KI-Kennzeichnung im Mittelstand. Wie oft Betriebswebsites einen Chatbot haben und was dazu in der Datenschutzerklärung steht.

Die Ergebnisse in Kürze

• 12 von 870 erreichbaren Websites binden ein Chat- oder Botfenster ein. Das sind 1,4 Prozent, das Konfidenzintervall reicht von 0,8 bis 2,4 Prozent.
• 6 der 12 Fenster sind Chatbots. Bei 3 ist ein KI-Anbieter im Quelltext eindeutig belegt, bei 3 weiteren lässt sich die Technik von außen nicht bestimmen.
• Ein Messenger-Knopf wie WhatsApp ist fast siebenmal so häufig. Ihn haben 81 von 870 Websites, im Handwerk 40 von 327.
• 2 von 12 Websites mit Chatfenster nennen den Chat konkret in der Datenschutzerklärung. 3 von 12 erwähnen Chat oder KI nur allgemein, 7 von 12 gar nicht.
• Im Text von Start- und Kontaktseite weist keine der 12 Websites auf KI hin. Ob sich der Bot im Chatfenster selbst als KI vorstellt, misst die Studie nicht.
• 47 von 732 gefundenen Datenschutzerklärungen erwähnen KI, einen Chatbot oder ein KI-Modell überhaupt.

Wie wurde gemessen?

Die Stichprobe umfasst 1.000 Websites, gezogen mit festem Startwert aus Firmenlisten aus Google Maps und der Kundendatenbank von H&K Automation. Darin sind 400 Handwerksbetriebe und 300 Immobilienmakler. Dazu kommen 150 Dienstleister und Fachhändler sowie 150 Steuerkanzleien aus Baden-Württemberg als Vergleichsgruppe.

Ein Prüfprogramm auf dem Server von H&K Automation hat am 5. November 2026 von jeder Website die Startseite, die Datenschutzerklärung und eine Kontaktseite abgerufen. Die robots.txt wurde beachtet. Gesucht wurde nach den technischen Spuren von rund 70 Chat- und KI-Anbietern im Quelltext, nicht im Fließtext. Ein Blogartikel über Chatbots zählt deshalb nicht als Chatbot.

870 Websites waren erreichbar und auswertbar. 98 waren nicht erreichbar, 32 sperren den Abruf in der robots.txt. Alle Zweifelsfälle wurden von Hand gesichtet. Zu jedem Anteil gibt es ein 95-Prozent-Konfidenzintervall nach Wilson.

Wie viele Betriebswebsites haben einen Chatbot?

Chatfenster sind auf den Websites kleiner Betriebe die Ausnahme. Wer online mit Kunden schreibt, nutzt meist einen Knopf, der in WhatsApp oder einen anderen Messenger führt.

In der Spalte Chatbot stehen die Fenster, hinter denen nachweislich eine KI steckt oder ein Bot, dessen Technik offen ist. Bei so kleinen Zahlen sind Unterschiede zwischen den Branchen nur eine Tendenz.

Was steckt hinter den zwölf Chatfenstern?

Die zwölf Fenster verteilen sich gleichmäßig auf vier Arten. Bei Live-Chat-Plattformen lässt sich ein KI-Agent zuschalten. Ob er eingeschaltet ist, steht nicht im Quelltext.

Was sagt die Datenschutzerklärung zum Chat?

Meist nichts. Von den 12 Websites mit Chatfenster nennen 2 den Anbieter oder haben einen eigenen Abschnitt zum Chatbot. 3 erwähnen Chat oder KI nur allgemein. 7 sagen gar nichts dazu.

Das betrifft auch reine Live-Chats ohne KI. Ein Chatfenster lädt fast immer Technik eines fremden Anbieters. Was Besucher dort eintippen, geht in der Regel an diesen Anbieter.

Auch insgesamt ist KI in den Datenschutzerklärungen selten. Bei 138 der 870 Websites war keine Datenschutzerklärung auffindbar oder abrufbar. Grundlage sind deshalb die 732 gefundenen.

Wie oft erwähnen Datenschutzerklärungen KI?

47 von 732 Datenschutzerklärungen nennen KI, einen Chatbot oder ein KI-Modell. Am häufigsten ist das bei Dienstleistern und Fachhändlern, am seltensten im Handwerk.

Was verlangt die KI-Verordnung bei Chatbots?

Art. 50 Abs. 1 der KI-Verordnung (EU) 2024/1689 richtet sich an die Anbieter von KI-Systemen, die direkt mit Menschen interagieren. Sie müssen ihre Systeme so gestalten, dass die Menschen erfahren, dass sie mit einem KI-System interagieren. Ausgenommen ist der Fall, dass das für eine verständige Person ohnehin offensichtlich ist. Nach Art. 50 Abs. 5 kommt die Information spätestens bei der ersten Interaktion, klar und eindeutig.

Diese Pflicht gilt seit dem 2. August 2026. Der Digital-Omnibus, die Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten und hat an Art. 50 Abs. 1 nichts geändert. Der 2. Dezember 2026 ist das Ende einer Übergangsfrist für Art. 50 Abs. 2. Sie gilt für die maschinenlesbare Kennzeichnung von Inhalten durch Anbieter generativer KI-Systeme, die vor dem 2. August 2026 auf den Markt kamen.

Anbieter ist nach Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Wer ein fertiges Chat-Widget einbindet, ist nach Art. 3 Nr. 4 in der Regel Betreiber. Für Betreiber nennt Art. 50 eigene Pflichten nur bei Emotionserkennung und Deepfakes sowie bei bestimmten veröffentlichten Texten. Lässt ein Betrieb sich einen eigenen Bot bauen und stellt ihn unter eigenem Namen auf die Website, kann er die Begriffsbestimmung des Anbieters erfüllen.

Ein Hinweis nur in den Nutzungsbedingungen reicht nach den Leitlinien der Kommission zu Art. 50 nicht. Die Leitlinien sind nicht bindend. Zuständige Marktüberwachungsbehörde in Deutschland ist die Bundesnetzagentur nach § 2 Abs. 1 KI-MIG.

Was die Datenschutzerklärung zum Chat sagen muss, regelt die Datenschutz-Grundverordnung. Nach Art. 13 Abs. 1 DSGVO gehören unter anderem Zweck und Rechtsgrundlage hinein, gegebenenfalls auch die Empfänger oder Kategorien von Empfängern und eine Übermittlung in Drittländer. Das gilt unabhängig davon, ob hinter dem Fenster eine KI steckt. Welche KI-Inhalte außer dem Chatbot einen Hinweis brauchen, erklärt der Beitrag KI-Inhalte kennzeichnen nach Art. 50.

Was Betriebe mit Chatfenster prüfen können

1. Herausfinden, was auf der eigenen Website läuft. Manche Baukästen und Agenturen bauen ein Chatfenster ein, ohne dass der Inhaber das bewusst entschieden hat. Ein Blick am Handy und eine Frage an die Agentur reichen meist.
2. Prüfen, ob sich der Bot in der ersten Nachricht als KI vorstellt. Bei fertigen Werkzeugen ist es nach Art. 50 Abs. 1 Sache des Anbieters, den Hinweis vorzusehen. Der Betrieb sollte darauf achten, dass er eingeschaltet bleibt.
3. Den Chat in die Datenschutzerklärung aufnehmen. Verarbeitet der Anbieter die Daten im Auftrag des Betriebs, braucht es zusätzlich einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
4. Das Fenster erst nach Zustimmung im Cookie-Banner laden, wenn es Informationen auf dem Gerät speichert oder ausliest und das für den Dienst nicht unbedingt erforderlich ist. So regelt es § 25 TDDDG.
5. Dem Bot Grenzen setzen. Er sollte keine verbindlichen Preise nennen. Bei heiklen Fragen gehört eine Übergabe an einen Menschen dazu. Wie ein Team KI dafür sicher einsetzt, zeigen die KI-Schulungen.

Grenzen der Studie

• Gemessen wurde der Quelltext ohne laufenden Browser. Widgets, die erst nach Zustimmung im Cookie-Banner nachladen, können fehlen. Die Chatzahlen sind deshalb Untergrenzen.
• Ob sich ein Bot im Chatfenster selbst als KI vorstellt, lässt sich auf diesem Weg nicht sehen. Die Studie sagt deshalb nicht, dass niemand seinen Chatbot kennzeichnet. Sie sagt, dass im Seitentext keine der 12 Websites auf KI hinweist.
• Bei Live-Chat-Plattformen mit KI-Option ist von außen nicht erkennbar, ob die KI eingeschaltet ist.
• Datenschutzerklärungen als PDF oder in eingebetteten Rahmen werden teilweise nicht gelesen. Bei 138 von 870 Websites fehlte eine abrufbare Datenschutzerklärung.
• Die Stichprobe stammt aus Firmenlisten von H&K Automation. Betriebe ohne Eintrag bei Google Maps fehlen, die Steuerkanzleien stammen nur aus Baden-Württemberg. Die Zahlen beschreiben die Stichprobe und sind nicht auf den deutschen Mittelstand hochgerechnet.
• Bei 12 Chatfenstern sind Anteile innerhalb dieser Gruppe sehr unsicher. Sie stehen deshalb immer als Zahl von 12 da.

Wer hat die Studie durchgeführt?

Die Studie hat Louis Honal durchgeführt, Mitgründer von H&K Automation in Leonberg. H&K Automation schult Teams im Umgang mit KI und macht Websites kleiner Betriebe bei Google und in KI-Assistenten sichtbar. Einzelne Betriebe werden nicht genannt. Redaktionen erhalten die Grafiken und weitere Werte auf Anfrage.

Die Rechtslage auf dieser Seite haben wir am 5. November 2026 am Wortlaut der Verordnungen und Gesetze geprüft. Diese Seite ist eine allgemeine Information und keine Rechtsberatung.