Einführung, Recht & Kosten
Chatbot und DSGVO: Worauf Unternehmen achten müssen
Ein Chatbot auf der Website verarbeitet Nachrichten und oft auch Kontaktdaten. Damit gilt die DSGVO. Verzichten muss deshalb niemand. Ein paar Punkte sollten Sie aber vorher sauber klären. Hier steht, welche Fragen Sie stellen sollten.
Von Fabian Schlier
Das Wichtigste in Kürze
- Sie sind in der Regel Verantwortlicher, der Anbieter Auftragsverarbeiter. Dafür braucht es einen AVV.
- Bei Dienstleistern außerhalb der EU sind Standardvertragsklauseln ein übliches Instrument.
- Dieser Artikel gibt einen Überblick und ist keine Rechtsberatung.
Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Ob und wie Sie einen Chatbot datenschutzkonform einsetzen, hängt von Ihrem konkreten Fall ab. Lassen Sie sich im Zweifel von Ihrem Datenschutzbeauftragten oder einer spezialisierten Kanzlei beraten.
Was hat die DSGVO mit einem Chat zu tun?
Sobald ein Besucher im Chat schreibt, entstehen Daten. Manchmal ist es nur eine allgemeine Frage wie „Haben Sie samstags geöffnet?“. Häufig stecken aber personenbezogene Daten im Gespräch: ein Name, eine E-Mail-Adresse, eine Telefonnummer, Details zum Anliegen. Spätestens dann ist die DSGVO anwendbar.
Dazu kommt, dass Menschen im Chat freier schreiben als in einem Formular. Das kennt jeder, der schon einmal Chatverläufe gelesen hat. Da erzählt jemand von der Scheidung, obwohl er eigentlich nur einen Termin beim Steuerberater wollte, oder nennt die volle Adresse samt Klingelschild. Für gute Anfragen ist diese Offenheit wertvoll. Sie heißt aber auch, dass Sie mit den Verläufen sorgfältig umgehen sollten.
Für Ihr Kontaktformular und Ihr E-Mail-Postfach gilt übrigens dasselbe. Der Chatbot ist kein Sonderfall. Er ist ein weiterer Kontaktweg, den Sie datenschutzrechtlich ordnen sollten.
Verantwortlicher und Auftragsverarbeiter
Die DSGVO unterscheidet zwei Rollen. Verantwortlicher ist, wer entscheidet, wofür und wie Daten verarbeitet werden. Bei einem Chat auf Ihrer Website sind das in der Regel Sie als Betreiber. Auftragsverarbeiter ist, wer Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, typischerweise also der Anbieter der Chatbot-Software.
Für diese Konstellation schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Er regelt, welche Daten der Anbieter verarbeitet, zu welchem Zweck, mit welchen Schutzmaßnahmen und welche weiteren Dienstleister (Unterauftragsverarbeiter) beteiligt sind. Fragen Sie jeden Anbieter nach diesem Vertrag, bevor der Chat live geht. Wer ihn nicht vorlegen kann, scheidet aus unserer Sicht aus.
Gegenüber Ihren Besuchern bleiben Sie der Ansprechpartner. Verlangt jemand Auskunft über seine Daten oder deren Löschung, wendet er sich an Sie. Ein guter Anbieter hilft Ihnen dabei, zum Beispiel indem Sie die Gesprächsverläufe im Dashboard einsehen können.
Drittlandübermittlung und Standardvertragsklauseln
Viele KI-Dienste und technische Dienstleister sitzen außerhalb der EU, häufig in den USA. Werden personenbezogene Daten dorthin übermittelt, spricht man von einer Drittlandübermittlung. Die ist nur unter bestimmten Voraussetzungen zulässig.
Ein übliches Instrument dafür sind die EU-Standardvertragsklauseln (SCC). Das sind von der EU-Kommission vorgegebene Vertragsbausteine, mit denen sich der Empfänger zu einem angemessenen Schutzniveau verpflichtet. Achten Sie darauf, dass Ihr Anbieter offenlegt, welche Dienstleister wo sitzen und auf welcher Grundlage Daten fließen.
Bei KI-Diensten kommt eine Frage hinzu: Werden Gesprächsinhalte genutzt, um das Sprachmodell zu trainieren? Darauf sollte Ihr Anbieter eine klare Antwort haben. Ihre Kunden erwarten zu Recht, dass ihre Anfrage bei Ihnen landet und nicht als Trainingsmaterial in einem allgemeinen Modell.
Nur abfragen, was Sie brauchen
Die DSGVO verlangt, dass Sie nur Daten erheben, die für den Zweck tatsächlich nötig sind. Das ist der Grundsatz der Datenminimierung. Für den Chat heißt das praktisch:
- Überlegen Sie, welche Kontaktdaten Sie für eine Rückmeldung wirklich brauchen. Oft genügen Name und entweder E-Mail oder Telefon.
- Fragen Sie nichts ab, was Sie im weiteren Ablauf nicht nutzen.
- Seien Sie bei sensiblen Daten zurückhaltend, etwa bei Gesundheitsdaten in einer Praxis. Dort kann es sinnvoll sein, Besucher im Chat ausdrücklich zu bitten, keine Details zu schreiben, und stattdessen einen Rückruf anzubieten.
Informationspflichten und Einwilligung
Besucher müssen erfahren, was mit ihren Daten passiert. Ergänzen Sie deshalb Ihre Datenschutzerklärung um einen Abschnitt zum Chat. Hinein gehören typischerweise:
- welche Daten im Chat verarbeitet werden und wozu,
- welcher Anbieter und welche weiteren Dienstleister beteiligt sind,
- ob Daten in Drittländer gehen und auf welcher Grundlage,
- wie lange Gesprächsverläufe gespeichert werden,
- welche Rechte Besucher haben, etwa auf Auskunft und Löschung.
Bei der Abfrage von Kontaktdaten stellt sich die Frage nach der Rechtsgrundlage. Wer von sich aus anfragt und Kontaktdaten für eine Rückmeldung angibt, tut das in der Regel im Rahmen einer Anfrage zu einem möglichen Auftrag. Viele Unternehmen holen trotzdem zusätzlich eine ausdrückliche Einwilligung ein oder verweisen im Chatfenster auf die Datenschutzerklärung. Welcher Weg für Sie passt, klären Sie am besten mit Ihrer Datenschutzberatung.
Ein kurzer Satz im Chatfenster schafft Transparenz, ohne zu stören, zum Beispiel: „Ihre Angaben verwenden wir nur zur Bearbeitung Ihrer Anfrage. Mehr in unserer Datenschutzerklärung.“ Dazu ein Link, fertig.
Wie lange dürfen Gesprächsverläufe bleiben?
Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als der Zweck es erfordert. Legen Sie also fest, wie lange Gesprächsverläufe gespeichert bleiben, und achten Sie darauf, dass Ihr Anbieter eine automatische Löschung unterstützt. Anfragen, aus denen ein Auftrag wird, landen ohnehin in Ihren üblichen Kundenunterlagen. Für die gelten dann Ihre regulären Aufbewahrungsregeln.
Klären Sie außerdem, wer im Team Zugriff auf die Verläufe braucht. Nicht jeder muss alles sehen. Persönliche Zugänge statt eines geteilten Passworts machen es leichter, den Überblick zu behalten.
So ist es bei chattastic geregelt
Damit Sie die Fragen oben für chattastic direkt beantworten können, hier die wichtigsten Punkte:
| Thema | Regelung bei chattastic |
|---|---|
| AVV | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO verfügbar |
| Datenbank | Supabase, Standort Frankfurt (EU) |
| Hosting | Vercel, Region Frankfurt |
| KI-Antworten | Anthropic (USA) auf Basis von EU-Standardvertragsklauseln, keine Nutzung zum Modell-Training |
| E-Mail-Benachrichtigungen | Resend (USA) auf Basis von Standardvertragsklauseln |
| Speicherdauer | Gesprächsverläufe höchstens 90 Tage, danach automatische Löschung (abschaltbar) |
| Kontaktdaten | Sie legen fest, welche Kontaktdaten der Assistent abfragt |
Für die Daten im eingebetteten Chat sind Sie als Website-Betreiber Verantwortlicher. Den Vertrag finden Sie unter Auftragsverarbeitung (AVV), weitere Details in unserer Datenschutzerklärung. Die Angaben können Sie als Grundlage für den Chat-Abschnitt in Ihrer eigenen Datenschutzerklärung nutzen.
Aufwendiger als bei anderen digitalen Kontaktwegen ist das Ganze nicht. Wie Sie den Assistenten danach Schritt für Schritt einführen, zeigt unsere Checkliste zur Einführung.
Häufige Fragen
Brauche ich für einen Chatbot einen Auftragsverarbeitungsvertrag?
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein AVV nach Art. 28 DSGVO in der Regel erforderlich. Bei chattastic steht dieser Vertrag bereit.
Muss ich meine Datenschutzerklärung anpassen?
Ja. Besucher sollten erfahren, welche Daten im Chat verarbeitet werden, welche Dienstleister beteiligt sind und wie lange Daten gespeichert werden. Die genaue Formulierung stimmen Sie am besten mit Ihrer Datenschutzberatung ab.
Wie lange speichert chattastic Gesprächsverläufe?
Höchstens 90 Tage, danach werden sie automatisch gelöscht. Diese automatische Löschung lässt sich abschalten.
Ist dieser Artikel eine Rechtsberatung?
Nein. Der Artikel gibt einen allgemeinen Überblick. Für Ihren konkreten Fall wenden Sie sich an Ihren Datenschutzbeauftragten oder eine spezialisierte Kanzlei.
