EU-gehostete Admissions-Chatbots: DSGVO-Leitfaden für Österreich

Ein „in der EU gehosteter“ Admissions-Chatbot sagt nur, wo die Daten liegen. Wer darauf zugreifen kann und welche Subauftragsverarbeiter beteiligt sind, bleibt offen, allen voran das KI-Modell. Für Fachhochschulen, Privatuniversitäten und private Bildungsanbieter in Österreich entscheidet sich die Wahl einer europäischen Alternative zu einem US-Anbieter an vier Punkten: Speicherort, kontrollierende Rechtseinheit, Liste der Subauftragsverarbeiter und Fernzugriffe. Diese Prüfmatrix beruht auf Quellen, die am 12. Oktober 2026 gelesen wurden.

Wir nennen keine Anbieter: Ein fairer Vergleich braucht für jede Zelle datierte öffentliche Belege. Suchvolumen und Keyword-Schwierigkeit lagen für dieses Thema nicht vor; der Beitrag stützt sich auf amtliche Quellen.

Warum die Frage in Österreich relevant ist

Ein Admissions-Chatbot erfasst Namen, E-Mail-Adressen, Telefonnummern, Studienwünsche und im Freitext alles, was Interessierte angeben. Viele Gespräche finden vor der Bewerbung statt, etwa wenn Maturantinnen und Maturanten FH-Studiengänge, Privatuniversitäten und berufsbegleitende Programme vergleichen.

Die Hochschule bleibt Verantwortliche, auch wenn der Anbieter die Technik betreibt. Erwägungsgrund 81 der DSGVO verlangt, dass nur Auftragsverarbeiter eingesetzt werden, die hinreichende Garantien bieten (DSGVO, Volltext auf EUR-Lex, englische Fassung). In Österreich ist die Datenschutzbehörde (DSB) die Aufsichtsbehörde; ergänzend gilt das Datenschutzgesetz (DSG). Wer sich bei AQ Austria akkreditieren lässt oder Studienbeihilfe-relevante Programme anbietet, begegnet der Datenschutzfrage oft in denselben Prüfungen.

Hosting und Drittlandübermittlung

Speicherung in der EU schließt eine Übermittlung in ein Drittland nicht aus. Nach den Leitlinien 05/2021 des Europäischen Datenschutzausschusses zum Zusammenspiel von Artikel 3 und Kapitel V kann das Zugänglichmachen von Daten für eine Stelle in einem Drittland eine Übermittlung sein, auch bei Fernwartung (EDSA, Leitlinien 05/2021, englisch). Ein US-Techniker, der ein Gespräch zur Fehlerbehebung öffnet, kann Kapitel V auslösen.

Zuerst kommt der Angemessenheitsbeschluss. Fehlt er, braucht es geeignete Garantien, etwa Standardvertragsklauseln, und eine Bewertung des Ziellands.

Stand des Data Privacy Framework

Die Europäische Kommission hat am 10. Juli 2023 ihren Angemessenheitsbeschluss zum EU-US Data Privacy Framework angenommen. Personenbezogene Daten dürfen danach frei an teilnehmende US-Unternehmen fließen (Europäische Kommission, EU-US-Datentransfers, englisch). Die DSB stellt klar, dass der Beschluss nur Datenimporteure in den USA abdeckt, die in der Data Privacy Framework List aufscheinen (DSB, EU-U.S. Data Privacy Framework). Alle anderen US-Empfänger brauchen andere Garantien.

Das Gericht der Europäischen Union hat am 3. September 2025 die Klage Latombe abgewiesen (Rechtssache T-553/23), wie eine Pressemitteilung der spanischen AEPD festhält (spanisch). Nach unserem Kenntnisstand ist ein Rechtsmittel beim Gerichtshof anhängig. Der Rahmen gilt heute; sein Vorgänger Privacy Shield wurde 2020 mit dem Urteil Schrems II gekippt.

Vier Arten europäischer Alternativen

Es gibt nicht die eine europäische Alternative, sondern vier Architekturen mit unterschiedlichen Abwägungen. Preise nennen wir nicht, weil öffentliche Preislisten für einen fairen Vergleich fehlen.

Skolbot ist ein französischer Anbieter von Admissions-Chatbots. Messen Sie ihn an derselben Latte wie alle anderen: Auftragsverarbeitervertrag, Liste der Subauftragsverarbeiter, Verarbeitungsorte.

Die KI-Schicht

Das Sprachmodell ist ein eigener Subauftragsverarbeiter. Schickt ein in der EU gehosteter Chatbot jedes Gespräch an eine Schnittstelle außerhalb der EU, hält das Hosting-Versprechen nicht. Fragen Sie, welches Modell antwortet, in welcher Region, und ob Gespräche Trainingsdaten werden.

Besonders heikel ist Freitext zu Gesundheit, Aufenthaltsstatus oder Geldsorgen. Unser Beitrag zur Datenspeicherung von Studieninteressierten außerhalb der EU behandelt die Konstellationen.

So gehen Sie in drei Schritten vor

Beginnen Sie mit einer Landkarte der Daten, nicht mit dem Anbietervergleich. Halten Sie fest, was der Chatbot tatsächlich erhält: Kontaktdaten, Studienwunsch, Freitext und mögliche Dokumente. Danach zeigt sich, welche Anforderungen an Hosting und Subauftragsverarbeiter wirklich zählen.

Im zweiten Schritt holen Sie von jedem Anbieter dieselben schriftlichen Antworten ein, am besten anhand der folgenden Fragenliste, und vergleichen Antworten statt Werbeversprechen. Im dritten Schritt lassen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten die Übermittlungsgrundlage jeder Stufe der Kette prüfen, auch jene des KI-Modells. Ein Pilot mit Testdaten statt echten Bewerbungen macht die Datenflüsse sichtbar, bevor Maturantinnen und Maturanten den Chatbot nutzen. Bei einer Privatuniversität, die zugleich in Deutschland oder der Schweiz wirbt, kommt die Frage hinzu, welches nationale Recht für welche Zielgruppe gilt.

Zehn Fragen an den Anbieter

1. In welchen Ländern liegen Gespräche, Sicherungen und Protokolle?
2. Welche Rechtseinheit schließt den Vertrag, und wo hat sie ihren Sitz?
3. Wer greift aus welchen Ländern und warum aus der Ferne zu?
4. Wie lautet die vollständige Liste der Subauftragsverarbeiter, inklusive KI-Modell?
5. Steht der Anbieter in der DPF-Liste, und mit welchem Status?
6. Werden Gespräche zum Training eines Modells verwendet?
7. Welche Standard-Speicherdauer gilt, und wie wird eine Löschung umgesetzt?
8. Wie und wie schnell werden Datenschutzverletzungen gemeldet?
9. Enthält der Vertrag die Inhalte nach Artikel 28 DSGVO?
10. Wie sind Rückgabe und Löschung am Vertragsende geregelt?

Lassen Sie sich die Antworten schriftlich geben und dem Vertrag beifügen.

Was Hosting in der EU nicht löst

Hosting ersetzt weder Rechtsgrundlage noch Information der Interessierten noch Datenminimierung. Der Chatbot sollte nur fragen, was für die Zulassung nötig ist, und Betroffenenrechte ermöglichen. Unser Leitfaden zu DSGVO-konformen Chatbots für Hochschulen behandelt diese Punkte.

Zur Einordnung helfen der Vergleich von KI-Agenten für die Studierendengewinnung und die Anleitung, einen KI-Agenten auszuwählen. Den Überblick gibt der Leitfaden zum KI-Chatbot für die Studierendengewinnung.

Häufige Fragen

Ist ein EU-gehosteter Chatbot automatisch DSGVO-konform?

Nein. EU-Hosting senkt das Übermittlungsrisiko, doch Rechtsgrundlage, Information, Speicherdauer und Auftragsverarbeitervertrag bleiben zu prüfen. Fernzugriffe aus Drittländern können selbst eine Übermittlung sein.

Bleibt ein US-Anbieter eine Option?

Ja, mit Eintrag in der DPF-Liste oder Standardvertragsklauseln samt Risikobewertung. Der Rahmen gilt heute, ist aber angefochten; vereinbaren Sie ein Ausstiegsrecht.

Lohnt sich selbst gehostete Open-Source-Software?

Nur, wenn die Hochschule Betrieb und Sicherheit leisten kann. Sie gewinnen Datenkontrolle und tragen Wartung und Antwortqualität.

Was fragt man zum KI-Modell?

Name, Ausführungsland, Aufbewahrung der Eingaben und die schriftliche Zusage, dass Ihre Gespräche kein Training speisen. Ohne diese Angaben ist die Liste unvollständig.