KI im Kundenservice: Haftung und rechtliche Grenzen für KMU

Kurzfassung: Wer einen KI-Chatbot oder Sprachassistenten im Kundenkontakt einsetzt, haftet für jede Aussage des Systems – auch wenn die KI halluziniert. Das OLG Hamm hat das im Mai 2026 erstmals in Deutschland höchstrichterlich bestätigt. Ab dem 2. August 2026 kommen zudem EU-AI-Act-Transparenzpflichten hinzu. Für KMU, die KI-Telefonsysteme oder Chatbots nutzen, bedeutet das: Ohne klare Human-Handover-Regeln, DSGVO-konforme Prozesse und eine KI-Inventur entstehen konkrete Haftungs- und Bußgeldrisiken. Dieser Artikel erklärt die aktuelle Rechtslage praxisnah – mit Checkliste und 30/60/90-Tage-Plan.

Einleitung: Vom Effizienzwerkzeug zur Haftungsfalle

Chatbots, KI-Telefonassistenten, automatisierte E-Mail-Responder – KMU setzen KI im Kundenkontakt ein, um Anrufvolumen zu bewältigen, Öffnungszeiten zu verlängern und Kosten zu sparen. Das ist legitim und funktioniert. Aber: Die rechtliche Absicherung wird regelmäßig unterschätzt oder schlicht vergessen.

2026 ist das das Jahr, in dem die Rechtslage für KMU konkret wurde. Ein Oberlandesgericht hat erstmals in Deutschland entschieden, dass Unternehmen für falsche KI-Chatbot-Aussagen wettbewerbsrechtlich haften – genauso wie für eigene Mitarbeiter-Aussagen. Gleichzeitig tritt im August 2026 die EU-AI-Act-Kennzeichnungspflicht in Kraft. Wer jetzt noch keinen rechtlichen Rahmen für seinen KI-Einsatz hat, handelt fahrlässig.

Dieser Artikel gibt KMU-Inhabern, Betriebsleitern und IT-Verantwortlichen in DACH einen konkreten Überblick: Was haftet, wann und warum – und wie Human-Handover-Mechanismen das Risiko strukturell reduzieren.

1. Das OLG Hamm-Urteil: Chatbot-Haftung ist Realität

Am 12. Mai 2026 fällte das Oberlandesgericht Hamm ein Urteil (Az. 4 UKl 3/25), das die Branche aufhorchen ließ. Ein Unternehmen im Bereich ästhetischer Medizin betrieb auf seiner Website einen KI-Chatbot, über den Patienten Termine buchen und Fragen stellen konnten. Der Chatbot gab dabei falsche Auskünfte über die Facharztbezeichnungen der behandelnden Ärzte.

Das Ergebnis: Das Unternehmen wurde verurteilt, diese irreführenden Aussagen zu unterlassen – und muss für alle rechtlichen Konsequenzen einstehen. Das Gericht klassifizierte die Chatbot-Aussagen als irreführende geschäftliche Handlungen gemäß § 5 Abs. 1 und 2 Nr. 3 UWG.

Was das Urteil konkret bedeutet

Die zentrale Aussage des Gerichts: „Der Chatbot handelt nicht als eigenständiger Dritter, sondern als technisches Werkzeug des Unternehmens." Wer einen KI-Chatbot im geschäftlichen Verkehr einsetzt, lässt sich dessen Äußerungen als eigene geschäftliche Handlungen zurechnen. Es kommt dabei nicht darauf an, ob die falschen Aussagen auf fehlerhafter Programmierung oder einer eigenständigen, unvorhersehbaren KI-Generierung beruhen.

IT-Anwalt Frank Remmertz (München) fasst es im Kommentar zur WirtschaftsWoche so zusammen: „Rechtlich gesehen ist der Chatbot kein eigenständiger Akteur, sondern ein technisches Werkzeug. Kunden nehmen Antworten des Chatbots als Auskunft des Unternehmens wahr, und genauso wird sie rechtlich behandelt."

Das Urteil ist nicht rechtskräftig – der Senat hat die Revision zum Bundesgerichtshof zugelassen. Es setzt aber bereits jetzt den Standard für die Einschätzung von KI-Haftung in Deutschland.

Einsatzmatrix: Wann droht welche Haftung?

Wichtig: Auch der Bundesgerichtshof hatte bereits 2012 (BGH, Urt. v. 16.10.2012 – X ZR 37/12) entschieden, dass vollautomatisch generierte Erklärungen – damals noch einfache Buchungsbestätigungen – als rechtlich bindende Willenserklärungen des Betreibers gelten. KI-Chatbots sind lediglich die konsequente Fortführung dieses Prinzips.

2. EU AI Act – Was ab August 2026 für KMU gilt

Der EU AI Act (Verordnung (EU) 2024/1689) ist kein Zukunftsprojekt mehr. Verbote für unannehmbare KI-Praktiken gelten bereits seit Februar 2025. Ab dem 2. August 2026 treten die zentralen Transparenz- und Kennzeichnungspflichten in Kraft – und diese betreffen fast jedes KMU, das KI im Kundenkontakt einsetzt.

Risikoklassen und Pflichten im Überblick

Der EU AI Act unterscheidet vier Risikokategorien:

• Verbotene KI-Praktiken (z.B. Social Scoring, manipulative Systeme): Verboten seit 02.02.2025. Für den KMU-Kundenservice in der Regel nicht relevant – aber die Grenzen sollte man kennen.
• Hochrisiko-KI (z.B. Personalrekrutierung, Kreditvergabe, biometrische Identifizierung): Strenge Dokumentations-, Schulungs- und Aufsichtspflichten. Hochrisiko-Pflichten nach Anhang III wurden durch den Digital Omnibus 2026 auf voraussichtlich Dezember 2027 verschoben – aber das ist keine Entwarnung für die August-2026-Pflichten.
• Begrenztes Risiko (Chatbots, Sprachassistenten, Voicebots): Transparenzpflichten. Nutzer müssen wissen, dass sie mit einer KI interagieren. Das gilt ab 2. August 2026 ohne Ausnahme.
• Minimales Risiko (Spam-Filter, Empfehlungssysteme): Keine spezifischen Pflichten.

Die praktisch wichtigste Regel für KMU im Kundenservice lautet: Wer einen Chatbot oder Sprachassistenten betreibt, muss diesen als KI kennzeichnen – sichtbar, beim Start der ersten Interaktion. Eine kleine Fußzeile oder ein Hinweis in den AGB reicht nicht aus. Einen Bestandsschutz für bereits laufende Systeme gibt es nicht: Jedes System, das ab dem 2. August 2026 noch aktiv mit Nutzern kommuniziert, muss die Offenlegungspflicht erfüllen.

Auch als reiner Betreiber (Deployer) – also als Unternehmen, das ein fertiges KI-Tool einkauft und einsetzt, ohne es selbst zu entwickeln – hat man konkrete Pflichten: geschultes Aufsichtspersonal, Protokollierung für mindestens sechs Monate, Sicherung relevanter Eingabedaten.

Bußgelder und KMU-Erleichterungen

Der EU AI Act sieht ein dreistufiges Bußgeldsystem vor:

• Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen verbotene KI-Praktiken (Art. 5)
• Bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes für die meisten anderen Anbieter- und Betreiberpflichten (u.a. Art. 50 Kennzeichnung)
• Bis zu 7,5 Mio. Euro oder 1 % für falsche Informationen an Behörden

KMU-Erleichterung: Für KMU und Start-ups gilt nach Art. 99 Abs. 6 EU AI Act jeweils der niedrigere Betrag (also Festbetrag oder Umsatzprozentsatz, je nachdem was geringer ist). Zudem haben nationale Aufsichtsbehörden die Pflicht, KMU kostenlose Beratung anzubieten. In Deutschland sind voraussichtlich BNetzA und BfDI nach Zuständigkeitsbereich verantwortlich – das deutsche Durchführungsgesetz befindet sich Stand 2026 noch in Vorbereitung.

Hinweis: Die vereinfachte Compliance-Grenze wurde durch den Digital Omnibus auf bis zu 750 Mitarbeitende und 150 Mio. Euro Jahresumsatz ausgeweitet (zuvor 250 Mitarbeitende / 50 Mio. Euro).

3. DSGVO und KI im Kundenservice – die vier Kernpflichten

Die DSGVO gilt vollumfänglich für alle KI-Anwendungen, die personenbezogene Daten verarbeiten – und das tun so gut wie alle Kundenservice-KI-Systeme. Vier Artikel sind für KMU besonders relevant:

Art. 22 DSGVO: Das Verbot vollautomatisierter Entscheidungen

Art. 22 DSGVO verbietet grundsätzlich, Personen einer ausschließlich automatisierten Entscheidung zu unterwerfen, die rechtliche Wirkung hat oder sie erheblich beeinträchtigt. Das betrifft z.B. automatische Kreditablehnungen, automatisierte Sperrungen von Kundenaccounts oder vollautomatisch abgelehnte Reklamationen.

Für KMU im Kundenservice bedeutet das: Wenn eine KI eine Entscheidung trifft, die für den Kunden erhebliche Konsequenzen hat, muss ein Mensch die finale Kontrolle behalten oder der Kunde muss das Recht haben, eine menschliche Überprüfung zu verlangen. Ein Autoresponder, der eine Mängelrüge als „unbegründet" ablehnt, schafft rechtliche Tatsachen – auch ohne menschliche Prüfung.

Weitere DSGVO-Pflichten im Überblick

• Art. 13/14 DSGVO – Informationspflicht: Kunden müssen klar informiert werden, welche KI-Systeme welche Daten verarbeiten. Die KI-Tools müssen in der Datenschutzerklärung aufgeführt sein.
• Art. 28 DSGVO – Auftragsverarbeitervertrag (AVV): KI-Anbieter (z.B. OpenAI, Microsoft, spezialisierte Kundenservice-KI-Anbieter) sind Auftragsverarbeiter. Ein schriftlicher AVV ist zwingend – und wird in der Praxis häufig vergessen.
• Art. 35 DSGVO – Datenschutz-Folgenabschätzung (DSFA): Bei KI-Systemen, die Profiling betreiben, automatisierte Entscheidungen treffen oder besondere Datenkategorien verarbeiten, ist eine DSFA vor dem Einsatz Pflicht.
• Art. 30 DSGVO – Verarbeitungsverzeichnis: Jeder KI-Einsatz-Use-Case im Kundenservice muss im Verzeichnis der Verarbeitungstätigkeiten dokumentiert sein.

Viele KI-Dienste haben ihren Sitz in den USA. Datenübermittlungen in Drittländer außerhalb des EWR erfordern einen Angemessenheitsbeschluss (für die USA: das EU-US Data Privacy Framework) oder Standardvertragsklauseln. Wer diesen Punkt übersieht, riskiert DSGVO-Bußgelder unabhängig vom EU AI Act.

👉 Mehr zum DSGVO-konformen Einsatz von KI-Telefonsystemen lesen Sie in unserem Artikel DSGVO und KI-Telefonassistenten: Was Betreiber wissen müssen.

4. Human-Handover als rechtliche Schutzmaßnahme

Der wirksamste Schutzmechanismus gegen Haftungsrisiken ist kein technisches Feature – es ist ein klarer Prozess: der Human-Handover. Wenn eine KI erkennt, dass sie an eine Grenze stößt, muss sie den Vorgang an einen menschlichen Mitarbeiter übergeben. Dieser Moment muss definiert, dokumentiert und zuverlässig ausgelöst werden.

Wann muss ein Mensch übernehmen?

IT-Anwalt Remmertz empfiehlt: „Nur geprüfte Textbausteine einsetzen oder klare Hinweise geben, wann ein Mensch prüft." Praktisch lassen sich folgende Trigger-Situationen definieren:

• Rechtlich relevante Aussagen: Preise, Vertragsbedingungen, Widerrufsrechte, Garantien, Facharztbezeichnungen, Zertifizierungen
• Beschwerden und Reklamationen: Jede Mängelrüge, Rückabwicklung oder Eskalation gehört vor menschliche Augen
• Unzufriedene oder frustrierte Kunden: Wenn Sentiment-Analyse oder Gesprächskontext auf Frustration hinweist
• Entscheidungen mit erheblicher Wirkung: Kontoschließungen, Leistungsablehnungen, Terminabsagen mit Konsequenzen
• Unsicherheit der KI: Wenn das System kein eindeutiges Antwortmuster findet oder eine Halluzinations-Warnschwelle überschreitet
• Datenschutz-sensible Anfragen: Auskunftsersuchen nach Art. 15 DSGVO, Löschanfragen, Widersprüche

eRecht24 fasst es prägnant zusammen: „Verzichten Sie auf eine komplette Automatisierung. Bei komplexen Anliegen oder unzufriedenen Kunden sollte immer ein Mensch übernehmen."

👉 Wie Human-Handover bei KI-Telefonsystemen technisch umgesetzt wird, erklärt unser Artikel Human-Handover beim KI-Telefonassistenten: So geht's richtig.

30/60/90-Tage-Plan: Rechtssicherer KI-Kundenservice für KMU

Phase 1 – Inventur und Sofortmaßnahmen (erste 30 Tage):

• KI-Inventur: Welche KI-Systeme kommunizieren mit Kunden? (inkl. E-Mail-Autoresponder, Chat-Plugins, Telefonassistenten)
• Alle KI-Chatbots und Voicebots mit KI-Hinweis versehen (Vorbereitung auf Aug.-2026-Pflicht)
• Prüfen: Gibt es aktive AVV-Verträge mit KI-Anbietern?
• KI-Tools ins Verarbeitungsverzeichnis (Art. 30 DSGVO) aufnehmen

Phase 2 – Prozesse und Dokumentation (Tage 31–60):

• Human-Handover-Regeln schriftlich definieren (welche Trigger-Situationen, welcher Eskalationsweg)
• Prüfen: Ist Art. 22 DSGVO betroffen? Wenn ja: menschliche Review-Schicht einbauen
• Datenschutz-Folgenabschätzung (DSFA) für KI-Systeme mit erhöhtem Risiko durchführen
• Datenschutzerklärung um KI-Tool-Nutzung ergänzen

Phase 3 – Governance und Monitoring (Tage 61–90):

• Protokollierungspflicht sicherstellen: KI-Interaktionslogs mindestens 6 Monate aufbewahren
• Mitarbeiter schulen: Wer übernimmt Eskalationen? Welche Vorgaben gelten beim manuellen Eingriff?
• Quartalsweise Review: Hat die KI Aussagen getroffen, die rechtlich problematisch sind?
• Interne KI-Nutzungsrichtlinie erstellen – inkl. Verboten für „Shadow AI" (nicht genehmigte Tools)

5. Checkliste: Rechtssicherer KI-Einsatz im Kundenservice

Diese Checkliste fasst die wichtigsten Maßnahmen zusammen – geeignet für den internen Review oder als Gesprächsgrundlage mit einem IT-Rechtsanwalt oder Datenschutzbeauftragten:

👉 Wie ein KI-Telefonassistent für Handwerksbetriebe konkret eingerichtet wird, lesen Sie hier: KI-Telefonassistent für Handwerk: Einrichtung und Compliance.

Häufige Fragen (FAQ)

Haftet mein Unternehmen auch, wenn der KI-Anbieter den Fehler verursacht hat?

Ja. Nach aktueller Rechtslage und dem OLG Hamm-Urteil (Az. 4 UKl 3/25) wird dem Betreiber zugerechnet, was der Chatbot kommuniziert – unabhängig davon, ob die falschen Aussagen auf fehlerhafter Programmierung oder einer eigenständigen KI-Generierung (Halluzination) beruhen. Regressansprüche gegen den Anbieter können ggf. vertraglich geregelt werden – das schützt aber nicht vor der Außenhaftung gegenüber Kunden oder Mitbewerbern.

Ist ein KI-Telefonassistent, der nur Termine vermittelt, haftungsrelevant?

Grundsätzlich: Ja, wenn er dabei Aussagen trifft (z.B. zu Preisen, Leistungsumfang, Wartezeiten), die den Kunden beeinflussen. Reine Terminbuchung ohne inhaltliche Auskünfte ist risikoärmer. Sobald der Assistent aber auf Nachfragen antwortet oder Informationen liefert, greift die Zurechnung. Klare Kommunikationsgrenzen im System reduzieren das Risiko deutlich.

Was muss ab August 2026 konkret geändert werden?

Ab dem 2. August 2026 gilt die Kennzeichnungspflicht nach Art. 50 EU AI Act. Jeder KI-Chatbot oder Voicebot muss beim ersten Kontakt sichtbar als KI ausgewiesen sein – nicht in den AGB versteckt, sondern im Gesprächsfenster oder in der Begrüßung. Eine Kennzeichnung jeder einzelnen Bot-Antwort ist dagegen nicht erforderlich. Bestandsschutz gibt es nicht: Auch bereits laufende Systeme müssen nachgerüstet werden.

Was droht, wenn ich keinen AVV mit meinem KI-Anbieter habe?

Ein fehlender Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist ein eigenständiger DSGVO-Verstoß, für den Datenschutzbehörden Bußgelder verhängen können. Zudem verlieren Sie bei einer Datenpanne oder einem Prüfungsverfahren die Möglichkeit, Verantwortlichkeiten klar abzugrenzen. Die meisten seriösen KI-Anbieter stellen AVV-Vorlagen bereit – prüfen Sie, ob Ihr Vertrag bereits einen solchen enthält.

Gilt der EU AI Act auch für KMU in Österreich und der Schweiz?

In Österreich gilt der EU AI Act direkt, da Österreich EU-Mitglied ist. Für Schweizer KMU gilt das Prinzip der Extraterritorialität: Entscheidend ist nicht der Firmensitz, sondern wo die KI-Ergebnisse ankommen. Ein Schweizer Dienstleister, der KI-generierte Auskünfte an Kunden in Deutschland oder Österreich liefert, ist ebenfalls vom EU AI Act erfasst.

Kann ich KI im Kundenservice trotz dieser Risiken sinnvoll einsetzen?

Ja – und viele KMU tun es bereits erfolgreich. Der Schlüssel liegt in klaren Systemgrenzen: Die KI beantwortet standardisierte Anfragen innerhalb eines definierten Themenbereichs. Bei rechtlich relevanten oder komplexen Sachverhalten übernimmt ein Mensch. Dieses Human-in-the-Loop-Modell reduziert Haftungsrisiken strukturell, ohne den Effizienzgewinn der KI zunichte zu machen.

Fazit: Haftung ist kein Zukunftsproblem mehr

Die Urteile sind gefallen, die Fristen laufen. KMU, die KI im Kundenkontakt einsetzen – ob als Chatbot, Sprachassistent oder automatisierten Mailer – tragen die volle rechtliche Verantwortung für das, was ihre Systeme kommunizieren. Das ist keine Theorie, das ist geltendes Recht, bestätigt durch das OLG Hamm im Mai 2026.

Die gute Nachricht: Das Risiko ist beherrschbar. Wer einen strukturierten Ansatz wählt – KI-Inventur, AVV-Verträge, klare Handover-Regeln und EU-AI-Act-konforme Kennzeichnung – setzt KI im Kundenservice rechtssicher ein. Das ist kein Großprojekt, sondern eine Frage klarer Organisation.

hey-listen.ai unterstützt KMU dabei, KI-Telefonsysteme datenschutzkonform, transparent und mit verlässlichen Human-Handover-Mechanismen einzurichten. KI selber ausprobieren und erfahren, wie ein rechtssicherer KI-Telefonassistent für Ihren Betrieb aussehen kann.

Quellen

• OLG Hamm, Urteil 12.05.2026 (Az. 4 UKl 3/25): Unternehmen haftet für falsche KI-Chatbot-Angaben wettbewerbsrechtlich wie für eigene Aussagen. Revision zugelassen. Quellen: WirtschaftsWoche (Jun 2026) | IT-Recht Kanzlei | Der Betrieb | RSM Ebner Stolz
• EU AI Act Bußgeld-Tiers und KMU-Erleichterungen (Art. 99): Secjur, Mai 2026 | DigiRift, März 2026
• EU AI Act Transparenzpflichten ab 02.08.2026 (Art. 50): IT-Administrator | TWOSEE, Jun 2026
• EU AI Act Betreiberpflichten (Protokollierung, Aufsicht): Kopexa | PrivacyBee, Jun 2026
• Digital Omnibus – Verschiebung Hochrisiko-Pflichten auf Dez. 2027: GreenOnion | TWOSEE
• KMU-Privilegien bis 750 MA / 150 Mio. EUR Umsatz: IgniTech, Jun 2026
• Art. 22 DSGVO – Verbot vollautomatisierter Entscheidungen: Rödl & Partner, Mai 2025 | Keyed
• DSGVO-Pflichten im KI-Kundenservice (AVV, DSFA, Verarbeitungsverzeichnis): Keyed | eRecht24
• LG Kiel (Az. 6 O 151/23) – Störerhaftung bei KI-Falschinformationen: GetLaw
• BGH, Urt. 16.10.2012, X ZR 37/12 – Computererklärungen als Willenserklärung: Zitiert bei Digitalzentrum Chemnitz
• Zitat IT-Anwalt Frank Remmertz und Carlo Piltz: WirtschaftsWoche, Jun 2026