EU-gehostete Admissions-Chatbots: Alternativen und DSGVO

Ein „EU-gehosteter“ Admissions-Chatbot beantwortet nur eine Frage: wo die Daten gespeichert sind. Wer darauf zugreifen kann und welche Unterauftragsverarbeiter dahinterstehen, bleibt offen, allen voran das KI-Modell. Für eine Hochschule entscheidet sich die Wahl einer europäischen Alternative zu einem US-Anbieter an vier Punkten: Speicherort, kontrollierende Rechtseinheit, Unterauftragnehmerliste und Fernzugriffe. Dieser Beitrag liefert die Prüfmatrix, Stand 12. Oktober 2026.

Wir bewerten keine Anbieter mit Namen. Ein fairer Vergleich braucht für jede Zelle datierte, öffentliche Belege, und das ist ein eigenes Projekt. Suchvolumen und Keyword-Schwierigkeit lagen für dieses Thema nicht vor; der Beitrag stützt sich auf die Lektüre amtlicher Quellen.

Warum die Frage Hochschulen in Deutschland trifft

Ein Admissions-Chatbot erfasst Namen, E-Mail-Adressen, Telefonnummern, Studienwünsche und im Freitext alles, was Studieninteressierte von sich preisgeben. Die Gespräche beginnen oft lange vor der Bewerbung, etwa vor der Immatrikulation an einer Fachhochschule oder einem dualen Studiengang.

Die Hochschule bleibt Verantwortliche, auch wenn der Anbieter die Technik betreibt. Erwägungsgrund 81 der DSGVO verlangt, dass Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten (DSGVO, Volltext auf EUR-Lex, englische Fassung). Für private Hochschulen sind in der Regel die Datenschutzbehörden der Länder zuständig, für Bundeseinrichtungen die BfDI. Klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten, welche Aufsicht für Sie gilt.

EU-Hosting und Drittlandübermittlung: die Rechtslage

Speicherung in der EU schließt eine Drittlandübermittlung nicht aus. Nach den Leitlinien 05/2021 des Europäischen Datenschutzausschusses zum Zusammenspiel von Artikel 3 und Kapitel V kann auch die Bereitstellung von Daten für eine Stelle in einem Drittland eine Übermittlung sein, etwa beim Fernzugriff durch den Support (EDSA, Leitlinien 05/2021, englisch). Ein Techniker in den USA, der ein Gespräch zur Fehlersuche öffnet, kann Kapitel V auslösen.

Als Grundlage dient zuerst der Angemessenheitsbeschluss. Fehlt er, braucht es geeignete Garantien wie Standardvertragsklauseln und eine Prüfung der Rechtslage im Zielland.

Stand des Data Privacy Framework

Die Europäische Kommission hat am 10. Juli 2023 ihren Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) angenommen. Personenbezogene Daten dürfen danach frei an US-Unternehmen fließen, die am Rahmen teilnehmen (Europäische Kommission, EU-US-Datentransfers, englisch). Der Beschluss gilt nur für zertifizierte Unternehmen.

Das Gericht der Europäischen Union hat die Klage von Herrn Latombe am 3. September 2025 abgewiesen (Rechtssache T-553/23); die spanische Behörde würdigt das in einer Pressemitteilung der AEPD (spanisch). Nach unserem Kenntnisstand ist ein Rechtsmittel beim Gerichtshof anhängig. Der Rahmen gilt heute, seine Zukunft ist offen; der Vorgänger Privacy Shield wurde 2020 mit dem Schrems-II-Urteil für ungültig erklärt.

Vier Arten europäischer Alternativen

Es gibt nicht die eine europäische Alternative, sondern vier Architekturen mit unterschiedlichen Abwägungen. Preise nennen wir nicht: Öffentliche Preislisten für einen redlichen Vergleich fehlen.

Skolbot ist ein französischer Anbieter von Admissions-Chatbots. Legen Sie dieselbe Messlatte an wie bei allen anderen: Auftragsverarbeitungsvertrag, Unterauftragnehmerliste, Verarbeitungsorte.

Die KI-Schicht: oft vergessen

Das Sprachmodell ist ein eigener Unterauftragsverarbeiter. Schickt ein in der EU gehosteter Chatbot jedes Gespräch an eine Modell-Schnittstelle außerhalb der EU, hält das Hosting-Versprechen nicht. Fragen Sie, welches Modell antwortet, in welcher Region es läuft und ob Gespräche zum Training dienen.

Das wiegt besonders bei Freitext, in dem Interessierte Gesundheit, Aufenthaltsfragen oder finanzielle Sorgen schildern. Mehr zu den Fallkonstellationen steht in unserem Beitrag zur Datenspeicherung von Studieninteressierten außerhalb der EU.

So gehen Sie in drei Schritten vor

Beginnen Sie mit der Datenlandkarte, nicht mit dem Anbietervergleich. Erfassen Sie zuerst, welche Daten der Chatbot tatsächlich erhält: Kontaktdaten, Studienwunsch, Freitext, gegebenenfalls Dokumente. Erst dann lässt sich beurteilen, welche Anforderungen an Hosting und Unterauftragsverarbeiter wirklich zählen.

Im zweiten Schritt holen Sie von jedem Anbieter dieselben schriftlichen Antworten ein, am besten anhand der folgenden Fragenliste. Vergleichen Sie Antworten, nicht Werbeversprechen. Im dritten Schritt lassen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten die Übermittlungsgrundlage für jede Stufe der Kette bewerten, auch für das KI-Modell. Ein Pilot mit Testdaten statt echten Bewerbungen hilft, die Datenflüsse zu beobachten, bevor Interessierte den Chatbot nutzen.

Zehn Fragen an den Anbieter

1. In welchen Ländern liegen Gespräche, Backups und Protokolle?
2. Welche Rechtseinheit schließt den Vertrag, wo hat sie ihren Sitz?
3. Wer greift aus welchen Ländern und zu welchem Zweck aus der Ferne zu?
4. Wie lautet die vollständige Unterauftragnehmerliste, inklusive KI-Modell?
5. Ist der Anbieter DPF-zertifiziert, und wie ist der Status in der offiziellen Liste?
6. Werden Gespräche zum Training eines Modells verwendet?
7. Welche Standard-Speicherdauer gilt, und wie läuft die Löschung auf Anfrage?
8. Wie und wie schnell werden Datenpannen gemeldet?
9. Enthält der Auftragsverarbeitungsvertrag die Pflichtinhalte nach Artikel 28?
10. Wie sind Rückgabe und Löschung am Vertragsende geregelt?

Lassen Sie sich die Antworten schriftlich geben und dem Vertrag beifügen. Eine mündliche Zusage schützt bei einer Aufsichtsprüfung nicht.

Was EU-Hosting nicht löst

Hosting ersetzt weder Rechtsgrundlage noch Information der Bewerbenden noch Datensparsamkeit. Der Chatbot sollte nur fragen, was für die Zulassung nötig ist, klar informieren und Betroffenenrechte ermöglichen. Unser Leitfaden zu DSGVO-konformen Chatbots für Hochschulen behandelt diese Punkte.

Zur Einordnung im Markt helfen der Vergleich von KI-Agenten für die Studierendengewinnung und die Anleitung, einen KI-Agenten auszuwählen. Den Überblick liefert der Leitfaden zum KI-Chatbot für die Studierendengewinnung.

Häufige Fragen

Ist ein EU-gehosteter Chatbot automatisch DSGVO-konform?

Nein. EU-Hosting verringert das Übermittlungsrisiko, doch Rechtsgrundlage, Information, Speicherdauer und Auftragsverarbeitungsvertrag bleiben zu prüfen. Fernzugriffe aus Drittländern können selbst eine Übermittlung sein.

Kann ein US-Anbieter eine Option bleiben?

Ja, mit aktivem DPF-Status oder Standardvertragsklauseln samt Risikoprüfung. Der Rahmen gilt derzeit, ist aber angefochten; vereinbaren Sie ein Ausstiegsrecht.

Lohnt sich selbst gehostete Open-Source-Software?

Nur, wenn die Hochschule Betrieb und Sicherheit leisten kann. Sie gewinnen Datenkontrolle und übernehmen Wartung, Updates und Antwortqualität.

Was fragt man zum KI-Modell?

Name, Ausführungsland, Aufbewahrung der Eingaben und die schriftliche Zusage, dass Ihre Gespräche kein Training speisen. Ohne diese Angaben ist die Unterauftragnehmerliste unvollständig.