KI-Chatbot DSGVO Checkliste (2026): PDPL, LGPD & mehr

Eine KI-Chatbot-DSGVO-Checkliste bedeutete früher einen Link zur Datenschutzerklärung und ein Cookie-Banner. 2026 muss sie auch die Offenlegungspflicht für Chatbots aus dem EU AI Act (KI-Verordnung) abdecken, die ab dem 2. August 2026 gilt, dazu die Datenschutzgesetze am Golf und im weiteren MENA-Raum sowie in der Türkei, Indien und Brasilien und das Bild von Bundesstaat zu Bundesstaat in den USA. Dieser Leitfaden gibt Ihnen 10 praktische Schritte, eine Tabelle mit Meldefristen nach Land und einen klaren Blick darauf, wo der Irak und die Region Kurdistan stehen.

Diese Checkliste ist eine allgemeine Information und keine Rechtsberatung, ziehen Sie in jeder Rechtsordnung, in der Sie tätig sind, eine qualifizierte Anwältin oder einen qualifizierten Anwalt hinzu.

Kernaussagen

• Der EU AI Act verlangt von Chatbots offenzulegen, dass sie KI sind, sofern es nicht offensichtlich ist. Art. 50 Abs. 1 gilt seit dem 2. August 2026, und der Digital Omnibus vom Juli 2026 hat daran nichts geändert.
• Die meisten Aufsichtsbehörden arbeiten mit einer 72-Stunden-Frist, aber nicht alle. Für DSGVO, die Regelungen des saudischen PDPL, das KVKK-Board, Ägypten, Bahrain, Oman und Jordanien gelten 72 Stunden, für das ADGM „unverzüglich und, soweit machbar, spätestens binnen 72 Stunden“; Kuwait gibt lizenzierten Anbietern 24 Stunden, das DIFC verlangt nur „sobald praktikabel“, und Brasiliens ANPD verlangt 3 Werktage. In den USA gibt es keine einheitliche Frist: Die Meldung einer Datenpanne richtet sich nach dem eigenen Gesetz jedes Bundesstaates, in Kalifornien sind es 30 Kalendertage ab Entdeckung gegenüber den betroffenen Einwohnerinnen und Einwohnern.
• Art. 28 Abs. 3 DSGVO verlangt einen verbindlichen Vertrag (einen AVV) mit jedem Auftragsverarbeiter, wozu in der Regel Ihre Inbox-Plattform und Ihr KI-Modellanbieter gehören.
• Im Irak ist kein umfassendes Datenschutzgesetz für den privaten Sektor in Kraft, in der Region Kurdistan ebenfalls nicht, eine Praxis auf DSGVO-Niveau ist deshalb eine sinnvolle Grundlinie.
• Ein KI-Tool für automatische Antworten muss Nachrichten lesen, um sie zu beantworten, deshalb wiegen Zugriffskontrolle, Aufbewahrungsfristen und verschlüsselte Zugangsdaten so schwer wie die Transportverschlüsselung.

Wer 2026 eine KI-Chatbot DSGVO Checkliste braucht

Ein DSGVO-konformer Chatbot verarbeitet personenbezogene Daten auf einer Rechtsgrundlage, sagt den Menschen, was mit ihren Daten passiert, hält sie sicher und lässt sie ihre Rechte ausüben. Ein Unternehmen, das über WhatsApp, Instagram oder Telegram verkauft, hat meist auch lokale Gesetze zu beachten:

• EU: DSGVO (gilt seit dem 25. Mai 2018) und Art. 50 AI Act. Sie bedienen Menschen in der EU von außerhalb? Klären Sie mit Ihrer Rechtsberatung, ob die DSGVO greift.
• Vereinigte Staaten: kein einheitliches Bundesdatenschutzgesetz. Die Pflichten liegen überwiegend bei den Bundesstaaten, angeführt vom kalifornischen CCPA/CPRA, dazu die TCPA-Einwilligung für automatisierte Werbeanrufe und Werbenachrichten und Offenlegungspflichten für Bots einzelner Bundesstaaten wie in Maine.
• Saudi-Arabien: das saudische PDPL, dessen Übergangsfrist am 14. September 2024 endete. Die SDAIA reguliert es, einschließlich der im Ausland erfolgenden Verarbeitung von Daten über Personen, die sich in Saudi-Arabien aufhalten.
• VAE (föderal): Dekret-Gesetz Nr. 45 von 2021, in Kraft seit Januar 2022, die Ausführungsbestimmungen sind weiterhin nicht veröffentlicht.
• DIFC: Gesetz Nr. 5 von 2020, melden Sie die Verarbeitung dem Commissioner jährlich an, und die Regeln des Art. 10 zu autonomen Systemen erfassen Chatbots.
• ADGM: Data Protection Regulations 2021, registrieren Sie sich vor der Verarbeitung beim Office of Data Protection und erneuern Sie die Registrierung jährlich.
• Katar: Gesetz Nr. 13 von 2016, beaufsichtigt von der NCSA, ausdrückliche Einwilligung, dazu eine Genehmigung für Daten besonderer Art.
• Bahrain: Gesetz Nr. 30 von 2018, Transfers ins Ausland brauchen die genehmigte Liste der PDPA, deren Erlaubnis oder eine andere Grundlage.
• Kuwait: die Regelung der CITRA, 2024 auf lizenzierte Telekommunikations- und Internetanbieter verengt, die meisten Unternehmen fallen also nicht darunter.
• Oman: Königliches Dekret Nr. 6/2022, durchsetzbar seit dem 5. Februar 2026, Einwilligung zuerst, ohne Rechtsgrundlage des berechtigten Interesses.
• Jordanien: Gesetz Nr. 24 von 2023, anwendbar seit März 2025, vorherige Einwilligung, und erneut eine Einwilligung für den Transfer ins Ausland.
• Marokko: Gesetz Nr. 09-08, melden Sie die Verarbeitung vorab der CNDP an und holen Sie deren Genehmigung für Transfers ins Ausland ein.
• Ägypten: Gesetz 151/2020, dessen Ausführungsbestimmungen (Dekret Nr. 816 von 2025) bis etwa Anfang November 2026 Zeit zur Umsetzung lassen.
• Türkei: KVKK (Gesetz Nr. 6698), geändert durch Gesetz 7499 zum 1. Juni 2024.
• Indien: der DPDP Act 2023, dessen Rules im November 2025 notifiziert wurden, die meisten materiellen Pflichten gelten ab etwa Mai 2027.
• Brasilien: das LGPD (Gesetz 13.709/2018), durchgesetzt von der ANPD.

KI-Chatbot-Compliance in den USA: CCPA, TCPA und Bot-Kennzeichnung

Allgemeine Informationen, keine Rechtsberatung. Ob eines dieser Gesetze auf Sie anwendbar ist, hängt von Ihrem Umsatz, der Zahl Ihrer Datensätze, Ihrer Branche und den Datenarten ab, klären Sie das mit Ihrer Rechtsberatung.

Die veröffentlichten Zahlen zu den Datenschutzgesetzen der US-Bundesstaaten unterscheiden sich je nach Zählweise: Stand September 2026 sind etwa 20 in Kraft und 24 verabschiedet.

Kaliforniens CCPA, geändert durch das CPRA, gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind, personenbezogene Daten von Einwohnerinnen und Einwohnern erheben und einen von drei Schwellenwerten überschreiten: einen weltweiten jährlichen Bruttoumsatz von über $26,625,000 (der zum 1. Januar 2025 geltende Wert), den Kauf, Verkauf oder die Weitergabe personenbezogener Daten von 100.000 oder mehr kalifornischen Verbraucherinnen, Verbrauchern oder Haushalten oder 50 % oder mehr des Umsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten. Kalifornien gewährt sechs Rechte: Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf und Weitergabe, Beschränkung der Nutzung sensibler personenbezogener Daten und Diskriminierungsfreiheit. Andere Bundesstaaten teilen einen gemeinsamen Kern, einen Datenschutzhinweis und Widerspruchsmöglichkeiten gegen zielgerichtete Werbung, Verkauf und bestimmtes Profiling, und die meisten verlangen zusätzlich eine ausdrückliche Einwilligung für sensible Daten, die ein Chat mit freiem Text nicht vorab klassifizieren kann.

Verträge sind der schärfste Hebel: Nach den CCPA-Regulations (§7051(c)) ist ein Anbieter ohne einen konformen Service-Provider-Vertrag kein Service Provider, und die Offenlegung personenbezogener Daten ihm gegenüber kann als Verkauf oder Weitergabe gelten. Rund ein Dutzend Bundesstaaten verlangen außerdem, ein universelles Opt-out-Signal zu beachten, und zwar auf der Seite, die Ihr Widget einbindet, nicht auf WhatsApp, Instagram oder Telegram; das Global Privacy Control ist in Kalifornien, Colorado und Connecticut anerkannt, und die Liste ändert sich, prüfen Sie sie deshalb nach.

Darüber liegen die Branchenregeln: HIPAA (Gesundheitsdatenrecht), wenn Ihr Kunde eine Covered Entity ist und der Chat Gesundheitsdaten trägt, wobei Meta und Telegram für gewöhnliches Business-Messaging keine Business Associate Agreements unterzeichnen, geschützte Gesundheitsdaten also nicht über diese Kanäle laufen können, dazu die GLBA Safeguards Rule für Finanzunternehmen außerhalb des Bankensektors und COPPA für Daten von Kindern unter 13 Jahren. Nach Section 5 des FTC Act müssen die Aussagen zu Datenschutz und Sicherheit, die Sie veröffentlichen, zutreffen.

Ausgehendes Marketing ist davon getrennt zu sehen. Der TCPA verlangt eine vorherige ausdrückliche schriftliche Einwilligung für Werbeanrufe und Werbenachrichten an US-Mobilfunknummern, die mit einem Autodialer oder einer voraufgezeichneten Stimme gesendet werden, und der gesetzliche Schadensersatz liegt bei $500 je verstoßendem Anruf oder je verstoßender Nachricht, bis zu $1,500 bei vorsätzlichen oder wissentlichen Verstößen, in der Regel je Nachricht. Ein Widerruf kann auf jedem vernünftigen Weg eingehen und muss binnen 10 Werktagen beachtet werden. Ob der TCPA auch über das Internet geleitete WhatsApp-Nachrichten erfasst, ist ungeklärt, behandeln Sie ein schriftliches Opt-in deshalb als umsichtige Grundlinie und nicht als gesicherte Regel; Metas WhatsApp Business Messaging Policy verlangt ohnehin ein Opt-in.

Auch die Bot-Kennzeichnung liegt bei den Bundesstaaten. Maines Chatbot-Gesetz (10 M.R.S. §1500-DD), in Kraft seit dem 24. September 2025, ist das weiteste und erfasst auch gewöhnliche Verkaufs- und Support-Bots; Utah verlangt die Offenlegung, wenn die Verbraucherin oder der Verbraucher danach fragt, und von sich aus in risikoreichen Interaktionen, etwa wenn Gesundheits- oder Finanzdaten erhoben werden. Kaliforniens B.O.T. Act (Gesetz zur Offenlegung von Bots) ist enger gefasst: Täuschungsabsicht, öffentlich zugängliche Plattformen mit 10 Millionen oder mehr eindeutigen monatlichen Besucherinnen und Besuchern aus den USA, und eine klare Offenlegung als Safe Harbour.

Schritt 1: Erfassen Sie, welche personenbezogenen Daten Ihr Chatbot sammelt und wohin sie fließen

Datenmapping heißt, jedes personenbezogene Datum aufzulisten, das der Bot berührt, wo es gespeichert wird und wer es erhält. Halten Sie für jeden Kanal fest:

• Was Kundinnen und Kunden senden: Namen, Telefonnummern, E-Mail-Adressen, Adressen, Bestelldetails, Fotos und Sprachnachrichten.
• Was Sie speichern: Gesprächsverlauf, Kontaktprofile und Logs der KI-Prompts.
• Was die Systeme verbindet: Kanal-Access-Tokens, API-Schlüssel von KI-Anbietern und Webhook-Secrets.
• Wohin Daten gehen: die Messaging-Plattform, Ihr Inbox-Anbieter, der KI-Modellanbieter und jedes CRM- oder Zahlungstool.

Notieren Sie auch die Aufbewahrung bei jedem Anbieter. Meta gibt an, für die WhatsApp Cloud API als Auftragsverarbeiter tätig zu sein und Cloud-API-Nachrichten höchstens 30 Tage aufzubewahren (Meta-Entwicklerdokumentation). Siehe unseren Vergleich Cloud API vs. Business App.

Schritt 2: Wählen Sie eine Rechtsgrundlage und holen Sie Einwilligungen ein, wo nötig

Art. 6 DSGVO nennt die Rechtsgrundlagen für die Verarbeitung. Wählen Sie eine je Zweck, nicht je Tool:

• Bestell- oder Supportfragen zu beantworten ist ein Zweck.
• Marketing-Broadcasts und Nachfassaktionen sind ein eigener Zweck, prüfen Sie, ob sie eine gesonderte Einwilligung brauchen.
• Chats zur Verbesserung Ihrer KI weiterzuverwenden ist noch ein Zweck, bündeln Sie ihn nicht stillschweigend mit den anderen Zwecken.

Schreiben Sie die Rechtsgrundlage neben jeden Zweck in Ihr Datenmapping und bewahren Sie den Nachweis jeder Einwilligung auf.

Schritt 3: Sagen Sie Nutzerinnen und Nutzern, dass sie mit einer KI sprechen (Art. 50 EU AI Act)

Nach Art. 50 Abs. 1 EU AI Act muss ein KI-System, das mit Menschen interagiert, ihnen klar und ab der ersten Interaktion mitteilen, dass sie es mit KI zu tun haben, sofern das nicht ohnehin offensichtlich ist. Die Pflicht gilt seit dem 2. August 2026, mit Bußgeldern von bis zu 15 Millionen EUR oder 3 % des weltweiten Umsatzes, laut der FAQ der Europäischen Kommission zu Art. 50. Der Digital Omnibus zu KI, in Kraft seit dem 27. Juli 2026, hat daran nichts geändert. Klären Sie mit Ihrer Rechtsberatung, wie die Pflicht auf Ihr Setup wirkt, und prüfen Sie, ob Ihr Chatbot-Tool den Hinweis anzeigt.

• Setzen Sie einen einzeiligen Hinweis in die erste Antwort des Bots in jedem DM-Verlauf, etwa „Hallo, ich bin der KI-Assistent von [Marke].“
• Verlinken Sie eine Datenschutzerklärung mit den Informationen, die Art. 13 DSGVO verlangt, wenn Sie Daten bei den betroffenen Personen erheben.
• Manche US-Bundesstaaten verlangen dasselbe: Maine seit dem 24. September 2025 und Utah, wenn eine Verbraucherin oder ein Verbraucher danach fragt oder in einer risikoreichen Interaktion.

Schritt 4: Minimieren Sie die Daten, die der Bot sammelt, speichert und an KI-Modelle sendet

Datenminimierung heißt, nur zu erheben, was die Aufgabe braucht. Weniger Daten heißt weniger zu sichern, zu löschen und zu melden.

• Fragen Sie nicht nach Ausweisnummern oder Geburtsdaten, um Fragen zu Lieferung oder Öffnungszeiten zu beantworten.
• Sagen Sie Kundinnen und Kunden, niemals Kartennummern oder Passwörter im Chat zu senden, und lassen Sie den Bot sie zurückweisen.
• Geben Sie dem KI-Modell nur den Kontext, den es braucht, nicht ganze Kundendatensätze.
• Lesen Sie in den Bedingungen Ihres KI-Anbieters nach, ob API-Daten zum Training genutzt werden.
• Bieten Sie eine Übergabe an einen Menschen an, bei Beschwerden, Rückerstattungen oder jeder Entscheidung mit echter Wirkung für die Kundschaft.

Schritt 5: Verschlüsseln Sie Zugangsdaten, Tokens und personenbezogene Kundendaten im Transport und im Ruhezustand

Art. 32 Abs. 1 Buchst. a DSGVO nennt Pseudonymisierung und Verschlüsselung als Sicherheitsmaßnahmen. Nach Art. 34 Abs. 3 Buchst. a DSGVO müssen Sie betroffene Personen nicht benachrichtigen, wenn Verschlüsselung die betroffenen Daten unverständlich gemacht hat. Eine Meldung an die Aufsichtsbehörde nach Art. 33 kann trotzdem nötig sein.

• Nutzen Sie HTTPS/TLS für jeden API-Aufruf und jeden Webhook.
• Verschlüsseln Sie Kanal-Access-Tokens, KI-API-Schlüssel und Webhook-Secrets auf Anwendungsebene, mit einem Schlüssel getrennt von der Datenbank, damit ein abgeflossener Datenbank-Dump nicht Ihr WhatsApp- oder Instagram-Konto mitliefert.
• Verschlüsseln Sie besonders heikle Kontaktfelder wie Telefonnummern und Adressen.

Beachten Sie die Grenze: Ein Server, der KI-Antworten schreibt, muss Nachrichtentext lesen, deshalb wiegen die Schritte 6 und 7 so schwer wie die Verschlüsselung.

Schritt 6: Setzen Sie rollenbasierte Zugriffsrechte durch und führen Sie Audit-Logs

Rollenbasierte Zugriffskontrolle (RBAC) gibt jeder Person nur die Berechtigungen, die ihre Aufgabe braucht:

• Mitarbeitende im Kundenkontakt bekommen Konversationen und Kontakte, nicht die Abrechnung, die KI-Einstellungen oder API-Schlüssel.
• Nutzerinnen und Nutzer mit Lesezugriff sehen nur, was sie brauchen, und können nichts ändern.
• Entziehen Sie Zugriffe am Tag des Austritts und rotieren Sie alle Schlüssel, die diese Person sehen konnte.
• Protokollieren Sie, wer sensible Einstellungen geändert hat.

Indiens DPDP-Rule 6 führt unter den Sicherheitsmaßnahmen auf, Logs ein Jahr lang aufzubewahren. Fragen Sie jeden Anbieter in Ihrem Stack, welche Kontrollen für den Zugriff eigener Mitarbeitender er betreibt und wie dieser Zugriff dokumentiert wird, und bewahren Sie die Antworten zusammen mit Ihrem Datenmapping auf.

Schritt 7: Legen Sie Aufbewahrungsfristen fest und bearbeiten Sie Lösch- und Auskunftsanfragen

Art. 17 DSGVO gibt Menschen das Recht auf Löschung, Sie brauchen also einen Weg, die Daten einer einzelnen Person systemübergreifend zu finden und zu entfernen.

• Definieren Sie eine Aufbewahrungsfrist je Datenart, etwa offene Konversationen, abgeschlossene Konversationen und Marketingkontakte.
• Löschen oder anonymisieren Sie Daten, wenn diese Frist endet, das zu automatisieren ist gute Praxis.
• Bauen Sie einen Ablauf für Anfragen: Identität prüfen, Posteingang, CRM, KI-Logs und Exporte durchsuchen, dann handeln und dokumentieren.
• Verfolgen Sie die Antwortfrist in jedem Gesetz, dem Sie unterliegen. In Indien müssen Data Fiduciaries Betroffenenanfragen binnen 90 Tagen beantworten, sobald die materiellen DPDP-Rules gelten (etwa ab Mai 2027). In Kalifornien gelten für verifizierte Anfragen 45 Tage, einmal verlängerbar.

Wenn Sie Facebook oder Instagram verbinden, prüfen Sie, wie Ihr Inbox-Anbieter Metas Löschanfragen behandelt.

Schritt 8: Schließen Sie einen AVV mit jedem Auftragsverarbeiter und steuern Sie Drittlandtransfers

Ein Auftragsverarbeitungsvertrag (AVV oder DPA) ist der verbindliche Vertrag, den Art. 28 Abs. 3 DSGVO zwischen Ihnen und jedem Auftragsverarbeiter verlangt, der personenbezogene Daten für Sie verarbeitet. Bei einem KI-Chatbot sind das meist die Inbox-Plattform, der KI-Modellanbieter und der Anbieter der Messaging-API. Prüfen Sie Unterauftragsverarbeiter, die Nutzung für KI-Training, die Löschung bei Vertragsende und wie schnell der Anbieter Ihnen eine Datenpanne melden muss. Die USA machen dieselbe Idee zur Voraussetzung, siehe die Service-Provider-Regel des CCPA in §7051(c) weiter oben.

Auch Transfers brauchen Aufmerksamkeit. Seit dem türkischen Gesetz 7499 brauchen Transfers ins Ausland einen Angemessenheitsbeschluss, geeignete Garantien wie einen Standardvertrag des Boards oder eine eng gefasste Ausnahme. Das Board hat keine Angemessenheitsliste veröffentlicht, und die Ausnahmen decken nur gelegentliche, nicht wiederkehrende Transfers ab, sie können eine fortlaufende Chatbot-Pipeline also nicht tragen: Planen Sie mit dem Standardvertrag des Boards und prüfen Sie, welche Anzeigeschritte er verlangt. Ein Hosting außerhalb Saudi-Arabiens nimmt Sie nicht aus dem Anwendungsbereich des saudischen PDPL, wenn Sie Daten über Personen verarbeiten, die sich dort aufhalten, und saudische Transfers brauchen einen zulässigen Zweck plus Angemessenheit oder eine Garantie mit dokumentierter Risikobewertung. Brasilien verlangt den Klauseltext der ANPD unverändert. Fragen Sie Ihren Modellanbieter, auf welche Transfergarantie er sich stützt, und lassen Sie von Ihrer Rechtsberatung bestätigen, dass sie jedem Gesetz genügt, dem Sie unterliegen.

Schritt 9: Bereiten Sie einen Reaktionsplan für Datenpannen mit den Fristen jeder Rechtsordnung vor

Ein Plan für Datenpannen ist ein kurzes Runbook, das festhält, wer in den ersten 72 Stunden was tut, denn die meisten Fristen laufen ab dem Moment, in dem Sie von einer Verletzung Kenntnis erlangen.

• Benennen Sie eine verantwortliche Person und eine Vertretung.
• Listen Sie jede Behörde und Frist auf, der Sie unterliegen (siehe Tabelle unten).
• Bereiten Sie Vorlagen für Kundenbenachrichtigungen in jeder Sprache vor, die Sie unterstützen, auch auf Arabisch und Kurdisch.
• Dokumentieren Sie, wie Kanal-Tokens, KI-API-Schlüssel und Webhook-Secrets schnell entzogen und rotiert werden.

Schritt 10: Prüfen Sie Ihre KI-Chatbot DSGVO Checkliste nach einem festen Plan

• Jetzt: Vergewissern Sie sich, dass Sie für Ägyptens Umsetzungsfrist um Anfang November 2026 bereit sind.
• Quartalsweise: Prüfen Sie Teamzugriffe, verbundene Kanäle und aktive API-Schlüssel.
• Halbjährlich: Führen Sie eine Testlöschanfrage und eine Notfallübung für Datenpannen durch.
• Bei jeder Änderung: Aktualisieren Sie Datenmapping und Anbieterliste, wenn Sie einen Kanal, ein KI-Modell oder einen Anbieter hinzufügen, und führen Sie für jede neue KI-Nutzung eine Risikoprüfung zum Datenschutz durch.
• Jährlich: Prüfen Sie jedes Land erneut, besonders die Ausführungsbestimmungen der VAE, Indiens Phase ab etwa Mai 2027 und den irakischen Gesetzentwurf.

Länderüberblick: Status und Meldefristen bei Datenpannen (September 2026)

Rechtsordnung	Zentrales Gesetz	Status (Sept. 2026)	Meldung an die Behörde
EU/EWR	DSGVO + Art. 50 AI Act	In Kraft	72 Stunden (Art. 33 DSGVO)
USA (Bund)	Kein allgemeines Datenschutzgesetz; FTC Act s.5, TCPA, Branchenregeln	Kein allgemeines Gesetz, Branchenregeln in Kraft	Keine allgemeine Bundespflicht, nur Branchenregeln (HIPAA: betroffene Personen binnen 60 Tagen ab Entdeckung, das HHS binnen 60 Tagen bei Datenpannen mit 500 oder mehr betroffenen Personen und sonst binnen 60 Tagen nach Ende des Kalenderjahres; GLBA Safeguards Rule: die FTC binnen 30 Tagen ab Entdeckung eines Vorfalls mit unverschlüsselten Kundendaten von 500 oder mehr Verbraucherinnen und Verbrauchern)
Kalifornien (CCPA/CPRA)	Cal. Civ. Code §1798.100 et seq.	In Kraft, CPPA-Regulations gelten seit 1. Jan. 2026	Nicht im CCPA geregelt; das gesonderte Gesetz §1798.82 (geändert durch SB 446, gültig ab 1. Jan. 2026) gibt 30 Kalendertage ab Entdeckung für die Benachrichtigung betroffener Einwohnerinnen und Einwohner, dazu eine Meldung an den kalifornischen Attorney General binnen 15 Tagen nach der Benachrichtigung der Verbraucherinnen und Verbraucher, wenn mehr als 500 kalifornische Einwohnerinnen und Einwohner betroffen sind. Die Fristen unterscheiden sich von Bundesstaat zu Bundesstaat
Saudi-Arabien	PDPL (M/19, geändert durch M/148)	Durchsetzbar seit 14. Sept. 2024	72 Stunden an die SDAIA (Art. 24 der Durchführungsbestimmungen)
VAE (föderal)	Dekret-Gesetz Nr. 45 von 2021	In Kraft, Ausführungsbestimmungen nicht veröffentlicht	„Unverzüglich“, keine Stundenangabe
DIFC	DIFC-Gesetz Nr. 5 von 2020	In Kraft, geändert 2022 und 2025	Sobald praktikabel (Art. 41), keine 72-Stunden-Regel
ADGM	Data Protection Regulations 2021	In Kraft und durchgesetzt	Unverzüglich, soweit machbar binnen 72 Stunden
Katar	Gesetz Nr. 13 von 2016 (PDPPL)	In Kraft, NCSA-Leitlinien veröffentlicht	Keine im Gesetz, NCSA-Leitlinien erwarten 72 Stunden
Bahrain	Gesetz Nr. 30 von 2018	In Kraft, PDPA aktiv seit 2022	72 Stunden ab Entdeckung an die PDPA
Kuwait	CITRA-Regelung, geändert 2024	Bindet nur CITRA-lizenzierte Anbieter	24 Stunden, nur Lizenznehmer
Oman	Königliches Dekret Nr. 6/2022	Voll durchsetzbar seit 5. Feb. 2026	72 Stunden an das MTCIT
Jordanien	Gesetz Nr. 24 von 2023	Übergangsfrist endete am 17. März 2025	72 Stunden, betroffene Personen binnen 24 Stunden
Ägypten	Gesetz 151/2020	Umsetzungsfrist endet um Anfang Nov. 2026	72 Stunden an die PDPC
Marokko	Gesetz Nr. 09-08	In Kraft, Meldesystem für Verarbeitungen	Keine: Gesetz Nr. 09-08 kennt keine allgemeine Meldepflicht bei Datenpannen
Türkei	KVKK (Gesetz Nr. 6698)	In Kraft, geändert Juni 2024	72 Stunden an das KVKK-Board
Indien	DPDP Act 2023	Die meisten Pflichten ab etwa Mai 2027	Ausführlicher Bericht binnen 72 Stunden (Rule 7)
Brasilien	LGPD	In Kraft, Sanktionen seit Aug. 2021	3 Werktage an die ANPD, verdoppelt für kleine Akteure
Irak	Kein umfassendes Gesetz für den privaten Sektor	Gesetzentwurf vorhanden	Keine gesetzliche Pflicht, mit lokaler Rechtsberatung klären
Region Kurdistan	Kein umfassendes Gesetz, Gesetz Nr. 6 von 2008	—	Keine gesetzliche Pflicht, mit lokaler Rechtsberatung klären

Irak und die Region Kurdistan: Laut DataGuidance stützt sich der Schutz der Privatsphäre im Irak auf die Verfassung von 2005 und nicht auf ein eigenes Gesetz. Das nächstliegende Gesetz der Region Kurdistan ist Gesetz Nr. 6 von 2008 über den Missbrauch von Telekommunikationsgeräten.

Wie Raabt Sie bei Ihrer Compliance-Arbeit in Saudi-Arabien, am Golf und darüber hinaus unterstützt

Das hier ist eine Übersicht über Funktionen, keine Compliance-Zertifizierung. Kein Tool macht Sie von allein rechtskonform: Darüber entscheiden Ihre Rechtsgrundlage, Ihre Hinweise, Ihre Aufbewahrungsfristen und Ihre Verträge. Was eine Plattform leisten kann, ist, Ihnen die Kontrollen an die Hand zu geben, die jedes Gesetz von Ihnen erwartet.

Was das Gesetz verlangt	Was Raabt Ihnen heute bietet	Was Ihre Aufgabe bleibt
Sicherheitsmaßnahmen (Art. 32 DSGVO, saudisches PDPL, Bahrain, Oman, Jordanien, KVKK)	Kanal-Access-Tokens, API-Schlüssel von KI-Anbietern, Webhook-Secrets sowie Telefonnummern, E-Mail-Adressen und Lieferadressen von Kundinnen und Kunden mit AES-256-GCM verschlüsselt, Passwörter mit Argon2id gehasht, Einmalcodes nur als HMAC-SHA256-Hashes gespeichert	Aufbewahrungsfristen, Geräteverschlüsselung und die Sicherheit von allem, was Sie exportieren
Zugriffskontrolle und minimale Rechte	Vier Rollen (Owner, Admin, Agent, Viewer) mit Berechtigungen je Bereich, die Abrechnung nur für Owner, ein Einmalcode per E-Mail bei der Anmeldung mit Passwort und Sitzungsentzug beim Abmelden	Zu prüfen, wer Zugriff hat, und Austretenden den Zugang noch am selben Tag zu entziehen
Menschen sagen, dass sie mit einer KI sprechen (Art. 50 EU AI Act, Maine, Utah)	Die KI-Einstellungen sind ein berechtigungsgeschützter Bereich, nur die von Ihnen gewählten Rollen können also ändern, wie der Bot antwortet	Den Hinweissatz zu formulieren, ihn in die erste Nachricht des Bots zu setzen und zu prüfen, dass er auf jedem Kanal angezeigt wird
Die Daten jedes Kunden getrennt halten	Unternehmens-Endpunkte prüfen vor jeder Antwort, ob der Aufrufer aktives Mitglied dieses Unternehmens ist	Zu entscheiden, wen Sie in den Workspace einladen
Löschanfragen (Art. 17 DSGVO und entsprechende Regelungen)	Metas Callback zur Datenlöschung mit Bestätigungscode und Statuslink auf der Seite zur Datenlöschung, die Kontolöschung verlangt Ihr Passwort plus einen per E-Mail zugesandten Code, deaktiviert dann das Konto und anonymisiert seine E-Mail-Adresse	Löschanfragen einzelner Kundinnen und Kunden sowie Ihre eigene Aufbewahrungs- und Löschrichtlinie
Verifizierte, auf Manipulation geprüfte Integrationen	Meta-Webhooks ohne gültige X-Hub-Signature-256-Signatur werden abgewiesen, Telegram-Webhooks verlangen ein Secret Token, und Anhänge werden nur über ablaufende, HMAC-signierte Links ausgeliefert	Kanal-Tokens und API-Schlüssel zu rotieren, wenn Mitarbeitende ausscheiden
Reaktion auf Datenpannen (72 Stunden in der EU, Saudi-Arabien, Bahrain, Oman, Jordanien und der Türkei, 24 Stunden für kuwaitische Lizenznehmer, je Bundesstaat unterschiedliche Regeln in den USA)	Aktionen des eigenen Plattformpersonals von Raabt werden in ein Append-only-Protokoll geschrieben (Wer, Was, Wann, IP-Adresse), Secrets darin geschwärzt	Ihr Runbook für Vorfälle, Meldungen an Behörden und Benachrichtigungen an Kundinnen und Kunden
Daten ins Ausland senden	API-Schlüssel von KI-Anbietern und Service-Account-JSON werden auf Anwendungsebene verschlüsselt (AES-256-GCM)	Zu wählen, welcher KI-Anbieter Ihre Texte verarbeitet, Ihre Bewertung der Transfers, Standardverträge und etwaige lokale Meldungen

Was Raabt heute für den Schutz von Unternehmensdaten tut

Kein Tool macht Sie rechtskonform, das Ergebnis hängt davon ab, wie Sie es konfigurieren und nutzen. Wenn Sie Ihren KI-Chatbot auf Raabt betreiben, sind heute diese Kontrollen vorhanden:

• Verschlüsselte Zugangsdaten und ausgewählte Kontaktdaten: Kanal-Access-Tokens (Facebook, Instagram, WhatsApp, Telegram), API-Schlüssel von KI-Anbietern, Webhook-Secrets sowie Telefonnummern, E-Mail-Adressen und Lieferadressen von Kundinnen und Kunden werden auf Anwendungsebene mit AES-256-GCM verschlüsselt.
• Passwörter und Anmeldecodes: Passwörter werden mit Argon2id gehasht. Anmeldungen mit E-Mail und Passwort verlangen einen per E-Mail zugesandten Einmalcode, bevor eine Sitzung beginnt, die Google-Anmeldung nutzt diesen Code nicht.
• Rollenbasierter Teamzugriff: vier Rollen (Owner, Admin, Agent, Viewer) mit Berechtigungen je Bereich, der Zugriff auf die Abrechnung lässt sich nicht an Nicht-Owner delegieren.
• Trennung zwischen Unternehmen: Unternehmens-Endpunkte prüfen, ob der Aufrufer aktives Mitglied dieses Unternehmens ist, und antworten andernfalls mit „nicht gefunden“.
• Geprüfte Webhooks: Meta-Webhooks ohne gültige X-Hub-Signature-256-Signatur werden abgewiesen, und Telegram-Webhooks verlangen ein Secret Token.
• Sitzungsentzug: Das Abmelden entzieht Sitzungen über eine Sperrliste, die bei jeder authentifizierten Anfrage geprüft wird.
• Löschanfragen von Meta: Raabt unterstützt Metas Callback zur Datenlöschung, mit Statuslink auf der Seite zur Datenlöschung.
• Kontolöschung: Sie verlangt ein Passwort plus einen per E-Mail zugesandten Einmalcode. Das Konto wird sofort deaktiviert und seine E-Mail-Adresse anonymisiert, Konversations- und Kontaktdaten werden dadurch aber nicht gelöscht.

Eine Grenze, die Sie einplanen sollten: Konversationen sind nicht Ende-zu-Ende-verschlüsselt, weil Raabts Server Nachrichten lesen müssen, um KI-Antworten zu erzeugen. Ein Server, der die Antwort verfasst, muss die Nachricht zuerst lesen.

Planen Sie Aufbewahrung, Zugriffe und Kundenbenachrichtigungen mit diesem Wissen, und lesen Sie unsere Datenschutzerklärung.

Häufige Fragen

Allgemeine Informationen, keine Rechtsberatung.

Ist ein KI-Chatbot DSGVO-konform?

Das kann nur eine Prüfung Ihres eigenen Setups beantworten. Prüfen Sie eine Rechtsgrundlage je Zweck, eine klare Datenschutzerklärung, einen AVV mit jedem Auftragsverarbeiter, angemessene Sicherheit wie Verschlüsselung und funktionierende Löschanfragen.

Muss ein Chatbot als KI gekennzeichnet werden?

In der EU grundsätzlich ja. Seit dem 2. August 2026 verlangt Art. 50 Abs. 1 AI Act von KI-Systemen, die mit Menschen interagieren, das ab der ersten Interaktion deutlich zu machen, sofern es nicht offensichtlich ist. In den USA verlangt Maine einen Hinweis, wenn ein kommerzieller Chatbot Verbraucherinnen oder Verbraucher zu der Annahme verleiten könnte, sie sprächen mit einem Menschen; Utah verlangt die Offenlegung, wenn die Verbraucherin oder der Verbraucher danach fragt, und von sich aus in risikoreichen Interaktionen, etwa wenn Gesundheits- oder Finanzdaten erhoben werden.

Gilt der EU AI Act für Chatbots im Kundenservice?

Ja, über die Transparenzpflichten aus Art. 50 für KI-Systeme, die mit Menschen interagieren. Der Digital Omnibus hat die Fristen für eigenständige Hochrisiko-Systeme (Anhang III) auf den 2. Dezember 2027 und die Fristen aus Anhang I auf den 2. August 2028 verschoben. Klären Sie mit Ihrer Rechtsberatung, ob Ihr Anwendungsfall hochriskant ist.

Gelten US-Datenschutzgesetze für meinen WhatsApp- oder Instagram-Chatbot?

Oft ja, und zwar von Bundesstaat zu Bundesstaat und nicht über ein einziges Bundesgesetz. Chatverläufe, die mit einer Telefonnummer oder einem Instagram-Handle verknüpft sind, sind nach diesen Gesetzen personenbezogene Daten, dazu kommen Pflichten zur Bot-Kennzeichnung und die TCPA-Einwilligung für ausgehendes Marketing. Die Schwellenwerte und die offene TCPA-Frage finden Sie im Abschnitt zu den USA weiter oben.

Brauche ich einen AVV mit dem Chatbot-Anbieter?

Nach der DSGVO ja, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, denn Art. 28 Abs. 3 verlangt einen verbindlichen Vertrag mit jedem Auftragsverarbeiter. Prüfen Sie Unterauftragsverarbeiter, die Bedingungen zum KI-Training und die Löschung bei Vertragsende.

Wie lange dürfen Chatverläufe nach der DSGVO gespeichert werden?

Es gibt keine Zahl zum Abschreiben. Üblich ist, Konversationen nur so lange aufzubewahren, wie es der von Ihnen genannte Zweck erfordert, diesen Zeitraum in der Datenschutzerklärung zu nennen und die Daten danach zu löschen oder zu anonymisieren. Lassen Sie die Frist von Ihrer Rechtsberatung bestätigen.

Hat der Irak ein Datenschutzgesetz?

Kein umfassendes für den privaten Sektor, ein Gesetzentwurf existiert aber. Art. 17 der Verfassung von 2005 schützt die persönliche Privatsphäre und Art. 40 die Kommunikation. Auch die Region Kurdistan hat kein umfassendes Gesetz, weshalb eine Praxis auf DSGVO-Niveau vorerst eine sinnvolle Grundlinie ist.

Bereit für automatische KI-Antworten mit verschlüsselten Kanal-Zugangsdaten und rollenbasiertem Teamzugriff? Kostenlos starten.