KI-Chatbots im Unternehmen: Pflichten aus DSGVO, KI-Verordnung und UWG

Unternehmen setzen KI-Chatbots im Kundenservice, in der internen Wissenssuche, im Personalbereich und im Marketing ein. Mit dem Einsatz entstehen Pflichten aus der Datenschutz-Grundverordnung (DSGVO), aus der Verordnung (EU) 2024/1689 (KI-VO, AI Act) sowie aus dem Gesetz gegen den unlauteren Wettbewerb (UWG). Wer diese Pflichten übersieht, riskiert Abmahnungen, Unterlassungsansprüche, Schadensersatz und Bußgelder.

Welche Art von Chatbot haben Sie?

Der Begriff Chatbot verdeckt drei sehr unterschiedliche Systeme, und genau an diesem Unterschied entscheidet sich die rechtliche Bewertung.

• Der regelbasierte Bot arbeitet mit festen Entscheidungsbäumen und gibt ausschließlich hinterlegte Standardantworten aus. Er ist kalkulierbar, weil er nur wiedergibt, was vorher programmiert wurde.
• Der KI-Chatbot auf Basis eines großen Sprachmodells formuliert seine Antworten dynamisch und reagiert auch auf Fragen, die niemand vorhergesehen hat. Diese Fähigkeit begründet seinen Nutzen und sein Risiko zugleich.
• Der KI-Agent geht einen Schritt weiter und führt eigene Handlungen aus, etwa Buchungen, Bestellungen oder Datenbankänderungen. Weil er Rechtsgeschäfte anbahnen oder auslösen kann, verschärft sich die Haftungslage erheblich.

Hinzu kommt die Frage der Wirkungsrichtung. Ein intern genutztes Werkzeug betrifft vorrangig Datenschutz, Arbeitsrecht und Geheimnisschutz. Ein kundengerichteter Chatbot trifft Aussagen nach außen, die dem Unternehmen zugerechnet werden und wettbewerbs- sowie vertragsrechtliche Folgen auslösen.

Datenschutz: Die Pflicht beginnt mit dem ersten Satz des Kunden

Sobald ein Mensch mit dem System interagiert, ist der Anwendungsbereich der DSGVO eröffnet. Personenbezug entsteht bereits durch Name, Kundennummer oder E-Mail-Adresse, häufiger noch durch den Inhalt des Gesprächs selbst, etwa Angaben zu Gesundheit oder zu einem Vertragskonflikt. Die Bestimmbarkeit der Person genügt.

Drei Punkte gehören daher vor den Start geklärt. Erstens braucht jede Verarbeitung eine Rechtsgrundlage, in Betracht kommen die Einwilligung, die Vertragserfüllung sowie das berechtigte Interesse nach Art. 6 Abs. 1 DSGVO. Des Weiteren ist bei der Nutzung fremder Modelle ein Auftragsverarbeitungsvertrag erforderlich. Überdies gelten bei US-Anbietern die Regeln zum Drittlandtransfer nach Art. 44 ff. DSGVO, wobei eine Zertifizierung nach dem EU-US Data Privacy Framework die Übermittlung über den Angemessenheitsbeschluss tragen kann und andernfalls Standardvertragsklauseln sowie zusätzliche Schutzmaßnahmen in Betracht kommen.

Für personenbezogene und vertrauliche Daten empfiehlt sich eine Enterprise-Lösung, bei der die Eingaben nicht zum Training des Modells verwendet werden. Dass die Aufsichtsbehörden dieses Feld beobachten, zeigen bereits verhängte Bußgelder in Millionenhöhe gegen KI-Anbieter, unter anderem wegen fehlender Rechtsgrundlage und unzureichender Information der Nutzer.

KI-Verordnung: Zwei Pflichten, die bereits gelten

Die Verordnung (EU) 2024/1689, bekannt als AI Act, schafft einen einheitlichen europäischen Rahmen. Maßgeblich ist zunächst die eigene Rolle. Wer ein System entwickelt und in Verkehr bringt, ist Anbieter, wer ein fremdes System unter eigener Verantwortung einsetzt, ist Betreiber.

Zwei Anforderungen betreffen praktisch jedes Unternehmen. Zum einen müssen Nutzer erkennen können, dass sie mit einem KI-System kommunizieren, sofern dies nicht offensichtlich ist, was aus Art. 50 KI-VO folgt (sog. Transparenzpflicht). Der Hinweis gehört sichtbar an den Anfang der Konversation und nicht in die Datenschutzerklärung. Zum anderen verpflichtet Art. 4 KI-VO Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz des eingesetzten Personals zu sorgen, weshalb Beschäftigte Funktionsweise, Grenzen und Risiken des Systems kennen müssen.

Die Haftungsfrage: Warum drei naheliegende Argumente nicht tragen

KI-Systeme erfinden Fakten, ohne dies zu kennzeichnen. Dieses Halluzinieren ist kein Ausnahmefall, sondern ein bekanntes Systemmerkmal. Der Chatbot ist kein Rechtssubjekt und kann nicht selbst haften, weshalb seine Aussagen dem einsetzenden Unternehmen zugerechnet werden.

Das OLG Hamm (Urteil vom 12.05.2026, Az. 4 UKl 3/25) hat drei Verteidigungslinien geprüft und verworfen, und darin liegt der praktische Wert der Entscheidung:

• Autonomie des Systems: Das betroffene Unternehmen argumentierte, der Chatbot arbeite auf Basis statistischer Wahrscheinlichkeiten autonom und werde nicht im Einzelnen gesteuert. Das Gericht hielt dem entgegen, dass der grundsätzliche Einsatz des Systems in seiner konkreten Ausgestaltung auf der Willensentschließung des Unternehmens und des in seinem Auftrag tätigen IT-Dienstleisters beruht, für den es nach § 8 Abs. 2 UWG einzustehen hat. Das sogenannte Black-Box-Problem ändert daran nichts.
• Fehlender Einfluss: Widerlegt wurde dieses Argument durch das Verhalten des Unternehmens selbst, denn nach dem Vorfall ließ sich der Chatbot problemlos so umprogrammieren, dass die unzutreffende Angabe unterblieb. Das Gericht sah darin ein technisches Mittel der Kommunikation, über das hinreichende Steuerungsgewalt bestand. Ferner war es zumutbar, diese Absicherung bereits vor der ersten Inbetriebnahme zu treffen, zumal auf der Hand lag, dass der Bot auf die naheliegende Frage nach der tatsächlich nicht vorhandenen Facharztqualifikation der medial bekannten Geschäftsführer eine falsche Antwort halluzinieren könnte.
• Fehlende geschäftliche Relevanz: Die Annahme, Verbraucher kennten die Fehleranfälligkeit von KI und prüften Antworten ohnehin nach, konnte das Unternehmen nicht mit Erfahrungssätzen belegen. Das Gericht ging im Gegenteil davon aus, dass ein Teil der Verbraucher computergenerierten Antworten in besonderer Weise vertraut, weil Maschinen als weniger fehleranfällig gelten als Menschen.

Rechtsdogmatisch stützt sich das Gericht auf § 2 Abs. 1 Nr. 2 UWG, denn die Angaben des Chatbots standen im erforderlichen zeitlichen und sachlichen Zusammenhang mit dem Absatz der eigenen Dienstleistungen. Überdies stellt das OLG Hamm klar, dass die Tätigkeit nicht rein technischer, automatischer und passiver Art war, da das Unternehmen die Abfragedaten in einem eigenen Programm verarbeitet. Selbst nach den Grundsätzen der wettbewerbsrechtlichen Verkehrspflicht und der Störerhaftung wäre das Ergebnis dasselbe gewesen.

Über das Lauterkeitsrecht hinaus reicht das Risiko weiter. Falsche Angaben zu Preisen, Rabatten, Lieferzeiten, Produkteigenschaften oder Vertragsbedingungen können als irreführende geschäftliche Handlung nach §§ 5, 5a UWG relevant sein, und eine vermeintliche Zusage kann im Einzelfall einen vertraglichen Anspruch begründen. Äußert sich der Chatbot falsch über eine konkrete Person, kommen Unterlassungs- und Schadensersatzansprüche wegen Verletzung des Persönlichkeitsrechts in Betracht.

Der Disclaimer ist die falsche Antwort

Ein pauschaler Zusatz wie „Alle Angaben ohne Gewähr“ schützt nicht zuverlässig, denn verbraucherschützende Vorschriften lassen sich nicht per AGB abbedingen, und eine irreführende Angabe bleibt irreführend, auch wenn irgendwo ein Hinweis steht. Wirksam ist die technische und organisatorische Begrenzung des Systems:

• Verbindliche Aussagen zu Preisen und Konditionen bleiben menschlichen Mitarbeitern vorbehalten, während der Chatbot technisch daran gehindert wird.
• Kritische Begriffe und Themen werden über Vorgaben im Prompt und einen nachgeschalteten Filter gesperrt.
• Vor dem Start werden die naheliegenden Fragen zu Qualifikationen, Zertifikaten und Werbeaussagen systematisch getestet und dokumentiert.
• Kennzeichnung nach Art. 50 KI-VO und Schulung nach Art. 4 KI-VO werden umgesetzt und nachweisbar gehalten.
• Rechtsgrundlage, Auftragsverarbeitungsvertrag und Drittlandtransfer werden dokumentiert.

Häufige Fragen

---

Unser Angebot

Wir prüfen Ihren konkreten Chatbot-Einsatz auf DSGVO-Konformität, auf die Pflichten aus der KI-Verordnung und auf Haftungsrisiken nach dem UWG. Anschließend erhalten Sie eine belastbare Umsetzung, die im Streitfall dokumentiert ist. Sprechen Sie uns an.