KI-Chatbot auf Makler-Websites: Kennzeichnung nach EU AI Act

Ein Interessent öffnet am Sonntagabend den Chat auf Ihrer Website und fragt nach einer Berufsunfähigkeitsversicherung. Der Bot beantwortet die Frage freundlich, fordert Gesundheitsangaben an und empfiehlt einen Termin. Am Montag stellt Ihr Team fest: Der Interessent ging davon aus, mit einer Person zu schreiben. Genau solche Situationen machen die Transparenzpflichten des EU AI Act für Makler-Websites praktisch relevant.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten aus Artikel 50 des EU AI Act. Für KI-Systeme, die unmittelbar mit natürlichen Personen interagieren sollen, muss grundsätzlich erkennbar sein, dass die Person mit einem KI-System kommuniziert. Eine Ausnahme kann gelten, wenn dies aus Umständen und Kontext offensichtlich ist. Darauf sollten Sie sich bei einem Website-Chatbot jedoch nicht verlassen.

Für Versicherungs- und Immobilienmakler geht es nicht nur um einen Hinweis wie „KI im Einsatz“. Der Chatbot verarbeitet oft Kontakt-, Vertrags-, Objekt- oder Finanzierungsdaten. Er kann Erwartungen an Beratung erzeugen, falsche Auskünfte geben oder sensible Informationen entgegennehmen. Deshalb gehören Kennzeichnung, Datenschutz, Gesprächsregeln und eine funktionierende Übergabe an Mitarbeitende zusammen.

Was der EU AI Act bei Website-Chatbots verlangt

Die Transparenzpflicht richtet sich rechtlich zunächst an den Anbieter eines KI-Systems. Das ist häufig der Hersteller oder Plattformbetreiber des Chatbots. Wenn Sie einen fremden Chatbot auf Ihrer Website einsetzen, sind Sie in vielen Fällen Betreiber des Systems. Dennoch dürfen Sie die Umsetzung nicht vollständig dem Anbieter überlassen.

Sie müssen prüfen, ob die erforderliche Kennzeichnung auf Ihrer Website tatsächlich sichtbar, verständlich und dauerhaft funktioniert. Außerdem tragen Sie als datenschutzrechtlich Verantwortlicher Verantwortung für die Datenverarbeitung im Chat, soweit Sie Zweck und Mittel bestimmen.

Besondere Aufmerksamkeit ist nötig, wenn Sie den Bot unter Ihrem Namen anbieten, tiefgreifend verändern oder ein eigenes System entwickeln lassen. Je nach konkreter Rolle können weitere Pflichten entstehen. Klären Sie die Rollenverteilung deshalb schriftlich mit Ihrem Anbieter.

Ein einfacher Regel- oder FAQ-Chatbot ohne KI kann anders zu bewerten sein als ein generativer KI-Assistent. Entscheidend sind Funktionsweise, Zweck und tatsächliche Interaktion. Lassen Sie sich nicht allein von Produktbezeichnungen wie „Smart Chat“, „Assistent“ oder „Automatisierung“ beruhigen.

Checkliste: Der Bot-Hinweis auf der Makler-Website

Der Hinweis muss erscheinen, bevor oder spätestens wenn Besucherinnen und Besucher in die Interaktion einsteigen. Ein versteckter Satz in der Datenschutzerklärung genügt nicht.

• Kennzeichnen Sie klar, dass die Kommunikation mit einem KI-System erfolgt.
• Platzieren Sie den Hinweis direkt im Chatfenster, nicht nur im Footer der Website.
• Verwenden Sie verständliche Sprache, etwa: „Sie chatten mit unserem KI-Assistenten. Er unterstützt bei allgemeinen Fragen und ersetzt keine persönliche Beratung.“
• Machen Sie deutlich, wie eine menschliche Ansprechperson erreichbar ist.
• Vermeiden Sie Namen, Profilbilder oder Formulierungen, die den Bot als reale Mitarbeitende erscheinen lassen.
• Wiederholen Sie den Hinweis bei längeren Sitzungen oder nach einem Seitenwechsel, wenn sonst Verwechslungsgefahr besteht.
• Prüfen Sie die Darstellung auf Mobilgeräten, in eingebetteten Fenstern und bei mehreren Sprachversionen Ihrer Website.
• Dokumentieren Sie mit Screenshots, wann und wie Sie den Hinweis geprüft haben.

Die Formulierung sollte nicht nur rechtlich klingen, sondern Erwartungen begrenzen. Ein Chatbot darf beispielsweise nicht den Eindruck erwecken, verbindliche Deckungszusagen zu erteilen, eine individuelle Versicherungsberatung abschließend vorzunehmen oder eine Immobilienfinanzierung verbindlich zu prüfen.

Übergabe an Mitarbeitende: Der Bot braucht eine Ausstiegstür

Ein KI-Chatbot ist kein Ersatz für persönliche Beratung. Gerade bei komplexen Versicherungsfragen, Beschwerden, Gesundheitsangaben, Schadensfällen, Finanzierungsthemen oder Vertragsänderungen muss eine Übergabe an Ihr Team möglich sein.

Definieren Sie verbindliche Übergaberegeln. Der Bot sollte nicht endlos weiterfragen, wenn er eine Anfrage nicht sicher einordnen kann. Sinnvoll ist eine klare Auswahl im Chatfenster, etwa „Rückruf anfordern“, „E-Mail an das Team“ oder „Persönliche Beratung vereinbaren“.

Fälle für die sofortige Übergabe

• Der Bot erkennt eine Beschwerde, einen Widerruf oder eine Schadensmeldung.
• Es werden Gesundheitsdaten, Angaben zu strafrechtlichen Vorwürfen oder andere besonders sensible Informationen eingegeben.
• Eine Person verlangt eine konkrete Produktempfehlung oder eine verbindliche Aussage zu Versicherungsschutz, Beitrag oder Leistungsfall.
• Die Anfrage betrifft eine Vertragskündigung, eine Vollmacht, eine Bankverbindung oder Zahlungsdaten.
• Der Bot ist unsicher, widerspricht sich oder kann die Frage nicht anhand freigegebener Inhalte beantworten.
• Die Person verlangt ausdrücklich den Kontakt zu einem Menschen.

Für Versicherungsvermittler ist die Abgrenzung zur Beratung besonders wichtig. Die Beratungs- und Dokumentationspflichten verschwinden nicht, weil der Erstkontakt über einen Chat erfolgt. Ergänzend hilft Ihnen der Beitrag zur Beratungsdokumentation nach § 61 VVG, die Übergabe in Ihre Beratungsprozesse einzuordnen.

Datenschutzinformationen direkt am Chat mitdenken

Ein Chatbot verarbeitet häufig mehr Daten, als Ihnen zunächst bewusst ist. Neben dem Nachrichtentext können technische Daten, Zeitstempel, Geräteinformationen, IP-Adressen, Cookies, Chatverläufe und Metadaten anfallen. Bei Immobilienanfragen kommen Angaben zu Einkommen, Haushaltsgröße oder Bonität hinzu. Bei Versicherungsanfragen können Besucherinnen und Besucher Gesundheitsdaten eingeben.

Verlinken Sie im Chat gut sichtbar auf die einschlägigen Datenschutzinformationen. Diese müssen verständlich erklären:

• Wer für die Verarbeitung verantwortlich ist.
• Welche Daten im Chat verarbeitet werden.
• Zu welchen Zwecken die Daten genutzt werden.
• Auf welcher Rechtsgrundlage die Verarbeitung beruht.
• Welche Dienstleister beteiligt sind.
• Ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden können.
• Wie lange Chatdaten gespeichert werden.
• Welche Rechte betroffene Personen haben.
• Wie ein Datenschutzkontakt erreichbar ist.

Die Rechtsgrundlage hängt vom jeweiligen Zweck ab. Für eine konkrete Kontaktanfrage kann eine Verarbeitung zur Durchführung vorvertraglicher Maßnahmen in Betracht kommen. Für andere Zwecke, etwa Produktverbesserung oder Marketing, ist eine gesonderte Prüfung erforderlich. Eine Einwilligung ist nicht automatisch die richtige Lösung und muss, wenn sie erforderlich ist, freiwillig sowie widerrufbar sein. Die Grundlagen hierzu finden Sie auch im Beitrag Einwilligung oder berechtigtes Interesse für Makler.

Fordern Sie im Chat nur Daten ab, die für den jeweiligen Schritt wirklich erforderlich sind. Gesundheitsdaten, Ausweisdaten, Bankdaten und vollständige Vertragsunterlagen gehören regelmäßig nicht in einen offenen Website-Chat. Richten Sie stattdessen einen sicheren Folgeprozess ein.

Protokollierung: Nützlich, aber nicht grenzenlos

Chatprotokolle können sinnvoll sein, etwa zur Bearbeitung einer Anfrage, zur Qualitätskontrolle oder zur Aufklärung eines Fehlers. Sie erhöhen jedoch das Datenschutzrisiko. Legen Sie vor dem Start fest, welche Protokolle Sie benötigen und wann sie gelöscht werden.

Prüffrage	Praktische Umsetzung
Wozu speichern Sie Chats?	Zweck je Prozess schriftlich festlegen, etwa Anfragebearbeitung oder Fehleranalyse
Wer darf zugreifen?	Zugriff nur für zuständige Mitarbeitende und Administratoren nach Rollenprinzip
Wie lange bleiben Daten erhalten?	Löschfrist festlegen und technisch umsetzen
Werden Inhalte zum KI-Training verwendet?	Standardmäßig ausschließen oder ausdrücklich prüfen und dokumentieren
Wie schützen Sie Protokolle?	Verschlüsselung, Mehrfaktor-Authentifizierung und Berechtigungskonzept einsetzen
Wie werden Anfragen gelöscht?	Prozess für Auskunft, Löschung und Berichtigung festlegen

Nehmen Sie die Verarbeitung in Ihr Verzeichnis der Verarbeitungstätigkeiten auf. Prüfen Sie außerdem, ob aufgrund Umfang, Datenarten und Überwachungssituation eine Datenschutz-Folgenabschätzung erforderlich ist. Für die technische und organisatorische Absicherung eignet sich die TOM-Checkliste für Maklerbüros.

Anbieterangaben vor dem Livegang prüfen

Verlassen Sie sich nicht auf Aussagen wie „DSGVO-konform“ oder „EU AI Act ready“. Diese Begriffe ersetzen keine Prüfung. Fordern Sie die Angaben schriftlich an und halten Sie Ihre Bewertung fest.

• Benennen Sie Anbieter, Unterauftragnehmer und Hosting-Standorte.
• Klären Sie, ob ein Auftragsverarbeitungsvertrag erforderlich ist und verfügbar bereitgestellt wird.
• Prüfen Sie technische und organisatorische Maßnahmen, insbesondere Zugriffsschutz, Verschlüsselung und Protokollierung.
• Fragen Sie, ob Eingaben zur Weiterentwicklung oder zum Training von Modellen genutzt werden.
• Klären Sie, ob Sie diese Nutzung abschalten können und ob sie standardmäßig deaktiviert ist.
• Prüfen Sie Löschkonzepte für Chatverläufe, Backups und Testdaten.
• Lassen Sie sich erklären, wie Sicherheitsvorfälle gemeldet werden.
• Klären Sie, welche Informationen der Anbieter zu seiner Rolle und zu Transparenzpflichten nach dem EU AI Act bereitstellt.
• Testen Sie den Chatbot mit kritischen Testfällen, bevor er öffentlich erreichbar ist.

Wenn der Anbieter Ihre Eingaben für eigene Zwecke nutzt oder eigenständig über wesentliche Verarbeitungen entscheidet, kann die datenschutzrechtliche Einordnung komplexer werden. Der Beitrag AV-Vertrag für Makler: Wer braucht wirklich einen? hilft bei der ersten Einordnung.

Wer Verantwortlichkeiten, Datenschutzgrundlagen und praktische Umsetzung systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Vor dem Start verbindlich abhaken

Ein KI-Chatbot auf Ihrer Website sollte erst live gehen, wenn Kennzeichnung, Datenschutzinformationen, Übergabewege und technische Einstellungen zusammenpassen. Prüfen Sie den Chat nicht nur einmalig. Änderungen am Modell, neue Funktionen wie Sprachchat oder Dokumentenuploads sowie neue Anbieterbedingungen können die Bewertung verändern.

Führen Sie deshalb mindestens regelmäßig einen kurzen Funktionscheck durch: Ist der KI-Hinweis sichtbar? Funktioniert die Übergabe? Werden sensible Daten abgefangen? Stimmen Löschfristen und Berechtigungen noch? Kann Ihr Team nachvollziehen, was der Bot gesagt hat? So wird aus einem attraktiven Website-Feature ein kontrollierbarer und rechtsbewusster Prozess.