Welche Daten ein Chatbot verarbeitet
Auch wenn der Bot nur Fragen zu Öffnungszeiten beantwortet, fallen Daten an. Typisch sind:
- Der Inhalt der Nachrichten: Besucher schreiben oft mehr, als nötig wäre, etwa Namen, Adressen oder Details zu ihrer Situation.
- Kontaktdaten: wenn der Bot einen Rückruf oder ein Angebot vorbereitet.
- Technische Daten: zum Beispiel IP-Adresse, Zeitpunkt, Browser.
- Gesprächsverläufe: die gespeichert werden, damit Sie sie auswerten können.
Sobald sich Daten einer Person zuordnen lassen, gilt die DSGVO. Das ist bei einem Website-Chat praktisch immer der Fall. Daraus folgen ein paar Pflichten, die mit überschaubarem Aufwand erfüllbar sind.
Die wichtigsten Pflichten im Überblick
- Information: In der Datenschutzerklärung steht, dass ein Chatbot eingesetzt wird, welcher Anbieter dahintersteht, welche Daten wozu verarbeitet und wie lange sie gespeichert werden. Mehr dazu im Ratgeber Datenschutzerklärung.
- Auftragsverarbeitung: Der Chatbot-Anbieter verarbeitet Daten in Ihrem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV).
- Rechtsgrundlage: Für das Beantworten von Anfragen kommt in der Regel die Anbahnung eines Vertrags oder ein berechtigtes Interesse in Frage. Für weitergehende Nutzung kann eine Einwilligung nötig sein.
- Löschung: Legen Sie fest, wie lange Gespräche gespeichert bleiben, und löschen Sie danach.
- Übermittlung: Klären Sie, wo die Daten verarbeitet werden. Bei Verarbeitung außerhalb der EU gelten zusätzliche Anforderungen.
Sehen Sie, wie ein KI-Chatbot mit den Inhalten Ihrer Website antwortet. Danach 30 Tage gratis.
Transparenz: Als KI erkennbar sein
Neben der DSGVO spielt der EU AI Act eine Rolle. Er sieht vor, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Für einen Website-Chatbot heißt das in der Praxis: Ein klarer Hinweis im Chatfenster, etwa „Ich bin der digitale Assistent von Tischlerei XY und antworte mit Hilfe von KI“.
Das ist nicht nur Pflicht, sondern auch gute Praxis. Besucher wissen dann, woran sie sind, und verzeihen eher, wenn der Bot einmal an einen Menschen verweisen muss. Ein Bot, der sich als Mitarbeiterin „Lisa“ ausgibt, verspielt dagegen Vertrauen, sobald es jemand merkt.
Sensible Daten: besondere Vorsicht in Praxen
Heikel wird es, wenn Besucher Gesundheitsdaten, Angaben zu Finanzen oder andere sensible Informationen in den Chat schreiben. Typische Situation: Eine Patientin fragt im Chat einer Physiotherapiepraxis, ob ihre Behandlung nach einer bestimmten Operation möglich ist, und beschreibt dabei ihre Diagnose.
Gesundheitsdaten zählen zu den besonders geschützten Daten. Sinnvoll sind daher:
- Ein Hinweis im Chatfenster, keine Gesundheitsdaten oder Diagnosen einzugeben.
- Ein Bot, der keine medizinischen Einschätzungen gibt und für solche Fragen auf ein Telefonat verweist.
- Kurze Speicherfristen für Gesprächsverläufe.
Ähnliches gilt für Kanzleien und Steuerberatungen. Im Zweifel klären Sie das mit einer Fachperson.
Fragen an den Chatbot-Anbieter
- Wo werden die Daten verarbeitet und gespeichert?
- Welche KI-Modelle nutzt der Bot, und werden Gesprächsdaten zum Training verwendet?
- Gibt es einen Auftragsverarbeitungsvertrag?
- Wie lange werden Gespräche gespeichert, und kann ich sie löschen?
- Setzt das Chatfenster Cookies oder speichert es etwas im Browser?
- Welche Textbausteine für die Datenschutzerklärung stellt der Anbieter bereit?
Die Antwort auf Frage 5 entscheidet mit, ob der Chat im Cookie-Banner berücksichtigt werden muss. Wenn Ihnen der Speicherort wichtig ist, lesen Sie auch Hosting in Europa. Bei Pipebot beantworten wir diese Fragen gern vor dem Start, damit Sie die Datenschutzerklärung richtig ergänzen können.
Checkliste vor dem Livegang
- Datenschutzerklärung ergänzt (Anbieter, Zweck, Daten, Speicherdauer).
- Auftragsverarbeitungsvertrag abgeschlossen.
- Hinweis im Chatfenster, dass es sich um eine KI handelt.
- Hinweis, keine sensiblen Daten einzugeben, wo das relevant ist.
- Speicherfristen festgelegt.
- Geklärt, ob der Chat im Cookie-Banner auftauchen muss.
- Festgelegt, wer im Betrieb Zugriff auf Gesprächsverläufe hat.
Allgemeine Informationen bieten die Datenschutzbehörde und die WKO. Für Einzelfragen sind sie, eine Anwältin oder ein Anwalt die richtigen Stellen. Einen breiteren Überblick zum Thema gibt der Ratgeber KI und Datenschutz.
Häufige Fragen
Ist ein KI-Chatbot mit der DSGVO vereinbar?
Ja, wenn er richtig eingesetzt wird. Dazu gehören eine Information in der Datenschutzerklärung, ein Auftragsverarbeitungsvertrag mit dem Anbieter, möglichst wenige erhobene Daten, festgelegte Speicherfristen und geklärte Datenflüsse, besonders bei Verarbeitung außerhalb der EU. Ob alles passt, hängt vom Einzelfall ab, bei Unsicherheit helfen WKO, Anwalt oder Datenschutzbehörde.
Muss ich kennzeichnen, dass mein Chatbot eine KI ist?
Der EU AI Act sieht vor, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Ein kurzer, klarer Hinweis im Chatfenster ist daher empfehlenswert. Er schafft zudem Vertrauen. Einen Bot, der sich als Mensch ausgibt, sollten Sie in keinem Fall einsetzen, auch nicht aus Marketinggründen.
Braucht ein Chatbot eine Einwilligung im Cookie-Banner?
Das hängt davon ab, was das Chatfenster technisch macht. Speichert es Informationen im Browser, die nicht unbedingt nötig sind, oder lädt es Inhalte von Drittanbietern schon beim Seitenaufruf, kann eine Einwilligung erforderlich sein. Fragen Sie den Anbieter genau, was gespeichert wird, und stimmen Sie den Cookie-Banner entsprechend ab.
Darf ich Gesprächsverläufe meines Chatbots auswerten?
Gesprächsverläufe zu lesen, um Antworten und Website zu verbessern, ist ein üblicher Zweck, der in der Datenschutzerklärung genannt werden sollte. Achten Sie darauf, nur Berechtigten Zugriff zu geben, Speicherfristen einzuhalten und die Daten nicht für andere Zwecke wie Werbung zu verwenden, wenn dafür keine Grundlage besteht. Im Zweifel fragen Sie eine Fachperson.
Was passiert, wenn jemand sensible Daten in den Chat schreibt?
Das lässt sich nie ganz verhindern. Sinnvoll sind ein Hinweis im Chatfenster, keine Gesundheits- oder Finanzdaten einzugeben, ein Bot, der solche Themen an einen Menschen verweist, und kurze Speicherfristen. Wenn sensible Daten im Verlauf auftauchen, sollten Sie sie nicht weiterverwenden und gemäß Ihren Löschregeln entfernen.