Dein Chatbot sammelt Daten von Nutzern in Berlin und San Francisco, aber DSGVO und CCPA verlangen grundlegend unterschiedliche Ansätze. Dieser Guide erklärt die wichtigsten Unterschiede bei Einwilligung, Nutzerrechten, Regeln für automatisierte Entscheidungen und Strafen, damit du Conversational AI baust, die beiden Regelwerken gerecht wird.

DSGVO vs. CCPA: Die wichtigsten Unterschiede für Conversational AI

Dein Chatbot hat gerade personenbezogene Daten von Nutzern in Berlin und San Francisco gesammelt. Die einen erwarten eine ausdrückliche Einwilligung, bevor du irgendetwas verarbeitest. Die anderen erwarten, dass du ihnen ermöglichst, dem Verkauf ihrer Daten zu widersprechen. Wenn du das verwechselst, drohen Bußgelder von bis zu 20 Mio. € oder 7.500 $ pro Verstoß.

Ich habe erlebt, wie Unternehmen ausgefeilte Conversational-AI-Systeme gebaut haben, also Voice Assistants, Kundenservice-Bots und AI-gestützte Support-Tools, nur um dann festzustellen, dass ihr Compliance-Ansatz grundlegend falsch war. Sie hatten für ein Regelwerk designt und angenommen, das andere sei damit abgedeckt. Ist es nicht.

Die Datenschutz-Grundverordnung (DSGVO) und der California Consumer Privacy Act (CCPA) stehen für grundlegend unterschiedliche Philosophien des Datenschutzes. Diese Unterschiede zu verstehen ist keine juristische Pflichtübung. Es ist das Fundament, um Conversational AI zu bauen, die das Vertrauen der Nutzer gewinnt und regulatorische Strafen vermeidet.

Die grundlegende philosophische Trennlinie

Die DSGVO geht vom Verbot aus. Du darfst personenbezogene Daten nur verarbeiten, wenn du dafür eine gültige Rechtsgrundlage hast. Der Ausgangszustand lautet: Verarbeitung nicht erlaubt.

Der CCPA geht von Transparenz aus. Du darfst personenbezogene Daten erheben und verarbeiten, musst aber offenlegen, was du tust, und Verbrauchern die Kontrolle über ihre Informationen geben.

Diese Unterscheidung prägt alles daran, wie du Conversational-AI-Systeme designst, baust und betreibst.

Nach den DSGVO-Anforderungen für Chatbots brauchst du eine ausdrückliche Einwilligung, bevor du Daten erhebst. Dein Chatbot muss einen klaren Opt-in-Mechanismus bieten, kein vorausgefülltes Häkchen und keine in den AGB versteckte Klausel. Nutzer müssen sich aktiv dafür entscheiden, ihre Informationen zu teilen.

Beim CCPA verschiebt sich der Fokus auf Widerspruchsrechte. Du darfst Daten erheben, aber Verbraucher haben das Recht zu erfahren, was du gesammelt hast, darauf zuzugreifen, es löschen zu lassen und dem Verkauf zu widersprechen. Die CCPA-Anforderungen für 2026 schreiben inzwischen die Unterstützung universeller Opt-out-Mechanismen vor, einschließlich Global-Privacy-Control-Signalen.

Einwilligung: Der entscheidende Unterschied

Bei Conversational AI führen die Anforderungen an die Einwilligung zu den größten operativen Unterschieden.

Anforderungen der DSGVO an die Einwilligung

Dein Chatbot braucht eine aktive, ausdrückliche Einwilligung, bevor er personenbezogene Daten verarbeitet. Laut DSGVO-Leitfaden für Chatbots bedeutet das:

• Double-Opt-in-Mechanismen: Nutzer müssen sich aktiv dafür entscheiden, Daten anzugeben, und diese Entscheidung dann bestätigen
• Granulare Einwilligungsoptionen: Nutzer sollten verschiedenen Verarbeitungszwecken getrennt zustimmen können
• Widerrufbare Einwilligung: Nutzer können ihre Zustimmung jederzeit zurückziehen, und du musst das einfach machen
• Prüfbare Einwilligungsprotokolle: Du brauchst Nachweise, wann und wie die Einwilligung eingeholt wurde

Du darfst deinen Chatbot nicht so aufbauen, dass er im Gesprächsverlauf ohne ausdrückliche Erlaubnis Daten sammelt. Die hilfreiche Frage nach dem Standort, um besseren Service zu bieten? Erfordert nach der DSGVO eine Einwilligung.

Es gibt Ausnahmen. Wenn die Verarbeitung zur Erfüllung eines Vertrags nötig ist, etwa bei einem Support-Chatbot, der einen Garantiefall bearbeitet, hast du möglicherweise eine Rechtsgrundlage jenseits der Einwilligung. Diese Ausnahmen sind aber eng gefasst und erfordern eine sorgfältige Dokumentation.

Das Einwilligungsmodell des CCPA

Der CCPA verfolgt einen anderen Ansatz. Du brauchst keine vorherige Einwilligung, um Daten zu erheben, musst aber:

• Bei der Erhebung informieren: Sag Nutzern, welche Kategorien von Daten du erhebst und warum
• Opt-out-Anfragen respektieren: Wenn Nutzer sagen, verkauf meine Daten nicht, musst du dem nachkommen
• Auskunftsanfragen beantworten: Nutzer können fragen, welche Daten du über sie hast, und du musst innerhalb von 45 Tagen antworten
• Auf Anfrage löschen: Nutzer können die Löschung ihrer personenbezogenen Daten verlangen

Die CCPA-Regeln zu automatisierten Entscheidungen, gültig ab 1. Januar 2026, bringen neue Anforderungen. Wenn deine Conversational AI wesentliche Entscheidungen trifft, etwa zu Finanzdienstleistungen, Beschäftigung oder Gesundheit, können Nutzer Informationen über deine Methodik verlangen, Entscheidungen anfechten und komplett widersprechen.

Datenarten: Was als personenbezogene Information zählt

Die DSGVO definiert personenbezogene Daten deutlich weiter als der CCPA.

Die weite Definition der DSGVO

Nach der DSGVO umfassen personenbezogene Daten alle Informationen, die eine Person direkt oder indirekt identifizieren könnten. Bei Conversational AI gehören dazu:

• Texttranskripte von Gesprächen
• Sprachaufnahmen und Stimmabdrücke
• Gesprächsmuster und Verhaltensdaten
• Von der AI abgeleitete Erkenntnisse über Nutzervorlieben
• IP-Adressen und Gerätekennungen
• Aus dem Kontext abgeleitete Standortdaten

Besondere Kategorien personenbezogener Daten, die etwa ethnische Herkunft, Gesundheitsinformationen, politische Meinungen oder biometrische Merkmale offenlegen, erfordern noch strengeren Schutz. Wenn dein Voice Assistant biometrische Stimmabdrücke zur Authentifizierung verarbeitet, verarbeitest du nach der DSGVO besondere Kategorien von Daten.

Die gezielten Kategorien des CCPA

Der CCPA konzentriert sich auf bestimmte Kategorien personenbezogener Informationen, insbesondere auf Daten, die Unternehmen erheben und verkaufen. Die Definition umfasst:

• Kennungen wie Namen und E-Mail-Adressen
• Kommerzielle Informationen inklusive Kaufhistorie
• Internetaktivität inklusive Browser- und Suchverlauf
• Geolokalisierungsdaten
• Berufliche oder beschäftigungsbezogene Informationen
• Schlussfolgerungen aus allen oben genannten Daten

Der entscheidende Unterschied: Die Regeln des CCPA betonen den kommerziellen Kontext. Daten aus Interaktionen mit Conversational AI fallen unter den CCPA, wenn sie für geschäftliche Zwecke genutzt werden, insbesondere wenn sie an Dritte weitergegeben oder verkauft werden.

Automatisierte Entscheidungen: Die entscheidende Abweichung

Hier gehen die Anforderungen von DSGVO und CCPA für AI-Systeme am stärksten auseinander.

Der strenge Ansatz der DSGVO

Artikel 22 der DSGVO schränkt vollständig automatisierte Entscheidungen mit erheblichen Auswirkungen ein. Wenn deine Conversational AI Entscheidungen trifft, die Nutzer betreffen, also Anträge genehmigt, Berechtigungen feststellt oder Risiken bewertet, unterliegst du erheblichen Einschränkungen.

Laut Analysen zu AI-Chatbots und Datenschutz-Compliance verlangt die DSGVO:

• Menschliche Aufsicht: Kritische Entscheidungen darf die AI nicht allein treffen
• Erklärbarkeit: Du musst erklären können, wie Entscheidungen zustande kamen
• Recht auf Anfechtung: Nutzer können automatisierte Entscheidungen anfechten
• Alternative Verfahren: Nutzer können eine Prüfung durch einen Menschen verlangen

Sofern nicht bestimmte Bedingungen erfüllt sind, darfst du deinen Chatbot nicht so aufbauen, dass er ohne menschliches Eingreifen kritische Entscheidungen über Nutzer trifft. Bei Kundenservice-Bots, die an menschliche Mitarbeiter eskalieren, ist das unkompliziert. Bei AI-Systemen, die Anfragen eigenständig genehmigen oder ablehnen, erfordert Compliance Änderungen an der Architektur.

Der Transparenzfokus des CCPA

Der CCPA reguliert automatisierte Entscheidungen nicht direkt, sondern setzt auf Transparenz und Kontrolle durch die Verbraucher.

Die neuen CCPA-Regeln zu automatisierten Entscheidungen schaffen Widerspruchsrechte bei Entscheidungen zu Finanzdienstleistungen, Wohnen, Bildung, Beschäftigung oder Gesundheit. Verbraucher können:

• Informationen über die ADMT-Methodik verlangen
• Automatisierte Entscheidungen anfechten
• Der ADMT-Verarbeitung komplett widersprechen

Es gibt eine wichtige Ausnahme: Ein Opt-out ist nicht nötig, wenn Verbraucher sich an einen menschlichen Prüfer wenden können, der befugt ist, Entscheidungen aufzuheben. Damit entsteht ein Weg zur Compliance, den die DSGVO so nicht ohne Weiteres bietet.

Nutzerrechte: Was du ermöglichen musst

Beide Regelwerke geben Nutzern Rechte an ihren Daten, die Details unterscheiden sich aber deutlich.

Nutzerrechte nach der DSGVO

Nach der DSGVO haben Chatbot-Nutzer das Recht auf:

• Auskunft: Eine Kopie aller personenbezogenen Daten erhalten, die du über sie speicherst
• Berichtigung: Falsche Informationen korrigieren
• Löschung: Die Löschung ihrer Daten verlangen (das Recht auf Vergessenwerden)
• Datenübertragbarkeit: Die eigenen Daten in einem maschinenlesbaren Format erhalten
• Widerspruch gegen die Verarbeitung: Dich daran hindern, ihre Daten für bestimmte Zwecke zu nutzen
• Einschränkung der Verarbeitung: Begrenzen, wie du ihre Daten nutzt, solange Streitfragen geklärt werden

Für die DSAR-Compliance musst du Auskunftsersuchen innerhalb eines Kalendermonats beantworten. Bei komplexen Anfragen kann sich die Frist auf drei Monate verlängern, du musst die Verlängerung aber innerhalb des ersten Monats mitteilen.

Verbraucherrechte nach dem CCPA

Der CCPA gibt Einwohnern Kaliforniens:

• Recht auf Information: Erfahren, welche personenbezogenen Informationen du erhoben hast
• Recht auf Auskunft: Eine Kopie bestimmter Informationen erhalten
• Recht auf Löschung: Die Löschung verlangen, mit bestimmten Ausnahmen
• Recht auf Opt-out: Den Verkauf ihrer personenbezogenen Informationen stoppen
• Recht auf Nichtdiskriminierung: Du darfst Nutzer nicht benachteiligen, weil sie ihre Rechte ausüben

Die Antwortfrist beträgt nach dem CCPA 45 Tage, bei komplexen Anfragen mit einer möglichen Verlängerung um weitere 45 Tage. Das unterscheidet sich von der Monatsfrist der DSGVO.

Grenzüberschreitende Datenübermittlung: Die technische Herausforderung

Conversational-AI-Systeme verarbeiten Daten oft über Grenzen hinweg. Dein Chatbot läuft vielleicht auf US-Servern, bedient aber europäische Nutzer. Beide Regelwerke regeln das, aber unterschiedlich.

Übermittlungsmechanismen der DSGVO

Die DSGVO beschränkt die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums, sofern kein angemessener Schutz besteht. Für AI-Systeme, die EU-Daten verarbeiten, brauchst du:

• Angemessenheitsbeschlüsse: Einigen Ländern (etwa Japan, Kanada und dem Vereinigten Königreich) wurde ein angemessenes Schutzniveau bescheinigt
• Standardvertragsklauseln (SCCs): Laut Leitfaden der Europäischen Kommission zu SCCs können diese vorab genehmigten Verträge Übermittlungen erlauben
• Transfer Impact Assessments: Du musst prüfen, ob die Zielländer Daten tatsächlich wie vorgeschrieben schützen

Seit der Aktualisierung 2021 umfassen die modernisierten SCCs vier Module für unterschiedliche Übermittlungsszenarien. Wenn dein Anbieter für Conversational AI EU-Daten in den USA verarbeitet, brauchst du passende SCCs und zusätzlich eine dokumentierte Prüfung, ob US-Recht den Schutz untergräbt, den diese Klauseln versprechen.

Der einfachere Ansatz des CCPA

Der CCPA beschränkt grenzüberschreitende Übermittlungen nicht direkt. Der Fokus bleibt auf Transparenz: Leg offen, dass du Daten international übermittelst, und erkläre, welche Schutzmaßnahmen du umgesetzt hast.

Wenn du allerdings Daten übermittelst, um Kalifornier zu bedienen, und dabei Daten an Dritte verkaufst, gelten die Widerspruchsrechte trotzdem, egal wohin die Daten physisch wandern.

Strafen: Was Fehler kosten

Wer die Strafrahmen kennt, kann Compliance-Aufwände besser priorisieren.

Strafen nach der DSGVO

Verstöße gegen die DSGVO können zu folgenden Strafen führen:

• Stufe 1: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bei technischen Verstößen
• Stufe 2: Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei materiellen Verstößen

Die höhere Stufe gilt für Verstöße gegen grundlegende Verarbeitungsgrundsätze, Einwilligungsanforderungen oder Rechte der betroffenen Personen, also genau die Themen, die für Conversational AI am relevantesten sind.

Seit 2020 haben EU-Aufsichtsbehörden erhebliche Bußgelder für Verstöße im Zusammenhang mit Chatbots und AI verhängt. Der Fokus liegt zunehmend auf Unternehmen, die keine ordnungsgemäße Einwilligung einholen oder keine rechtmäßige Verarbeitungsgrundlage nachweisen können.

Strafen nach dem CCPA

Die Durchsetzung des CCPA hat deutlich angezogen. Die California Privacy Protection Agency hat 2025 Rekordbußgelder von über 1,3 Mio. $ verhängt, mit gemeinsamen Ermittlungen gegen Unternehmen in mehreren Bundesstaaten.

• Vorsätzliche Verstöße: Bis zu 7.500 $ pro Verstoß
• Fahrlässige Verstöße: Bis zu 2.500 $ pro Verstoß
• Private Klagebefugnis: Verbraucher können bei Datenpannen direkt klagen

Die Berechnung pro Verstoß ist entscheidend. Wenn dein Chatbot von 10.000 Nutzern unrechtmäßig Daten erhebt, drohen dir potenziell 75 Mio. $ an Bußgeldern.

Compliance in der Praxis: Für beide Regelwerke bauen

Wie baust du angesichts dieser Unterschiede Conversational AI, die beiden Regelwerken gerecht wird?

Designe zuerst für die DSGVO

Die umfassenden Anforderungen der DSGVO gehen in der Regel über die Standards des CCPA hinaus. Wenn du für DSGVO-Compliance designst, erfüllst du die Anforderungen des CCPA wahrscheinlich automatisch, mit einigen Ergänzungen für CCPA-spezifische Rechte wie den Widerspruch gegen den Verkauf.

Das bedeutet:

• Einwilligungsmechanismen vor jeder Datenerhebung umsetzen
• Workflows für Anfragen betroffener Personen in die Architektur einbauen
• Die Rechtsgrundlage für jede Verarbeitungstätigkeit dokumentieren
• Audit-Trails für den gesamten Umgang mit Daten anlegen

Ergänze die CCPA-spezifischen Anforderungen

Zusätzlich zur DSGVO-Compliance brauchst du:

• Links und Mechanismen für „Do Not Sell My Personal Information“
• Erkennung und Berücksichtigung von Global-Privacy-Control-Signalen
• CCPA-spezifische Offenlegungspflichten zum Zeitpunkt der Erhebung
• Opt-out-Mechanismen für automatisierte Entscheidungen bei wesentlichen Entscheidungen

Besonderheiten bei Voice AI

Bei sprachgesteuerter Conversational AI kommen durch die Compliance-Anforderungen für Voice AI weitere Punkte hinzu:

• Nutzer informieren, wenn sie mit AI-Sprachtechnologie interagieren
• Nur die Sprachdaten erheben, die für die Aufgabe nötig sind (Datenminimierung)
• Sprachtranskripte und Aufnahmen nicht länger als nötig speichern
• FCC-Vorschriften einhalten, die eine Einwilligung für AI-Sprachanrufe verlangen

Die Compliance-Landschaft 2026

Beide Regelwerke entwickeln sich weiter. Zu den wichtigsten Änderungen 2026 gehören:

Zusammenspiel mit dem EU AI Act

Die Compliance-Frist des EU AI Act am 2. August 2026 schafft doppelte Pflichten für AI-Systeme mit hohem Risiko. Conversational AI, die im Gesundheitswesen, bei Finanzdienstleistungen oder für Personalentscheidungen eingesetzt wird, kann Folgendes erfordern:

• Konformitätsbewertungen
• Risikomanagementsysteme
• Mechanismen für menschliche Aufsicht
• Transparenz gegenüber Nutzern über den Einsatz von AI

Das überschneidet sich mit den Anforderungen der DSGVO, ergänzt aber technische Standards, die die DSGVO nicht festlegt.

CCPA-Änderungen 2026

Kaliforniens regulatorische Änderungen lösen ab dem 1. Januar 2026 neue Compliance-Wellen aus:

• Erweiterte Angaben zu AI-Systemen in Datenschutzhinweisen
• Verpflichtende Unterstützung von Global Privacy Control
• Neue Regeln zu automatisierten Entscheidungen (mit beschäftigungsspezifischen Regeln ab 2027)
• Pflicht zu Risikobewertungen für bestimmte AI-Anwendungen

AI-Gesetze auf Ebene der Bundesstaaten

Der Colorado AI Act tritt am 1. Februar 2026 in Kraft und verlangt angemessene Sorgfalt zur Vermeidung algorithmischer Diskriminierung sowie Folgenabschätzungen für AI-Systeme mit hohem Risiko. Illinois verbietet ab dem 1. Januar 2026 den diskriminierenden Einsatz von AI bei der Personalauswahl.

Für Organisationen, die Conversational AI landesweit betreiben, macht dieser Flickenteppich aus Gesetzen der Bundesstaaten die Compliance über den CCPA hinaus komplexer.

Checkliste für die Umsetzung

Nutze diese Checkliste, wenn du Conversational AI einführst:

Einwilligung und Information

• Ausdrückliche Opt-in-Einwilligung für Nutzer umsetzen, die unter die DSGVO fallen
• Klare Information bei der Erhebung für Nutzer bereitstellen, die unter den CCPA fallen
• Getrennte Einwilligungsabläufe für unterschiedliche Verarbeitungszwecke anlegen
• Prüfbare Einwilligungsprotokolle führen

Nutzerrechte

• Workflows zur Beantwortung von DSARs aufbauen (30 Tage DSGVO, 45 Tage CCPA)
• Datenlöschung auf Anfrage ermöglichen
• Opt-out-Mechanismen für den Datenverkauf umsetzen
• Verfahren zur Anfechtung automatisierter Entscheidungen schaffen

Umgang mit Daten

• Rechtsgrundlage für alle Verarbeitungstätigkeiten dokumentieren
• Datenminimierung im Conversation Design umsetzen
• Angemessene Aufbewahrungsfristen festlegen
• Grenzüberschreitende Übermittlungen absichern (SCCs, wo nötig)

Transparenz

• Den Einsatz von AI in Interaktionen offenlegen
• Automatisierte Entscheidungsprozesse erklären
• Verständliche Datenschutzerklärungen veröffentlichen
• Hinweise zur Art der Datenerhebung bereitstellen

Wie es weitergeht

Compliance ist kein einmaliges Projekt, sondern eine operative Fähigkeit. Während sich Regeln weiterentwickeln und deine Conversational-AI-Systeme ausgefeilter werden, muss deine Compliance-Infrastruktur Schritt halten.

Erfolgreiche Organisationen behandeln Datenschutz-Compliance als Feature, nicht als Einschränkung. Sie bauen Vertrauen bei Nutzern auf, die zunehmend Transparenz darüber verlangen, wie AI-Systeme ihre Daten nutzen. Und sie vermeiden regulatorische Strafen, die Unternehmen ruinieren können.

Nimm die DSGVO als Grundlage. Ergänze die CCPA-spezifischen Anforderungen. Bau Workflows, die sich anpassen lassen, wenn sich Regeln ändern. Und dokumentiere alles, denn wenn Aufsichtsbehörden Fragen stellen, ist „Das macht bei uns die AI“ keine Antwort, die irgendjemanden zufriedenstellt.

Über den Autor

Behrad Mirafshar ist Gründer und CEO von Bonanza Studios, wo er Ideen in 4-12 Wochen zu funktionsfähigen MVPs macht. Mit 13 Jahren in der Berliner Startup-Szene war er Teil der Gründungsteams von Grover (Unicorn) und Kenjo (führende HR-Plattform im DACH-Raum). CEOs holen ihn für Projekte, die ihre Teams nicht anfassen können oder wollen, weil er Produkte baut, keine PowerPoints.

Vernetz dich mit Behrad auf LinkedIn

Wer konforme Conversational AI bauen will, braucht Expertise in Technologie und Regulierung. Wenn du Chatbots, Voice Assistants oder AI-gestützte Kundenservice-Tools einführst und Unterstützung bei Privacy-first-Design brauchst, buch ein Strategiegespräch, um über deine konkreten Anforderungen zu sprechen.