Website-Chatbots und DSGVO: ein Praxisleitfaden für die EU, Deutschland und die Schweiz

Dieser Leitfaden bietet allgemeine Informationen für Unternehmen, die einen KI-Chatbot auf ihrer Website einsetzen. Er stützt sich auf die amtlichen Texte unter Quellen, Stand Oktober 2026, und ist keine Rechtsberatung. Was für dich gilt, hängt von Branche, Land und dem ab, was dein Chatbot tut. Prüfe dein Setup deshalb vor dem Start mit deinem Datenschutzbeauftragten oder einer Anwältin.

Die DSGVO (Verordnung (EU) 2016/679) gilt für Unternehmen mit Niederlassung in der EU und nach Art. 3 Abs. 2 auch für Unternehmen anderswo, die Menschen in der EU Waren oder Dienstleistungen anbieten. Ein Chatbot auf deiner Website gehört zu diesem Angebot, seine Gespräche mit Besuchern in der EU sind also erfasst.

Ob Informationen auf dem Gerät eines Besuchers gespeichert oder ausgelesen werden dürfen, ist eine eigene Frage. Art. 5 Abs. 3 der ePrivacy-Richtlinie verlangt dafür eine Einwilligung, außer die Speicherung ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. In Deutschland regelt das § 25 TDDDG, das frühere TTDSG.

Die Schweiz hat ein eigenes Gesetz: das revidierte Datenschutzgesetz (revDSG, auch nDSG), in Kraft seit dem 1. September 2023. Cookies regelt Art. 45c des Fernmeldegesetzes (FMG). Schweizer Unternehmen mit Besuchern aus der EU müssen oft zusätzlich die DSGVO beachten.

Speziell zu KI hält der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) fest, dass das DSG direkt auf KI-gestützte Bearbeitungen anwendbar ist und Menschen ein Recht darauf haben zu erfahren, ob sie mit einer Maschine sprechen. In der EU verlangt Art. 50 der KI-Verordnung (Verordnung (EU) 2024/1689), dass KI-Systeme, die mit Menschen interagieren, dies offenlegen, sofern es nicht offensichtlich ist.

Liste auf, was der Chatbot tatsächlich verarbeitet. Bei den meisten Website-Chatbots sind das:

Nach Art. 6 Abs. 1 DSGVO braucht jeder Zweck eine Rechtsgrundlage: Einwilligung, Vertrag oder vorvertragliche Maßnahmen auf Anfrage der Person, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Lege die Grundlage für jeden Zweck einzeln fest und dokumentiere sie.

Für das Beantworten von Fragen, die Besucher von sich aus stellen, wird häufig das berechtigte Interesse herangezogen. Die Leitlinien 1/2024 des Europäischen Datenschutzausschusses (EDSA) nennen drei Bedingungen, die alle erfüllt sein müssen: ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und kein Überwiegen der Interessen und Rechte der Besucher, unter Berücksichtigung ihrer vernünftigen Erwartungen. Wer eine Frage tippt, erwartet eine Antwort, keine Kaltakquise.

Gesundheitsdaten und die anderen besonderen Kategorien nach Art. 9 brauchen eine Ausnahme wie die ausdrückliche Einwilligung. Am einfachsten erhebst du sie gar nicht: Bitte Besucher in der Begrüßung, keine sensiblen Angaben zu machen, und weise den Chatbot an, nie danach zu fragen.

Das Schweizer Recht setzt anders an. Das DSG verlangt von privaten Unternehmen keine Rechtsgrundlage für jede Bearbeitung, die Bearbeitung muss aber seine Grundsätze einhalten, etwa Treu und Glauben, Verhältnismäßigkeit, Zweckbindung und Erkennbarkeit. Ein Rechtfertigungsgrund wie eine Einwilligung ist nötig, wo die Bearbeitung sonst die Persönlichkeit verletzen würde.

Art. 13 legt fest, worüber Besucher informiert werden müssen, und Art. 12 verlangt eine klare und einfache Sprache. Für einen Chatbot gehört mindestens dazu:

Die Informationspflicht nach Art. 19 DSG ist ähnlich, bei Bekanntgaben ins Ausland aber strenger: Laut EDÖB musst du die Empfängerstaaten nennen, unabhängig davon, ob sie einen angemessenen Schutz bieten, und die verwendeten Garantien angeben.

Im Chat selbst kann eine kurze Begrüßung sagen, dass der Besucher mit einem KI-Assistenten schreibt, dass Antworten falsch sein können und dass keine sensiblen Angaben geteilt werden sollen.

Art. 5 Abs. 1 lit. c beschränkt Daten auf das notwendige Maß, und Art. 25 DSGVO sowie Art. 7 DSG verlangen Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Bei einem Chatbot ist das vor allem eine Frage der Einstellungen:

Dein Chatbot-Anbieter verarbeitet Besucherdaten in deinem Auftrag und ist deshalb in der Regel Auftragsverarbeiter. Art. 28 verlangt einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Arten von Daten und betroffenen Personen festlegt und den Anbieter an deine dokumentierten Weisungen bindet. Weitere Auftragsverarbeiter braucht es nur mit deiner schriftlichen Genehmigung. Das Schweizer Recht erlaubt dasselbe per Vertrag (Art. 9 DSG), sofern der Auftragsbearbeiter die Daten nur so bearbeitet, wie du es selbst dürftest, und für ihre Sicherheit sorgt.

KI-Chatbots stützen sich auf weitere Anbieter. intoCHAT nutzt zum Beispiel ein Modell von OpenAI, um Embeddings deiner Inhalte zu erstellen und Antworten zu erzeugen. Nachrichten der Besucher und passende Abschnitte deiner Inhalte gehen also an OpenAI. Nenne jeden Anbieter dieser Kette in deinem Verzeichnis und deiner Datenschutzerklärung.

Übermittlungen außerhalb der EU brauchen einen Angemessenheitsbeschluss oder Garantien wie die Standardvertragsklauseln der Europäischen Kommission (Art. 44 und 46). Die Schweiz arbeitet mit einer Liste des Bundesrats von Staaten mit angemessenem Schutz, und der EDÖB anerkennt die EU-Klauseln für andere Staaten. Frag deinen Anbieter:

Art. 5 Abs. 3 der ePrivacy-Richtlinie gilt nicht nur für Cookies. Die Leitlinien 2/2023 des EDSA bestätigen, dass er auch Local Storage und ähnliche Technologien erfasst, unabhängig davon, ob es um personenbezogene Daten geht.

Wie die meisten Chat-Widgets legt auch das Widget von intoCHAT eine zufällige Sitzungskennung in einem Cookie und im Local Storage ab, damit ein Gespräch beim Seitenwechsel weiterläuft. Ob das für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, hängt davon ab, wie und wann die Kennung gesetzt wird. Kläre das mit deiner Beratung. Brauchst du eine Einwilligung, können die meisten Consent-Tools ein Skript zurückhalten, bis der Besucher zustimmt.

Eine wirksame Einwilligung ist freiwillig, für den bestimmten Fall, informiert und unmissverständlich. Scrollen ist keine Einwilligung, und der Widerruf muss so einfach sein wie die Erteilung (EDSA-Leitlinien 05/2020).

In der Schweiz verlangt Art. 45c FMG, dass du Nutzer über die Bearbeitung auf ihren Geräten informierst und darauf hinweist, dass sie sie ablehnen können. Das Cookie-Merkblatt des EDÖB (März 2026) ergänzt, dass eine vorgängige, ausdrückliche Einwilligung nötig ist, wenn die Bearbeitung unerwartet ist, ein hohes Risiko birgt oder besonders schützenswerte Daten betrifft.

Nach Art. 5 Abs. 1 lit. e darfst du personenbezogene Daten nur so lange speichern, wie der Zweck es erfordert, und auch das DSG verlangt, nicht mehr benötigte Daten zu vernichten oder zu anonymisieren. Lege je eine Frist für Protokolle und Leads fest, nenne sie in der Datenschutzerklärung und setze sie regelmäßig um.

In intoCHAT kannst du einzelne Gespräche in den Chat-Protokollen und einzelne Leads in der Lead-Tabelle löschen. Eine regelmäßige Durchsicht genügt also.

Besucher können Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen und Verarbeitungen aus berechtigtem Interesse widersprechen (Art. 15 bis 21). Du musst innerhalb eines Monats antworten, bei komplexen oder vielen Anfragen verlängerbar um zwei Monate (Art. 12 Abs. 3). In der Schweiz ist die Auskunft laut EDÖB grundsätzlich innerhalb von 30 Tagen und kostenlos zu erteilen. Bereite die Schritte jetzt vor:

Keine Software macht einen Chatbot von allein datenschutzkonform, und intoCHAT hat keine Datenschutz-Zertifizierung. intoCHAT gibt dir aber die Kontrolle über die Teile, die zählen:

Amtliche Texte und Leitlinien, Stand Oktober 2026: