KI im Kundenservice: Wann muss ein Mensch übernehmen?

Das Wichtigste in Kürze: Ein allgemeines Recht auf einen menschlichen Ansprechpartner gibt es in Deutschland nicht, ein KI-Agent darf Kundenanfragen allein beantworten. Einen Menschen verlangt das Gesetz an bestimmten Stellen: bei Entscheidungen, die allein die Maschine trifft und die rechtliche oder ähnlich erhebliche Wirkung haben (Artikel 22 DSGVO), seit dem 19. Juni 2026 bei Finanzverträgen mit Verbrauchern, die ohne persönliches Treffen geschlossen werden (Fernabsatz), wenn das Unternehmen dabei Chatbots oder andere Online-Tools einsetzt, und ab dem 20. November 2026 bei automatisierten Vertragsentscheidungen auf Grundlage von Scorewerten und bei der Kreditwürdigkeitsprüfung mit automatisierter Verarbeitung für Verbraucherkredite außer Immobilienkrediten (§ 37a und § 30 Absatz 6 BDSG). Was der Bot sagt, gilt als Ihre eigene Aussage: Das OLG Hamm hat ein Unternehmen am 12. Mai 2026 wegen erfundener Facharzttitel seines Chatbots zur Unterlassung verurteilt, das Urteil ist inzwischen rechtskräftig (4 UKl 3/25). Und was Kunden dem Bot schreiben, etwa einen Widerruf, kann wirksam sein, auch wenn es niemand liest; der Bot sollte solche Erklärungen deshalb erkennen und an einen Menschen weitergeben.

Wer Kundenanfragen von einem Chatbot, einem Telefonassistenten oder einem WhatsApp-Agenten beantworten lässt, stellt früher oder später die Frage, ob dahinter noch ein Mensch erreichbar sein muss. Die Kunden haben dazu eine klare Meinung: In einer Umfrage von Gartner unter 5.728 Kunden vom Dezember 2023 wünschten sich 64 Prozent, dass Unternehmen im Kundenservice keine KI einsetzen, und 53 Prozent würden einen Wechsel zum Wettbewerber erwägen, wenn ein Unternehmen KI im Kundenservice einführen will. Die größte Sorge war, schwerer zu einem Menschen durchzukommen (Pressemitteilung vom 9. Juli 2024).

Rechtlich ist die Lage kleinteiliger, als die Debatte vermuten lässt: Es gibt keine allgemeine Pflicht, aber eine Reihe einzelner Stellen, an denen der Mensch Pflicht wird, und zwei davon kommen am 20. November 2026 hinzu. Dieser Beitrag ordnet sie nach drei Fragen: Wann muss ein Mensch entscheiden, wofür haften Sie, wenn der Bot allein spricht, und was gilt für Erklärungen, die Kunden dem Bot schicken? Welche Datenschutzpflichten sonst für einen KI-Agenten im Kundenservice gelten, von der Auftragsverarbeitung bis zur Folgenabschätzung, steht in der Pflichtentabelle der Übersicht der KI-Agenten-Typen. Zur Einordnung: ArkeonTech ist selbst Anbieter von KI-Chatbots und Telefonassistenten.

Gibt es ein Recht auf einen menschlichen Ansprechpartner?

Nein, nicht allgemein. Nach Auskunft der Verbraucherzentrale Nordrhein-Westfalen haben Kunden keinen gesetzlichen Anspruch auf eine Beratung per Telefon oder auf einen menschlichen Ansprechpartner (t-online, 26. August 2026). Einen Menschen können Kunden nur dort verlangen, wo ein Gesetz das ausdrücklich vorsieht; die Tabelle zeigt die wichtigsten dieser Stellen für Deutschland, dazu eine geplante EU-Regel.

Nicht in der Tabelle steht der AI Act. Er verlangt von Chatbots und Telefonassistenten seit dem 2. August 2026, dass sie sich als KI zu erkennen geben (Artikel 50), aber keinen Menschen dahinter. Menschliche Aufsicht schreibt er nur für Hochrisiko-Systeme vor (Artikel 14 und Artikel 26 Absatz 2). Dazu gehört ein Kundenservice-Bot in der Regel nicht, wohl aber ein System, das die Kreditwürdigkeit natürlicher Personen prüft, mit Pflichten ab dem 2. Dezember 2027 (Anhang III Nummer 5 Buchstabe b).

Wann muss nach der DSGVO ein Mensch entscheiden?

Wenn der Bot selbst eine Entscheidung trifft, die für den Kunden rechtliche Wirkung hat oder ihn ähnlich erheblich beeinträchtigt, und kein Mensch sie inhaltlich prüft. Das verbietet Artikel 22 DSGVO grundsätzlich. Erlaubt ist es nur, wenn die Entscheidung für den Vertrag erforderlich ist, ein Gesetz sie zulässt oder der Kunde ausdrücklich eingewilligt hat.

Die meisten Antworten im Kundenservice sind keine Entscheidung in diesem Sinn: Öffnungszeiten, Lieferstand, eine Frage zum Produkt. Anders liegt es, wenn der Agent selbst einen Antrag ablehnt, etwa auf Ratenzahlung, oder einen Vertrag kündigt. Greift eine der Ausnahmen für Vertrag oder Einwilligung, muss das Unternehmen nach Artikel 22 Absatz 3 mindestens drei Dinge ermöglichen: dass eine Person eingreift, dass der Kunde seinen Standpunkt darlegt und dass er die Entscheidung anficht. Praktisch heißt das: Es braucht einen Weg, auf dem ein Mensch die Entscheidung des Bots überprüft, und der Kunde muss ihn finden. Nach Artikel 12 Absatz 2 muss das Unternehmen die Ausübung dieser Rechte zudem erleichtern.

Wie weit der Begriff reicht, hat der Europäische Gerichtshof am 7. Dezember 2023 im SCHUFA-Urteil gezeigt (C-634/21): Schon der automatisch erstellte Scorewert einer Auskunftei ist eine automatisierte Entscheidung, wenn von ihm maßgeblich abhängt, ob ein anderes Unternehmen einen Vertrag mit der Person schließt, durchführt oder beendet. Der Gesetzgeber hat darauf reagiert: Ab dem 20. November 2026 ersetzt § 37a BDSG den bisherigen Scoring-Paragrafen (BGBl. 2026 I Nr. 139). Er ist zugleich das Gesetz, das automatisierte Entscheidungen auf Grundlage solcher Scorewerte unter seinen Bedingungen erlaubt (Artikel 22 Absatz 2 Buchstabe b DSGVO). Scorewerte über das künftige Verhalten einer Person, die der Entscheidung über einen Vertrag mit ihr dienen, dürfen dann nur erstellt oder verwendet werden, wenn in ihre Berechnung weder besondere Kategorien von Daten wie Gesundheitsdaten noch Alter, Geschlecht, Name, Daten aus sozialen Netzwerken, Kontobewegungen oder Anschriften eingeflossen sind, keine Minderjährigen bewertet werden und ein wissenschaftlich anerkanntes mathematisch-statistisches Verfahren belegt, dass die genutzten Daten für die Vorhersage erheblich sind; die Werte dürfen zudem für keine anderen Zwecke genutzt werden (§ 37a Absatz 2). Wer Scorewerte erstellt, muss auf Antrag die genutzten Daten und Kriterien, ihre Gewichtung, die Aussagekraft des Werts und die erstellten Werte samt Empfängern mitteilen (Absatz 4). Gegen eine automatisierte Entscheidung, die auf einem solchen Wert beruht, hat der Kunde das Recht auf Anfechtung, auf Darlegung seines Standpunkts und auf die Entscheidung durch einen Menschen (Absatz 5).

Betroffen ist, wer Scorewerte selbst erstellt oder für eigene Vertragsentscheidungen verwendet, etwa mit einem eigenen Modell, das Zahlungsausfälle vorhersagt und darüber entscheidet, wer auf Rechnung kaufen darf. Für ein solches Modell muss sich dann auch belegen lassen, dass die genutzten Daten nach einem anerkannten statistischen Verfahren für die Vorhersage erheblich sind. Wer einen Bot solche Entscheidungen treffen lässt, braucht den Weg zum Menschen in jedem Fall: nach Artikel 22 DSGVO und ab dem 20. November auch nach § 37a BDSG.

Was gilt bei Finanzverträgen, die über einen Chatbot laufen?

Seit dem 19. Juni 2026 können Verbraucher menschliches Eingreifen verlangen, wenn ein Unternehmen bei Finanzverträgen im Fernabsatz Online-Tools wie Chatbots einsetzt: vor Vertragsschluss auf Verlangen, danach in begründeten Fällen (Artikel 246b § 3 Absatz 3 EGBGB). Die Regel setzt die EU-Richtlinie 2023/2673 um, die alle EU-Staaten seit diesem Tag anwenden müssen.

Gemeint sind Finanzverträge wie Konten, Kredite, Geldanlagen oder Zahlungsdienste, die ohne gleichzeitige Anwesenheit geschlossen werden, etwa online, per Telefon oder per Messenger. Die Begründung der Richtlinie nennt vollständig automatisierte Online-Tools wie Chatbots, Robo-Advice und interaktive Tools ausdrücklich: Vor Vertragsschluss soll der Verbraucher während der Geschäftszeiten stets kostenfrei einen Menschen erreichen können, nach Vertragsschluss in begründeten Fällen, soweit das den Unternehmer nicht übermäßig belastet, etwa wenn ein Vertrag verlängert wird, der Verbraucher in erhebliche Schwierigkeiten gerät oder weitere Erläuterungen zu den Vertragsbedingungen braucht (Erwägungsgrund 40). Dasselbe Gesetz vom 3. Februar 2026 (BGBl. 2026 I Nr. 28) hat zum 19. Juni 2026 eine zweite Pflicht für alle eingeführt, die mit Verbrauchern über eine Website oder App Verträge mit Widerrufsrecht schließen: die elektronische Widerrufsfunktion, dazu weiter unten mehr.

Für Kredite kommt ab dem 20. November 2026 § 30 Absatz 6 BDSG hinzu; er setzt Artikel 18 Absatz 8 der EU-Verbraucherkreditrichtlinie 2023/2225 um. Beinhaltet die Kreditwürdigkeitsprüfung bei einem Allgemein-Verbraucherdarlehen, also einem Verbraucherkredit, der kein Immobilienkredit ist, eine automatisierte Verarbeitung, kann der Darlehensnehmer das Eingreifen einer Person verlangen. Dazu gehören eine klare und verständliche Erläuterung der Prüfung samt Logik und Risiken der automatisierten Verarbeitung, die Darlegung des eigenen Standpunkts und die Überprüfung der Entscheidung, und der Darlehensgeber muss ihn über diese Rechte unterrichten. Anders als bei Artikel 22 DSGVO kommt es dabei nicht darauf an, ob am Ende allein die Maschine entscheidet; rein verfahrenstechnische automatisierte Schritte, die von der Prüfung unabhängig sind, lösen das Recht aber nicht aus (Gesetzesbegründung, Drucksache 21/1851). Nach Absatz 9 gilt das auch für Anbieter und Vermittler entsprechender Finanzierungshilfen wie Ratenzahlung oder Zahlungsaufschub, etwa für Händler, die selbst Ratenzahlung anbieten, ab dem 20. November 2026 auch ohne Zinsen und Gebühren. Ausgenommen sind unter anderem kostenlose Zahlungsfristen von höchstens 50 Tagen, die ein Händler selbst einräumt, wenn bei Zahlungsverzug nur begrenzte Kosten anfallen können; bei großen Online-Anbietern gilt das nur bis 14 Tage und nur, wenn kein Dritter die Forderung erwirbt (§ 506 Absatz 1 BGB in der Fassung ab dem 20. November 2026).

Für Zahlungsdienste ist ein drittes Recht absehbar. Nach der Mitteilung des Europäischen Parlaments zur vorläufigen Einigung über die EU-Zahlungsdiensteverordnung (PSR) vom November 2025 sollen Nutzer Zugang zu einem menschlichen Kundendienst haben, nicht nur zu Chatbots. Verabschiedet ist die Verordnung noch nicht; das Europäische Parlament führt sie als kurz vor der Annahme (Stand 20. September 2026).

Wer haftet, wenn der Chatbot etwas Falsches sagt?

Das Unternehmen, das ihn einsetzt. Das OLG Hamm hat am 12. Mai 2026 entschieden, dass die Antworten eines KI-Chatbots geschäftliche Handlungen seines Betreibers sind; der Bot ist kein Dritter, und auf die Black Box kann sich der Betreiber nicht berufen (4 UKl 3/25). Das Gericht hatte die Revision zum Bundesgerichtshof zugelassen; laut der Rechtsprechungsdatenbank NRWE ist das Urteil inzwischen rechtskräftig.

Der Fall: Der Chatbot auf der Website einer Anbieterin von Schönheitsbehandlungen, über den Patienten auch Termine buchen konnten, bezeichnete die beiden ärztlichen Geschäftsführer auf Nachfrage als "Fachärzte für plastische und ästhetische Chirurgie", als "Fachärzte für ästhetische Medizin" und als "Fachärzte für ästhetische Behandlungen". Den ersten Titel hatten sie nicht erworben, die beiden anderen gibt es nicht. Die Verbraucherzentrale NRW mahnte ab und klagte auf Unterlassung, gestützt auf das Verbot irreführender Angaben über die Befähigung des Unternehmers (§ 5 Absatz 1 und Absatz 2 Nummer 3 UWG).

Das Unternehmen wandte ein, der Bot arbeite autonom auf Grundlage statistischer Wahrscheinlichkeiten, und er sei nur mit den korrekten Texten der eigenen Website trainiert worden. Das Gericht ließ das nicht gelten: Der Betreiber lege den Tätigkeitsrahmen des Chatbots fest und habe hinreichenden Einfluss auf ihn. Das zeigte sich, als der Bot nach der Abmahnung mit einer Prompt-Anweisung und einem nachgelagerten Wortfilter so umgestellt wurde, dass er die falschen Titel nicht mehr nannte (Randnummern 12 und 70). Auch das Argument, Kunden wüssten ohnehin, dass KI sich irrt, wies der Senat zurück: "Vielmehr trifft es zu, dass ein Großteil der angesprochenen Verbraucher in besonderer Weise auf die Richtigkeit der computergenerierten Antwort vertraut, da Maschinen im Allgemeinen als weniger fehleranfällig als der Mensch wahrgenommen werden." (Randnummer 104)

Für die Praxis besonders lehrreich ist die Hilfsbegründung für den Fall, dass man nur eine Sorgfaltspflicht annähme: Auch dann hätte das Unternehmen gehaftet. Das Gericht hielt es für vorhersehbar, dass Interessenten nach der Qualifikation der Behandler fragen, und für zumutbar, schon vor der ersten Inbetriebnahme sicherzustellen, dass der Bot dazu keine falschen Auskünfte gibt (Randnummern 89 bis 95); dabei legte es die besonders strengen Anforderungen an, die im Gesundheitswesen gelten (Randnummer 93). Abschalten und Nachbessern halfen nicht: Obwohl der Bot die falschen Titel nach dem Umbau nicht mehr nennen konnte, bestand ohne strafbewehrte Unterlassungserklärung die Wiederholungsgefahr fort (Randnummern 12 und 106). Am Ende stand ein Unterlassungsurteil mit einem angedrohten Ordnungsgeld von bis zu 250.000 Euro für jede Zuwiderhandlung. Offen gelassen hat der Senat, ob anderes gilt, wenn ein Nutzer eine falsche Antwort mit tendenziösen oder suggestiven Fragen provoziert (Randnummer 96).

Neben dem Wettbewerbsrecht steht der Vertrag: Auch vertraglich kann eine falsche Auskunft Ansprüche des Kunden auslösen, ob sie von einem Mitarbeiter oder von einem Agenten stammt. Wie weit das reicht und was das neue Produkthaftungsgesetz ab dem 9. Dezember 2026 ändert, beschreibt der Beitrag zur Haftung für KI-Fehler.

Was gilt, wenn Kunden dem Bot kündigen, widerrufen oder reklamieren?

Solche Erklärungen können wirksam sein, auch wenn sie nur beim Bot ankommen. Einen Widerruf erklärt der Verbraucher formlos gegenüber dem Unternehmer, er muss nur eindeutig sein, und für die Frist genügt die rechtzeitige Absendung (§ 355 Absatz 1 BGB). Eine Mängelanzeige unter Kaufleuten ist ebenfalls an keine Form gebunden, und rechtzeitig abgeschickt wahrt sie die Rechte des Käufers (§ 377 HGB). Der Bot sollte solche Nachrichten deshalb erkennen und an einen Menschen weitergeben.

Wann eine Erklärung wirksam wird, regelt § 130 BGB: mit dem Zugang. Für E-Mails im unternehmerischen Geschäftsverkehr hat der Bundesgerichtshof entschieden, dass sie grundsätzlich zugehen, sobald sie innerhalb der üblichen Geschäftszeiten abrufbereit auf dem Mailserver des Empfängers liegen; ob jemand sie liest, spielt keine Rolle (Urteil vom 6. Oktober 2022, VII ZR 895/21). Das Urteil betrifft E-Mails. Wer den Chat selbst als Kontaktweg anbietet, sollte davon ausgehen, dass für Nachrichten dort dasselbe gilt, und ihren Eingang so behandeln wie den einer E-Mail.

Zwei Funktionen ersetzt der Chat ohnehin nicht. Wer mit Verbrauchern über eine Website oder App Verträge mit Widerrufsrecht schließt, muss seit dem 19. Juni 2026 eine Widerrufsfunktion bereitstellen, beschriftet mit "Vertrag widerrufen" oder gleichbedeutend, mit eigener Bestätigungsfunktion und einer Eingangsbestätigung mit Datum und Uhrzeit auf einem dauerhaften Datenträger (§ 356a BGB). Wer Verbrauchern auf seiner Website den Abschluss von Abonnements oder anderen entgeltlichen Dauerschuldverhältnissen ermöglicht, braucht seit dem 1. Juli 2022 die Kündigungsschaltfläche "Verträge hier kündigen"; Finanzdienstleistungen sind ausgenommen (§ 312k BGB). Der Bot darf beim Widerrufen und Kündigen helfen, er darf aber nicht der einzige Weg sein.

Auch Anfragen nach der DSGVO gehören zu einem Menschen. Verlangt ein Kunde im Chat Auskunft oder die Löschung seiner Daten, muss das Unternehmen unverzüglich mitteilen, was es unternommen hat, spätestens innerhalb eines Monats nach Eingang; nur bei komplexen oder zahlreichen Anträgen lässt sich die Frist um zwei Monate verlängern, und das muss das Unternehmen dem Kunden innerhalb des ersten Monats mit Gründen mitteilen (Artikel 12 Absatz 3). Der Bot sollte solche Anfragen deshalb an die zuständige Stelle weiterleiten, statt sie mit einem Standardtext zu beantworten.

Darf der Chatbot der einzige Kontaktweg sein?

Nein. Wer eine geschäftliche Website betreibt, muss Angaben machen, die eine schnelle elektronische Kontaktaufnahme und eine unmittelbare Kommunikation ermöglichen, einschließlich der E-Mail-Adresse (§ 5 Absatz 1 Nummer 2 DDG). Wer mit Verbrauchern Fernabsatzverträge schließt, nennt vorab zudem Telefonnummer und E-Mail-Adresse (Artikel 246a § 1 Absatz 1 Satz 1 Nummer 3 EGBGB). Ein Chat kommt dazu, er ersetzt beides nicht.

Was als zweiter Weg reicht, hat der Europäische Gerichtshof am 16. Oktober 2008 geklärt (C-298/07): Neben der E-Mail-Adresse muss ein Weg stehen, der eine schnelle Kontaktaufnahme und eine unmittelbare und effiziente Kommunikation ermöglicht. Eine Telefonnummer ist dafür nicht zwingend, eine elektronische Anfragemaske, auf die das Unternehmen per E-Mail antwortet, kann genügen. Wer nach dem ersten elektronischen Kontakt keinen Zugang zum Netz hat, kann aber einen nichtelektronischen Weg verlangen. Am 10. Juli 2019 hat der Gerichtshof ergänzt, dass ein Unternehmen Kunden ermuntern darf, einen Chat oder ein Rückrufsystem zu nutzen, sofern die Pflichtangaben, insbesondere die Telefonnummer, klar und verständlich zugänglich bleiben (C-649/17, Randnummer 52).

Einen Chat nennen Sie in den Pflichtangaben für Fernabsatzverträge zusätzlich, wenn der Kunde den Verlauf samt Datum und Uhrzeit dauerhaft speichern kann, etwa per Download oder als Kopie per E-Mail. Gehört der Chat zu einem Online-Angebot, über das Verbraucher Verträge schließen, muss er seit dem 28. Juni 2025 wie die übrige Website barrierefrei bedienbar sein; Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme sind bei Dienstleistungen ausgenommen (§ 3 Absatz 3 und § 2 Nummer 17 BFSG). Ob ein Telefonassistent, der jede Weitergabe verweigert, als Kontaktweg genügt, regelt das Gesetz nicht ausdrücklich. Nach dem Europäischen Gerichtshof verlangt "unmittelbar" nicht unbedingt ein Gespräch, sondern nur, dass kein Dritter zwischen den Beteiligten steht; effizient ist die Kommunikation aber nur, wenn der Kunde angemessene Informationen in einer Frist erhält, die seinen Bedürfnissen oder berechtigten Erwartungen entspricht (C-298/07, Randnummern 29 und 30). Am wenigsten angreifbar ist ein Assistent, der Anliegen, die er nicht lösen kann, an einen Menschen gibt, der über dieselbe Nummer oder Adresse erreichbar ist.

Wann sollte der Bot an einen Menschen übergeben?

Immer dann, wenn eine der gesetzlichen Stellen berührt ist, wenn der Kunde es verlangt und wenn eine Frage zu den vorhersehbaren Themen gehört, bei denen eine falsche Antwort teuer wird. Eine Übergabe, die trägt, hat feste Auslöser, nimmt den bisherigen Gesprächsverlauf mit und führt zu Menschen, die zu bekannten Zeiten erreichbar sind.

Die Reihe der Risikothemen folgt dem Maßstab des OLG Hamm: Auf absehbare Fragen darf der Bot ab dem Start keine falschen Antworten geben. Wo richtige Antworten nicht sicher sind, gehört die Frage in fest formulierte Antworten oder zu einem Menschen. Gartner rät außerdem, dass ein KI-Chatbot dem Kunden ankündigt, ihn mit einem Mitarbeiter zu verbinden, wenn er keine Lösung findet, und dass der Chat dann nahtlos dort weitergeht, wo der Bot aufgehört hat (Keith McIntosh, Gartner, 9. Juli 2024).

Zwei Vorgaben aus dem übrigen Recht greifen in denselben Ablauf. Die Leitlinien der EU-Kommission zu Artikel 50 halten es für voraussichtlich nötig, den KI-Hinweis in heiklen Gesprächen zu wiederholen, etwa bei Beschwerden, bei Gesundheits-, Finanz- und Rechtsfragen und gegenüber schutzbedürftigen Personen, und fragt jemand den Bot, ob er mit einer KI spricht, muss das System das offenlegen (Randnummer 40); wie der Hinweis aussieht, steht im Beitrag zur KI-Kennzeichnungspflicht nach Artikel 50. Und die Datenschutzkonferenz nennt in ihrer Liste der Verarbeitungen, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, den Kundensupport mittels KI als typisches Einsatzfeld (Nummer 11); die Auslöser für die Übergabe gehören in diese Dokumentation. Was der Agent tun soll, wenn er eine Antwort schlicht nicht weiß, und wie man das vor dem Start testet, beschreibt der Beitrag zur Wissensbasis von KI-Agenten.

Was ändert sich in den nächsten Monaten?

Am 20. November 2026 treten § 37a und § 30 Absatz 6 BDSG in Kraft. Für Mitte November erwartet der Wissenschaftliche Dienst des Europäischen Parlaments den Vorschlag der Kommission für einen Digital Fairness Act, und die Zahlungsdiensteverordnung mit dem Recht auf menschlichen Kundendienst führt das Europäische Parlament als kurz vor der Annahme.

Was der Digital Fairness Act enthalten wird, ist offen. Aus der Konsultation zum vorangegangenen Fitness-Check des Verbraucherrechts stammt eine Zahl, die zum Thema passt: 69 Prozent der Befragten berichteten von Schwierigkeiten, einen Online-Vertrag zu kündigen (EPRS, 5. Oktober 2026).

Gilt das auch in Österreich und der Schweiz?

In Österreich gelten DSGVO und AI Act unmittelbar, und die beiden EU-Richtlinien verpflichten alle Mitgliedstaaten, das menschliche Eingreifen bei Finanzverträgen über Online-Tools ab dem 19. Juni 2026 und bei der Kreditwürdigkeitsprüfung mit automatisierter Verarbeitung für Verbraucherkredite außer Immobilienkrediten ab dem 20. November 2026 vorzusehen. Das Urteil des OLG Hamm und § 37a BDSG sind deutsches Recht, ebenso die genannten Paragrafen aus BGB, HGB und DDG. Mehrere davon setzen aber EU-Richtlinien um, die auch in Österreich gelten, etwa die Widerrufsfunktion und die Kontaktangaben der Website; maßgeblich ist dort das österreichische Umsetzungsgesetz.

Für Schweizer Unternehmen gilt die DSGVO, soweit sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten (Artikel 3 Absatz 2 DSGVO). Daneben gilt das Schweizer Datenschutzgesetz, das ein eigenes Recht kennt. Über eine Entscheidung, die ausschließlich auf einer automatisierten Bearbeitung beruht und mit einer Rechtsfolge verbunden ist oder die Person erheblich beeinträchtigt, muss das Unternehmen informieren, und die Person kann verlangen, dass eine natürliche Person die Entscheidung überprüft (Art. 21 DSG). Ausgenommen sind Entscheidungen im unmittelbaren Zusammenhang mit einem Vertrag, wenn dem Begehren der Person entsprochen wird, und Fälle, in denen sie ausdrücklich eingewilligt hat. Schweizer Unternehmen, deren Chatbot Kunden in der EU bedient, fallen für diese Kunden zudem unter Artikel 22 DSGVO und unter den AI Act, dort weil die Ausgabe des Systems in der Union verwendet wird (Art. 2 Abs. 1 Buchstabe c KI-Verordnung).

Häufige Fragen

---

Welche Vorschriften für Chatbots, Telefonassistenten und WhatsApp-Bots im Einzelnen gelten, zeigen die Rechtstabellen auf den Seiten zum KI-Chatbot, zum KI-Telefonassistenten und zur WhatsApp-KI. Das ist keine Rechtsberatung; für die Prüfung eines konkreten Ablaufs bleibt der Fachanwalt die richtige Adresse.

Quellen

• EUR-Lex: Verordnung (EU) 2016/679, Datenschutz-Grundverordnung - räumlicher Anwendungsbereich (Art. 3 Abs. 2), Erleichterung der Betroffenenrechte und Fristen (Art. 12), automatisierte Entscheidungen im Einzelfall (Art. 22)
• Bundesgesetzblatt: Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts vom 3. Februar 2026, BGBl. 2026 I Nr. 28 - menschliches Eingreifen bei Online-Tools (Art. 246b § 3 Abs. 3 EGBGB), elektronische Widerrufsfunktion (§ 356a BGB), Inkrafttreten am 19. Juni 2026 (Art. 10)
• EUR-Lex: Richtlinie (EU) 2023/2673 über im Fernabsatz geschlossene Finanzdienstleistungsverträge - Recht auf menschliches Eingreifen (Art. 16d Abs. 3 der Richtlinie 2011/83/EU), Chatbots und Robo-Advice (Erwägungsgrund 40), Anwendung ab 19. Juni 2026 (Art. 2)
• Bundesgesetzblatt: Gesetz zur Umsetzung der Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge und zur Regelung der Förderung klimaneutraler Mobilität vom 12. Mai 2026, BGBl. 2026 I Nr. 139 - Eingreifen einer Person bei der Kreditprüfung (§ 30 Abs. 6 und 9 BDSG), Scoring (§ 37a BDSG), Finanzierungshilfen (§ 506 BGB), Inkrafttreten am 20. November 2026 (Art. 16)
• Deutscher Bundestag: Gesetzentwurf der Bundesregierung zur Umsetzung der Richtlinie (EU) 2023/2225, Drucksache 21/1851 vom 29. September 2025 - Begründung zu § 30 Abs. 6 BDSG
• EUR-Lex: Richtlinie (EU) 2023/2225 über Verbraucherkreditverträge - Eingreifen einer Person bei automatisierter Kreditwürdigkeitsprüfung (Art. 18 Abs. 8), Anwendung ab 20. November 2026
• Oberlandesgericht Hamm: Urteil vom 12. Mai 2026, 4 UKl 3/25 - Antworten eines KI-Chatbots als geschäftliche Handlungen des Betreibers (Rn. 12, 70 bis 73, 77), Prüfung vor der ersten Inbetriebnahme (Rn. 89 bis 96), Vertrauen in Maschinenantworten (Rn. 104), Wiederholungsgefahr (Rn. 106); laut NRWE rechtskräftig
• Oberlandesgericht Hamm: Pressemitteilung vom 12. Mai 2026 - Parteien des Verfahrens 4 UKl 3/25, Zulassung der Revision
• Gerichtshof der EU: Urteil vom 7. Dezember 2023, C-634/21 (SCHUFA Holding) - Scorewert einer Auskunftei als automatisierte Entscheidung
• Gerichtshof der EU: Urteil vom 16. Oktober 2008, C-298/07 - zweiter Kommunikationsweg neben der E-Mail-Adresse, unmittelbare und effiziente Kommunikation (Rn. 29 und 30), elektronische Anfragemaske
• Gerichtshof der EU: Urteil vom 10. Juli 2019, C-649/17 (Amazon EU) - Chat und Rückrufsystem neben der Telefonnummer (Rn. 52)
• Gesetze im Internet: § 5 Digitale-Dienste-Gesetz und Art. 246a § 1 EGBGB - Kontaktangaben der Website, Telefonnummer und E-Mail-Adresse bei Fernabsatzverträgen
• Gesetze im Internet: § 130 BGB, § 312k BGB, § 355 BGB und § 377 HGB - Zugang, Kündigungsschaltfläche, Widerruf, Mängelanzeige
• IHK Hannover: BGH zum Zugang von E-Mails im unternehmerischen Geschäftsverkehr - Urteil vom 6. Oktober 2022, VII ZR 895/21
• Gesetze im Internet: Barrierefreiheitsstärkungsgesetz - Dienstleistungen im elektronischen Geschäftsverkehr (§ 1 Abs. 3 Nr. 5), Kleinstunternehmen (§ 2 Nr. 17, § 3 Abs. 3), in Kraft seit 28. Juni 2025
• EUR-Lex: Verordnung (EU) 2024/1689 über künstliche Intelligenz, konsolidierte Fassung vom 27. Juli 2026 - Geltungsbereich (Art. 2 Abs. 1 lit. c), menschliche Aufsicht (Art. 14, Art. 26 Abs. 2), Transparenz (Art. 50), Kreditwürdigkeitsprüfung (Anhang III Nr. 5 lit. b)
• EU-Kommission: Leitlinien zu den Transparenzpflichten für Anbieter und Betreiber von KI-Systemen, C(2026) 5054 - Wiederholung des KI-Hinweises in heiklen Gesprächen, Offenlegung auf Nachfrage (Rn. 40)
• Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1 - Nr. 11, Kundensupport mittels KI
• Europäisches Parlament: Payment services deal: More protection from online fraud and hidden fees vom 27. November 2025 und Legislative Train, Payment Services Regulation (Stand 20. September 2026) - Zugang zu menschlichem Kundendienst, Stand des Verfahrens
• Wissenschaftlicher Dienst des Europäischen Parlaments: Towards a digital fairness act vom 5. Oktober 2026 - Zeitplan für Mitte November, Konsultation zum Kündigen von Online-Verträgen
• Fedlex: Bundesgesetz über den Datenschutz (DSG) - Informationspflicht und Überprüfung bei automatisierten Einzelentscheidungen (Art. 21)
• Gartner: Gartner Survey Finds 64% of Customers Would Prefer That Companies Didn't Use AI For Customer Service vom 9. Juli 2024 - 5.728 Kunden, Ablehnung und Wechselbereitschaft, Sorge um den Weg zum Menschen, Rat zur Übergabe
• t-online: KI im Kundenservice: Kein Anspruch auf menschlichen Ansprechpartner vom 26. August 2026 - Einschätzung der Verbraucherzentrale Nordrhein-Westfalen