Chatbot-Compliance: Was Ihr KI-Chatbot sagen darf – und wie Sie das prüfen

Was bedeutet Chatbot-Compliance?

Chatbot-Compliance umfasst alle rechtlichen Anforderungen an den Einsatz eines Chatbots – von der DSGVO (GDPR) über den EU AI Act bis zum Wettbewerbs- und Branchenrecht. Sie hat zwei Ebenen: die Infrastruktur (wie Daten verarbeitet, gespeichert und geschützt werden) und den Inhalt (was der Bot gegenüber Kunden behauptet, verspricht oder empfiehlt).

Wer heute „Chatbot Compliance“ sucht, findet fast ausschließlich die erste Ebene: Auftragsverarbeitung, Hosting-Standort, ISO-Zertifikate, Verschlüsselung. Das ist alles nötig – aber es beantwortet nicht die Frage, mit der Unternehmen 2026 tatsächlich vor Gericht landen: Was sagt der Bot eigentlich? Seit das OLG Hamm Chatbot-Antworten dem Betreiber als eigene Werbeaussagen zurechnet, ist die Inhaltsebene die eigentliche Baustelle. Dieser Beitrag behandelt beide Ebenen – mit Schwerpunkt auf der, für die es bisher kaum Anleitungen gibt.

Welche Gesetze und Vorschriften gelten für Chatbots?

Ebene 1: Datenschutz – die DSGVO-Anforderungen an Ihren Chatbot

Die Infrastruktur-Ebene ist gut dokumentiert, deshalb hier nur das Wesentliche als Prüfliste. Sie betrifft jeden Bot, der personenbezogene Daten verarbeitet – und das tut praktisch jeder, sobald Nutzer frei Text eingeben können.

• ▸Auftragsverarbeitungsvertrag (AVV) mit dem Chatbot-Anbieter abschließen; bei US-Anbietern den Drittlandtransfer sauber regeln.
• ▸Rechtsgrundlage klären und die Datenschutzerklärung um den Chatbot ergänzen: Welche Daten, wofür, wie lange?
• ▸Datenminimierung umsetzen: keine unnötige Speicherung von Chatverläufen, klare Löschfristen.
• ▸Eingabefeld absichern: Nutzer aktiv darauf hinweisen, keine sensiblen Daten (Gesundheit, Finanzen) einzugeben – besondere Kategorien nach Art. 9 DSGVO brauchen eine eigene Grundlage.
• ▸Betroffenenrechte bedienen können: Auskunft und Löschung müssen auch Chat-Daten erfassen.
• ▸Zugriffskontrolle und Verschlüsselung beim Anbieter prüfen (Stichwort: wo laufen die Prompts durch?).

Ebene 2: Die übersehene Compliance-Frage – was antwortet Ihr Bot?

Ein KI-Chatbot formuliert frei. Er beantwortet jede Frage – auch die, für die seine Wissensbasis nichts hergibt. Genau dort entstehen die Aussagen, die teuer werden: erfundene Qualifikationen, Wirkversprechen, falsche Rabatte. Rechtlich sind das keine Pannen, sondern Werbeaussagen Ihres Unternehmens. Das OLG Hamm hat die Zurechnung im Mai 2026 ausdrücklich bestätigt, verschuldensunabhängig und trotz Disclaimer. Air Canada musste 2024 einen Rabatt einlösen, den ihr Bot erfunden hatte.

Besonders eng wird es in regulierten Branchen. Verkaufen Sie Nahrungsergänzungsmittel, Lebensmittel oder Kosmetik, gelten die Health-Claims-Verordnung (EG) 1924/2006 und die Lebensmittelinformationsverordnung: Krankheitsbezogene Aussagen wie „hilft bei Arthrose“ sind für Lebensmittel unzulässig – egal, ob sie im Webshop-Text stehen oder Ihr Produktberater-Bot sie im Chat formuliert. Für Heilmittel und Medizinprodukte setzt das Heilmittelwerbegesetz enge Grenzen. Ein Bot, der aus gutem Willen Kundenfragen nach Wirkung „hilfreich“ beantwortet, produziert im Zweifel laufend Verstöße.

Der KI-Aussagen-Audit: In 5 Schritten prüfen, was Ihr Chatbot behauptet

Die IT-Recht-Kanzlei empfiehlt nach dem OLG-Hamm-Urteil, das Antwort-Repertoire eines Chatbots „so weit wie nur möglich proaktiv“ zu prüfen – bei lernenden Systemen mit laufenden Kontrollen. Nur: Wie macht man das systematisch? Bewährt hat sich dieses Vorgehen:

• ▸1. Fragenkatalog aufstellen: Sammeln Sie die 30–50 Fragen, die Kunden realistisch stellen – inklusive der heiklen (Wirkung, Krankheiten, Vergleiche, Preise, Garantien). Fragen Sie bewusst provozierend, denn genau das tun Nutzer auch.
• ▸2. Antworten dokumentieren: Führen Sie jede Frage im echten Chat durch und sichern Sie die Transkripte mit Datum. Ohne Dokumentation können Sie weder Fehler belegen noch Ihre Sorgfalt nachweisen.
• ▸3. Gegen Regeln abgleichen: Prüfen Sie jede Antwort gegen die einschlägigen Normen (UWG, HWG, HCVO, Preisrecht) – als Befund zählt das wörtliche Zitat plus die verletzte Regel, nicht ein Bauchgefühl.
• ▸4. Ursachen beheben statt Symptome: Falschaussagen entstehen aus der Wissensbasis, dem Produktfeed, den Systemregeln und den Daten, die der Bot von Ihrer Website zieht. Korrigieren Sie dort – ergänzt um Guardrails mit Tabuthemen und festen Ausweichantworten.
• ▸5. Wiederholen und protokollieren: KI-Systeme ändern sich mit jedem Modell-Update und jeder neuen Datenquelle. Planen Sie Re-Checks in festen Abständen ein (z. B. quartalsweise) und heben Sie die Prüfprotokolle auf.

Der Aufwand ist überschaubar: Ein erster Durchlauf mit 30 Fragen ist an einem Nachmittag erledigt und zeigt fast immer Überraschungen. Wichtig ist die Reihenfolge – erst wissen, was der Bot sagt, dann die Quellen korrigieren, dann dauerhaft kontrollieren.

Checkliste: Chatbot-Compliance in 10 Punkten

• ▸AVV mit dem Chatbot-Anbieter geschlossen, Datenschutzerklärung ergänzt
• ▸Datenminimierung und Löschfristen für Chatverläufe definiert
• ▸KI-Hinweis im Chat-Fenster sichtbar, vor der ersten Antwort (Art. 50 KI-VO – Details im Beitrag zur KI-Kennzeichnungspflicht)
• ▸Wissensbasis kuratiert: Der Bot antwortet aus geprüften Inhalten, nicht aus dem freien Modellwissen
• ▸Tabuthemen definiert: Krankheiten, Wirkversprechen, Qualifikationen, individuelle Rechts- und Gesundheitsberatung
• ▸Eskalation an Menschen für sensible Anliegen eingerichtet
• ▸Preis- und Produktdaten des Bots gegen den echten Katalog abgeglichen
• ▸Erster KI-Aussagen-Audit mit dokumentierten Transkripten durchgeführt
• ▸Re-Check-Rhythmus festgelegt und verantwortliche Person benannt
• ▸Branchenrecht geprüft: HWG, HCVO und LMIV, wenn Sie Gesundheits-, Lebensmittel- oder Kosmetikprodukte anbieten

Unser Fazit

Chatbot-Compliance entscheidet sich 2026 nicht mehr am Hosting-Standort, sondern am Inhalt. Die Infrastruktur-Hausaufgaben (DSGVO, AVV, Sicherheit) bleiben Pflicht – aber die Rechtsprechung schaut inzwischen auf das, was Ihr Bot tatsächlich sagt. Wer sein KI-System wie einen neuen Mitarbeiter behandelt (einarbeiten, klare Grenzen setzen, Ergebnisse kontrollieren) ist rechtlich und kommunikativ auf der stabilen Seite. Und wer den Zustand nie geprüft hat, sollte mit dem 3-Fragen-Selbsttest anfangen: Er dauert zwei Minuten und beantwortet die wichtigste Frage – ob Ihr Bot gerade in Ihrem Namen Dinge verspricht, die Sie nie freigegeben haben.

Wenn Sie die Prüfung nicht selbst stemmen wollen: Mit dem HWG-Wächter durchleuchten wir Website und Chatbot-Antworten Wort für Wort, dokumentieren jeden Befund mit wörtlichem Zitat und zugehöriger Regel und liefern fertige, natürlich klingende Alternativformulierungen – inklusive Umsetzung.