Ein Chatbot, der zu viel wusste
Ein typisches Beispiel: Eine Kanzlei für Arbeitsrecht testet einen Chatbot auf ihrer Website. Ein Besucher schreibt: „Ich habe meine Kündigung am 3. März bekommen. Bis wann muss ich klagen?“ Der Chatbot rechnet und nennt ein Datum. Es ist falsch, weil er das Zugangsdatum mit dem Datum auf dem Schreiben verwechselt. Der Besucher verlässt sich darauf.
Selbst wenn das Datum gestimmt hätte, bleibt die Frage: Hat die Kanzlei damit eine Rechtsauskunft im Einzelfall erteilt, ohne den Fall zu kennen? Und wo sind die Daten des Besuchers jetzt gespeichert?
Die Kanzlei hat den Chatbot umgebaut. Er beantwortet jetzt organisatorische Fragen – Öffnungszeiten, Ablauf, Kosten des ersten Gesprächs – und leitet alles andere an einen Rückruf weiter. Bei konkreten Fristen sagt er: „Fristen können wir nur im Gespräch verbindlich prüfen. Rufen Sie uns bitte sofort an.“
Was ein Chatbot leisten kann – und was nicht
| Geeignet | Eher ungeeignet |
|---|---|
| Öffnungszeiten, Anfahrt, Erreichbarkeit | Einschätzung, ob ein Anspruch besteht |
| Ablauf des Erstgesprächs, mitzubringende Unterlagen | Berechnung konkreter Fristen im Einzelfall |
| Allgemeine Informationen zu Kosten des Erstgesprächs | Kostenprognosen für ein konkretes Verfahren |
| Vorsortierung: Rechtsgebiet, Dringlichkeit, Rückrufwunsch | Erfassung ausführlicher Sachverhalte |
| Hinweis auf passende Ratgeber und FAQ | Formulierung von Schreiben für Betroffene |
| Terminvereinbarung | Kommunikation in laufenden Mandaten ohne Kontrolle |
Die Bundesrechtsanwaltskammer weist in ihren Hinweisen zum KI-Einsatz darauf hin, dass für Anwendungen, die direkt mit Mandanten kommunizieren, erhöhte Sorgfaltsanforderungen gelten und der Eindruck vermieden werden muss, eine individuelle anwaltliche Prüfung sei entbehrlich (BRAK: Hinweise zum Einsatz von KI, Stand Dezember 2024 (externer Link)).
Die Regeln
Verschwiegenheit und Dienstleister
Schon die Tatsache, dass jemand eine Kanzlei kontaktiert, und erst recht der geschilderte Sachverhalt können unter die Verschwiegenheitspflicht fallen (§ 43a Abs. 2 BRAO (externer Link)). Ein Chatbot-Anbieter, der diese Informationen verarbeitet, ist ein Dienstleister im Sinne von § 43e BRAO (externer Link). Das bedeutet:
- sorgfältige Auswahl des Anbieters,
- ein Vertrag in Textform mit Verpflichtung zur Verschwiegenheit und Belehrung über die strafrechtlichen Folgen,
- Zugang zu vertraulichen Informationen nur, soweit für die Leistung erforderlich,
- Regelungen zu Unterauftragnehmern,
- bei Leistungen im Ausland: ein vergleichbarer Schutz der Geheimnisse.
Die BRAK-Hinweise empfehlen außerdem Anbieter mit Servern in Deutschland oder der EU.
Datenschutz
Ein Chatbot verarbeitet personenbezogene Daten. Sie brauchen eine Rechtsgrundlage, müssen in der Datenschutzerklärung informieren und mit dem Anbieter einen Vertrag zur Auftragsverarbeitung schließen (Art. 6, 13, 28 DSGVO (externer Link)). Klären Sie insbesondere:
- Werden Gesprächsinhalte gespeichert, wo und wie lange?
- Nutzt der Anbieter die Gespräche, um seine Modelle zu trainieren? Das sollte vertraglich ausgeschlossen sein.
- Werden Daten außerhalb der EU verarbeitet?
- Lädt der Chatbot bereits beim Seitenaufruf Inhalte oder setzt er Cookies? Dann kann eine Einwilligung nötig sein (§ 25 TDDDG (externer Link)). Besser: Der Chatbot wird erst geladen, wenn jemand ihn aktiv öffnet.
KI-Verordnung der EU
Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt in Stufen (Art. 113 KI-Verordnung (externer Link)):
| Seit | Was gilt | Bedeutung für Kanzleien |
|---|---|---|
| 2. Februar 2025 | KI-Kompetenz (Art. 4) | Wer KI-Systeme betreibt, muss nach besten Kräften sicherstellen, dass das eigene Personal ausreichende KI-Kompetenz hat – etwa durch interne Regeln und Schulungen |
| 2. August 2026 | Transparenzpflichten (Art. 50) | KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Menschen erfahren, dass sie mit einer KI sprechen – außer, das ist offensichtlich |
Die Pflicht nach Art. 50 Abs. 1 trifft in erster Linie den Anbieter des Systems. Achten Sie aber als Kanzlei darauf, dass Ihr Chatbot von Anfang an klar sagt, dass er eine KI ist – und dass er keine Anwältin und kein Anwalt ist. Das ist ohnehin eine Frage der Fairness gegenüber Menschen in einer schwierigen Lage. Prüfen Sie zudem, ob nach Veröffentlichung dieses Leitfadens Änderungen an den Fristen der KI-Verordnung beschlossen wurden.
Werbung und Irreführung
Auch ein Chatbot spricht für Ihre Kanzlei. Was er sagt, muss sachlich und wahr sein (§ 43b BRAO (externer Link), § 5 UWG (externer Link)). Ein Chatbot, der Erfolgsaussichten verspricht oder Kosten zu niedrig angibt, ist ein Risiko.
So setzen Sie einen Chatbot verantwortungsvoll ein
- Aufgabe eng definieren. Organisatorische Fragen, Vorsortierung, Terminvereinbarung. Keine Einschätzung von Einzelfällen.
- Wissensbasis selbst festlegen. Der Chatbot antwortet nur auf Grundlage von Inhalten, die Sie freigegeben haben: FAQ, Öffnungszeiten, Ablauf, Kosten des Erstgesprächs.
- Klare Kennzeichnung. Gleich zu Beginn: „Ich bin ein KI-Assistent der Kanzlei. Ich gebe keine Rechtsberatung. Für Ihr Anliegen verbinde ich Sie gern mit uns.“
- Wenige Daten abfragen. Name, Kontaktweg, Rechtsgebiet, Dringlichkeit. Ausdrücklich darum bitten, keine Einzelheiten zum Fall einzugeben.
- Bei Fristen sofort weiterleiten. Fragen nach Fristen, Terminen bei Gericht oder Behörden führen immer zum Hinweis auf einen sofortigen Anruf.
- Anbieter vertraglich absichern. Auftragsverarbeitung, Verschwiegenheit nach § 43e BRAO, kein Training mit Ihren Daten, Server in der EU.
- Regelmäßig testen. Stellen Sie dem Chatbot monatlich schwierige Fragen und prüfen Sie die Antworten. Die BRAK-Hinweise betonen, dass KI-Ausgaben plausibel klingen und trotzdem falsch sein können.
- Team schulen. Wer den Chatbot betreut, muss seine Grenzen kennen – das gehört zur KI-Kompetenz nach Art. 4 KI-Verordnung.
Fragen an den Anbieter
| Frage | Gute Antwort |
|---|---|
| Wo werden die Daten verarbeitet und gespeichert? | In der EU, mit Angabe der Rechenzentren |
| Werden Gesprächsdaten zum Training genutzt? | Nein, vertraglich ausgeschlossen |
| Gibt es einen Vertrag zur Auftragsverarbeitung? | Ja, Standard |
| Unterschreiben Sie eine Verschwiegenheitsverpflichtung nach § 43e BRAO? | Ja, inklusive Regelung für Unterauftragnehmer |
| Kann ich die Wissensbasis selbst festlegen? | Ja, und der Bot antwortet nur daraus |
| Lädt der Chatbot erst nach aktivem Öffnen? | Ja, kein Laden und keine Cookies beim Seitenaufruf |
| Wie lange werden Gespräche gespeichert, und kann ich sie löschen? | Kurze, einstellbare Fristen; Löschung auf Knopfdruck |
| Wie kennzeichnet der Bot, dass er eine KI ist? | Deutlich, gleich zu Beginn |
Die Alternative ohne Chatbot
Viele Aufgaben, die Chatbots übernehmen sollen, erfüllen einfachere Werkzeuge genauso gut – ohne deren Risiken:
- Eine gute FAQ-Seite beantwortet organisatorische Fragen (Teil 18 dieser Serie).
- Eine Online-Terminbuchung fängt Anfragen außerhalb der Öffnungszeiten auf (Teil 20 dieser Serie).
- Ein kurzes Rückrufformular mit Rechtsgebiet und Dringlichkeit sortiert Anfragen vor.
- Eine verlässliche Bandansage sagt, wann zurückgerufen wird.
Für die meisten kleineren Kanzleien ist diese Kombination die bessere Wahl. Ein Chatbot lohnt sich eher bei vielen gleichartigen Anfragen, etwa bei Kanzleien mit sehr hohem Anfrageaufkommen in einem Rechtsgebiet.
Die häufigsten Fehler
| Fehler | Folge | Besser so |
|---|---|---|
| Chatbot beantwortet Rechtsfragen im Einzelfall | Falsche Auskünfte, Haftungsrisiko | Nur organisatorische Fragen, sonst Weiterleitung |
| Keine Kennzeichnung als KI | Verstoß gegen Transparenzpflichten, Vertrauensverlust | Klare Kennzeichnung zu Beginn |
| Anbieter ohne Verschwiegenheitsvereinbarung | Verstoß gegen § 43e BRAO | Vertrag in Textform mit Verschwiegenheit |
| Training mit Gesprächsdaten erlaubt | Vertrauliche Daten fließen in fremde Modelle | Vertraglich ausschließen |
| Chatbot lädt beim Seitenaufruf | Datenübertragung ohne Anlass | Laden erst nach aktivem Öffnen |
| Einmal eingerichtet, nie geprüft | Veraltete oder falsche Antworten | Monatliche Tests |
Ihre Checkliste
- Entscheiden, ob FAQ, Terminbuchung und Rückrufformular nicht ausreichen.
- Falls Chatbot: Aufgabe eng definieren.
- Anbieter mit den Fragen aus der Tabelle prüfen.
- Verträge nach Art. 28 DSGVO und § 43e BRAO abschließen.
- Wissensbasis selbst festlegen und freigeben.
- Kennzeichnung als KI und Hinweis „keine Rechtsberatung“ einbauen.
- Laden erst nach aktivem Öffnen sicherstellen.
- Datenschutzerklärung ergänzen.
- Team zu Möglichkeiten und Grenzen schulen.
- Monatlich testen und Antworten prüfen.
Häufige Fragen
Darf ein Chatbot Rechtsfragen beantworten?
Allgemeine Informationen, die Sie freigegeben haben, ja. Einschätzungen im Einzelfall sollten Sie einem Chatbot nicht überlassen. Die BRAK-Hinweise betonen, dass nicht der Eindruck entstehen darf, eine individuelle anwaltliche Prüfung sei entbehrlich.
Muss ich kennzeichnen, dass ein Chatbot eine KI ist?
Nach der KI-Verordnung müssen KI-Systeme, die direkt mit Menschen interagieren, ab dem 2. August 2026 so gestaltet sein, dass Menschen davon erfahren – außer, es ist offensichtlich. Eine klare Kennzeichnung gleich zu Beginn ist in jedem Fall richtig.
Was gilt für KI-Kompetenz im Team?
Seit dem 2. Februar 2025 müssen Betreiber von KI-Systemen nach besten Kräften sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Interne Regeln und Schulungen sind ein guter Weg.
Ist ein Chatbot datenschutzrechtlich zulässig?
Mit einer Rechtsgrundlage, einem Vertrag zur Auftragsverarbeitung, Informationen in der Datenschutzerklärung und einer datensparsamen Gestaltung grundsätzlich ja. Für Kanzleien kommen die Anforderungen von § 43e BRAO hinzu.
Lohnt sich ein Chatbot für eine kleine Kanzlei?
Meist nicht. Eine gute FAQ-Seite, eine Online-Terminbuchung und ein Rückrufformular leisten oft dasselbe mit weniger Aufwand und Risiko.
Quellen
- Hinweise zum Einsatz von künstlicher Intelligenz (KI), Stand Dezember 2024 (externer Link), Bundesrechtsanwaltskammer
- Verordnung (EU) 2024/1689 (KI-Verordnung) (externer Link), Art. 4, 50 und 113, Amtsblatt der Europäischen Union
- Datenschutz-Grundverordnung (EU) 2016/679 (externer Link), Amtsblatt der Europäischen Union
- § 43a BRAO (externer Link), § 43b BRAO (externer Link), § 43e BRAO (externer Link), § 25 TDDDG (externer Link), § 5 UWG (externer Link), Bundesministerium der Justiz