158.000 Euro für Character.AI: fünf Chatbot-Pflichten, die auch für Ihren Kundenservice-Bot gelten
Die italienische Datenschutzbehörde hat einen KI-Chatbot-Anbieter ohne EU-Sitz sanktioniert. Die Summe ist klein, die Liste der Versäumnisse ist die eigentliche Lehre: Datenschutzhinweis, EU-Vertreter, Folgenabschätzung, Altersprüfung, Verantwortliche.
Am 3. Juli 2026 hat die italienische Datenschutzbehörde Garante gegen Character Technologies Inc., den Betreiber von Character.AI, ein Bußgeld von 158.000 Euro verhängt. Veröffentlicht wurde die Entscheidung am 9. Juli. Die Summe ist für ein US-Unternehmen Portokasse. Die Begründung nicht, denn sie liest sich wie eine Checkliste für jeden, der einen Chatbot betreibt.
Was die Behörde beanstandet hat
Fünf Punkte, in dieser Reihenfolge:
- Unzureichende Datenschutzinformation. Nutzer wussten nicht, was mit ihren Chats passiert.
- Kein Vertreter in der EU. Wer ohne EU-Niederlassung Dienste an EU-Nutzer richtet, braucht nach Art. 27 DSGVO einen benannten Vertreter.
- Keine Datenschutz-Folgenabschätzung. Ein Chatbot, der intime Gespräche speichert, ist ein klassischer DSFA-Fall.
- Unzureichender Schutz Minderjähriger. Die Altersprüfung war lückenhaft, gesperrte Jugendliche konnten sich sofort neu anmelden.
- Fehlende interne Verantwortlichkeit. Die Strukturen, wer für Datenschutz zuständig ist, waren nicht belastbar.
Dazu kommen Auflagen: funktionierende Altersprüfung, Sperrfristen nach einer Ablehnung, Profile von Minderjährigen standardmäßig privat, Bericht an die Behörde binnen 120 Tagen.
Warum das Sie betrifft, auch ohne Teenager-Zielgruppe
Die meisten Mittelständler betreiben keinen Begleiter-Chatbot. Aber einen Kundenservice-Bot auf der Website, einen Telefon-Assistenten oder einen internen Wissens-Bot haben inzwischen viele. Und vier der fünf Punkte gelten dort genauso.
Datenschutzinformation. Ihr Bot verarbeitet personenbezogene Daten, sobald jemand seinen Namen oder seine Bestellnummer eintippt. Die Datenschutzerklärung muss den Bot nennen, den Anbieter dahinter, den Speicherort und die Löschfrist. Ein Satz „wir nutzen KI" reicht nicht.
Folgenabschätzung. Nicht jeder Bot braucht eine DSFA. Aber wenn er Gesundheitsdaten, Finanzdaten oder Beschwerden verarbeitet, oder wenn er Gespräche zum Training weitergibt, ist die Schwelle schnell erreicht. Die Prüfung, ob eine nötig ist, muss dokumentiert sein.
Vertreter und Verantwortliche. Sie sitzen in Deutschland, der Punkt mit dem EU-Vertreter trifft nicht Sie, sondern Ihren Anbieter. Fragen Sie ihn danach. Ein US-Anbieter ohne EU-Vertreter und ohne Auftragsverarbeitungsvertrag ist ein Risiko, das Sie mit einkaufen.
Minderjährige. Wer B2C verkauft, hat Minderjährige unter den Nutzern, ob gewollt oder nicht. Ein Hinweis und eine Eingabesperre für offensichtlich sensible Themen sind der Mindeststandard.
Der fünfte Punkt: ab 2. August kommt der AI Act dazu
Die Garante hat nach DSGVO entschieden. Ab dem 2. August 2026 gilt zusätzlich Art. 50 des EU AI Act: Jeder Chatbot muss sich als KI zu erkennen geben, klar und beim ersten Kontakt. Das ist keine Datenschutzpflicht, sondern eine Transparenzpflicht, aber die Prüfer sind oft dieselben. Die Bußgeldobergrenze dort liegt bei 15 Millionen Euro oder 3 Prozent des Umsatzes.
Die Checkliste in einer Minute
- Bot in der Datenschutzerklärung benannt, mit Anbieter, Speicherort, Löschfrist?
- AVV mit dem Anbieter, inklusive Ausschluss von Trainingsnutzung?
- DSFA-Prüfung dokumentiert, bei sensiblen Themen DSFA gemacht?
- KI-Hinweis beim Gesprächsstart?
- Eskalation zum Menschen, wenn es heikel wird?
Kurz gesagt: Character.AI wurde nicht wegen der KI bestraft, sondern wegen der Hausaufgaben drumherum. Die sind bei einem Kundenservice-Bot dieselben, und sie kosten einen Nachmittag, nicht ein Projekt.
Wie ein Kundenservice-Bot mit Wissensbasis und Eskalation sauber aufgesetzt wird, steht in unserem Praxis-Artikel Kundenservice-Chatbot im Mittelstand richtig aufsetzen.