Ratgeber

KI-Agenten im Kundenservice: die Rechtslage in Deutschland

Was gilt, wenn ein Unternehmen in Deutschland einen KI-Agenten im Kundenkontakt einsetzt: Transparenzpflicht nach Art. 50 KI-Verordnung, KI-MIG und Bundesnetzagentur, DSGVO mit AVV und Datenschutz-Folgenabschätzung, Datentransfer in die USA, Betriebsrat und TDDDG. Mit Links zu den amtlichen Texten.

Von dem Team von ai-agents.reviewsVeröffentlicht 18. September 2026Aktualisiert 18. September 2026Preise und Zahlen geprüft 18. September 2026
Allgemeine Information, keine Rechtsberatung. Wir verlinken amtliche Quellen und nennen den Stand zum Prüfdatum dieser Seite. Klären Sie Ihre Pflichten mit Ihrer Rechtsberatung und Ihrem Datenschutzbeauftragten.

Das Wichtigste in Kürze

  • Die KI muss sich zu erkennen geben. Art. 50 der KI-Verordnung gilt seit dem 2. August 2026; der AI-Omnibus hat das nicht verschoben.
  • Service-Chatbots gelten als Transparenzrisiko, nicht als Hochrisiko-KI – solange sie keine folgenreichen Entscheidungen treffen.
  • Ohne AVV geht es nicht; eine Datenschutz-Folgenabschätzung ist häufig erforderlich.
  • US-Transfer: Das Data Privacy Framework gilt, ein Rechtsmittel dagegen ist aber beim EuGH anhängig. Halten Sie Standardvertragsklauseln bereit.
  • Betriebsrat früh einbinden und das Chat-Widget nach § 25 TDDDG prüfen.

Transparenzpflicht nach Art. 50 der KI-Verordnung

KI-Systeme, die direkt mit Menschen interagieren – Chatbots, Sprachassistenten, KI-Agenten –, müssen nach Art. 50 Abs. 1 der KI-Verordnung so gestaltet sein, dass Menschen erfahren, dass sie es mit einer KI zu tun haben, sofern das nicht offensichtlich ist. Die Pflicht gilt seit dem 2. August 2026. Der AI-Omnibus (in Kraft seit 27. Juli 2026) hat die Hochrisiko-Regeln verschoben, Art. 50 aber nicht; laut den FAQ der Kommission gibt es für den Chatbot-Hinweis keine Übergangsfrist. Die amtliche Fundstelle der Omnibus-Verordnung konnten wir nicht abrufen; das Inkrafttreten belegen Kommission und Bundesnetzagentur.

Rechtlich trifft die Pflicht den Anbieter des Systems, nicht das Unternehmen, das den Bot einsetzt (den Betreiber). Prüfen Sie trotzdem, ob der Hinweis eingeschaltet ist und Ihre Konfiguration ihn nicht aushebelt. Nicht verifizieren konnten wir, wie die Leitlinien der Kommission Käufer behandeln, die einen Bot unter eigener Marke betreiben oder wesentlich verändern.

Der Hinweis muss klar erkennbar sein und spätestens bei der ersten Interaktion erfolgen. Nach der Zusammenfassung der Bundesnetzagentur genügen reine AGB-Klauseln, rein technische Angaben oder unsichtbare Markierungen nicht. Verstöße können nach Art. 99 Abs. 4 mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist.

Einstufung: Transparenzrisiko statt Hochrisiko

Die Kommission ordnet Chatbots der Stufe „Transparenzrisiko“ zu: Die zentrale Pflicht ist die Offenlegung, nicht das Hochrisiko-Regime. Trifft der Bot dagegen folgenreiche Entscheidungen, etwa über Kredite oder Beschäftigung, kommt ein Hochrisiko-Anwendungsfall nach Anhang III in Betracht.

Aufsicht in Deutschland: KI-MIG und Bundesnetzagentur

Das deutsche Durchführungsgesetz, das KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz) vom 22. Juli 2026, gilt seit dem 29. Juli 2026. Es macht die Bundesnetzagentur zur grundsätzlich zuständigen Marktüberwachungsbehörde; für ihre Sektoren sind Fachbehörden wie die BaFin zuständig. Dort sind auch eine Beschwerdestelle und eine unabhängige KI-Marktüberwachungskammer angesiedelt.

DSGVO: Entscheidungen, AVV, Information, Folgenabschätzung

Trifft der Agent selbst Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (etwa die Ablehnung einer Erstattung), greift Art. 22 DSGVO: Der Kunde muss das Eingreifen eines Menschen verlangen, seinen Standpunkt darlegen und die Entscheidung anfechten können. Die Datenschutzkonferenz (DSK) betont in ihrer Orientierungshilfe „KI und Datenschutz“, dass Entscheidungen mit Rechtswirkung grundsätzlich Menschen treffen müssen und eine bloß formale Beteiligung nicht genügt.

Verarbeitet der Anbieter Kundengespräche in Ihrem Auftrag, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 zwingend, einschließlich Regeln für Unterauftragsverarbeiter; laut DSK liegt bei externen KI-Anwendungen häufig eine Auftragsverarbeitung vor.

Die Datenschutzhinweise am Chat- oder Telefonkanal müssen Art. 13 und 14 abdecken, bei automatisierten Entscheidungen auch die involvierte Logik und die Folgen. Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 ist bei voraussichtlich hohem Risiko Pflicht; KI-Agenten, die Kundendaten in großem Umfang oder sensible Daten verarbeiten, erfüllen das häufig. Die DSK empfiehlt für jede KI-Anwendung eine dokumentierte Vorprüfung. BDSG-Sonderregeln und chatbotspezifische Hinweise der BfDI haben wir nicht recherchiert.

Datentransfer in die USA

An US-Unternehmen mit Zertifizierung nach dem EU-US Data Privacy Framework (DPF) dürfen personenbezogene Daten ohne zusätzliche Garantien fließen. Das Gericht der EU hat den Angemessenheitsbeschluss am 3. September 2025 bestätigt; das Rechtsmittel vom 31. Oktober 2025 ist beim EuGH anhängig, der beide Vorgängerregelungen gekippt hat. Einen Verhandlungstermin haben wir nicht gefunden und den Verfahrensstand nicht beim Gerichtshof selbst geprüft. Prüfen Sie die DPF-Zertifizierung Ihres Anbieters und halten Sie Standardvertragsklauseln (SCC) als Rückfallebene bereit.

Betriebsrat

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei technischen Einrichtungen mit, die Verhalten oder Leistung der Arbeitnehmer überwachen sollen. Eine Plattform, die Bearbeitung, Übergaben oder Produktivität menschlicher Agenten protokolliert oder bewertet, fällt typischerweise darunter; meist braucht es vor dem Livegang eine Betriebsvereinbarung. § 90 BetrVG verlangt, den Betriebsrat rechtzeitig über geplante Arbeitsabläufe einschließlich des KI-Einsatzes zu unterrichten. Muss er KI beurteilen, gilt nach § 80 Abs. 3 BetrVG die Hinzuziehung eines Sachverständigen als erforderlich – auf Kosten des Arbeitgebers.

Chat-Widgets und das TDDDG

Speichert ein Chat-Widget Informationen auf dem Endgerät oder liest es sie aus – Cookies, Local Storage –, braucht es nach § 25 TDDDG eine Einwilligung, es sei denn, der Zugriff ist unbedingt erforderlich für einen vom Nutzer ausdrücklich gewünschten digitalen Dienst. Ein Widget, das schon vor dem Öffnen des Chats Kennungen setzt oder Tracker mitbringt, passt schwerer unter die Ausnahme.

Checkliste vor dem Livegang

  1. Der Agent gibt sich gleich zu Beginn als KI zu erkennen – in der Oberfläche selbst, nicht in den AGB.
  2. Kunden erreichen jederzeit einen Menschen; der Weg dorthin ist klar erkennbar.
  3. Die DSFA ist abgeschlossen, mindestens aber die Vorprüfung dokumentiert.
  4. Der AVV ist unterzeichnet; Unterauftragsverarbeiter und Transfermechanismus (DPF oder SCC) sind geprüft.
  5. Erhebliche Entscheidungen trifft der Agent nicht allein; menschliche Prüfung und Anfechtung sind eingebaut.
  6. Der Betriebsrat ist eingebunden; eine Betriebsvereinbarung oder interne KI-Richtlinie liegt vor.
  7. Das Consent-Management deckt die Speicherzugriffe des Widgets ab, und die Aktionen des Agenten werden protokolliert.

Weiterlesen

Diese Seite wurde mit KI-Unterstützung anhand der hier aufgeführten Quellen recherchiert und entworfen. Praxistests dieser Produkte haben wir nicht durchgeführt. Methode: So bewerten wir