DSGVO-konforme KI-Chatbots: Worauf Sie achten müssen

Sobald ein KI-Chatbot mit echten Besuchern spricht, verarbeitet er personenbezogene Daten — oft in jeder einzelnen Nachricht. Damit fällt er unter die DSGVO. Die gute Nachricht: Konformität ist kein Hexenwerk, wenn die Plattform die richtigen Grundlagen mitbringt. Diese sechs Punkte sollten Sie prüfen, bevor Sie einen Chatbot produktiv schalten.

1. Hosting in der EU

Der wichtigste Hebel ist der Serverstandort. Werden Daten in der EU verarbeitet, entfällt die heikle Frage der Drittlandübermittlung in die USA weitgehend. Kyros wird in der EU gehostet und ist von Grund auf für den deutschen und europäischen Markt gebaut — deutschsprachig zuerst, zweisprachig verfügbar. Details dazu finden Sie auf der Seite Sicherheit.

2. Auftragsverarbeitungsvertrag (AVV)

Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) inklusive technischer und organisatorischer Maßnahmen (TOMs). Achten Sie darauf, dass der Anbieter einen solchen AVV bereitstellt und die eingesetzten Unterauftragsverarbeiter offenlegt. Was Kyros hier bietet, lesen Sie auf der Seite DSGVO.

3. Aufbewahrung & Löschung

Datensparsamkeit heißt: nicht länger speichern als nötig. Prüfen Sie, ob sich die Aufbewahrung von Chatverläufen konfigurieren lässt. Bei Kyros ist die Aufbewahrung einstellbar — als Plattform-Standard von 30 Tagen, komplett deaktiviert („never") oder als individuelle Frist nach Inaktivität. So passen Sie die Speicherdauer an Ihre eigene Datenschutzrichtlinie an, statt sie hinnehmen zu müssen.

4. PII-Moderation

Besucher tippen oft mehr in ein Chatfeld, als sie sollten — Namen, Adressen, Kartennummern. Eine Moderation, die personenbezogene Daten (PII) erkennt und zurückhält, ist deshalb zentral. Bei Kyros prüft die Moderation eingehende Nachrichten, bevor sie das Modell erreichen oder gespeichert werden. Sechs Kategorien sind standardmäßig aktiv — darunter PII sowie Schutz vor sexuellen, hasserfüllten, gewalttätigen, gefährlichen und selbstschädigenden Inhalten. Auffällige Nachrichten werden vorab zurückgehalten; die Bewertung übernimmt ein Moderationsdienst (Mistral). Optional lassen sich Gesundheits-, Finanz- und Rechtsberatung sowie Jailbreak-Erkennung zuschalten und eine eigene Empfindlichkeitsschwelle setzen.

5. Transparenz & Quellenangaben

Nutzer haben ein Recht darauf zu wissen, dass sie mit einer KI sprechen und woher deren Antworten stammen. Grundierte Antworten in Kyros zitieren ihre Quellen mit anklickbaren Fußnoten — das schafft Nachvollziehbarkeit und reduziert Halluzinationen. Für die Rechenschaftspflicht hilft zusätzlich das Audit-Log mit 21 protokollierten Aktionstypen, mit dem sich nachvollziehen lässt, wer wann was geändert hat.

6. Datenschutzhinweise im Widget

Der Hinweis auf die Datenverarbeitung gehört dorthin, wo die Verarbeitung stattfindet — in das Chatfenster selbst. Das Chat-Widget von Kyros enthält ein DSGVO-konformes Datenschutzpanel direkt im Menü, das erklärt, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage und wie lange sie aufbewahrt werden. So müssen Sie kein separates Consent-Konstrukt bauen.

Fazit

DSGVO-Konformität entsteht nicht durch einen einzelnen Haken, sondern durch das Zusammenspiel von EU-Hosting, AVV, konfigurierbarer Aufbewahrung, PII-Moderation, Transparenz und klaren Hinweisen im Widget. Eine Plattform, die diese Bausteine bereits mitbringt, nimmt Ihnen den Großteil der Arbeit ab — Sie müssen sie nur richtig konfigurieren.