Datenschutz beim Website-Chatbot: acht Punkte, die Sie prüfen sollten

Kurz gesagt: Wer einen Chatbot auf der Website einsetzt, braucht einen Vertrag zur Auftragsverarbeitung, einen Absatz in der Datenschutzerklärung, einen Hinweis, dass Besucher mit einer KI schreiben, und eine klare Speicherdauer. Beim Website-Chat von Telofy liegen der Vertrag und der Absatz fertig im Portal, der KI-Hinweis steht am Anfang jedes Gesprächs, der Chat setzt keine Cookies und verarbeitet in der EU. Die Verantwortung für die Datenschutzerklärung und für die Daten Ihrer Besucher bleibt bei Ihnen.

Diese Seite ist eine praktische Checkliste, keine Rechtsberatung. Wie sich Vorschriften auf Ihren Betrieb auswirken, hängt von Branche und Einzelfall ab. Praxen, Kanzleien und andere Berufsgeheimnisträger sollten sich im Zweifel beraten lassen. Wie es beim Telefon aussieht, steht unter KI am Telefon und DSGVO.

Wer ist verantwortlich?

Sie. Der Betrieb, auf dessen Website der Chat läuft, ist der Verantwortliche im Sinne der DSGVO. Der Anbieter des Chats verarbeitet die Daten in Ihrem Auftrag. Daraus folgen die Punkte der Checkliste.

Die Checkliste

1. Vertrag zur Auftragsverarbeitung abschließen

Verarbeitet ein Dienstleister Daten in Ihrem Auftrag, verlangt Artikel 28 der DSGVO einen schriftlichen Vertrag. Ohne ihn fehlt die Grundlage für den Einsatz.

• Ihre Aufgabe: Vertrag abschließen und ablegen.
• Bei Telofy: Den Auftragsverarbeitungsvertrag finden Sie im Portal. Dort sind auch die Unterauftragsverarbeiter aufgeführt (siehe Punkt 8).

2. Datenschutzerklärung ergänzen

Besucher müssen erfahren, dass es einen Chat gibt, welche Daten dort verarbeitet werden, wie lange und auf welcher Rechtsgrundlage. Das verlangt die Informationspflicht nach Artikel 13 der DSGVO.

• Ihre Aufgabe: Den Abschnitt in Ihre Datenschutzerklärung einfügen und die Rechtsgrundlage mit Ihrer Beratung festlegen. Häufig kommt das berechtigte Interesse in Betracht, bei Terminbuchung auch die Vertragsanbahnung. Das ist eine Einzelfallfrage.
• Bei Telofy: Der passende Absatz liegt ausformuliert im Portal. Sie tragen Ihre Angaben ein und kopieren ihn.

3. Cookies und Einwilligung klären

Ein Cookie-Banner ist nötig, wenn für den Chat Informationen auf dem Gerät des Besuchers gespeichert oder ausgelesen werden, ohne dass das technisch erforderlich ist. Das regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Manche Anbieter setzen für den Chat ein Cookie und verlangen die Einwilligung der Besucher. Wer ablehnt, sieht den Chat dann womöglich nicht.

• Ihre Aufgabe: Beim Anbieter nachfragen, ob der Chat Cookies setzt, und Ihren Banner entsprechend pflegen.
• Bei Telofy: Der Chat setzt keine Cookies. Er merkt sich das Gespräch nur im Sitzungsspeicher des Browsers, der beim Schließen des Fensters gelöscht wird. Für den Chat brauchen Sie deshalb keinen Banner. Erwähnen sollten Sie ihn in der Datenschutzerklärung trotzdem. Prüfen Sie, ob andere Dienste auf Ihrer Seite einen Banner erfordern.

4. Auf die KI hinweisen

Wer mit einem KI-System spricht, soll das erfahren. Artikel 50 der EU-KI-Verordnung verpflichtet dazu, Personen darüber zu informieren, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Offensichtlich ist es in einem Chatfenster nicht immer.

• Ihre Aufgabe: Den Hinweis nicht entfernen oder verstecken.
• Bei Telofy: Der Hinweis, dass ein KI-Assistent schreibt, steht am Anfang jedes Gesprächs.

5. Speicherdauer festlegen

Daten dürfen nur so lange gespeichert werden, wie es der Zweck verlangt. Legen Sie eine Frist fest und nennen Sie sie in der Datenschutzerklärung.

• Ihre Aufgabe: Eine Frist wählen, die zu Ihrem Zweck passt, und sie nicht länger setzen als nötig.
• Bei Telofy: Gesprächsinhalte werden nach 1 bis 90 Tagen gelöscht, ab Werk nach 30. Sie stellen die Frist selbst ein. Fotos von Besuchern bleiben nicht länger gespeichert als das Gespräch.

6. Serverstandort und Drittland prüfen

Werden Daten in Länder außerhalb der EU übermittelt, gelten zusätzliche Anforderungen (Kapitel V der DSGVO). Das fragen Besucher und Datenschutzbeauftragte zuerst.

• Ihre Aufgabe: Beim Anbieter nachfragen, wo verarbeitet wird und ob es einen Ausweichweg außerhalb der EU gibt.
• Bei Telofy: Der Chat-Dienst und die Erzeugung der Antworten laufen in der EU, die Verarbeitung findet nur in EU-Mitgliedstaaten statt. Einen Ausweichweg in die USA gibt es nicht. Einzelne Hilfsdienste, etwa für E-Mail-Benachrichtigungen oder einen angebundenen Kalender, haben ihren Sitz in den USA; welche das sind und auf welcher Grundlage übermittelt wird, steht in der Liste der Unterauftragsverarbeiter im Portal.

7. Keine sensiblen Daten abfragen

Gesundheitsdaten und andere besondere Kategorien nach Artikel 9 der DSGVO unterliegen strengeren Regeln. Ein Chat lädt dazu ein, mehr zu schreiben, als nötig ist: Diagnosen, Beschwerden, Mandatsdetails.

• Ihre Aufgabe: Den Chat nicht dafür einsetzen, solche Angaben zu erfragen. Schreiben Sie in die Startnachricht, wofür der Chat da ist, etwa Fragen, Termine und Rückruf, und dass Besucher keine Krankheits- oder Mandatsdetails eintippen sollen. Bei Fotos denken Sie daran, dass auch sie personenbezogen sein können.
• Bei Telofy: Farbe, Startnachricht und Gesprächsstarter stellen Sie selbst ein. Die Themen, über die der Chat spricht, bestimmen Sie über Ihr Wissen und Ihre Freigaben. Für Berufsgeheimnisträger gilt: Lassen Sie sich im Zweifel beraten.

8. Unterauftragsverarbeiter kennen

Setzt Ihr Dienstleister weitere Dienstleister ein, müssen Sie wissen, welche, wofür und wo (Artikel 28 Absatz 2 und 4 DSGVO).

• Ihre Aufgabe: Die Liste anfordern oder im Vertrag nachlesen und bei Änderungen prüfen.
• Bei Telofy: Der Auftragsverarbeitungsvertrag im Portal führt die Unterauftragsverarbeiter mit Aufgabe, Ort, Aufbewahrung und Übermittlungsgrundlage auf. Änderungen werden vorab mitgeteilt.

Was Telofy erledigt, was bei Ihnen bleibt

Und wenn etwas schiefgeht?

Der Chat antwortet aus dem Wissen, das Sie bestätigt haben. Was er nicht weiß, landet als offene Frage bei Ihnen, statt dass er rät. Bei Auskunftsersuchen oder Löschwünschen von Besuchern hilft Ihnen die kurze Speicherdauer, denn nach Ablauf der Frist ist der Gesprächsinhalt gelöscht. Prüfen Sie dennoch, wie Sie solche Anfragen intern bearbeiten.

Ein Chat, der Anliegen aufnimmt, speichert Name, Kontakt und Anliegen. Das ist gewollt, denn nur so kann Ihr Team zurückrufen. Sagen Sie es in der Datenschutzerklärung deutlich.

Weiterlesen

Die Preise für den Chat stehen unter Preise: Website-Chat, Details zu Einbau und Einrichtung unter Website-Chat einbauen. Die Vorstellung des Produkts finden Sie unter Website-Chat. In der kleinsten Stufe kostet der Chat ab 45 Euro im Monat. Welche Kosten sonst anfallen, erklärt Was kostet ein Chatbot?.

Quellen

1. Verordnung (EU) 2016/679 (DSGVO), Art. 6, 9, 13, 28 und Kapitel V (abgerufen 03.11.2026)
2. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50 Transparenzpflichten (abgerufen 03.11.2026)
3. TDDDG § 25: Schutz der Privatsphäre bei Endeinrichtungen (abgerufen 03.11.2026)
4. Telofy: Website-Chat, Datenschutz und Fragen (abgerufen 03.11.2026)