Blog · 12. Juli 2026
Der KI-Chatbot im Kundenservice: Was er wirklich tut und wann er rechtssicher läuft
Ein KI-Chatbot im Kundenservice ist verlockend: sofortige Antworten, entlastetes Team, zufriedene Kunden. In meinem neuen Artikel zeige ich Schritt für Schritt, wie so ein Bot tatsächlich arbeitet und worauf Sie beim Datenschutz achten müssen, damit er nicht zum Risiko wird. Kein Juristendeutsch, sondern Klartext für die Praxis.
Viele Geschäftsführer im Mittelstand fragen mich das Gleiche: „Kann ich einen KI-Chatbot auf meine Kundenanfragen loslassen, ohne mir ein Datenschutzproblem einzukaufen?" Meine Antwort ist ein klares Ja mit Bedingungen. Die Technik ist reif, der Nutzen ist real. Entscheidend ist, wie Sie ihn aufsetzen. Ich zeige Ihnen zuerst, wie so ein Chatbot im Betrieb tatsächlich arbeitet, und ordne ihn dann sauber datenschutzrechtlich ein.
So läuft der KI-Chatbot im Betrieb ab
Stellen Sie sich Ihren Onlineshop oder Ihre Website vor. Unten rechts erscheint ein Chatfenster. Eine Kundin schreibt: „Meine Bestellung 48213 ist noch nicht da, wo bleibt sie?" Genau hier beginnt der Prozess.
Die Eingabe der Kundin geht an ein KI-Sprachmodell, oft betrieben bei einem Anbieter wie OpenAI, Microsoft oder Google. Das Modell versteht die Frage im Klartext, auch wenn sie umgangssprachlich oder mit Tippfehlern kommt. Damit die KI nicht frei fabuliert, bekommt sie Zugriff auf Ihre echten Daten: Sie fragt über eine Schnittstelle Ihr Bestellsystem ab, findet die Bestellnummer, den Versandstatus und die Sendungsverfolgung. Dieses Verfahren nennt sich in der Fachwelt Retrieval, die KI holt sich also die passende Information aus Ihren Systemen und formuliert daraus eine Antwort.
Heraus kommt ein natürlicher Satz: „Ihre Bestellung 48213 wurde gestern versandt und ist voraussichtlich morgen bei Ihnen, hier ist Ihr Sendungslink." Die Kundin bekommt in Sekunden eine Antwort, rund um die Uhr, ohne Warteschleife. Kann die KI eine Frage nicht sicher beantworten, etwa bei einer Reklamation oder einer rechtlichen Sache, übergibt sie an einen Menschen aus Ihrem Team und reicht den bisherigen Chatverlauf mit.
Wichtig ist, was dabei alles verarbeitet wird: der Text der Kundin, ihr Name, ihre Bestell- und manchmal Adressdaten, ihre E-Mail-Adresse und der komplette Gesprächsverlauf. All das fließt durch die KI und wird in vielen Fällen protokolliert, damit Sie später auswerten können, wie gut der Bot arbeitet. Genau an diesem Punkt entscheidet sich, ob der Einsatz rechtssicher ist.
Datenschutzrechtliche Einordnung
Hier verarbeiten Sie personenbezogene Daten, und zwar reichlich: Name, Kontaktdaten, Bestellhistorie, der gesamte Gesprächsinhalt. Damit greift die DSGVO in vollem Umfang.
Zuerst die Rechtsgrundlage. Wenn die Kundin eine Frage zu ihrer laufenden Bestellung stellt, ist die Verarbeitung meist zur Vertragserfüllung nötig, das deckt Art. 6 Abs. 1 b DSGVO. Für allgemeine Servicefragen oder zur Auswertung der Bot-Qualität stützen Sie sich auf Ihr berechtigtes Interesse nach Art. 6 Abs. 1 f, das Sie vorher sauber abwägen und dokumentieren müssen. Heikel wird es, wenn Kunden von sich aus Gesundheitsdaten oder andere sensible Angaben in den Chat schreiben, das fällt unter die besonderen Kategorien nach Art. 9. Dafür braucht es strengere Voraussetzungen. Mein Rat: Bringen Sie dem Bot bei, solche Eingaben nicht weiterzuverarbeiten, und weisen Sie im Chat darauf hin, keine sensiblen Daten einzugeben.
Der zweite große Punkt ist die Auftragsverarbeitung. Der KI-Anbieter verarbeitet die Daten in Ihrem Auftrag. Sie brauchen mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, ohne den geht es nicht. Sitzt der Anbieter in den USA, kommt der Drittland-Transfer hinzu. Hier arbeiten Sie sauber, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Sie die Standardvertragsklauseln nutzen. Prüfen Sie das aktiv, verlassen Sie sich nicht auf ein Werbeversprechen. Ideal ist es, wenn die Verarbeitung in einem EU-Rechenzentrum läuft und der Anbieter vertraglich zusichert, Ihre Eingaben nicht zum Training seiner Modelle zu verwenden.
Drittens die Transparenz. Der Kunde muss von Anfang an wissen, dass er mit einer KI schreibt und nicht mit einem Menschen, das verlangt auch der AI Act für solche Systeme. Ein klarer Hinweis am Chatfenster genügt. Ihre Datenschutzerklärung muss den Bot benennen: welche Daten, wozu, an wen, wie lange gespeichert. Dazu kommen die Betroffenenrechte, Auskunft und Löschung müssen auch für Chatverläufe funktionieren. Löschen Sie Protokolle nach einer festen Frist, statt sie ewig aufzuheben.
Die typischen Stolpersteine aus meiner Praxis: kein Vertrag mit dem Anbieter, ein US-Dienst ohne geprüfte Grundlage, fehlender KI-Hinweis, und Chatprotokolle, die niemand je wieder löscht. Jeder dieser Punkte ist vermeidbar, wenn man ihn vor dem Start bedenkt.
Fazit
Ein KI-Chatbot im Kundenservice lohnt sich für die meisten Mittelständler. Er entlastet Ihr Team, antwortet sofort und macht Ihre Kunden zufriedener. Der Datenschutz ist dabei keine Bremse, sondern eine Checkliste, die man einmal ordentlich abarbeitet: passende Rechtsgrundlage, Vertrag mit dem Anbieter, geklärter Drittland-Transfer, klarer KI-Hinweis, Löschkonzept. Wer das vorher regelt, spart sich später Ärger und kann den Nutzen voll ausschöpfen. Wenn Sie wissen möchten, wie das für Ihren konkreten Fall aussieht, klären wir das gern im kostenlosen, unverbindlichen Erstgespräch.