Einführung, Recht & Kosten
Chatbot und DSGVO: Worauf Unternehmen achten müssen
Ein Chatbot auf der Website verarbeitet Nachrichten und oft auch Kontaktdaten. Damit gilt die DSGVO. Verzichten muss deshalb niemand. Ein paar Punkte solltest du aber vorher sauber klären. Hier steht, welche Fragen du stellen solltest.
Von Fabian Schlier
Das Wichtigste in Kürze
- Du bist in der Regel Verantwortlicher, der Anbieter Auftragsverarbeiter. Dafür braucht es einen AVV.
- Bei Dienstleistern außerhalb der EU sind Standardvertragsklauseln ein übliches Instrument.
- Dieser Artikel gibt einen Überblick und ist keine Rechtsberatung.
Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Ob und wie du einen Chatbot datenschutzkonform einsetzt, hängt von deinem konkreten Fall ab. Lass dich im Zweifel von deinem Datenschutzbeauftragten oder einer spezialisierten Kanzlei beraten.
Was hat die DSGVO mit einem Chat zu tun?
Sobald ein Besucher im Chat schreibt, entstehen Daten. Manchmal ist es nur eine allgemeine Frage wie „Haben Sie samstags geöffnet?“. Häufig stecken aber personenbezogene Daten im Gespräch: ein Name, eine E-Mail-Adresse, eine Telefonnummer, Details zum Anliegen. Spätestens dann ist die DSGVO anwendbar.
Dazu kommt, dass Menschen im Chat freier schreiben als in einem Formular. Das kennt jeder, der schon einmal Chatverläufe gelesen hat. Da erzählt jemand von der Scheidung, obwohl er eigentlich nur einen Termin beim Steuerberater wollte, oder nennt die volle Adresse samt Klingelschild. Für gute Anfragen ist diese Offenheit wertvoll. Sie heißt aber auch, dass du mit den Verläufen sorgfältig umgehen solltest.
Für dein Kontaktformular und dein E-Mail-Postfach gilt übrigens dasselbe. Der Chatbot ist kein Sonderfall. Er ist ein weiterer Kontaktweg, den du datenschutzrechtlich ordnen solltest.
Verantwortlicher und Auftragsverarbeiter
Die DSGVO unterscheidet zwei Rollen. Verantwortlicher ist, wer entscheidet, wofür und wie Daten verarbeitet werden. Bei einem Chat auf deiner Website bist das in der Regel du als Betreiber. Auftragsverarbeiter ist, wer Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, typischerweise also der Anbieter der Chatbot-Software.
Für diese Konstellation schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Er regelt, welche Daten der Anbieter verarbeitet, zu welchem Zweck, mit welchen Schutzmaßnahmen und welche weiteren Dienstleister (Unterauftragsverarbeiter) beteiligt sind. Frag jeden Anbieter nach diesem Vertrag, bevor der Chat live geht. Wer ihn nicht vorlegen kann, scheidet aus unserer Sicht aus.
Gegenüber deinen Besuchern bleibst du der Ansprechpartner. Verlangt jemand Auskunft über seine Daten oder deren Löschung, wendet er sich an dich. Ein guter Anbieter hilft dir dabei, zum Beispiel indem du die Gesprächsverläufe im Dashboard einsehen kannst.
Drittlandübermittlung und Standardvertragsklauseln
Viele KI-Dienste und technische Dienstleister sitzen außerhalb der EU, häufig in den USA. Werden personenbezogene Daten dorthin übermittelt, spricht man von einer Drittlandübermittlung. Die ist nur unter bestimmten Voraussetzungen zulässig.
Ein übliches Instrument dafür sind die EU-Standardvertragsklauseln (SCC). Das sind von der EU-Kommission vorgegebene Vertragsbausteine, mit denen sich der Empfänger zu einem angemessenen Schutzniveau verpflichtet. Achte darauf, dass dein Anbieter offenlegt, welche Dienstleister wo sitzen und auf welcher Grundlage Daten fließen.
Bei KI-Diensten kommt eine Frage hinzu: Werden Gesprächsinhalte genutzt, um das Sprachmodell zu trainieren? Darauf sollte dein Anbieter eine klare Antwort haben. Deine Kunden erwarten zu Recht, dass ihre Anfrage bei dir landet und nicht als Trainingsmaterial in einem allgemeinen Modell.
Nur abfragen, was du brauchst
Die DSGVO verlangt, dass du nur Daten erhebst, die für den Zweck tatsächlich nötig sind. Das ist der Grundsatz der Datenminimierung. Für den Chat heißt das praktisch:
- Überleg, welche Kontaktdaten du für eine Rückmeldung wirklich brauchst. Oft genügen Name und entweder E-Mail oder Telefon.
- Frag nichts ab, was du im weiteren Ablauf nicht nutzt.
- Sei bei sensiblen Daten zurückhaltend, etwa bei Gesundheitsdaten in einer Praxis. Dort kann es sinnvoll sein, Besucher im Chat ausdrücklich zu bitten, keine Details zu schreiben, und stattdessen einen Rückruf anzubieten.
Informationspflichten und Einwilligung
Besucher müssen erfahren, was mit ihren Daten passiert. Ergänze deshalb deine Datenschutzerklärung um einen Abschnitt zum Chat. Hinein gehören typischerweise:
- welche Daten im Chat verarbeitet werden und wozu,
- welcher Anbieter und welche weiteren Dienstleister beteiligt sind,
- ob Daten in Drittländer gehen und auf welcher Grundlage,
- wie lange Gesprächsverläufe gespeichert werden,
- welche Rechte Besucher haben, etwa auf Auskunft und Löschung.
Bei der Abfrage von Kontaktdaten stellt sich die Frage nach der Rechtsgrundlage. Wer von sich aus anfragt und Kontaktdaten für eine Rückmeldung angibt, tut das in der Regel im Rahmen einer Anfrage zu einem möglichen Auftrag. Viele Unternehmen holen trotzdem zusätzlich eine ausdrückliche Einwilligung ein oder verweisen im Chatfenster auf die Datenschutzerklärung. Welcher Weg für dich passt, klärst du am besten mit deiner Datenschutzberatung.
Ein kurzer Satz im Chatfenster schafft Transparenz, ohne zu stören, zum Beispiel: „Ihre Angaben verwenden wir nur zur Bearbeitung Ihrer Anfrage. Mehr in unserer Datenschutzerklärung.“ Dazu ein Link, fertig.
Wie lange dürfen Gesprächsverläufe bleiben?
Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als der Zweck es erfordert. Leg also fest, wie lange Gesprächsverläufe gespeichert bleiben, und achte darauf, dass dein Anbieter eine automatische Löschung unterstützt. Anfragen, aus denen ein Auftrag wird, landen ohnehin in deinen üblichen Kundenunterlagen. Für die gelten dann deine regulären Aufbewahrungsregeln.
Kläre außerdem, wer im Team Zugriff auf die Verläufe braucht. Nicht jeder muss alles sehen. Persönliche Zugänge statt eines geteilten Passworts machen es leichter, den Überblick zu behalten.
So ist es bei chattastic geregelt
Damit du die Fragen oben für chattastic direkt beantworten kannst, hier die wichtigsten Punkte:
| Thema | Regelung bei chattastic |
|---|---|
| AVV | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO verfügbar |
| Datenbank | Supabase, Standort Frankfurt (EU) |
| Hosting | Vercel, Region Frankfurt |
| KI-Antworten | Anthropic (USA) auf Basis von EU-Standardvertragsklauseln, keine Nutzung zum Modell-Training |
| E-Mail-Benachrichtigungen | Resend (USA) auf Basis von Standardvertragsklauseln |
| Speicherdauer | Gesprächsverläufe höchstens 90 Tage, danach automatische Löschung (abschaltbar) |
| Kontaktdaten | Du legst fest, welche Kontaktdaten der Assistent abfragt |
Für die Daten im eingebetteten Chat bist du als Website-Betreiber Verantwortlicher. Den Vertrag findest du unter Auftragsverarbeitung (AVV), weitere Details in unserer Datenschutzerklärung. Die Angaben kannst du als Grundlage für den Chat-Abschnitt in deiner eigenen Datenschutzerklärung nutzen.
Aufwendiger als bei anderen digitalen Kontaktwegen ist das Ganze nicht. Wie du den Assistenten danach Schritt für Schritt einführst, zeigt unsere Checkliste zur Einführung.
Häufige Fragen
Brauche ich für einen Chatbot einen Auftragsverarbeitungsvertrag?
Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist ein AVV nach Art. 28 DSGVO in der Regel erforderlich. Bei chattastic steht dieser Vertrag bereit.
Muss ich meine Datenschutzerklärung anpassen?
Ja. Besucher sollten erfahren, welche Daten im Chat verarbeitet werden, welche Dienstleister beteiligt sind und wie lange Daten gespeichert werden. Die genaue Formulierung stimmst du am besten mit deiner Datenschutzberatung ab.
Wie lange speichert chattastic Gesprächsverläufe?
Höchstens 90 Tage, danach werden sie automatisch gelöscht. Diese automatische Löschung lässt sich abschalten.
Ist dieser Artikel eine Rechtsberatung?
Nein. Der Artikel gibt einen allgemeinen Überblick. Für deinen konkreten Fall wende dich an deinen Datenschutzbeauftragten oder eine spezialisierte Kanzlei.
