Logo von Bonanza StudiosBonanza Studios
Auszeichnung für Bonanza Studios
Logo von Clutch.co

5/5 Bewertung von über 60 Kunden

AnfragenKontakt

Checkliste für DSGVO-Compliance in Conversational AI

Eine umfassende Compliance-Checkliste, um DSGVO-konforme Conversational-AI-Systeme in Europa vor der Frist des EU AI Act im August 2026 einzuführen.

Checkliste für DSGVO-Compliance in Conversational AI

Conversational-AI-Systeme, die Kundendaten aus der EU verarbeiten, stehen 2026 unter wachsendem Compliance-Druck. Das Bußgeld von 150 Mio. €, das die französische CNIL gegen SHEIN verhängt hat, zeigt: Die Zeit der Verwarnungen ist vorbei. Die Aufsichtsbehörden erwarten jetzt volle Compliance.

Ich baue seit 13 Jahren digitale Produkte in Europa, unter anderem im Gründungsteam von Unternehmen wie Grover. Meine Erfahrung bei Bonanza Studios, wo wir CEOs helfen, Transformation in 90 Tagen zu liefern: Datenschutz ist nicht optional, sondern die Grundlage für Nutzervertrauen und ein tragfähiges Produkt.

Diese Checkliste zeigt, was du tatsächlich tun musst, um dein Conversational-AI-System DSGVO-konform zu machen, bevor am 2. August 2026 die Compliance-Frist des EU AI Act doppelte Pflichten für Hochrisiko-Systeme schafft.

Was auf dem Spiel steht

DSGVO und EU AI Act schaffen für Conversational AI eine doppelte Compliance-Last. Machst du es falsch, drohen bei verbotenen AI-Praktiken Bußgelder von bis zu 40 Mio. € oder 7 % des weltweiten Jahresumsatzes. Hochrisiko-AI-Systeme, die personenbezogene Daten verarbeiten, müssen beide Regelwerke gleichzeitig erfüllen.

Die britische Datenschutzbehörde ICO (Information Commissioner's Office) hat die 1.000 meistbesuchten Websites des Landes geprüft, und über 95 % erfüllen inzwischen die Cookie-Vorgaben. Nicht, weil Unternehmen plötzlich ihre Leidenschaft für Datenschutz entdeckt haben, sondern weil die Durchsetzung ernst geworden ist.

Conversational AI bringt eigene Herausforderungen mit. Anders als statische Websites sammeln Chatbots Daten über Interaktionen in natürlicher Sprache. Dadurch ist schwerer festzulegen und zu kontrollieren, was genau verarbeitet wird. Nutzer teilen sensible Details, ohne darüber nachzudenken, und schaffen damit Compliance-Risiken, die dein Rechtsteam vor dem Launch adressieren muss.

Zuerst die Risikoklassifizierung

Bevor du compliant werden kannst, musst du wissen, in welche Kategorie dein System fällt. Der EU AI Act definiert Hochrisiko-AI-Systeme über ihren Einsatz in kritischen Bereichen wie Gesundheit, Finanzen, öffentliche Dienste, biometrische Identifizierung, Personalauswahl und rechtliche Entscheidungen.

Die meisten Conversational-AI-Systeme in Enterprise-Anwendungen gelten als Hochrisiko, weil sie in regulierten Branchen mit Kunden interagieren oder Entscheidungen treffen, die Grundrechte berühren. Kundenservice-Bots im Banking, Triage-Assistenten im Gesundheitswesen und Screening-Chatbots im HR-Bereich überschreiten alle die Hochrisiko-Schwelle.

Gilt dein System als Hochrisiko, musst du nach Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Der Europäische Datenschutzausschuss nennt neun Kriterien, nach denen sich bestimmt, ob eine DSFA nötig ist. Erfüllt deine Verarbeitung mindestens zwei davon, musst du eine durchführen.

Mach diese Klassifizierung gemeinsam mit deinem Datenschutzbeauftragten und deiner Rechtsberatung. Überspring sie nicht in der Annahme, dass schon alles passt. Eine falsche Einstufung schafft blinde Flecken, die bei Audits auftauchen, wenn es zu spät ist, sie sauber zu beheben.

Rechtsgrundlage und Zweckbindung

Deine Conversational AI braucht eine gültige Rechtsgrundlage nach Artikel 6 DSGVO. Bei den meisten kommerziellen Anwendungen ist das entweder die Einwilligung oder das berechtigte Interesse. Die Einwilligung passt, wenn Nutzer sich freiwillig für die Interaktion entscheiden. Das berechtigte Interesse passt, wenn die Verarbeitung für dein Geschäft notwendig ist und die Rechte der Nutzer nicht überwiegen.

AI-Systeme erfordern eine umfassende Prüfung, um berechtigtes Interesse als Rechtsgrundlage zu begründen. Du kannst es nicht einfach behaupten. Du musst dokumentieren, warum die Verarbeitung notwendig ist, welche Alternativen du geprüft hast und wie du deine Interessen gegen die Privatsphäre der Nutzer abwägst.

Zweckbindung bedeutet: Du darfst die Daten nur für den konkreten Zweck verwenden, für den du sie erhoben hast. Haben Nutzer Informationen geteilt, um einen Termin zu buchen, darfst du diese Daten nicht ohne eigene Rechtsgrundlage zum Training deines AI-Modells nutzen. Das ist bei Conversational AI eine Herausforderung, weil sich Trainingsdaten und Betriebsdaten oft überschneiden.

Dokumentiere deine Rechtsgrundlage klar in deiner Datenschutzerklärung und in deinen internen Unterlagen. Wenn Aufsichtsbehörden dein System prüfen, ist diese Dokumentation das Erste, was sie anfordern. Vage Aussagen wie „Verbesserung der User Experience“ reichen nicht. Du brauchst konkrete, belastbare Begründungen für jede Datenverarbeitung.

Datenminimierung und Erhebung

Erhebe nur, was du für den Service brauchst. Conversational-AI-Systeme sammeln tendenziell zu viel, weil Interaktionen in natürlicher Sprache mehr Kontext erfassen als strukturierte Formulare. Dein Chatbot muss nicht jede Nuance des Gesprächs loggen, sondern nur die Informationen, die er braucht, um die Anfrage des Nutzers zu erfüllen.

Bau Datenminimierung in deine Systemarchitektur ein. Entferne unnötige Metadaten, begrenze die Speicherung des Gesprächsverlaufs und schwärze sensible Kategorien wie Gesundheitsdaten, Finanzinformationen oder Daten von Kindern automatisch.

Die DSGVO verlangt Transparenz darüber, wie deine AI Entscheidungen trifft und wie Daten verwendet werden. Bevor das Gespräch beginnt, sollten Nutzer wissen, welche Daten du erhebst, warum du sie brauchst, wie lange du sie speicherst und an wen du sie weitergibst.

Die meisten Unternehmen scheitern an der Datenminimierung, weil ihre Systeme auf maximale Datenerfassung ausgelegt sind, nicht auf die minimal nötige Verarbeitung. Bei Bonanza Studios haben wir Kunden geholfen, Conversational Interfaces so neu zu gestalten, dass sie dieselbe User Experience mit 60 % weniger Datenerhebung liefern. Es geht, es braucht nur bewusstes Design.

Einwilligung und Cookie-Compliance

Nach Artikel 7 DSGVO muss eine Einwilligung freiwillig, für den bestimmten Fall, informiert und unmissverständlich erfolgen. Vorangekreuzte Kästchen funktionieren nicht. Pauschale „Allem zustimmen“-Formulierungen funktionieren nicht. Die Einwilligung muss so granular sein, dass Nutzer verstehen, wozu sie zustimmen.

Bei Conversational AI wird die Einwilligung meist über einen Cookie-Banner verwaltet, der erscheint, bevor das Widget lädt oder nicht notwendige Cookies setzt. Nutzer müssen dem Cookie-Tracking ausdrücklich zustimmen und klar verstehen, welche Daten erhoben und wofür sie verwendet werden.

Der Vorschlag der Europäischen Kommission für ein Digitalpaket im vierten Quartal 2025 nimmt die „Cookie-Müdigkeit“ ins Visier und vereinfacht, wie Websites Einwilligungen verwalten. Warte aber nicht auf regulatorische Änderungen, setz konforme Einwilligungsflows jetzt um. Die Umsetzung der Cookie-Einwilligung ist in einer kritischen Phase der Durchsetzung angekommen.

Eine Einwilligung muss leicht zu erteilen und genauso leicht zu widerrufen sein. Wenn Nutzer mit einem Klick zustimmen können, sollten sie ihre Einwilligung auch mit einem Klick widerrufen können. Bau den Widerruf direkt in dein Chatbot-Interface ein, statt ihn drei Ebenen tief in den Kontoeinstellungen zu verstecken.

Betroffenenrechte umsetzen

Die DSGVO gibt Nutzern acht Rechte in Bezug auf ihre personenbezogenen Daten. Dein Conversational-AI-System muss alle unterstützen:

Auskunftsrecht (Artikel 15): Nutzer können verlangen, die Daten einzusehen, die du über sie gespeichert hast, einschließlich der Art, wie deine AI ihre Daten verwendet hat.

Recht auf Berichtigung (Artikel 16): Nutzer können verlangen, dass du ungenaue AI-basierte Outputs oder Schlussfolgerungen korrigierst.

Recht auf Löschung (Artikel 17): Nutzer können die Löschung ihrer Daten verlangen, wenn diese nicht mehr notwendig sind oder sie ihre Einwilligung widerrufen.

Recht auf Datenübertragbarkeit (Artikel 20): Nutzer können verlangen, ihre Daten an einen anderen Anbieter zu übertragen.

Widerspruchsrecht (Artikel 21): Nutzer können einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen, besonders bei Profiling oder automatisierter Entscheidungsfindung.

Bau diese Rechte ab Tag eins in deine Systemarchitektur ein. Einen ordentlichen Löschmechanismus kannst du nach dem Launch nicht einfach anflanschen, wenn dein Datenbankdesign ihn nicht unterstützt. Wir haben Unternehmen gesehen, die sechs Monate damit verbracht haben, DSGVO-Rechte in Systeme nachzurüsten, die sie von Anfang an hätten enthalten sollen.

Setz wo möglich auf Self-Service-Tools. Nutzer sollten nicht deinem Support-Team mailen müssen, um an ihre Daten zu kommen. Gib ihnen ein Portal oder Einstellungen in der App. Antwortzeiten zählen: Nach Artikel 12 DSGVO hast du für die meisten Anfragen betroffener Personen einen Monat Zeit.

Datenschutz-Folgenabschätzung

Für Hochrisiko-AI-Verarbeitung ist eine DSFA Pflicht. Artikel 35 verlangt, dass du Notwendigkeit und Verhältnismäßigkeit der Verarbeitung bewertest, Risiken für die Rechte und Freiheiten der Nutzer einschätzt und die Schutzmaßnahmen dokumentierst, die diese Risiken mindern.

Bei Conversational AI sollte deine DSFA Folgendes abdecken: Methoden der Datenerhebung, Richtlinien für Speicherung und Aufbewahrung, wer Zugriff auf die Daten hat, wie das AI-Modell die Daten nutzt, mögliche Risiken von Bias oder Diskriminierung und Notfallabläufe bei einer Datenpanne.

Die DSFA sollte vor der Umsetzung durchgeführt werden und iterativ angepasst werden, wenn sich die Merkmale der Verarbeitung und die Risikobewertung ändern. Sie ist kein einmaliges Dokument, das du ablegst und vergisst, sondern ein lebendiges Werkzeug für dein Risikomanagement.

Dokumentiere deine DSFA umfassend. Halte Risikobewertungen, Gegenmaßnahmen und Restrisiken nach Anwendung der Kontrollen fest. Birgt deine Verarbeitung auch nach allen Maßnahmen ein hohes Restrisiko, musst du vor dem Launch womöglich deine Datenschutzaufsichtsbehörde konsultieren.

Menschliche Aufsicht und automatisierte Entscheidungen

Artikel 22 DSGVO beschränkt ausschließlich automatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Wirkung entfalten. Trifft deine Conversational AI ohne menschliche Prüfung Entscheidungen über Kredite, Beschäftigung, Leistungsansprüche oder Vertragsbedingungen, verstößt du wahrscheinlich gegen Artikel 22.

Hochrisiko-Systeme brauchen menschliche Aufsicht bei Entscheidungen mit erheblicher Wirkung. Das heißt nicht, dass ein Mensch jede Interaktion prüft, sondern dass es Mechanismen für menschliches Eingreifen gibt, wenn das AI-System folgenreiche Outputs erzeugt.

Bau Human-in-the-Loop-Workflows für Entscheidungen mit hohem Einsatz. Dein Chatbot kann Informationen sammeln und Empfehlungen geben, aber endgültige Entscheidungen, die Rechte von Nutzern betreffen, sollten von Menschen geprüft werden. Dokumentiere diese Aufsichtsprozesse in deiner DSFA und deinen Betriebsabläufen.

Transparenz über automatisierte Entscheidungen ist nach Artikel 13-14 DSGVO Pflicht. Nutzer haben das Recht zu wissen, wann sie mit einem AI-System interagieren, die zugrunde liegende Logik zu verstehen und eine menschliche Prüfung AI-generierter Entscheidungen zu verlangen. Mach das in deiner Datenschutzerklärung und im Conversational Interface klar.

Technische Schutzmaßnahmen und Sicherheit

Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zur Datensicherheit. Für Conversational AI heißt das: Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen, die einschränken, wer Gesprächsprotokolle sehen kann, Audit-Logs, die Zugriffe und Änderungen nachverfolgen, Pseudonymisierung wo möglich und regelmäßige Sicherheitstests.

Behauptungen zur Anonymisierung brauchen eine strenge technische Prüfung, denn LLMs erreichen selten echte Anonymisierungsstandards. Lassen sich Nutzer aus Gesprächsdaten re-identifizieren, sind es nach DSGVO weiterhin personenbezogene Daten, egal wie du sie nennst.

Serverseitiges Tracking verbessert Privacy by Design, weil es den Zugriff von Drittanbietern reduziert, braucht aber weiterhin eine gültige Rechtsgrundlage. Die Verarbeitung vom Client auf den Server zu verlagern, befreit dich nicht von der DSGVO. Es verändert nur die Angriffsfläche.

Setz auf Security by Default. Nutze starke Verschlüsselung, aktiviere Multi-Faktor-Authentifizierung für Admin-Zugänge, begrenze die Datenspeicherung auf das nötige Minimum und führe regelmäßig Penetrationstests durch. Bei Bonanza Studios haben wir Kunden geholfen, Conversational-AI-Systeme zu architektieren, die SOC 2 Type II Audits bestehen. Mit dem richtigen technischen Fundament ist das machbar.

Management von Drittanbietern

Wenn du eine Conversational-AI-Plattform eines Drittanbieters nutzt, bist du nach DSGVO trotzdem der Verantwortliche. Die Plattform ist dein Auftragsverarbeiter, und du haftest für ihre Compliance-Verstöße.

Organisationen, die Modelle von Drittanbietern einsetzen, müssen deren Compliance sorgfältig prüfen. Sieh dir ihre Auftragsverarbeitungsverträge an, prüf, ob sie eigene DSFAs durchgeführt haben, stell sicher, dass sie deine Pflichten gegenüber Nutzern unterstützen, und auditiere ihre Sicherheitskontrollen.

Dein Auftragsverarbeitungsvertrag (AVV) sollte Zweck der Verarbeitung, Arten der verarbeiteten Daten, Aufbewahrungsfristen, Sicherheitspflichten, Abläufe bei Datenpannen und die Bedingungen für Rückgabe oder Löschung der Daten bei Vertragsende festlegen.

Geh nicht davon aus, dass große Anbieter automatisch compliant sind. Wir haben Fortune-500-Unternehmen gesehen, deren AI-Plattformen keine Antwort auf Grundfragen zu Datenresidenz oder Trainingspraktiken ihrer Modelle hatten. Auditiere deine Anbieter jährlich und bau die Compliance-Prüfung in deinen Einkaufsprozess ein.

Governance von Trainingsdaten

Die DSGVO verlangt den Nachweis, dass Trainingsdaten rechtmäßig erlangt wurden. Hast du Nutzergespräche ohne Einwilligung oder berechtigtes Interesse abgegriffen, um dein Modell zu trainieren, hast du gegen Artikel 6 verstoßen.

Führe ein Dokument zur Datenherkunft, das festhält, woher Trainingsdaten stammen, welche Rechtsgrundlage ihre Nutzung trägt, wie du sie de-identifiziert oder anonymisiert hast und wann du sie löschst. Diese Dokumentation belegt bei behördlichen Prüfungen deine Compliance.

Sei besonders vorsichtig mit besonderen Kategorien personenbezogener Daten nach Artikel 9: Gesundheitsdaten, biometrische Daten, politische Meinungen und andere sensible Kategorien erfordern eine ausdrückliche Einwilligung oder eine der eng gefassten Ausnahmen in Artikel 9(2). Die meisten Use Cases für Conversational AI fallen nicht unter diese Ausnahmen.

Nutzt du Foundation Models von Drittanbietern, erbst du deren Compliance-Risiken. Die irische Datenschutzbehörde hat einen Leitfaden zu AI und Large Language Models veröffentlicht, der klarstellt: Verantwortung lässt sich nicht auslagern. Wähle Modellanbieter, die die Herkunft ihrer Trainingsdaten dokumentieren können.

Dokumentation und Verzeichnisse

Artikel 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Für Conversational AI musst du dokumentieren:

  • Welche Daten du über Conversational Interfaces erhebst
  • Warum du sie erhebst (Rechtsgrundlage)
  • Wer intern Zugriff darauf hat
  • Welche Dritten sie erhalten
  • Wie lange du sie aufbewahrst
  • Welche technischen und organisatorischen Maßnahmen sie schützen

Führe detaillierte Verzeichnisse und stell menschliche Aufsicht sicher. Aktualisiere diese Verzeichnisse, wenn du dein AI-System änderst, neue Features hinzufügst oder neue Datenquellen anbindest.

Halte deine Datenschutzerklärung synchron mit deiner tatsächlichen Verarbeitung. Wir haben Systeme geprüft, deren Datenschutzerklärung ein System von vor zwei Jahren beschrieb. Die aktuelle Verarbeitung hatte mit den offengelegten Praktiken nichts mehr zu tun. Das ist ein Verstoß, der nur darauf wartet, dass eine Behörde ihn bemerkt.

Bewahre die Compliance-Dokumentation zentral auf, wo Rechts-, Produkt- und Engineering-Teams darauf zugreifen können. Fordern Aufsichtsbehörden bei einem Audit Informationen an, musst du sie schnell liefern. Unordentliche Dokumentation signalisiert schwache Data Governance und lädt zu genauerer Prüfung ein.

Kontinuierliches Monitoring und Audits

DSGVO-Compliance ist keine einmalige Zertifizierung, sondern eine dauerhafte betriebliche Anforderung. Lege Abläufe für die laufende Compliance-Überwachung und Audits deines AI-Systems fest, mit kontinuierlichem Monitoring, das Compliance-Probleme erkennt und behebt, sobald sie auftreten.

Plane vierteljährliche Compliance-Reviews, in denen du Änderungen an deinem System bewertest, Anfragen betroffener Personen und deren Bearbeitung prüfst, Sicherheitsvorfälle und Beinahe-Vorfälle analysierst, Risikobewertungen an neue Bedrohungen anpasst und überprüfst, ob deine Drittanbieter compliant bleiben.

Setz wo möglich auf automatisiertes Monitoring. Richte Alerts für ungewöhnliche Zugriffsmuster, fehlgeschlagene Anmeldeversuche, Verstöße gegen Aufbewahrungsrichtlinien und Widerrufe von Einwilligungen ein. Warte nicht auf jährliche Audits, um Compliance-Lücken zu entdecken.

Stellst du eine Verletzung des Schutzes personenbezogener Daten fest, verlangt Artikel 33 DSGVO die Meldung an deine Aufsichtsbehörde innerhalb von 72 Stunden, wenn die Verletzung ein Risiko für die Rechte der Nutzer darstellt. Artikel 34 verlangt, betroffene Nutzer zu benachrichtigen, wenn das Risiko hoch ist. Bau Abläufe für Incident Response, die diese engen Fristen einhalten können.

Der Weg nach vorn

DSGVO-Compliance für Conversational AI erfordert eine durchdachte technische Architektur, klare rechtliche Grundlagen und dauerhafte operative Disziplin. Die Frist des EU AI Act am 2. August 2026 ist nicht mehr weit. Wenn du noch nicht mit der Compliance-Arbeit begonnen hast, bist du schon im Rückstand.

In meinen 13 Jahren Produktentwicklung in Europa habe ich gesehen, wie Unternehmen Compliance als Abhak-Übung behandelt haben und später teure Nachbesserungen bezahlen mussten. Die Unternehmen, die erfolgreich sind, bauen Datenschutz ab Tag eins in ihre Produktstrategie ein. Compliance wird zum Wettbewerbsvorteil, wenn deine Kunden wissen, dass sie dir ihre Daten anvertrauen können.

Bei Bonanza Studios helfen wir CEOs, Transformation in 90 Tagen zu liefern, ohne das Kerngeschäft zu stören. Wenn Kunden uns bitten, Conversational-AI-Systeme zu bauen, ist die Compliance-Architektur Teil des Fundaments, kein Nachgedanke. Wir haben gesehen, was passiert, wenn Teams DSGVO-Kontrollen in Produktivsysteme nachrüsten wollen: Es ist teuer, kostet Zeit und schafft technische Schulden, die dich jahrelang verfolgen.

Nutze diese Checkliste als Ausgangs-Framework. Pass sie an deinen konkreten Use Case, dein regulatorisches Umfeld und deine Risikotoleranz an. Arbeite mit deiner Rechtsberatung und deinem Datenschutzbeauftragten zusammen, um dein Vorgehen zu prüfen. Und bau Compliance-Kontrollen, während du Features baust. Das ist günstiger und schneller, als es später zu reparieren.

Quellen