# Chatbots und Recht in Deutschland: DSGVO, KI-Verordnung, TDDDG und UWG

> Welche Regeln gelten, wenn ein Unternehmen in Deutschland einen Chatbot einsetzt: Kennzeichnung nach Art. 50 KI-Verordnung, Cookies nach § 25 TDDDG, Einwilligung für WhatsApp-Werbung nach § 7 UWG, Chatverläufe nach DSGVO und Barrierefreiheit nach BFSG. Mit Links zu den amtlichen Quellen.

Veröffentlicht: 18. September 2026 · Aktualisiert: 18. September 2026 · Preise geprüft: 18. September 2026 · Von der Redaktion von chatbots.reviews

Mit KI-Unterstützung recherchiert und entworfen, auf Grundlage der auf dieser Seite genannten Quellen. Wir haben auf diesen Plattformen noch keine Bots gebaut oder erprobt. Methode: [So bewerten wir](https://chatbots.reviews/de/so-bewerten-wir)

> **Allgemeine Information, keine Rechtsberatung.** Wir verlinken amtliche Quellen und geben wieder, was wir zum Stand dieser Seite prüfen konnten. Wo wir etwas nicht verifizieren konnten, steht das dabei. Ihre eigenen Pflichten klären Sie bitte mit einer Anwältin oder einem Anwalt.

**Das Wichtigste in Kürze**

- **Sagen Sie in der ersten Nachricht, dass ein Bot antwortet.** Wiederholen Sie es, wenn ein Mensch das Gespräch an den Bot zurückgibt.
- **Laden Sie das Chat-Widget erst nach einem Klick oder nach Einwilligung.** Vorher darf es weder Cookies noch localStorage nutzen.
- **Holen Sie vor Werbung per WhatsApp, SMS oder Messenger eine ausdrückliche Einwilligung ein** und protokollieren Sie sie.
- **Legen Sie eine Löschfrist für Chatverläufe fest** und stellen Sie sicher, dass Sie die Chats einer Person innerhalb eines Monats herausgeben können.
- **Schließen Sie einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter** und prüfen Sie, wohin die Daten fließen.
- **Behandeln Sie jede Antwort des Bots wie Ihre eigene Aussage** und bieten Sie immer einen Weg zu einem Menschen an.

## Kennzeichnung: Der Bot muss sich zu erkennen geben

Art. 50 der KI-Verordnung gilt seit dem 2. August 2026. Das bestätigt die [FAQ der EU-Kommission zu den Transparenzpflichten](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act). Für die Offenlegung bei Chatbots nach Art. 50 Abs. 1 gibt es keine Schonfrist. Nur die Markierungspflicht nach Art. 50 Abs. 2 hat eine Übergangszeit bis zum 2. Dezember 2026. Der KI-Omnibus vom 27. Juli 2026 hat laut [Kommission](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) nur die Hochrisiko-Regeln verschoben, nicht Art. 50.

Auch Meta verlangt das. Die [Richtlinie der Messenger-Plattform](https://developers.facebook.com/docs/messenger-platform/policy/policy-overview) nennt Deutschland ausdrücklich: Automatisierte Chats müssen sich offenlegen, wo das Gesetz es verlangt, und zwar zu Beginn eines Gesprächs, nach einer längeren Pause und beim Wechsel von einem Menschen zur Automatik.

## Cookies und Einwilligung beim Chat-Widget

Die deutschen Aufsichtsbehörden sehen einen Chat als Zusatzfunktion, nicht als Teil der Basis-Website. Wer nur die Seite öffnet, hat ihn noch nicht gewünscht. So steht es in der [Orientierungshilfe Digitale Dienste der Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf) (Version 1.2, November 2024, Rn. 74 und 76) zu § 25 TDDDG. Erst nach dem Klick auf den Chatbot dürfen Cookies oder localStorage ohne Einwilligung genutzt werden, und nur für den Betrieb des Chats.

- Setzt das Widget-Skript schon beim Laden der Seite eine Kennung, gehört es hinter das Consent-Banner. Oder Sie laden es erst beim Klick.
- Nutzen Sie Chat-Kennungen nie für Analyse oder Werbung.
- Frankreichs Aufsicht CNIL kommt in ihren [Hinweisen zu Chatbots](https://www.cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-des-personnes) zum gleichen Ergebnis.

## Werbung per WhatsApp, SMS und Messenger

Nach [§ 7 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) ist Werbung mit elektronischer Post ohne vorherige ausdrückliche Einwilligung eine unzumutbare Belästigung. Mitbewerber und Verbraucherverbände können dagegen vorgehen. Kanäle zählt das Gesetz nicht auf. Die deutsche Praxis wendet die Regel auch auf Messenger und SMS an; in einer Primärquelle haben wir das nicht geprüft. Die einzige Ausnahme ist die enge Bestandskundenregel in § 7 Abs. 3: Adresse aus einem Verkauf, eigene ähnliche Produkte, kein Widerspruch und ein klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und in jeder Nachricht.

Der Widerruf muss so einfach sein wie die Einwilligung, und Direktwerbung kann jeder jederzeit kostenlos widersprechen ([Art. 7 Abs. 3 und Art. 21 DSGVO](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679)). Eine Antwort mit „STOPP“ muss also reichen.

Dazu kommen Metas eigene Regeln. Die [WhatsApp Business Messaging Policy](https://whatsappbusiness.com/policy/) verlangt ein Opt-in, bevor Sie jemanden anschreiben. Frei antworten darf der Bot nur 24 Stunden nach der letzten Nachricht des Nutzers, danach nur mit freigegebenen Vorlagen. Außerdem muss es einen klaren Weg zu einem Menschen geben. Die [Business Solution Terms](https://www.whatsapp.com/legal/business-solution-terms) sperren allgemeine KI-Assistenten als Hauptprodukt; ein Bot für Support, Buchungen oder Verkauf ist damit nicht gemeint. Details stehen in unserem [Leitfaden zu den WhatsApp-Regeln](https://chatbots.reviews/de/ratgeber/whatsapp-chatbot-regeln).

## Chatverläufe sind personenbezogene Daten

- **Löschfrist.** Daten dürfen nur so lange gespeichert werden wie nötig ([Art. 5 Abs. 1 lit. e DSGVO](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679)). „Alles für das Training aufbewahren“ erfüllt das nicht. Stellen Sie die Frist im Baukasten selbst ein.
- **Betroffenenrechte.** Jede Person kann eine Kopie ihrer Chats verlangen ([Art. 15 Abs. 3 DSGVO](https://gdpr-info.eu/art-15-gdpr/)). Die Frist beträgt einen Monat (Art. 12 Abs. 3). Prüfen Sie, ob die Plattform Suche und Export pro Nutzer kann.
- **AVV und Drittland.** Schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Viele Anbieter sitzen in den USA oder nutzen US-Unterauftragnehmer. Prüfen Sie die Zertifizierung nach dem EU-US Data Privacy Framework und behalten Sie Standardvertragsklauseln als Rückfallebene. Nennen Sie die Übermittlung in Ihrer Datenschutzerklärung. Dass das Framework im September 2026 weiter gilt, während das Rechtsmittel C-703/25 P anhängig ist, stützt sich nur auf [Sekundärquellen](https://digitalpolicyalert.org/change/7373).
- **Keine Zweitnutzung.** Untersagen Sie dem Anbieter im Vertrag, Chatverläufe für eigene Zwecke zu nutzen, auch für KI-Training.
- **Hinweis über dem Eingabefeld.** Wer den Chat betreibt, welcher Dienstleister die Gespräche speichert und verarbeitet, dazu ein Link zur Datenschutzerklärung.

Wertet die Plattform Antwortzeiten, Übergaben oder Bewertungen Ihrer Beschäftigten aus? Dann binden Sie vor dem Start den Betriebsrat ein ([§ 87 Abs. 1 Nr. 6 BetrVG](https://www.gesetze-im-internet.de/betrvg/__87.html)). Meist braucht es eine Betriebsvereinbarung.

## Wer haftet für das, was der Bot sagt?

Eine deutsche Entscheidung zu falschen Chatbot-Antworten haben wir nicht gefunden. Das bekannteste Beispiel stammt aus Kanada und bindet hier niemanden: In [Moffatt v. Air Canada](https://decisions.civilresolutionbc.ca/crt/crtd/en/item/525448/index.do) ließ ein Tribunal für Bagatellstreitigkeiten in British Columbia am 14. Februar 2024 die Fluggesellschaft für eine falsche Auskunft ihres Website-Chatbots zu Trauerfall-Tarifen haften. Dass der Bot eine eigene Instanz sei, ließ es nicht gelten. Zugesprochen wurden 812,02 kanadische Dollar.

Stützen Sie die Antworten auf Ihre aktuellen Bedingungen und Preise, testen Sie vor dem Start, lesen Sie regelmäßig Chatverläufe und korrigieren Sie Fehler schnell. Auf einen Hinweis wie „Der Bot kann sich irren“ sollten Sie sich nicht verlassen. Mehr dazu in unserem [Leitfaden zur Bot-Wissensbasis](https://chatbots.reviews/de/ratgeber/wissensdatenbank-fuer-chatbots-schreiben).

## Automatisierte Entscheidungen und der Weg zum Menschen

Ein Gespräch mit einem Chatbot ohne menschliches Zutun darf nicht allein zu einer wichtigen Entscheidung über eine Person führen, etwa zur Ablehnung eines Kredits. So formuliert es die [CNIL](https://www.cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-des-personnes), und das passt zu Art. 22 DSGVO. Leiten Sie solche Fälle an einen Menschen weiter.

Ein gesetzliches Recht auf einen Menschen statt eines Chatbots haben wir EU-weit nur für einen Bereich gefunden: im Fernabsatz geschlossene Finanzdienstleistungen für Verbraucher. Die [Richtlinie (EU) 2023/2673](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202302673) gilt seit dem 19. Juni 2026. Die deutsche Umsetzung haben wir nicht geprüft. Eine allgemeine EU-Regel gibt es bisher nicht. Machen Sie den Bot nie zum einzigen Kanal. Mehr dazu unter [Wann ein Chatbot die falsche Wahl ist](https://chatbots.reviews/de/ratgeber/wann-kein-chatbot).

## Barrierefreiheit: Was das BFSG für das Widget bedeutet

Das Barrierefreiheitsstärkungsgesetz gilt für Dienstleistungen, die nach dem 28. Juni 2025 erbracht werden. Dazu gehört der Online-Verkauf an Verbraucher ([§ 1 Abs. 3 Nr. 5 BFSG](https://www.gesetze-im-internet.de/bfsg/__1.html)). Die [Bundesfachstelle Barrierefreiheit](https://www.bundesfachstelle-barrierefreiheit.de/DE/Barrierefreiheitsstaerkungsgesetz/FAQ-elektronischer-Geschaeftsverkehr/faq-elektronischer-Geschaeftsverkehr_node) geht davon aus, dass die gesamte Website oder App die Anforderungen erfüllen muss, nicht nur der Bezahlvorgang. Chats oder Chatbots erwähnt sie nicht, und eine amtliche Quelle, die Chat-Widgets ausdrücklich nennt, haben wir nicht gefunden. Dass ein eingebettetes Widget mitgemeint ist, folgt nur aus dieser Lesart.

Ausgenommen sind laut den [FAQ zum BFSG](https://www.bundesfachstelle-barrierefreiheit.de/DE/Fachwissen/Produkte-und-Dienstleistungen/Barrierefreiheitsstaerkungsgesetz/FAQ/faq_node) Kleinstunternehmen, die Dienstleistungen anbieten (weniger als zehn Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz), sowie reine B2B-Angebote. Für alle anderen gilt: Prüfen Sie, ob sich das Widget mit Tastatur und Screenreader bedienen lässt, und halten Sie einen zweiten Kontaktweg bereit.

## Bevor Sie den Bot einschalten

1. Die erste Nachricht sagt, dass ein Bot antwortet, auch nach einer Übergabe von Mensch zu Bot.
2. Das Widget setzt vor dem Klick keine Cookies und nutzt kein localStorage, oder es lädt erst nach Einwilligung.
3. Über dem Eingabefeld stehen Betreiber, Dienstleister und ein Link zur Datenschutzerklärung.
4. Für WhatsApp-, SMS- und Messenger-Werbung liegt je Empfänger eine protokollierte Einwilligung vor, die Ihr Unternehmen und den Kanal nennt.
5. Eine Abmeldung mit einer einzigen Antwort funktioniert und greift sofort im Bot und im CRM.
6. Es gibt einen Weg zu einem Menschen: Übergabe im Chat, Telefon oder E-Mail.
7. Der Bot antwortet auf Basis Ihrer aktuellen Bedingungen und Preise, ist getestet, und die Chatverläufe werden regelmäßig durchgesehen.
8. Die Löschfrist ist eingestellt, und Sie können die Chats einer einzelnen Person exportieren oder löschen.
9. Der AVV ist unterschrieben, die Drittlandübermittlung geprüft und die Nutzung der Chats für KI-Training ausgeschlossen.
10. Das Widget funktioniert mit Tastatur und Screenreader. Falls nötig, ist der Betriebsrat eingebunden.

## Häufige Fragen

### Muss mein Chatbot sagen, dass er ein Bot ist?

Ja. Art. 50 der KI-Verordnung gilt seit dem 2. August 2026, und für die Offenlegung bei Chatbots gibt es laut [EU-Kommission](https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act) keine Schonfrist. Sagen Sie es in der ersten Nachricht und erneut, wenn ein Mensch an den Bot zurückgibt.

### Brauche ich für das Chat-Widget eine Cookie-Einwilligung?

Nur wenn das Widget schon beim Laden der Seite Cookies setzt oder auf localStorage zugreift, oder wenn es die Daten für mehr als den Chat nutzt. Nach der [Orientierungshilfe der Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf) wünscht ein Nutzer den Chat erst, wenn er ihn anklickt. Laden Sie das Widget also beim Klick oder hinter dem Consent-Banner.

### Darf ich Bestandskunden ohne Einwilligung per WhatsApp bewerben?

Nur wenn alle Bedingungen aus [§ 7 Abs. 3 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) erfüllt sind: Adresse aus einem Verkauf, eigene ähnliche Produkte, kein Widerspruch und ein klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und in jeder Nachricht. Zusätzlich verlangt [WhatsApp](https://whatsappbusiness.com/policy/) immer ein eigenes Opt-in. In der Praxis kommen Sie an einer Einwilligung deshalb nicht vorbei.

### Wie lange darf ich Chatverläufe speichern?

Eine feste Zahl nennt die DSGVO nicht. Sie verlangt, dass Sie eine Frist festlegen, dokumentieren und die Verläufe danach löschen oder anonymisieren (Art. 5 Abs. 1 lit. e). Richten Sie die Frist am Zweck aus, zum Beispiel an der Bearbeitung von Supportfällen, und stellen Sie sie im Baukasten ein.

### Gilt das BFSG auch für mein Chat-Widget?

Ausdrücklich sagt das keine amtliche Quelle, die wir gefunden haben. Die [Bundesfachstelle Barrierefreiheit](https://www.bundesfachstelle-barrierefreiheit.de/DE/Barrierefreiheitsstaerkungsgesetz/FAQ-elektronischer-Geschaeftsverkehr/faq-elektronischer-Geschaeftsverkehr_node) geht aber davon aus, dass die gesamte Website die Anforderungen erfüllen muss, wenn Sie online an Verbraucher verkaufen. Kleinstunternehmen mit Dienstleistungen und reine B2B-Angebote sind ausgenommen.

> **Bewertet anhand öffentlicher Dokumentation, nach einem Schema, das Sie nachlesen können.** Die Wertungen beruhen auf fünf veröffentlichten Kriterien: Preistransparenz, Zugang, Tiefe des Baukastens, Reichweite und Übergabe sowie Daten und Vertrauen. Jeder Preis und jedes Limit wird nur einmal gespeichert, in einer einzigen Produktdatenbank, mit einem Link zur Quelle. So können sich keine zwei Seiten dieser Website widersprechen. Bewertungsschema v1.0 · Der Referenz-Bot-Test wurde noch nicht durchgeführt. Bis dahin behauptet keine Seite hier, ein Produkt sei in einem Test geprüft worden. [Die vollständige Methode lesen](https://chatbots.reviews/de/so-bewerten-wir) · [Der Referenz-Bot-Test](https://chatbots.reviews/de/referenz-bot-test)

## Weiterlesen

- [Was unterscheidet einen Chatbot von einem KI-Agenten?](https://chatbots.reviews/de/ratgeber/chatbot-vs-ki-agent)
- [Regelbasierter Chatbot oder KI-Chatbot: Was sollten Sie bauen?](https://chatbots.reviews/de/ratgeber/regelbasierte-vs-ki-chatbots)
- [Wie werden Chatbot-Tools abgerechnet?](https://chatbots.reviews/de/ratgeber/chatbot-preismodelle)
- [Was zählt bei Chatbot-Preisen als Gespräch?](https://chatbots.reviews/de/ratgeber/was-zaehlt-als-konversation)
- [Die besten Chatbot-Baukästen](https://chatbots.reviews/de/beste/chatbot-software)

---

Canonical: https://chatbots.reviews/de/ratgeber/chatbots-dsgvo-und-ai-act