Daten? Wir bevorzugen Konfigurationen, bei denen Transkripte auf einer Infrastruktur liegen, die Sie kontrollieren, mit einer klaren Aufbewahrungsfrist und einer Datenschutzerklärung, die tatsächlich zu dem passt, was der Bot macht.

Bevor Sie etwas bezahlen, bereiten wir Ihnen eine vorgefertigte Demo vor, damit Sie genau sehen, wie sie aussieht und funktioniert, und die Preise sind von Anfang an transparent. Keine magischen Versprechen, keine Daten, die irgendwo landen.

Wenn Sie einen Chatbot wollen, der Leads einfängt, ohne Sie rechtlich zu exponieren, schreiben Sie uns auf WhatsApp und wir besprechen Ihren konkreten Fall, in einfachen Worten. Es ist günstiger, es von Anfang an richtig zu machen, als es nach einer Beschwerde zu reparieren.