Die Gratwanderung: Wie Chatbots Verträge rechtssicher gestalten können – und wo die Fallstricke lauern

Ein detaillierter Blick auf die komplexen rechtlichen Anforderungen für Chatbots, die verbindliche Vertragsauskünfte erteilen.

Der Einsatz von Chatbots, die in der Lage sind, verbindliche Auskünfte zu Verträgen zu erteilen oder sogar an Vertragsabschlüssen mitzuwirken, revolutioniert die Kundeninteraktion. Doch diese technologische Fortentwicklung bringt eine Fülle komplexer rechtlicher Anforderungen mit sich. Unternehmen müssen sich intensiv mit Aspekten wie Haftung, Datenschutz, Vertragsrecht und den neuen KI-Regulierungen auseinandersetzen, um Rechtskonformität sicherzustellen und Risiken zu minimieren. Die Nichteinhaltung kann nicht nur zu empfindlichen Strafen führen, sondern auch das Vertrauen der Nutzer nachhaltig beschädigen.

Wichtige Erkenntnisse auf einen Blick

Unternehmen tragen die volle Verantwortung: Für Aussagen eines Chatbots haftet grundsätzlich das einsetzende Unternehmen, ähnlich wie für menschliche Mitarbeiter. Irreführende oder falsche Auskünfte können zu Schadensersatzansprüchen führen.
Datenschutz (DSGVO) ist fundamental: Die Verarbeitung personenbezogener Daten durch Chatbots erfordert eine strikte Einhaltung der Datenschutz-Grundverordnung, insbesondere hinsichtlich Rechtsgrundlagen, Transparenz, Einwilligung und Datensicherheit.
Der EU AI Act wirft seinen Schatten voraus: Ab 2025 gelten neue, strenge Regeln für KI-Systeme, die auch Chatbots betreffen und zusätzliche Compliance-Pflichten für Unternehmen mit sich bringen.

Die rechtliche Verbindlichkeit von Chatbot-Aussagen

Ein zentraler Punkt ist die Frage, inwieweit Aussagen eines Chatbots rechtlich bindend sein können. Die vorherrschende Rechtsauffassung und erste Gerichtsentscheidungen deuten klar in eine Richtung: Unternehmen sind für die von ihren Chatbots getätigten Aussagen verantwortlich.

Wer haftet? Die Rolle des Unternehmens

Keine eigene Rechtspersönlichkeit des Chatbots

Chatbots sind keine eigenständigen Rechtssubjekte und können daher weder selbst Verträge schließen noch für ihre Aussagen haften. Die Verantwortung und somit auch die Haftung für die Kommunikation des Chatbots liegen immer beim Unternehmen, das den Chatbot betreibt und einsetzt. Die Inbetriebnahme des Chatbots wird als Handlungswille des Unternehmens interpretiert, rechtswirksame Erklärungen abzugeben, sofern dies so konzipiert ist.

Praxisbeispiel: Der Fall Air Canada

Ein viel zitiertes Urteil des Civil Resolution Tribunal of British Columbia machte dies deutlich: Air Canada wurde zur Zahlung einer Rückerstattung verurteilt, weil der Chatbot des Unternehmens einem Kunden irreführende Informationen über Tarifbedingungen für Hinterbliebene gegeben hatte. Das Gericht stellte fest, dass das Unternehmen für die Informationen auf all seinen Plattformen – auch denen, die durch KI-Agenten betrieben werden – verantwortlich ist. Deutsche Gerichte würden voraussichtlich in ähnlichen Fällen zu vergleichbaren Ergebnissen kommen.

Umgang mit Fehlinformationen und "Halluzinationen"

Moderne KI-Chatbots, insbesondere solche, die auf großen Sprachmodellen basieren, neigen manchmal zu "Halluzinationen" – also dem Generieren von plausibel klingenden, aber faktisch falschen Informationen. Erteilt ein Chatbot aufgrund einer solchen Halluzination eine falsche, aber verbindliche Auskunft zu einem Vertrag, kann dies erhebliche rechtliche Konsequenzen für das Unternehmen haben, bis hin zur Ungültigkeit von Verträgen oder Schadensersatzforderungen. Daher sind robuste Qualitätskontrollen und Mechanismen zur Verifizierung der Chatbot-Aussagen unerlässlich.

Symbolbild für automatisierte Rechtsdokumente und KI im Rechtswesen

Automatisierte Systeme wie Chatbots erfordern eine sorgfältige rechtliche Absicherung.

Vertragsrechtliche Aspekte im Detail

Wenn Chatbots im Kontext von Verträgen agieren, müssen zahlreiche vertragsrechtliche Bestimmungen beachtet werden, von der Anbahnung bis zum potenziellen Abschluss.

Vertragsanbahnung und -abschluss durch Chatbots

Die Rolle des Chatbots im Vertriebsprozess

Chatbots können effektiv in der Vertragsanbahnung eingesetzt werden (gemäß § 311 Abs. 2 BGB), indem sie Informationen bereitstellen, Kunden beraten und bei der Produktauswahl helfen. Ob ein Vertrag direkt über den Chatbot abgeschlossen werden kann, hängt von der Konzeption und dem erklärten Willen des Unternehmens ab. Oftmals wird der Chatbot für die Vorauswahl und Informationssammlung genutzt, während der eigentliche Vertragsabschluss dann über ein etabliertes Shopsystem erfolgt, um die Einhaltung aller rechtlichen Informationspflichten sicherzustellen.

Fernabsatzverträge und ihre Besonderheiten

Schließt ein Kunde einen Vertrag vollständig im Dialog mit einem Chatbot, handelt es sich in der Regel um einen Fernabsatzvertrag. Dies löst eine Reihe von verbraucherschützenden Informationspflichten gemäß Art. 246a EGBGB (Einführungsgesetz zum Bürgerlichen Gesetzbuche) aus. Dazu gehören klare Angaben zu den wesentlichen Eigenschaften der Ware oder Dienstleistung, der Identität des Unternehmers, dem Gesamtpreis, Zahlungs-, Liefer- und Leistungsbedingungen sowie zum Bestehen eines Widerrufsrechts.

Transparenz und Informationspflichten

Transparenz ist ein Kerngebot. Nutzer müssen klar erkennen können, dass sie mit einem automatisierten System und nicht mit einem Menschen kommunizieren. Zudem müssen alle relevanten Vertragsinformationen, einschließlich potenzieller Kosten, klar und unmissverständlich dargelegt werden, bevor der Nutzer eine vertragliche Bindung eingeht. Ihm muss auch die Möglichkeit gegeben werden, seine Eingaben vor Vertragsschluss zu überprüfen und zu korrigieren.

Das Widerrufsrecht im E-Commerce

Bei Fernabsatzverträgen steht Verbrauchern in der Regel ein Widerrufsrecht zu. Der Chatbot bzw. die Plattform muss den Nutzer korrekt über das Bestehen oder Nichtbestehen dieses Rechts, die Bedingungen, Fristen und das Verfahren für die Ausübung des Widerrufs belehren. Hierzu gehört auch die Bereitstellung eines Muster-Widerrufsformulars.

Datenschutz (DSGVO): Ein Muss für jeden Chatbot

Die Verarbeitung personenbezogener Daten ist bei Chatbots, die Vertragsauskünfte erteilen, quasi unumgänglich. Daher ist die strikte Einhaltung der Datenschutz-Grundverordnung (DSGVO) von höchster Priorität.

Der obige Radar-Chart visualisiert kritische Compliance-Bereiche für den Einsatz von Vertrags-Chatbots. "Notwendiger Fokus" zeigt das anzustrebende hohe Niveau der Einhaltung an, während "Typische Herausforderung" Bereiche darstellt, in denen Unternehmen oft Schwierigkeiten bei der vollständigen Umsetzung haben. Eine umfassende Strategie ist erforderlich, um in allen Dimensionen adäquat aufgestellt zu sein.

Grundprinzipien der DSGVO-Konformität

Rechtsgrundlage für die Datenverarbeitung

Jede Verarbeitung personenbezogener Daten durch den Chatbot bedarf einer gültigen Rechtsgrundlage gemäß Art. 6 DSGVO. Dies kann die Erfüllung oder Anbahnung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO) sein, wenn der Chatbot beispielsweise Vertragsdaten verarbeitet. Für andere Verarbeitungen, etwa für Marketingzwecke oder die Analyse des Nutzerverhaltens, ist oft eine explizite Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO) erforderlich.

Einwilligung des Nutzers

Die Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich erfolgen. Sie kann beispielsweise durch ein Opt-in-Verfahren vor Beginn des Chats oder direkt im Chatbot eingeholt werden, nachdem der Nutzer über die Datenverarbeitung aufgeklärt wurde.

Umfassende Informationspflichten

Gemäß Art. 13 und 14 DSGVO müssen Nutzer transparent und verständlich über die Verarbeitung ihrer Daten informiert werden. Dazu gehören Angaben zum Verantwortlichen, den Zwecken der Verarbeitung, den Rechtsgrundlagen, der Speicherdauer, den Empfängern der Daten und den Betroffenenrechten.

Datenminimierung und Zweckbindung

Es dürfen nur die personenbezogenen Daten erhoben und verarbeitet werden, die für den jeweiligen Zweck (z.B. Vertragsauskunft, -abschluss) unbedingt erforderlich sind (Datenminimierung). Die Daten dürfen auch nur für die festgelegten, eindeutigen und legitimen Zwecke verarbeitet werden (Zweckbindung).

Wahrung der Betroffenenrechte

Nutzer haben das Recht auf Auskunft, Berichtigung, Löschung ("Recht auf Vergessenwerden"), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Unternehmen müssen Prozesse implementieren, die es Nutzern ermöglichen, diese Rechte einfach auszuüben.

Auftragsverarbeitung

Wird der Chatbot von einem externen Dienstleister bereitgestellt, liegt in der Regel eine Auftragsverarbeitung vor. In diesem Fall ist ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwingend erforderlich. Werden Daten in Länder außerhalb der EU/des EWR übermittelt, sind zusätzlich die Anforderungen der Art. 44 ff. DSGVO (z.B. Angemessenheitsbeschlüsse, Standardvertragsklauseln) zu beachten.

Technische und Organisatorische Maßnahmen (TOMs)

Unternehmen müssen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ergreifen, um die Sicherheit der Datenverarbeitung zu gewährleisten. Dies umfasst Maßnahmen zur Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, beispielsweise durch Verschlüsselung und Zugriffskontrollen.

Besondere Kategorien personenbezogener Daten

Die Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten gemäß Art. 9 DSGVO) ist nur unter strengen Voraussetzungen zulässig, beispielsweise bei ausdrücklicher Einwilligung oder wenn der Chatbot speziell für solche Zwecke konzipiert ist (z.B. im Gesundheitssektor).

Der EU AI Act: Neue Regeln für Künstliche Intelligenz

Der EU AI Act, der schrittweise ab 2025 in Kraft tritt (für "General Purpose AI" ab August 2025), wird die regulatorische Landschaft für KI-Systeme, einschließlich fortschrittlicher Chatbots, maßgeblich verändern. Ziel ist es, Risiken im Zusammenhang mit KI-Anwendungen zu minimieren und Vertrauen in KI zu stärken.

Was bedeutet der AI Act für Vertrags-Chatbots?

Chatbots, die verbindliche Auskünfte erteilen oder Verträge abschließen, könnten je nach ihrer genauen Funktionsweise und ihrem Einsatzbereich als KI-Systeme mit bestimmten Risikostufen eingestuft werden. Für sogenannte Hochrisiko-KI-Systeme sieht der AI Act strenge Anforderungen vor, darunter:

Risikomanagementsysteme: Unternehmen müssen Risiken kontinuierlich identifizieren und bewerten.
Datenqualität: Hohe Anforderungen an die für das Training der KI verwendeten Datensätze.
Transparenz und Nachvollziehbarkeit: Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Die Funktionsweise muss nachvollziehbar sein.
Menschliche Aufsicht: Mechanismen zur menschlichen Überwachung und Kontrolle müssen implementiert sein.
Genauigkeit, Robustheit und Cybersicherheit: KI-Systeme müssen diesen Standards genügen.
Konformitätsbewertung und CE-Kennzeichnung: Für Hochrisiko-Systeme ist dies erforderlich.

Unternehmen sollten sich frühzeitig mit den Bestimmungen des EU AI Act auseinandersetzen, um ihre Chatbot-Lösungen entsprechend anzupassen und hohe Strafen bei Nichteinhaltung zu vermeiden.

mindmap root["Rechtliche Anforderungen für Vertrags-Chatbots"] id1["Haftung des Unternehmens"] id1a["Verantwortung für Chatbot-Aussagen"] id1b["Beispiel: Air Canada Fall (Irreführung)"] id1c["Keine eigene Rechtspersönlichkeit des Chatbots"] id1d["Risiko: KI-Halluzinationen"] id2["Vertragsrecht (BGB, EGBGB)"] id2a["Willenserklärung erfolgt durch Unternehmen"] id2b["Vertragsanbahnung (§ 311 Abs. 2 BGB)"] id2c["Vertragsabschluss (oft via Shop-System)
Fernabsatzvertrag"] id2d["Umfassende Informationspflichten (Art. 246a EGBGB)"] id2e["Widerrufsrecht für Verbraucher"] id2f["Transparenz über Kosten & Bedingungen"] id3["Datenschutz (DSGVO)"] id3a["Rechtsgrundlage (Art. 6 DSGVO)"] id3b["Einwilligung (Art. 7 DSGVO)"] id3c["Informationspflichten (Art. 13, 14 DSGVO)"] id3d["Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)"] id3e["Betroffenenrechte (Art. 15-22 DSGVO)"] id3f["Auftragsverarbeitung (Art. 28 DSGVO)"] id3g["TOMs (Art. 32 DSGVO)"] id3h["Besondere Kategorien (Art. 9 DSGVO)"] id4["EU AI Act (ab 2025)"] id4a["Regulierung für General Purpose AI (GPAI)"] id4b["Risikobasierter Ansatz (ggf. Hochrisiko-KI)"] id4c["Transparenz- & Dokumentationspflichten"] id4d["Konformitätsbewertung"] id5["Verbraucherschutz"] id5a["Transparenz über Identität des Anbieters"] id5b["Keine irreführenden Praktiken"] id5c["Klare Kommunikation der Chatbot-Funktion"]

Die obige Mindmap fasst die Kernbereiche der rechtlichen Anforderungen zusammen, die beim Einsatz von Chatbots für verbindliche Vertragsauskünfte zu berücksichtigen sind. Sie verdeutlicht die Verflechtung von Haftungsfragen, vertragsrechtlichen Grundlagen, strengen Datenschutzvorgaben und den neuen Herausforderungen durch den EU AI Act.

Relevante DSGVO-Anforderungen im Überblick

Die Einhaltung der Datenschutz-Grundverordnung ist für den rechtssicheren Betrieb von Chatbots unerlässlich. Die folgende Tabelle fasst einige der wichtigsten Anforderungen zusammen:

Anforderung	Beschreibung	Artikel (DSGVO)
Rechtsgrundlage	Jede Datenverarbeitung durch den Chatbot benötigt eine gültige Rechtsgrundlage (z.B. Vertragserfüllung, Einwilligung).	Art. 6
Informationspflichten	Nutzer müssen bei Datenerhebung umfassend über Art, Umfang und Zweck der Verarbeitung informiert werden.	Art. 13, 14
Einwilligung	Sofern erforderlich, muss die Einwilligung freiwillig, informiert, spezifisch und unmissverständlich sein.	Art. 7, Art. 6 Abs. 1 lit. a
Datenminimierung	Es dürfen nur die für den jeweiligen Verarbeitungszweck absolut notwendigen personenbezogenen Daten erhoben werden.	Art. 5 Abs. 1 lit. c
Betroffenenrechte	Nutzer haben u.a. das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch bezüglich ihrer Daten.	Art. 15-22
Auftragsverarbeitung	Bei Einsatz externer Chatbot-Dienstleister ist ein Vertrag zur Auftragsverarbeitung (AVV) erforderlich.	Art. 28
Technische und Organisatorische Maßnahmen (TOMs)	Unternehmen müssen geeignete Maßnahmen zur Gewährleistung der Datensicherheit (Vertraulichkeit, Integrität, Verfügbarkeit) treffen.	Art. 32

Webinar-Einblick: Chatfunktionen und rechtliche Rahmenbedingungen

Das folgende Video bietet weitere Einblicke in die rechtlichen Aspekte von Chatfunktionen auf Webseiten, insbesondere im Hinblick auf Datenschutz, den Einsatz von Künstlicher Intelligenz und vertragliche Implikationen. Es beleuchtet, welche Anforderungen sich beispielsweise an einen Vertragsschluss über Chats stellen und wie Datenschutzaspekte dabei berücksichtigt werden müssen.

Video: Chat Funktionen auf Websites – Datenschutz, AI und Verträge

Das Video diskutiert die rechtlichen Fragen, die sich beim Einsatz von Chat-Funktionen ergeben, und ist daher eine nützliche Ergänzung für Unternehmen, die Chatbots für Vertragsauskünfte oder -abschlüsse nutzen möchten. Es werden die Herausforderungen und Lösungsansätze im Kontext von Datenschutz und KI-gestützten Vertragsinteraktionen erörtert.

Praktische Empfehlungen für Unternehmen

Um Chatbots rechtssicher für verbindliche Vertragsauskünfte einzusetzen, sollten Unternehmen folgende praktische Schritte berücksichtigen:

Klare Definition des Einsatzbereichs: Legen Sie genau fest, ob der Chatbot nur informieren, beraten oder auch verbindliche Erklärungen abgeben bzw. Verträge abschließen soll.
Sorgfältige Programmierung und Training: Stellen Sie sicher, dass der Chatbot auf korrekten, aktuellen Informationen basiert und Mechanismen zur Vermeidung von Fehlinformationen implementiert sind.
Transparente Kommunikation: Informieren Sie Nutzer klar darüber, dass sie mit einem Chatbot interagieren und welche Fähigkeiten und Grenzen dieser hat. Machen Sie deutlich, wann eine Aussage verbindlich ist.
Einholung notwendiger Einwilligungen: Implementieren Sie DSGVO-konforme Prozesse zur Einholung von Einwilligungen für die Datenverarbeitung.
Datenschutzerklärung anpassen: Die Datenschutzerklärung muss die spezifische Datenverarbeitung durch den Chatbot abdecken.
Abschluss von Auftragsverarbeitungsverträgen: Bei Nutzung externer Anbieter sind AVVs unerlässlich.
Implementierung von TOMs: Sorgen Sie für angemessene Datensicherheitsmaßnahmen.
Eskalationspfade zu menschlichen Mitarbeitern: Bieten Sie Nutzern bei komplexen Anfragen oder Problemen eine einfache Möglichkeit, zu einem menschlichen Ansprechpartner zu wechseln.
Regelmäßige rechtliche und technische Überprüfung: Lassen Sie Ihr Chatbot-System regelmäßig von Experten auf Rechtskonformität und technische Sicherheit prüfen.
Dokumentation: Protokollieren Sie Chatbot-Interaktionen, um im Streitfall Nachweise erbringen zu können (unter Beachtung der DSGVO).
Vorbereitung auf den EU AI Act: Analysieren Sie frühzeitig die Auswirkungen des AI Acts auf Ihre Chatbot-Anwendungen.

Häufig gestellte Fragen (FAQ)

Haftet mein Unternehmen für Falschauskünfte des Chatbots zu Verträgen?

Ja, grundsätzlich haftet Ihr Unternehmen für die vom Chatbot getätigten Aussagen, so als wären sie von einem menschlichen Mitarbeiter gemacht worden. Falsche oder irreführende verbindliche Auskünfte können zu Schadensersatzansprüchen oder anderen rechtlichen Nachteilen führen.

Benötige ich immer eine Einwilligung des Nutzers nach DSGVO für den Einsatz eines Vertrags-Chatbots?

Nicht zwingend für jede Datenverarbeitung. Wenn die Verarbeitung personenbezogener Daten zur Anbahnung oder Erfüllung eines Vertrages mit dem Nutzer erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO), kann dies die Rechtsgrundlage sein. Für darüberhinausgehende Verarbeitungen (z.B. personalisierte Werbung basierend auf Chat-Inhalten) ist jedoch in der Regel eine explizite Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) notwendig. Eine klare Information über die Datenverarbeitung ist in jedem Fall Pflicht.

Kann ein Chatbot selbstständig einen rechtsgültigen Vertrag abschließen?

Ein Chatbot selbst hat keine Rechtspersönlichkeit. Jedoch können Erklärungen, die ein Chatbot abgibt, dem Unternehmen zugerechnet werden, wenn das Unternehmen den Chatbot so konzipiert und eingesetzt hat, dass er im Namen des Unternehmens rechtsgeschäftliche Erklärungen abgeben soll (sog. "Computererklärung"). Es ist entscheidend, dass das Unternehmen den Willen hat, sich durch die Chatbot-Aussagen rechtlich zu binden und alle gesetzlichen Anforderungen (z.B. Informationspflichten bei Fernabsatzverträgen) erfüllt sind.

Was ändert sich durch den EU AI Act für Chatbots, die Vertragsauskünfte erteilen?

Der EU AI Act führt einen risikobasierten Regulierungsansatz für KI-Systeme ein. Chatbots, insbesondere solche, die in sensiblen Bereichen wie Vertragsabschlüssen eingesetzt werden oder komplexe Entscheidungen treffen, könnten unter bestimmte Risikokategorien fallen. Dies kann bedeuten, dass sie strengere Anforderungen an Transparenz, Datenqualität, Risikomanagement, menschliche Aufsicht und Konformitätsbewertung erfüllen müssen. Unternehmen müssen ihre Chatbot-Systeme evaluieren und gegebenenfalls an die neuen Vorgaben anpassen.

Fazit

Der Einsatz von Chatbots, die verbindliche Auskünfte zu Verträgen erteilen, bietet enorme Potenziale für Effizienz und Kundenservice. Gleichzeitig sind die rechtlichen Hürden nicht zu unterschätzen. Eine sorgfältige Auseinandersetzung mit Haftungsfragen, dem Vertragsrecht, den strengen Vorgaben der DSGVO und den zukünftigen Anforderungen des EU AI Act ist unerlässlich. Unternehmen, die diese Komplexität meistern und ihre Chatbot-Lösungen rechtskonform gestalten, können nicht nur Risiken minimieren, sondern auch das Vertrauen ihrer Kunden stärken und sich einen Wettbewerbsvorteil sichern. Die kontinuierliche Überwachung der Rechtslage und die Anpassung der Systeme an neue Entwicklungen bleiben dabei eine Daueraufgabe.