GDPR konformer Chatbot Irland: Was irische Teams zuerst prüfen sollten

Wenn du ein kleines Unternehmen in Irland führst, hast du vermutlich schon einmal etwas Arbeitsbezogenes in einen KI Chat eingefügt. Vielleicht eine Vertragsklausel oder eine Support Mail. Ab diesem Moment ist die GDPR keine Theorie mehr. Wer nach GDPR konformer Chatbot Irland sucht, will meist ein Tool, das heute funktioniert, ohne ein halbjähriges Rechtsprojekt. Dieser Guide zeigt, was du zuerst prüfen solltest und warum ein Server in Dublin nur ein Teil der Antwort ist.

Zwei Chatbot Arten werden verwechselt

Suchergebnisse mischen zwei sehr verschiedene Produkte. Einer ist ein Bot auf der Firmenwebsite, der Kunden antwortet. Der andere ist ein Chat Tool, das dein Team täglich für Kundendateien und interne Notizen nutzt. Beim Team Tool steckt das meiste GDPR Risiko, weil deine Leute dort personenbezogene Daten eintippen. Dieser Artikel handelt von diesem Tool. Der Website Bot bekommt am Ende einen kurzen Abschnitt, weil ab August 2026 eine neue EU Regel gilt.

Irische Firmen unterliegen der EU GDPR

Dein Unternehmen in Irland fällt unter die EU GDPR, dasselbe Regelwerk wie im restlichen Block. Manche Suchergebnisse sprechen von UK GDPR. Das ist seit dem Brexit ein eigenes Gesetz. Prüfe deshalb, welches ein Anbieter meint, bevor du seinen Versprechen vertraust.

Dublin ist Sitz der Aufsicht

Die Data Protection Commission (DPC) ist Lead Aufsicht für viele große Tech Konzerne mit europäischem Hauptsitz in Irland. Ein Hauptsitz in Dublin bedeutet, dass die DPC den Anbieter im Blick hat.

Der AI Insights Report der DPC vom September 2026 beschreibt die Aufsicht über KI von 2021 bis 2025. Dazu zählen Google, LinkedIn, Meta, Microsoft, OpenAI und TikTok. Im Bericht tauchen zwei Fragen immer wieder auf. Mit welcher Rechtsgrundlage trainiert ein Unternehmen mit personenbezogenen Daten? Wurden Betroffene vorher informiert?

Die DPC zeigt auch, dass sie handelt. Im August 2024 beantragte sie beim High Court in Irland, Xs Verarbeitung von Nutzerdaten für das Grok Modell zu stoppen, nachdem X eine Pause verweigerte. X stimmte danach zu, aufzuhören und Datensätze zu löschen, die ohne Schutzmaßnahmen gesammelt worden waren.

Ein Server in Dublin ist die typische Falle

Große US Cloud Anbieter wie Amazon und Microsoft betreiben Rechenzentren in Dublin. Ein Chatbot, der sagt, deine Daten bleiben in Irland, speichert deine Chats vielleicht einfach in einem dieser Gebäude. Das Gebäude steht in Irland, aber das Unternehmen dahinter ist amerikanisch. Daten in Irland zu halten hilft bei der GDPR Regel zu Drittlandübermittlungen. Die zweite Frage ist, wer das Unternehmen zur Herausgabe zwingen kann. Das hängt davon ab, welchem Land der Betreiber untersteht.

Der US CLOUD Act beantwortet diese zweite Frage. Er erlaubt US Behörden, Daten von Unternehmen zu verlangen, die genug Bezug zu den USA haben. Dieser Bezug ist weiter gefasst, als viele denken. Er trifft US Firmen und auch Unternehmen aus anderen Ländern mit US Geschäft, zum Beispiel einer Niederlassung dort.

Microsofts Transparenzbericht für Juli bis Dezember 2025 zeigt das in der Praxis. Bei Verbraucherkonten verlangte US Strafverfolgung Inhalte außerhalb der USA in 115 Haftbefehlen. Bei Geschäftskunden gab Microsoft Inhalte von 3 Nicht US Kunden heraus, deren Daten außerhalb der USA lagen. Einer dieser 3 saß in der EU oder im EWR. Die Daten mussten nicht in Amerika stehen, damit die Anfrage beim Unternehmen landete.

Für das rechtliche Gesamtbild lies unsere CLOUD Act Erklärung.

Was die DPC erwartet, bevor personenbezogene Daten reingehen

Die DPC hat eine verständliche Guidance zu KI Produkten. Du solltest wissen, welche personenbezogenen Daten das Tool annimmt und ob der Anbieter sie behält oder wiederverwendet. Du brauchst auch einen Weg, wenn jemand Auskunft oder Löschung verlangt. Wenn das nicht geht, hast du ein GDPR Problem, auch wenn der Chatbot perfekt funktioniert.

Der Jahresbericht 2025 der DPC enthält ein sehr interessantes Detail: Immer mehr Menschen nutzen KI Tools, um Datenauskunftsanträge zu formulieren. Ein solcher Antrag ist ein Schreiben, in dem du ein Unternehmen fragst, welche personenbezogenen Daten es über dich speichert. Die DPC warnt, vorsichtig zu sein, was du in solche Tools einfügst. Stell dir vor, du kopierst E Mails deines Chefs in einen Chatbot, damit er dein Schreiben formuliert. Diese E Mails liegen dann bei einem Dritten. Die Aufsicht sieht alltägliche Chatbot Nutzung als Datenschutzrisiko. Dein Team sollte genauso vorsichtig sein.

Training ist ein zweiter Zweck

Ein Anbieter, der deine Chats zum Modelltraining nutzt, tut etwas anderes als deine Frage zu beantworten. Training heißt, der Anbieter speist deine Chats ins KI Modell ein, damit es daraus lernt. Die GDPR behandelt das als eigenen Zweck mit eigener Rechtsgrundlage. Die EDPB Stellungnahme 28/2024 vom Dezember 2024 sagt, berechtigtes Interesse kann eine Rechtsgrundlage für KI Training sein. Sie sagt auch, ein auf personenbezogenen Daten trainiertes Modell gilt nicht automatisch als anonym. Bei Kundendateien ist die Regel klar. Training muss aus sein, und das muss im Vertrag stehen.

Die DPC warnt außerdem, dass manche Modelle Passagen aus Trainingsdaten wiederholen können. Personenbezogene Daten aus dem Training können später wieder auftauchen, auch wenn der Anbieter das nie wollte. Für Vertragsformulierungen lies unseren Leitfaden zu KI ohne Training auf Kundendaten und unseren Beitrag zu KI die nicht auf deine Daten trainiert.

Drei Checks, die du durchführen solltest

1. Wer gehört das Unternehmen und wo ist der Hauptsitz? Ein europäischer Eigentümer ohne US Muttergesellschaft ist die sauberste Antwort.
2. Wo läuft der Chat und welche Subprozessoren greifen zu? Ein Subprozessor ist ein anderes Unternehmen, das im Hintergrund mit deinen Daten arbeitet, zum Beispiel ein Cloud Host. Fordere die vollständige Liste schriftlich an. Eine Liste mit europäischen Firmen ist ein gutes Zeichen. Eine US Firma auf der Liste ist ein Warnsignal, weil der CLOUD Act sie erreichen kann. Prüfe auch den Eigentümer, denn eine Berliner Firma kann trotzdem einer US Mutter gehören.
3. Ist Training schriftlich ausgeschaltet, im Vertrag selbst?

Wenn du beim Lesen einer langen Policy Hilfe brauchst, kann unser Datenschutzrichtlinien Analysator den Text für dich durchgehen.

Wo DentroChat passt

DentroChat ist das Team Tool, um das es in diesem Artikel geht. DentroChat ist ein EU KI Chat, der einfach zu bedienen und leistungsstark ist. Unsere Server stehen in Deutschland, die Infrastruktur läuft über europäische Anbieter außerhalb der US Rechtsprechung. Wir trainieren nicht mit Kundendaten. Alle Subprozessoren findest du auf unserer Subprozessoren Seite. Probiere DentroChat kostenlos und schau, ob es zu deinem Team passt.

Der Website Bot und der AI Act

Ein Chatbot auf deiner Website, der mit Kunden spricht, hat eine eigene Pflicht. Seit dem 2. August 2026 verlangt der EU AI Act, dass Menschen erfahren, dass sie mit KI sprechen, sofern das nicht offensichtlich ist. Die Europäische Kommission nennt Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, mit Rücksicht auf kleine Unternehmen.

Irland hat Coimisiún na Meán als Vollstrecker für diese Regel benannt, aber nur für bestimmte Branchen: Medien, Rundfunk, Online und Hosting Dienste. Eine normale Unternehmenswebsite steht nicht auf dieser Liste. Wir konnten deshalb nicht klären, welche irische Behörde einen gewöhnlichen Business Chatbot prüft. Beobachte das Thema, Irland baut seine KI Regeln gerade aus.

Kurz gesagt

Ein wirklich GDPR konformer Chatbot sollte die drei Checks oben bestehen. Geh sie durch, bevor du etwas mit Kundennamen einfügst. Wird ein Anbieter bei einem Punkt ausweichend, hast du deine Antwort.