DSGVO und KI-Agenten: Was Sie wissen müssen, bevor Sie einen Bot auf Ihre Website stellen

Ein Chatbot auf der Website oder bei WhatsApp wirkt wie eine Kleinigkeit: ein paar automatische Antworten, ein Terminformular, vielleicht die Annahme einer Bestellung. Doch ab der ersten Nachricht, in der ein Kunde seinen Namen, seine Telefonnummer oder ein gesundheitliches Problem schreibt, verarbeitet Ihr Bot personenbezogene Daten. Und das heißt: DSGVO.

Die gute Nachricht: Ein DSGVO-konformer Chatbot ist nicht schwerer zu bauen als ein nicht konformer, wenn Sie von Anfang an an die Daten denken. Unten finden Sie Schritt für Schritt, was Sie wissen müssen, bevor Sie einen Bot auf Ihre Website stellen, mit einer Checkliste am Ende. Das ist keine Rechtsberatung; besprechen Sie Sonderfälle mit einem Datenschutzspezialisten.

Warum ein Chatbot unter die DSGVO fällt

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt für jede Verarbeitung personenbezogener Daten, also jeder Information über eine identifizierte oder identifizierbare Person. Ein Bot verarbeitet solche Daten fast immer:

• Name, Telefonnummer, E-Mail, Lieferadresse;
• den Inhalt des Gesprächs, der Details zu Bestellungen, Problemen und Vorlieben enthalten kann;
• bei einem Sprachagenten die Telefonnummer und die Aufzeichnung oder Transkription eines Anrufs;
• technische Daten: IP-Adresse, Sitzungskennungen, Cookies.

Sie als Unternehmen, das entscheidet, warum und wie die Daten genutzt werden, sind der Verantwortliche. Anbieter, die die Daten in Ihrem Auftrag verarbeiten (die Agentur, die den Bot baut, die Messaging-Plattform, der Anbieter des KI-Modells, die Datenbank), sind Auftragsverarbeiter. Die Hauptverantwortung bleibt bei Ihnen.

Die sechs Fragen, die Sie beantworten können müssen

1. Auf welcher Rechtsgrundlage verarbeiten Sie die Daten?

Artikel 6 DSGVO zählt die Rechtsgrundlagen auf. Für einen Kundenservice-Chatbot sind die häufigsten:

• Vertragserfüllung oder vorvertragliche Maßnahmen auf Anfrage der Person: Der Kunde bittet um einen Termin oder gibt eine Bestellung auf;
• berechtigtes Interesse: zum Beispiel die Beantwortung allgemeiner Fragen oder die Verbesserung des Service, sofern Ihr Interesse nicht die Rechte des Kunden überwiegt;
• Einwilligung: in der Regel nötig für Marketing, Newsletter oder Cookies, die nicht unbedingt erforderlich sind.

Legen Sie die Rechtsgrundlage für jeden Zweck gesondert fest. Dass ein Kunde einen Termin angefragt hat, gibt Ihnen nicht automatisch das Recht, ihm Werbeangebote zu schicken.

2. Haben Sie die Menschen klar informiert?

Artikel 13 verlangt, dass Sie bei der Erhebung von Daten sagen, wer Sie sind, warum Sie sie erheben, auf welcher Grundlage, an wen Sie sie weitergeben, wie lange Sie sie speichern und welche Rechte die Person hat. In der Praxis:

• Die erste Nachricht des Bots enthält einen kurzen Link zur Datenschutzerklärung;
• die Datenschutzerklärung beschreibt den Bot ausdrücklich: welche Daten er erfasst, wer die Anbieter sind, wo gespeichert wird;
• beim Sprachagenten sagt die Begrüßung, dass der Anruf von einem virtuellen Assistenten angenommen wird und, falls zutreffend, dass er aufgezeichnet oder transkribiert wird.

3. Erheben Sie nur, was Sie brauchen?

Der Grundsatz der Datenminimierung aus Artikel 5 besagt, nur die für den Zweck nötigen Daten zu erfragen. Für einen Termin brauchen Sie Name, Telefonnummer und Uhrzeit. Sie brauchen weder die CNP (rumänische persönliche Identifikationsnummer) noch das Geburtsdatum. Konfigurieren Sie den Bot so, dass er nicht mehr erfragt als nötig und den Kunden nicht dazu ermuntert, unnötige Dokumente oder Details zu senden.

4. Wie lange speichern Sie die Gespräche?

Ebenfalls Artikel 5 verlangt, dass Daten nicht länger als nötig gespeichert werden. Legen Sie eine konkrete Speicherdauer für Gespräche, Transkriptionen und Aufzeichnungen fest und bauen Sie die automatische Löschung ins System ein, statt sie auf die „Irgendwann erledigen“-Liste zu setzen.

5. Haben Sie Verträge mit allen Anbietern?

Artikel 28 verlangt mit jedem Auftragsverarbeiter einen schriftlichen Vertrag, der festlegt, was er mit den Daten tun darf. Erstellen Sie eine Liste aller am Bot beteiligten Anbieter (Agentur, Datenbank, Messaging- oder Telefonieplattform, Sprachanbieter, Anbieter des KI-Modells) und prüfen Sie für jeden den Auftragsverarbeitungsvertrag.

6. Wohin gelangen die Daten?

Wenn Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden, verlangt Kapitel V der DSGVO geeignete Garantien. Viele Technologieanbieter haben Infrastruktur oder Muttergesellschaften außerhalb der EU. Fragen Sie ausdrücklich, wo die Daten gespeichert und verarbeitet werden und auf welcher Grundlage die Übermittlung erfolgt.

Situationen, in denen Sie besonders aufpassen müssen

Gesundheitsdaten und andere besondere Kategorien

Kliniken, Zahnarztpraxen, Salons, die nach Allergien oder Erkrankungen fragen: Wenn der Bot Gesundheitsinformationen erfasst, fallen Sie unter Artikel 9, der besondere Kategorien von Daten schützt und ihre Verarbeitung nur unter strengen Bedingungen erlaubt. Hier lohnt sich eine eigene Prüfung. Eine praktische Lösung: Der Bot nimmt nur den Termin auf, und die medizinischen Details bleiben dem Gespräch mit dem Fachpersonal vorbehalten.

Automatisierte Entscheidungen

Artikel 22 gibt Menschen das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ein Bot, der Termine vergibt, fällt nicht darunter. Einer, der automatisch einen Kreditantrag oder einen Bewerber ablehnt, kann darunter fallen. Lassen Sie einen Menschen an der Entscheidung beteiligt.

Die Datenschutz-Folgenabschätzung

Artikel 35 verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, besonders beim Einsatz neuer Technologien. Für einen einfachen Info-Bot ist sie meist nicht nötig. Für einen, der Gesundheitsdaten in großem Umfang verarbeitet oder Entscheidungen über Menschen trifft, klären Sie mit einem Spezialisten, ob die Folgenabschätzung Pflicht ist.

Cookies und das Chat-Widget

Viele Chat-Widgets setzen Cookies oder Kennungen im Browser. Die Regeln für Cookies ergeben sich in Rumänien neben der DSGVO aus dem Gesetz Nr. 506/2004. Prüfen Sie, ob Ihr Widget nicht unbedingt erforderliche Cookies setzt, und laden Sie es in diesem Fall erst nach der Einwilligung.

Sicherheit, der praktische Teil

Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Für einen Chatbot bedeutet das mindestens:

• Zugriff auf Gespräche nur für Personen, die ihn brauchen, mit individuellen Konten;
• Zugangsschlüssel und Passwörter sicher aufbewahrt, nicht in E-Mails oder geteilten Dokumenten;
• verschlüsselte Verbindungen und eine geschützte Datenbank mit Zugriffsregeln auf Zeilen- und Tabellenebene;
• Backups und ein Plan für den Fall, dass etwas schiefgeht;
• der Bot hat keinen Zugriff auf mehr Daten, als er für seine Aufgabe braucht.

Die Rechte der Kunden: wie Sie reagieren

Menschen haben das Recht zu erfahren, welche Daten Sie über sie haben, sie berichtigen zu lassen, ihre Löschung zu verlangen und bestimmten Verarbeitungen zu widersprechen. Stellen Sie sicher, dass Sie alle Gespräche einer Person schnell anhand von Telefonnummer oder E-Mail finden und auf Anfrage löschen können. Wenn der Bot auf einer gut organisierten Datenbank aufbaut, dauert das Minuten, nicht Tage.

Was Sie riskieren

Die Behörde, die in Rumänien die Anwendung der DSGVO überwacht, ist die ANSPDCP. Artikel 83 DSGVO sieht für die schwersten Verstöße Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Über das Bußgeld hinaus schadet ein Datenleck aus Kundengesprächen direkt Ihrem Ruf.

Checkliste, bevor der Bot online geht

1. Sie haben die Zwecke und für jeden die Rechtsgrundlage festgelegt.
2. Die Datenschutzerklärung beschreibt den Bot und seine Anbieter.
3. Die erste Nachricht sagt, dass es ein virtueller Assistent ist, und verweist auf die Datenschutzerklärung.
4. Der Bot fragt nur die nötigen Daten ab.
5. Sie haben eine Speicherdauer und automatische Löschung.
6. Sie haben Auftragsverarbeitungsverträge mit allen Anbietern.
7. Sie wissen, wo die Daten gespeichert und verarbeitet werden und auf welcher Grundlage eventuelle Übermittlungen erfolgen.
8. Sie haben geprüft, ob Sie Gesundheitsdaten verarbeiten oder automatisierte Entscheidungen treffen.
9. Das Widget setzt keine nicht notwendigen Cookies ohne Einwilligung.
10. Sie können die Daten einer Person schnell finden und löschen.
11. Sie haben das System ins Verzeichnis von Verarbeitungstätigkeiten aufgenommen, falls Ihr Unternehmen dazu verpflichtet ist.

Wie wir bauen

Unsere Agenten laufen auf Claude von Anthropic, und die Gespräche und Kundendaten werden in Supabase auf Servern in der EU gespeichert. Jeder Chatbot auf WhatsApp oder auf der Website stellt sich als virtueller Assistent vor, fragt nur die Daten ab, die er braucht, und hat nur Zugriff auf das, was er benötigt. Die technischen Details finden Sie auf der Seite zur Datensicherheit. Beachten Sie, dass auch der AI Act, unabhängig von der DSGVO, verlangt, dass Menschen wissen, dass sie mit einer KI sprechen.

Wenn Sie einen Bot möchten, der Ihnen mit Ihren Kunden hilft, ohne Ihnen Datenschutzprobleme zu bereiten, vereinbaren Sie ein kostenloses 30-minütiges Gespräch. Wir sagen Ihnen ehrlich, welche Daten Ihr Bot verarbeiten würde und was vor dem Start vorbereitet werden muss.