Ein Chatbot verarbeitet oft personenbezogene Daten, schon weil Menschen ihm alles Mögliche schreiben. Dieser Überblick nennt die wichtigsten Punkte. Er ersetzt keine Rechtsberatung, stimmen Sie die Details mit Ihrer Datenschutzbeauftragten ab.
Anbieter und Verträge
- Besteht ein Auftragsverarbeitungsvertrag?
- Wo werden die Daten verarbeitet?
- Werden Eingaben zum Training verwendet?
- Wie lange werden Verläufe gespeichert?
Transparenz
Besucher sollten erkennen, dass sie mit einer KI sprechen. Nennen Sie den Chatbot in der Datenschutzerklärung und geben Sie vor dem Start einen kurzen Hinweis, zum Beispiel, dass keine sensiblen Daten eingegeben werden sollen.
Technische Einbindung
Lädt das Widget schon beim Seitenaufruf fremde Inhalte oder setzt Cookies, kann eine Einwilligung nötig sein. Eine Möglichkeit ist, den Chatbot erst nach einem Klick zu laden.
Daten sparsam halten
Fragen Sie nur ab, was Sie wirklich brauchen. Legen Sie eine kurze Speicherdauer fest und prüfen Sie, wer auf Verläufe zugreifen darf.
Den Datenfluss aufzeichnen
Eine Datenschutzprüfung wird einfacher, wenn klar ist, wohin eine Eingabe tatsächlich gelangt. Oft sind mehrere Stellen beteiligt: das Chat-Widget auf der Website, die Plattform des Chatbot-Anbieters, ein Modellanbieter, möglicherweise eine Wissensdatenbank, das CRM sowie ein Dienst zur Auswertung. Zeichnen Sie diesen Weg einmal auf und notieren Sie für jede Station, welche Daten dort ankommen, wie lange sie bleiben und wer der Vertragspartner ist.
Auf dieser Basis lassen sich die entscheidenden Fragen stellen. Welche Unterauftragnehmer werden eingesetzt? Werden Daten in Länder außerhalb der EU übertragen, und auf welcher Grundlage? Wird etwa auch die IP-Adresse an Drittanbieter weitergegeben? Das Ergebnis gehört in die Datenschutzdokumentation, etwa in das Verzeichnis von Verarbeitungstätigkeiten. Stimmen Sie die Einschätzung mit Ihrer Datenschutzbeauftragten oder einer fachkundigen Stelle ab.
Rechtsgrundlage nach Zweck unterscheiden
Ein Chatbot verfolgt selten nur einen Zweck, und jeder kann anders zu bewerten sein. Die Beantwortung einer Produktfrage ist anders einzuordnen als das Sammeln von Leads für den Vertrieb oder die Auswertung von Gesprächen zur Verbesserung des Systems. Listen Sie die Zwecke getrennt auf und lassen Sie jeweils die passende Rechtsgrundlage nach Artikel 6 DSGVO prüfen.
Davon zu trennen ist die Frage nach dem Zugriff auf das Endgerät. Für das Speichern und Auslesen von Informationen im Browser können zusätzlich die Regeln des TDDDG relevant sein. Ein Klick auf ein Chat-Symbol kann zudem nicht automatisch als Einwilligung in alle späteren Verarbeitungen verstanden werden. Klären Sie deshalb, welchen Hinweis oder welche Einwilligung Sie an welcher Stelle benötigen.
Wenn Besucher mehr verraten als nötig
Ein Hinweis allein verhindert nicht, dass jemand Gesundheitsdaten, Kontoinformationen oder Details zu anderen Personen in das Chatfenster tippt. Bereiten Sie sich darauf vor, besonders in Branchen wie Gesundheit, Versicherung oder Personalvermittlung. Daten über die Gesundheit gehören zu den besonderen Kategorien nach Artikel 9 DSGVO und verlangen besondere Aufmerksamkeit.
- Eingaben vor der Speicherung auf typische Muster wie Kontonummern prüfen und nach Möglichkeit maskieren
- Bei sensiblen Themen auf einen geeigneten Kontaktweg verweisen, statt das Gespräch fortzusetzen
- Verläufe nur für einen eng begrenzten Personenkreis zugänglich machen
- Chatprotokolle nicht ungeprüft für Auswertungen oder den Wissensaufbau verwenden
Auf Anfragen und Vorfälle vorbereitet sein
Besucher können Rechte geltend machen, etwa auf Auskunft oder Löschung. Klären Sie deshalb vorab, wie sich Gespräche einer Person zuordnen und bei allen Beteiligten löschen lassen. Das ist nicht trivial, wenn Gespräche anonym beginnen und erst später eine Mailadresse genannt wird. Gut ist auch ein einfacher Weg vom Chatbot zu einem Menschen.
Überlegen Sie zudem, was passiert, wenn der Bot versehentlich falsche oder fremde Daten preisgibt. Es sollte klar sein, wer den Vorfall bewertet und wer den Bot abschalten kann. Wenn der Chatbot über Bewerbungen, Kredite oder Verträge vorentscheiden soll, ist besondere Vorsicht geboten. Lassen Sie dann auch die Grenzen automatisierter Entscheidungen und eine mögliche Datenschutz-Folgenabschätzung fachlich prüfen.
Einbindung des Chat-Widgets im Vergleich
| Variante | Datenschutzrelevanter Effekt | Was zu prüfen ist |
|---|---|---|
| Widget lädt beim Seitenaufruf | Daten können schon ohne Nutzung des Chats an den Anbieter gelangen | Einwilligungsbedarf und Einbindung in das Consent-Management |
| Widget lädt erst nach Klick | Vor dem Klick werden keine Inhalte des Anbieters geladen, sofern korrekt umgesetzt | Hinweistext vor dem Start und tatsächliches Ladeverhalten |
| Einbindung über den eigenen Server | Der direkte Kontakt zwischen Browser und Modellanbieter kann entfallen | Eigene Protokollierung, Weitergabe an Dienstleister und Sicherheit |
| Ohne Speicherung im Browser | Der Zugriff auf das Endgerät lässt sich möglicherweise reduzieren | Gesprächsfortsetzung, Missbrauchsschutz und verbleibende Serverdaten |
Vor dem Livegang des Chatbots
Typische Fehler
Die Aussage „DSGVO-konform“ ersetzt nicht die Prüfung Ihres konkreten Einsatzes. Prüfen Sie Verträge, Datenflüsse und Einstellungen und dokumentieren Sie die eigene Bewertung.
Das vergrößert unnötig die Datenmenge und die Folgen eines Vorfalls. Legen Sie eine Frist nach Zweck fest und setzen Sie die Löschung auch technisch um.
Nach einer Einbindung kann die Website mehr Verbindungen aufbauen als erwartet. Prüfen Sie die Netzwerkanfragen im Browser selbst, auch vor dem ersten Klick.
Häufige Fragen
Brauche ich für einen Chatbot auf der Website eine Einwilligung?
Das hängt unter anderem davon ab, was das Widget beim Laden auf dem Gerät speichert oder ausliest und welche Zwecke Sie verfolgen. Lassen Sie die konkrete Einbindung fachlich prüfen, zum Beispiel von Ihrer Datenschutzbeauftragten.
Muss der Chatbot in der Datenschutzerklärung stehen?
In der Regel sollte die Verarbeitung dort beschrieben werden, einschließlich Zwecken, Empfängern und Speicherdauer. Die Formulierung sollte zum tatsächlichen Datenfluss passen und nicht bloß aus einer Vorlage stammen.
Dürfen wir Chatverläufe zur Verbesserung des Bots nutzen?
Das ist ein eigener Zweck, der gesondert geprüft werden sollte. Wenn möglich, entfernen Sie vor der Auswertung personenbezogene Angaben und informieren Sie Nutzer transparent über diese Verwendung.
Von Patrick Thomas, KI Sidekick. Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.
