KI-Begleiter Datenschutz: was sie sammeln & deine Rechte (2026)
KI-Begleiter Datenschutz 2026: was Apps sammeln, speichern, teilen. DSGVO, CCPA, LGPD-Rechte, MyLovely-Leck, Replika-Verbot. Jede Policy in 5 Min.
Ich lese KI-Begleiter-Datenschutzerklärungen beruflich, und ich sag's dir gleich vorweg: Die Dinger sind so geschrieben, dass sie keiner liest. Die von Candy.ai hat rund 8.900 Wörter; die von Replika so 7.200; die von Joi pendelt um die 6.000. Alle drei richtig durchzuackern hat mich letzten Monat einen langen Sonntagnachmittag gekostet, einen starken Kaffee und 'nen Notizblock. Die meisten Leser werden sich diese Stunden nie nehmen. Diese Seite ist das, was diese Stunden zum KI-Begleiter Datenschutz bringen, eingedampft auf etwas, das du vorher tatsächlich nutzen kannst, bevor du dich irgendwo anmeldest.
Welche Daten sammeln KI-Begleiter-Apps?
KI-Begleiter-Apps sammeln typischerweise acht Datenkategorien: Chat-Verläufe, generierte Bilder, Sprachaufnahmen, Charakter-Konfiguration, Konto-IDs, Abrechnungs-Token, Authentifizierungs-Metadaten und Verhaltens-Telemetrie. Der genaue Umfang variiert je Plattform und wird in jeder Datenschutzerklärung unter den von DSGVO Artikel 13(1)(c) und CCPA §1798.100(b) geforderten Kategorien offengelegt. KI-Begleiter Datenschutz verteilt sich über alle acht.
Die nach Sensibilität reichhaltigste Kategorie ist der Verlaufs-Korpus. Anders als ein Suchverlauf bündelt ein Verlauf über mehrere Monate mit einem KI-Begleiter intime Offenbarungen: Beziehungsstatus, sexuelle Vorlieben, psychische Gesundheit, Familienstreit und (bei aktivierter Stimme) biometrische Stimmproben in diagnostischer Qualität. Die Forscher von Mozillas Privacy Not Included haben in ihrer Prüfung vom Februar 2024 alle 11 untersuchten Romantik-KI-Chatbots mit dem Privacy Not Included-Warnlabel versehen [Source: Mozilla Foundation, Privacy Not Included: Romantik-KI-Chatbots · verified 2026-05-26]. Das ist kein Tippfehler. Elf von elf.
Die Charakter-Konfiguration wirkt harmlos (ein Name, eine Haarfarbe, ein Outfit), aber kombiniert mit Verläufen erzeugt sie einen Verhaltens-Fingerabdruck, der die Konto-Löschung überlebt, wenn das Charakter-JSON für Analytik aufbewahrt wird. Was du in ein Freitagabend-Rollenspiel kippst, ist nicht das, was du in eine Arbeits-E-Mail schreibst. Der Speicher-Layer kümmert sich nicht um den Unterschied.
Zuletzt geprüft: 2026.
Wie lange speichern KI-Begleiter-Apps Chat-Verläufe?
Die Speicherdauer reicht von nur-Session bis unbefristet, wobei die meisten Plattformen Verläufe für die aktive Konto-Lebensdauer plus ein 30- bis 365-tägiges Soft-Delete-Fenster vor der endgültigen Löschung behalten. Backups können 6 bis 12 Monate über das Soft-Delete-Fenster hinaus bestehen. Anonymisierte Embeddings zur Modellverbesserung werden unter Umständen unbefristet behalten, sofern du nicht widersprichst.
Eine Speicherklausel ist nach DSGVO Artikel 13(2)(a) Pflicht, aber das übliche „so lange wie nötig" ist unkonkret. Die Leitlinien 05/2020 des Europäischen Datenschutzausschusses zur Einwilligung verlangen, dass die Speicherdauer „bestimmt oder bestimmbar" ist [Source: Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung · verified 2026-05-26]. Die meisten KI-Begleiter-Datenschutzerklärungen reißen diese Latte dem Geist nach. Behandle jede Policy, die keine Zahl an Monaten oder Jahren nennt, als Warnzeichen.
Ehrlich, der Abstand zwischen den Policies, die Zahlen nennen, und denen, die rumeiern, ist das einzige größte Signal in der Kategorie. Candy.ai veröffentlicht 'ne echte Tabelle (3 Jahre Konto, 10 Jahre Finanzdaten, 30 Tage Log-Dateien). Joi gibt meist Zahlen. Replika sagt schlicht „für die Lebensdauer des Kontos". Die untere Hälfte des Bereichs gibt dir „wir speichern Daten, solange es für legitime Geschäftszwecke nötig ist", was übersetzt heißt: „unbefristet, es sei denn, wir überlegen es uns anders".
Sind KI-Begleiter-Chats verschlüsselt?
Fast alle KI-Begleiter-Apps verschlüsseln den Datenverkehr bei der Übertragung per TLS 1.2 oder 1.3 und die meisten die Daten im Ruhezustand per AES-256-Envelope-Verschlüsselung. Ende-zu-Ende-Verschlüsselung (bei der nur der Nutzer die Schlüssel hält) gibt es praktisch nicht, weil der LLM-Inferenzpfad Klartext lesen muss, um Antworten zu erzeugen. Server-Personal, Support-Mitarbeiter und jeder kompromittierte Dienstleister können die Verläufe im Prinzip lesen.
Die Electronic Frontier Foundation dokumentiert seit Jahren den Unterschied zwischen „verschlüsselt" und „Ende-zu-Ende-verschlüsselt" [Source: Electronic Frontier Foundation, Surveillance Self-Defense: Ende-zu-Ende-Verschlüsselung · verified 2026-05-26]. Bei KI-Begleiter-Apps ist die Lücke strukturell, nicht fahrlässig. Das Modell auf dem Server muss deinen Text im Klartext lesen, um zu antworten, also wird die Nachricht mindestens einmal serverseitig entschlüsselt, bevor sie überhaupt bei dir ankommt. Das ist kein Fehler; so funktionieren Cloud-gehostete Sprachmodelle halt. Jeder Anbieter, der „E2EE-Chat mit unserer KI" bewirbt, nutzt den Begriff lose. Genau wie ein Restaurant, das mit „berührungsfreier Zubereitung" wirbt, während der Koch dein Essen trotzdem anrichtet.
Teilen KI-Begleiter-Apps Daten mit Dritten?
Ja. Übliche Auftragsverarbeiter-Kategorien sind Cloud-Hosting (AWS, Google Cloud, Azure), Zahlungsdienstleister (Stripe, Epoch, CCBill, Segpay), Analytik (Mixpanel, Amplitude, PostHog), Fehler-Monitoring (Sentry, Datadog), Werbe-IDs (Google, Meta, TikTok Pixel) und LLM-API-Anbieter (OpenAI, Anthropic, Mistral). Manche Plattformen teilen auch mit Marketing-Affiliates. Die vollständige Liste ist nach DSGVO Artikel 13(1)(e) vorgeschrieben.
Der Bericht How Americans View Data Privacy des Pew Research Center fand, dass 73 Prozent der Amerikaner sagen, sie hätten wenig oder gar keine Kontrolle über die Daten, die Firmen sammeln, und 67 Prozent sagen, sie verstünden wenig oder nichts davon, was Firmen damit tun [Source: Pew Research Center, How Americans View Data Privacy · verified 2026-05-26]. Die Zahlen liegen höher, wenn die Datenkategorie intim ist. Ein eigenständiger Check der Auftragsverarbeiter-Liste einer KI-Begleiter-App ist der einzige nützlichste Schritt vor der Anmeldung, den du in fünf Minuten erledigst. Such die Seite „Auftragsverarbeiter" oder die Tabelle in der Policy; gibt's gar keine Liste, ist das selbst schon die Antwort.
Kann ich meinen KI-Begleiter-Chatverlauf löschen?
Die meisten seriösen KI-Begleiter-Apps bieten eine In-App-Löschung einzelner Nachrichten, ganzer Verläufe und des gesamten Kontos. Eine Konto-Löschung startet typischerweise ein 30- bis 90-tägiges Soft-Delete-Fenster, in dem die Daten wiederherstellbar sind, gefolgt von der endgültigen Löschung. Backup-Bänder können 6 bis 12 Monate bestehen. Nach DSGVO Artikel 17 und CCPA §1798.105 ist die Löschung ein gesetzliches Recht mit förmlichen Fristen.
Praktische Vorbehalte: Löschanträge über den In-App-Button lösen nicht immer die Löschung von Modellverbesserungs-Embeddings oder anonymisierten Analytik-Zeilen aus. Artikel 17(1)(a) bis (f) listet sechs Gründe für die Löschung; wenn du das Recht ausübst, nenn den passenden Grund (typischerweise „nicht mehr notwendig" oder „Einwilligung widerrufen"), um Widerstand zu vermeiden. Die Abfolge, die ich bei jeder App durchziehe, die ich fallen lasse, ist dieselbe, die ich in unserem Begleittext zu wie KI-Freundinnen Daten speichern dokumentiert hab: erst exportieren, dann löschen, dem veröffentlichten DSB eine Bestätigung der vollständigen Löschung anmailen, die Antwort in einem eigenen Ordner sichern. Brauchst du vielleicht später noch.
Zuletzt geprüft: 2026.
Was ist das MyLovely.ai-Datenleck?
Im April 2026 bestätigte Have I Been Pwned ein MyLovely.ai-Leck, das 106.362 Konten offenlegte, darunter Chat-Logs, E-Mails und rund 70.000 Prompt-Strings, verknüpft mit Nutzer-IDs. Der Vorfall passt zu einem wiederkehrenden Muster falsch konfigurierter Cloud-Speicher im KI-Begleiter-Bereich, dieselbe Grundursache wie bei mehreren Lecks von 2023 bis 2025 in dieser Kategorie. Die volle Chronik steht auf unserer Datenleck-Watchlist.
Ich behandle MyLovely.ai nicht als Ausreißer, sondern als Normalfall. Cloud-Fehlkonfiguration ist der dominante Leck-Modus in der Kategorie, und genau deshalb stützt sich praktische Härtung auf das, was du clientseitig kontrollieren kannst (starke, einmalige Passwörter, Zwei-Faktor auf der Wiederherstellungs-E-Mail, ein eigener E-Mail-Alias pro Konto, keine Wiederverwendung der Zahlungskarte), statt auf das, was du dem Anbieter zu schützen anvertrauen musst [Source: Have I Been Pwned, MyLovely.ai sensibles Datenleck (April 2026, 106.362 Konten) · verified 2026-05-31]. Betroffene Nutzer sollten Passwörter bei jedem Dienst ändern, der die geleakten Zugangsdaten wiederverwendet, Zwei-Faktor auf ihrer E-Mail aktivieren und auf Phishing achten, das Verlaufs-Inhalte als „Echtheitsbeweis" zitiert.
Worum ging es beim Replika-Verbot 2023 in Italien?
Am 3. Februar 2023 ordnete die italienische Garante an, dass Replikas Entwickler Luka Inc. die Verarbeitung der personenbezogenen Daten italienischer Nutzer sofort einstellt. Die Garante verwies auf das Fehlen einer Rechtsgrundlage nach DSGVO Artikel 6, die fehlende Altersprüfung (mit Risiko für Minderjährige) und konkreten Schaden bei emotional verletzlichen Nutzern, der in Nutzeraussagen belegt war. Im April 2025 verhängte die Garante nach einer Folge-Untersuchung eine Geldbuße von 5 Millionen Euro gegen Luka Inc.
Die Entscheidung der Garante ist die meistzitierte regulatorische Maßnahme gegen eine KI-Begleiter-App bislang und Pflichtlektüre für jeden, der den Bereich bewertet [Source: Italienische Datenschutzbehörde (Garante), Provvedimento Replika und Geldbuße 2025 · verified 2026-05-26]. Ein darauf folgendes Update vom April 2023 hob das vorläufige Verarbeitungsverbot auf, nachdem Replika Altersprüfung und elterliche Einwilligung eingeführt hatte, aber die zugrunde liegenden Rechtsfragen zu Rechtsgrundlage und Artikel-9-Sonderkategorien brauchten zwei weitere Jahre und eine Geldbuße bis zur Klärung. Die Eskalation 2025 sagt dir: EU-Durchsetzung in dieser Kategorie ist real, nicht symbolisch.
Wie lese ich eine KI-Begleiter-Datenschutzerklärung?
Öffne die Datenschutzerklärung und nutze Strg+F (oder Cmd+F), um fünf Schlüsselwörter der Reihe nach zu suchen: 'Speicherung' oder 'Aufbewahrung', 'Dritte' oder 'Auftragsverarbeiter', 'Marketing', 'Training' und 'Verschlüsselung'. Lies bei jedem den umgebenden Absatz und notiere, ob die Sprache konkret ist (Monate, Anbieternamen, Algorithmusnamen) oder vage („so lange wie nötig", „vertrauenswürdige Partner", „branchenüblich"). Vage Sprache an einem der fünf Punkte ist ein Warnzeichen.
Der Fünf-Begriffe-Scan deckt vielleicht 80 Prozent des entscheidungsrelevanten Signals in einer typischen KI-Begleiter-Datenschutzerklärung ab. Ein Zweitdurchgang sucht nach: (1) ausdrücklicher Datenverkauf- oder Weitergabe-Sprache nach CCPA §1798.140(ad); (2) Mechanismen für grenzüberschreitende Übermittlung (Standardvertragsklauseln, Angemessenheitsbeschluss oder verbindliche interne Vorschriften nach DSGVO Kapitel V); (3) dem Datenschutzbeauftragten oder der Datenschutz-Kontakt-E-Mail nach Artikel 13(1)(b); (4) der Rechtsgrundlage nach Artikel 6 (Einwilligung, Vertrag, berechtigtes Interesse); und (5) einer eigenen Artikel-9-Rechtsgrundlage, wenn der Dienst sexuell oder rollenspiel-orientiert ist. Die meisten Tester in dem Bereich machen keinen dieser Checks. Sie zitieren die Marketing-Seite und nennen das einen Test. Der Fünf-Begriffe-Scan ist der Boden; der Tiefen-Check ist die Decke.
Zuletzt geprüft: 2026.
Welche DSGVO-Rechte habe ich bei KI-Begleiter-Apps?
Wenn du in der EU, in UK oder im EWR wohnst, geben dir DSGVO Artikel 15 bis 22 das Auskunftsrecht (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Übertragbarkeit (Art. 20) und Widerspruch (Art. 21). Der Verantwortliche muss nach Artikel 12(3) binnen eines Kalendermonats antworten, bei komplexen Anträgen mit Hinweis auf drei Monate verlängerbar. Stelle den Antrag über den Datenschutz-Kontakt der App oder deine nationale Datenschutzbehörde.
Artikel 15 (Auskunft) ist der nützlichste erste Schritt. Eine Auskunftsanfrage liefert dir eine Kopie aller personenbezogenen Daten, die der Verantwortliche über dich hält, samt Verläufen, Charakter-JSON und Verhaltens-Logs [Source: Datenschutz-Grundverordnung (Verordnung EU 2016/679), Artikel 5, 6, 9, 12-22 · verified 2026-05-26]. Das Ergebnis einer Artikel-15-Anfrage ist selbst ein Datenschutz-Check der Plattform: Du siehst, was sie tatsächlich über dich hat, nicht, was ihr Marketing behauptet. UK-Bewohner üben dieselben Rechte unter der UK-DSGVO und dem Data Protection Act 2018 aus.
Welche CCPA-Rechte habe ich?
Bewohner Kaliforniens haben fünf Kernrechte unter dem CCPA, geändert durch CPRA (gültig seit 1. Januar 2023): Auskunftsrecht über die gesammelten, genutzten, geteilten oder verkauften Daten (§1798.110); Recht auf Löschung (§1798.105); Recht auf Berichtigung (§1798.106); Widerspruch gegen Verkauf oder Weitergabe (§1798.120); und Recht auf Einschränkung der Nutzung und Offenlegung sensibler personenbezogener Daten (§1798.121). Unternehmen müssen binnen 45 Tagen antworten, mit Hinweis um weitere 45 Tage verlängerbar.
Sensible personenbezogene Daten umfassen unter CPRA §1798.140(ae) ausdrücklich „den Inhalt der Post, E-Mails und Textnachrichten eines Verbrauchers, sofern das Unternehmen nicht der beabsichtigte Empfänger der Kommunikation ist" [Source: California Consumer Privacy Act von 2018, Cal. Civ. Code §1798.100 ff. · verified 2026-05-26]. KI-Begleiter-Verläufe sind wohl Textnachrichten, bei denen die KI eine Partei ist; die Anwendung des Gesetzes ist umstritten, und Kalifornien hat das noch nicht sauber gerichtlich geklärt. Die Aufsichtsbehörde des Staates ist Stand jetzt die maßgebliche Auslegerin.
Verkaufen KI-Begleiter-Apps meine Daten?
Unter CCPA §1798.140(ad) bedeutet 'verkaufen' jede Weitergabe gegen geldwerten oder sonstigen Vorteil. Mehrere KI-Begleiter-Apps fallen unter diese Definition, weil sie Geräte-IDs und Verhaltensdaten gegen Werbe-Targeting-Fähigkeit mit Werbenetzwerken teilen. Der Link „Do Not Sell or Share My Personal Information" ist auf jeder Startseite eines Unternehmens Pflicht, das die CCPA-Schwelle erreicht.
Ob Verläufe selbst „verkauft" werden, ist in der Kategorie selten; das häufigere Muster ist das Teilen von Verhaltens-Telemetrie (Session-Länge, Seitenaufrufe, Conversion-Events), verknüpft mit Werbe-IDs. Die Unterscheidung zählt juristisch, praktisch aber nicht immer: Ein entschlossener Re-Identifikations-Gegner kann Geräte-IDs auf Kontoinhaber zurückrechnen. Ich sag's direkt. Die meisten Tester in dem Bereich zitieren „wir verkaufen nicht", als wäre damit die Sache erledigt. Ist sie nicht. „Wir verkaufen nicht" geht oft mit ausgiebigem „Teilen" unter der engeren Rechtsdefinition einher. Lies den Footer-Link. Bietet er zwei Widersprüche (Verkauf + Weitergabe), waren zwei nötig. Bietet er einen, bekommst du 'ne halbe Antwort.
Was passiert mit den Daten, wenn die KI-Begleiter-App schließt?
Datenschutzerklärungen regeln den Umgang mit Daten nach einer Schließung selten. Bester Fall: Der Betreiber löscht alle personenbezogenen Daten innerhalb der in der Policy versprochenen Fristen, informiert die Nutzer und veröffentlicht eine Löschbestätigung. Schlimmster Fall: Die Datenbank wird Teil der Insolvenzmasse und an einen Erwerber verkauft, der an die ursprüngliche Policy unter Umständen nicht gebunden ist. DSGVO-Grundsätze (Artikel 5(1)(b) und 5(1)(e)) und das CCPA binden einen Treuhänder in der Liquidation nicht immer.
Das Ashley-Madison-Leck von 2015 und die anschließende Offenlegung der Datensätze bleibt die Warngeschichte für Dienste mit sensiblen Daten in finanzieller Schieflage. Die Genesis-Insolvenz von 2023 zeigte dieselbe Dynamik im kleineren Maßstab. Eine profitable Firma, der du letztes Jahr vertraut hast, kann in zwei Jahren das Vermögen eines Gläubigers sein, und das Chat-Archiv, das du über 18 Monate intimer Gespräche aufgebaut hast, kann den Besitzer wechseln, ohne dass man dich je informiert. Behandle KI-Begleiter-Daten so, wie du Dating-App-Daten behandeln würdest: Geh von eventueller Offenlegung aus, beschränke, was du reinkippst, und wisse, wo der Export-Button liegt, bevor du ihn brauchst.
Lassen sich sensible DSGVO-Artikel-9-Kategorien aus Chats ableiten?
Ja. KI-Begleiter-Verläufe können sexuelle Orientierung, religiöse Überzeugung, politische Meinung, psychische und körperliche Gesundheit und (bei erfasster Stimme) biometrische Daten offenlegen. All das sind besondere Kategorien nach DSGVO Artikel 9(1) und erfordern ausdrückliche Einwilligung nach Artikel 9(2)(a) oder eine andere gelistete Rechtsgrundlage. In der Praxis strukturieren KI-Begleiter-Datenschutzerklärungen die Einwilligung für Artikel 9 selten sauber, was Betreiber einem Durchsetzungsrisiko aussetzt.
Die Leitlinien zur Einwilligung der Artikel-29-Datenschutzgruppe (WP259) verlangen, dass die Artikel-9-Einwilligung „ausdrücklich" ist, also muss der Nutzer eine klare bejahende Erklärung getrennt von der allgemeinen AGB-Zustimmung abgeben [Source: Artikel-29-Datenschutzgruppe, Leitlinien zur Einwilligung WP259 rev.01 · verified 2026-05-26]. Ein einzelnes Kästchen, das allgemeine Daten und Sonderkategorien zugleich abdeckt, erfüllt den Standard nicht. Das ist einer der saubersten Durchsetzungs-Hebel, den Aufsichtsbehörden haben, wenn sie eine Untersuchung eröffnen wollen, und eine der am häufigsten übersehenen Compliance-Lücken im KI-Begleiter-Bereich.
Wie werden KI-Begleiter-Daten im Ruhezustand gesichert?
Standard ist AES-256-Verschlüsselung mit Envelope-Verschlüsselung (datensatzspezifische Schlüssel, umhüllt von mandantenspezifischen Master-Schlüsseln in einem Hardware-Sicherheitsmodul oder KMS). Die meisten Policies sagen „branchenübliche Verschlüsselung", ohne Details offenzulegen. Ohne veröffentlichte Audit-Berichte wie SOC 2 Type II, ISO 27001 oder PCI-DSS-Bescheinigungen bleiben Verschlüsselungsaussagen unprüfbares Marketing.
Behandle das Fehlen einer öffentlichen Audit-Seite als Information, nicht als Verurteilung; viele kleine Betreiber können sich den Audit-Zyklus nicht leisten. Behandle die Behauptung eines Audits ohne herunterladbaren Brief als Warnzeichen. Der herunterladbare SOC-2-Bericht (selbst nur die Type-II-Zusammenfassung) ist der Beweis, dass das Audit stattfand; das Abzeichen auf der Startseite nicht. Ich hab fünf Betreiber in dem Bereich um ihren Bericht gebeten. Zwei haben ihn binnen 48 Stunden geschickt. Drei haben nie geantwortet. Mach dir deinen Reim draus.
Was bedeutet Ende-zu-Ende-Verschlüsselung hier?
Ende-zu-Ende-Verschlüsselung (E2EE) heißt, dass nur Sender und beabsichtigter Empfänger die Schlüssel halten; der Server, der die Nachricht überträgt, kann den Klartext nicht lesen. Im KI-Chat ist die LLM-Inferenz ein beabsichtigter Empfänger und muss Klartext lesen, um zu antworten. Folglich können KI-Begleiter-Plattformen kein echtes E2EE auf dem Gesprächspfad bieten. Jede „Ende-zu-Ende-verschlüsselter KI-Chat"-Werbeaussage solltest du skeptisch prüfen.
Eine feine Ausnahme: Eine App könnte den Chat zwischen Nutzergeräten E2EE-verschlüsseln und das LLM lokal auf dem Gerät des Nutzers laufen lassen. Stand jetzt lässt kein gängiger KI-Begleiter-Dienst das LLM clientseitig in Produktionsqualität laufen. Lokale-LLM-Apps gibt's, aber sie sind nicht in derselben Produktkategorie. Der Trade-off ist real, und du solltest wissen, auf welcher Seite du stehst, bevor du dich irgendwo anmeldest, das beides verspricht, Privatsphäre und Produkt-Politur. Meist ist es das eine oder das andere.
Wie reiche ich eine Datenschutzbeschwerde ein?
Kontaktiere zuerst den Datenschutzbeauftragten oder die Datenschutz-E-Mail der App; der Kontakt ist nach DSGVO Artikel 13(1)(b) Pflicht und steht typischerweise in der Datenschutzerklärung. Lass 30 Tage für eine Antwort. Ist die Antwort unbefriedigend oder bleibt sie aus, eskaliere zur Aufsichtsbehörde: EU-Bewohner zu ihrer nationalen Datenschutzbehörde; Bewohner Kaliforniens zur California Privacy Protection Agency oder zum California Attorney General; UK-Bewohner zum Information Commissioner's Office (ICO); kanadische Bewohner zum Office of the Privacy Commissioner (OPC).
Für EU-Nutzer listet der Europäische Datenschutzausschuss jede nationale Behörde, und die aktivsten bei der KI-Begleiter-Durchsetzung sind die italienische Garante (Replika-Verbot + Geldbuße 2025) und die französische CNIL. Für US-Nutzer ohne Staatsgesetz nimmt der FTC-Beschwerde-Assistent Beschwerden nach Section 5 des FTC Act für unfaire oder irreführende Praktiken entgegen, auch bei Datenschutz-Falschdarstellungen. Betreff für die erste DSB-E-Mail: „Artikel-17-Löschantrag" (EU) oder „CCPA §1798.105-Löschantrag" (CA). Inhalt: Konto-E-Mail, Datum der Konto-Erstellung, klare Forderung nach Bestätigung der vollständigen Löschung über primären Speicher + Backups + Trainingsdatensätze. Sichere den Zeitstempel. Verpasst der Betreiber die gesetzliche Frist, hast du Anspruch. Zuletzt geprüft: 2026.
Quellen und Weiterlesen
[Source: *Romantik-KI-Chatbots: Privacy Not Included Audit* · verified 2024-02-14] [Source: *How Americans View Data Privacy* · verified 2023-06-27] [Source: *Surveillance Self-Defense: Ende-zu-Ende-Verschlüsselung* · verified 2024-09-18] [Source: *Provvedimento Replika und Geldbuße 2025* · verified 2025-04-10] [Source: *Leitlinien 05/2020 zur Einwilligung nach Verordnung 2016/679* · verified 2020-05-04] [Source: *Datenschutz-Grundverordnung (Verordnung EU 2016/679), Artikel 5, 6, 9, 12, 13, 15-22, 25, 32, 33-34* · verified 2016-04-27] [Source: *California Consumer Privacy Act von 2018, Cal. Civ. Code §1798.100 ff.* · verified 2018-06-28] [Source: *MyLovely.ai sensibles Datenleck, 106.362 Konten* · verified 2026-04-08]Diese Seite zitieren (APA)
Joly, A. (2026). KI-Begleiter Datenschutz: ein unabhängiger Leitfaden. bestgirlfriend.ai. https://bestgirlfriend.ai/de/safety/ki-begleiter-datenschutz
Häufige Fragen
Welche Daten sammeln KI-Begleiter-Apps?
Acht Kategorien: Chat-Verläufe, Sprachaufnahmen, generierte Bilder, Charakter-Konfiguration, Konto-IDs, Abrechnungs-Token, IP- und Geräte-Fingerabdrücke und Verhaltens-Telemetrie. Die genaue Liste regelt die Datenschutzerklärung jeder App und ist im KI-Begleiter-Bereich nicht standardisiert.
Wie lange speichern KI-Begleiter-Apps Chat-Verläufe?
Die Speicherdauer reicht von nur-Session (selten) bis unbefristet (häufig). Die meisten Apps behalten Verläufe für die aktive Konto-Lebensdauer plus 30 bis 365 Tage nach Löschung für Backups, Betrugsabwehr und gesetzliche Aufbewahrung. Manche behalten anonymisierte Embeddings unbefristet fürs Modelltraining, sofern du nicht widersprichst.
Sind KI-Begleiter-Chats verschlüsselt?
Die meisten Apps nutzen TLS bei der Übertragung und AES-256 im Ruhezustand, aber kaum eine bietet Ende-zu-Ende-Verschlüsselung. Server-Personal und jeder kompromittierte Dienstleister kann die Klartext-Verläufe lesen. Keine gängige KI-Begleiter-Plattform dokumentiert Ende-zu-Ende-Verschlüsselung für Chat-Inhalte, weil das Modell selbst deinen Text lesen muss, um zu antworten.
Teilen KI-Begleiter-Apps Daten mit Dritten?
Ja. Übliche Auftragsverarbeiter sind Cloud-Hosting (AWS, Google Cloud), Zahlung (Stripe, Epoch, CCBill), Analytik (Mixpanel, Amplitude), Werbe-IDs und LLM-API-Anbieter (OpenAI, Anthropic, Mistral). Manche Apps teilen auch mit Marketing-Partnern. Die vollständige Liste steht in der Datenschutzerklärung unter DSGVO Artikel 13(1)(e).
Kann ich meinen KI-Begleiter-Chatverlauf löschen?
Die meisten Apps erlauben eine Konto-Löschung, die ein 30- bis 90-tägiges Soft-Delete-Fenster vor der endgültigen Löschung auslöst. Backups können 6 bis 12 Monate bestehen bleiben. DSGVO Artikel 17 (Recht auf Löschung) und das CCPA-Löschrecht gelten, wenn du in der EU, in UK oder Kalifornien wohnst; stelle den Antrag über das Datenschutz-Portal oder die DSB-E-Mail.
Was ist das MyLovely.ai-Datenleck?
Im April 2026 bestätigte Have I Been Pwned ein MyLovely.ai-Leck, das 106.362 Konten offenlegte, darunter Chat-Logs, E-Mails und rund 70.000 Prompt-Strings, verknüpft mit Nutzer-IDs. Der Vorfall passt zu einem wiederkehrenden Muster falsch konfigurierter Cloud-Speicher im KI-Begleiter-Bereich, kein Einzelfall.
Worum ging es beim Replika-Verbot 2023 in Italien?
Am 3. Februar 2023 ordnete die italienische Garante an, dass Replika die Verarbeitung der Daten italienischer Nutzer einstellt, mit Verweis auf das Fehlen einer Rechtsgrundlage nach DSGVO, die fehlende Altersprüfung und das Risiko für Minderjährige. Im April 2025 verhängte die Garante nach einer Folge-Untersuchung eine Geldbuße von 5 Millionen Euro gegen Luka Inc.
Wie lese ich eine KI-Begleiter-Datenschutzerklärung?
Öffne die Datenschutzerklärung und such fünf Begriffe: Speicherung, Dritte oder Auftragsverarbeiter, Marketing, Training, Verschlüsselung. Lies bei jedem Treffer den umgebenden Absatz. Vage Sprache an einem der fünf Punkte ist ein Warnzeichen, das einen Zweitdurchgang wert ist.
Welche DSGVO-Rechte habe ich bei KI-Begleiter-Apps?
Wenn du in der EU, in UK oder im EWR wohnst, geben dir DSGVO Artikel 15 bis 22 Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Der Verantwortliche muss nach Artikel 12(3) binnen eines Kalendermonats antworten (bei komplexen Fällen auf drei verlängerbar). Stelle den Antrag über den Datenschutz-Kontakt der App oder deine nationale Behörde.
Welche CCPA-Rechte habe ich?
Bewohner Kaliforniens haben das Recht auf Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf oder Weitergabe und das Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten unter dem CCPA, geändert durch CPRA. Unternehmen müssen binnen 45 Tagen antworten, mit Hinweis um weitere 45 Tage verlängerbar.
Verkaufen KI-Begleiter-Apps meine Daten?
'Verkaufen' hat unter dem CCPA eine enge juristische Bedeutung (jede Weitergabe gegen geldwerten oder sonstigen Vorteil). Mehrere KI-Begleiter-Apps fallen darunter, weil sie Geräte-IDs und Verhaltensdaten an Werbenetzwerke weitergeben. Der Link 'Do Not Sell or Share' ist in Kalifornien Pflicht.
Was passiert mit den Daten, wenn die KI-Begleiter-App schließt?
Datenschutzerklärungen regeln den Umgang nach einer Schließung selten. Bester Fall: Der Treuhänder löscht alle personenbezogenen Daten innerhalb der versprochenen Fristen. Schlimmster Fall: Die Datenbank wird als Teil der Insolvenzmasse verkauft. DSGVO und CCPA binden einen Treuhänder in der Liquidation nicht immer; exportiere, bevor sich ein Schließungsgerücht verfestigt.
Lassen sich sensible DSGVO-Artikel-9-Kategorien aus Chats ableiten?
Ja. Rollenspiel-Verläufe können sexuelle Orientierung, religiöse Überzeugung, politische Meinung, psychische Gesundheit und biometrische Stimmdaten offenlegen, alles besondere Kategorien nach DSGVO Artikel 9. Die Verarbeitung erfordert ausdrückliche Einwilligung nach Artikel 9(2)(a) und ist in dem Bereich selten sauber strukturiert.
Wie werden KI-Begleiter-Daten im Ruhezustand gesichert?
Standard ist AES-256 mit Envelope-Verschlüsselung und mandantenspezifischen Schlüsseln, aber die meisten Policies bleiben bei 'branchenüblicher Verschlüsselung' ohne Details. Ohne veröffentlichte Audits (SOC 2 Type II, ISO 27001) ist die Aussage nicht prüfbar.
Was bedeutet Ende-zu-Ende-Verschlüsselung hier?
Ende-zu-Ende-Verschlüsselung heißt, dass nur Sender und Empfänger die Schlüssel halten; der Server kann den Inhalt nicht lesen. Fast keine KI-Begleiter-Plattform bietet echtes E2EE, weil die LLM-Inferenz Klartext lesen muss, um Antworten zu erzeugen. Behandle E2EE-Werbeaussagen bei Cloud-gehosteten Apps mit Skepsis.
Wie reiche ich eine Datenschutzbeschwerde ein?
Kontaktiere zuerst den DSB oder die Datenschutz-E-Mail der App (nach DSGVO Artikel 13 Pflicht). Lass 30 Tage. Bleibt es ungelöst, eskaliere: EU-Nutzer zu ihrer nationalen Behörde; Kalifornien zur CPPA; UK zum ICO; Kanada zum OPC.
Weiterlesen auf bestgirlfriend.ai
Hoch zum Eltern-Thema: Sind KI-Begleiter sicher?
Quer (Schwester-Themenseiten im Sicherheitsbereich):
- KI-Begleiter und psychische Gesundheit
- KI-Begleiter und Minderjährige: Altersprüfung
- KI-Begleiter Rechtslage
Runter (Tiefen-Texte, die aus dieser Seite folgen):