Stell die Frage in einem Forum, und du bekommst zwei selbstsichere Antworten: „Natürlich verkaufen die alles“ und „Das wäre illegal“. Beide sind falsch, und in der Lücke dazwischen steckt die nützliche Information.
„Verkaufen“ meint drei verschiedene Dinge
Den Inhalt deiner Chats verkaufen. Gesprächsprotokolle gegen Geld an Dritte zu geben, ist selten, wäre in den meisten Märkten rechtlich riskant und am Tag des Bekanntwerdens eine Schlagzeile. Die Betreiber bestreiten es laut, und es gibt keinen öffentlichen Beleg, dass eine große Companion-App das tut.
Nutzungsdaten an Werbetreibende weitergeben. Das ist der häufige Fall. Werbe- und Analysecode, der in eine App oder Website eingebettet ist – ein Software Development Kit, kurz „SDK“ –, meldet, was du wann und auf welchem Gerät tust. Nach dem kalifornischen Datenschutzgesetz gilt die Weitergabe personenbezogener Daten für kontextübergreifende verhaltensbasierte Werbung als „Sharing“, und der Austausch gegen irgendeinen Gegenwert kann als „Verkauf“ zählen. Eine App kann also wahrheitsgemäß sagen, sie habe deine Gespräche nie verkauft, und dich im rechtlichen Sinn trotzdem verkaufen.
Daten an Dienstleister weitergeben. Das Unternehmen, das die Server betreibt, der Modellanbieter, der die Antworten erzeugt, der Zahlungsdienstleister, der deine Karte belastet. Diese Übermittlungen sind für das Funktionieren des Produkts nötig und kein Verkauf, aber es sind trotzdem Kopien deiner Daten in fremden Systemen.
Es gibt einen vierten Weg, den man leicht vergisst: den Besitzerwechsel. Fast jede Richtlinie sagt, dass deine Daten an einen Käufer übergehen, wenn das Unternehmen verkauft wird. Die Companion-App Soulmate wechselte kurz vor ihrer Abschaltung 2023 den Besitzer – siehe wenn sich deine KI-Companion über Nacht verändert.
Was das einzige systematische Audit ergab
Im Februar 2024 prüfte die Mozilla Foundation für ihren Ratgeber Privacy Not Included 11 romantische KI-Chatbots, darunter Replika, Chai und EVA AI. Zusammen kamen sie auf geschätzte 100 Millionen Downloads bei Google Play. Jeder einzelne bekam Mozillas Datenschutz-Warnhinweis.
Anteil der 11 von Mozilla im Februar 2024 geprüften Apps, auf die der jeweilige Befund zutraf. Quelle: Mozilla Foundation, Privacy Not Included.
Die Tracker-Zahlen waren der auffälligste Teil. Mozilla zählte im Durchschnitt 2.663 Tracker in der ersten Nutzungsminute über alle Apps hinweg – ein Durchschnitt, der von einer einzigen App stark nach oben gezogen wurde: Romantic AI löste in einer Minute 24.354 aus. Die nächsthöhere, EVA AI, löste 955 aus.
Zwei Vorbehalte, bevor du Schlüsse ziehst. Es war eine Momentaufnahme vom Anfang 2024, und Richtlinien ändern sich. Und mehrere Apps, die die Kategorie heute dominieren, waren nicht in der Stichprobe. Der Wert des Audits liegt weniger in den Urteilen über einzelne Apps als in dem, was es über die Standardeinstellungen der Branche zeigt.
Die Antwort in der Datenschutzerklärung finden
Du musst nicht alles lesen. Such nach ein paar Wendungen und lies den Absatz drumherum.
| Wenn in der Richtlinie steht | Dann heißt das meist | Ist das bedenklich? |
|---|---|---|
| „We do not sell your personal information“ | Kein Verkauf im engen Sinn. „Share“ separat prüfen | Nur wenn auch „share“ vorkommt |
| „Advertising partners“, „targeted advertising“ | Tracker bauen aus deiner Nutzung ein Werbeprofil | Ja – wo möglich, widersprechen |
| „Our affiliates“ | Andere Firmen unter demselben Eigentümer, manchmal viele Apps | Kommt auf den Eigentümer an |
| „To improve our services“, „train“ | Deine Gespräche können zum Training von Modellen verwendet werden | Ja – nach einem Opt-out suchen |
| „Merger, acquisition or sale of assets“ | Ein Käufer bekommt deine Daten, wenn das Unternehmen verkauft wird | Üblich, aber merk es dir |
| „Where we believe disclosure is necessary“ | Weitergabe an Behörden ohne Gerichtsbeschluss | Ja, wenn nichts Engeres dasteht |
Ein Footer-Link mit der Aufschrift „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“ ist für sich genommen ein nützlicher Hinweis. Kalifornien verlangt ihn von Unternehmen, die personenbezogene Daten verkaufen oder weitergeben; sein Vorhandensein ist also das Eingeständnis, dass etwas weitergegeben wird – und ein Knopf, um es zu stoppen.
Ein Fünf-Minuten-Check für heute Abend
- Durchsuche die Richtlinie nach sell, share, advertis, train und affiliate. Fünf Suchen, fünf Absätze.
- Schau dir die Store-Angaben an. Apples Abschnitt „Zum Tracking verwendete Daten“ und Google Plays „Datensicherheit“ füllt der Entwickler selbst aus, es sind also Behauptungen und keine Prüfungen – aber eine App, die dort Tracking einräumt, wird in der Praxis nicht besser sein.
- Aktiviere Global Privacy Control in deinem Browser, wenn du die Web-Version nutzt. Kaliforniens Regeln verlangen, dass Unternehmen dieses Signal als Widerspruch gegen Verkauf und Weitergabe behandeln. In der EU lehnst du stattdessen in der Cookie-Abfrage unnötige Tracker ab.
- Lehne die Tracking-Abfrage auf dem iPhone ab und setze auf Android die Werbe-ID zurück.
- Achte darauf, ob die App Werbung zeigt. Wenn ja, sind deine Aufmerksamkeit und deine Daten Teil dessen, wie sie ihre Rechnungen bezahlt – siehe wie KI-Companion-Apps Geld verdienen.
Wo das Recht hilft und wo es aufhört
In Deutschland und der EU gibt dir die DSGVO Auskunft (Art. 15), Löschung (Art. 17) und Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung zu widersprechen (Art. 21) – bei Direktwerbung ist dieser Widerspruch bedingungslos. Wie du eine Anfrage stellst, steht in Auskunft von einer KI-Companion-App verlangen, und bei Streit entscheiden die Datenschutzaufsichtsbehörden – mit Erfolg: Italien verhängte 2025 gegen den Betreiber von Replika eine Geldbuße von 5 Millionen €, unter anderem wegen einer Datenschutzerklärung, die nicht erklärte, was mit den Nutzerdaten geschah. In Kalifornien und einer wachsenden Zahl weiterer US-Bundesstaaten mit umfassendem Datenschutzgesetz kannst du ebenfalls erfahren, was erhoben wurde, Verkauf oder Weitergabe stoppen und Löschung verlangen.
Die neuen US-Landesgesetze zu KI-Companions, behandelt in KI-Companions und das Recht in den USA, konzentrieren sich auf Offenlegung und Krisenumgang und ändern beim Datenschutz wenig. Die wichtigste Ausnahme ist eng: Utahs Gesetz zu Chatbots für psychische Gesundheit verbietet ihnen, Gesundheitsdaten von Nutzern zu verkaufen oder weiterzugeben und Werbung anhand dessen zu schalten, was Nutzer eintippen.
Die ehrliche Antwort
Die meisten Companion-Apps verkaufen deine Gespräche nicht. Viele lassen aber Werbe- und Analysefirmen zusehen, wie du sie benutzt, und fast alle behalten sich das Recht vor, mehr zu tun, als sie derzeit tun. Der Unterschied zwischen einer sorgfältigen und einer nachlässigen App ist in ihrer Richtlinie und ihren Einstellungen sichtbar, und du findest ihn in fünf Minuten. Das sind fünf gut angelegte Minuten, bevor du etwas tippst, das du nicht in der Datenbank eines anderen sehen willst – und unsere vier Datenschutz-Checks decken den Rest ab.