Chatbot DSGVO-konform betreiben: Was Betriebe in Österreich beachten müssen

Welche personenbezogenen Daten verarbeitet ein Chatbot?

Ein Website-Chatbot verarbeitet mindestens die Inhalte der Unterhaltung und technische Daten wie IP-Adresse und Zeitstempel. Oft kommen Name, E-Mail-Adresse oder Telefonnummer dazu, wenn Nutzer:innen einen Rückruf oder Termin wünschen. Weil Menschen in Chats auch ungefragt persönliche Dinge schreiben, können Gesprächsverläufe zusätzliche personenbezogene Daten enthalten. Beispiel (erfunden): Eine Hausverwaltung in Salzburg beantwortet per Chatbot Fragen zu Betriebskosten, Schlüsseln und Reparaturen. Nur bei Reparaturmeldungen fragt der Chatbot Name, Wohnungsnummer und Telefonnummer ab; alle anderen Fragen beantwortet er ohne Personendaten.

Datenschutzrechtlich ist der Betrieb, der den Chatbot auf seiner Website einsetzt, Verantwortlicher im Sinne der DSGVO. Der Chatbot-Anbieter ist Auftragsverarbeiter, der Anbieter des Sprachmodells meist ein Subauftragsverarbeiter. Der Betrieb muss also dafür sorgen, dass die gesamte Kette rechtlich sauber geregelt ist – vom eigenen Chatfenster bis zum Rechenzentrum, in dem das Sprachmodell läuft.

Datensparsamkeit: Wie wenige Daten braucht ein Chatbot?

Ein Chatbot braucht für die meisten Fragen gar keine Daten, die eine Person direkt identifizieren. Die DSGVO verlangt in Art. 5 Datenminimierung: Es dürfen nur Daten verarbeitet werden, die für den Zweck nötig sind. Datensparsamkeit senkt nebenbei das Risiko bei einer Datenpanne: Was nicht gespeichert ist, kann auch nicht verloren gehen. Für einen Website-Chatbot heißt das konkret:

• Keine Registrierung und kein Login, um Fragen zu stellen.
• Gesprächsverläufe nicht mit Kundenkonten verknüpfen, wenn das für den Zweck nicht nötig ist.
• Kontaktdaten nur abfragen, wenn ein Rückruf oder Termin gewünscht ist.
• Keine Tracking- oder Werbe-Cookies im Chatfenster.
• Ein sichtbarer Hinweis, keine sensiblen Daten wie Gesundheitsangaben einzugeben.
• Vertraglich ausschließen, dass Gesprächsdaten zum Training fremder KI-Modelle verwendet werden.
• IP-Adressen nur kurz speichern oder kürzen.

Als Rechtsgrundlage kommen meist die Beantwortung einer Anfrage vor Vertragsabschluss (Art. 6 Abs. 1 lit. b DSGVO) oder ein berechtigtes Interesse (lit. f) in Betracht. Die Einordnung im Einzelfall gehört in die Hand einer Datenschutzberatung.

Wann braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?

Mit jedem Chatbot-Anbieter, der im Auftrag des Betriebs personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Laut Datenschutzbehörde darf ein Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Seriöse Anbieter stellen den AVV von sich aus bereit, meist als Teil der Vertragsunterlagen.

Der AVV muss auch die Kette dahinter abdecken: Der Chatbot-Anbieter bindet seine Subauftragsverarbeiter vertraglich an dieselben Pflichten und informiert den Betrieb, bevor er einen neuen Subauftragsverarbeiter einsetzt. Diese Punkte sollte der AVV mindestens regeln:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Vertraulichkeit aller Personen, die Zugriff auf die Daten haben
• Technische und organisatorische Sicherheitsmaßnahmen nach Art. 32 DSGVO
• Liste der Subauftragsverarbeiter mit Standort, etwa Hosting und Sprachmodell
• Unterstützung bei Auskunfts- und Löschanfragen von Betroffenen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweise und Kontrollrechte für den Betrieb

Was gehört zum Chatbot in die Datenschutzerklärung?

Die Datenschutzerklärung muss den Chatbot ausdrücklich beschreiben, denn nach Art. 13 DSGVO sind Nutzer:innen bei der Erhebung ihrer Daten zu informieren. Ein allgemeiner Satz zu „Diensten Dritter“ reicht nicht. Die Datenschutzerklärung muss außerdem mit der Wirklichkeit übereinstimmen: Wechselt der Anbieter das Sprachmodell oder den Speicherort, ist sie anzupassen. Ein eigener Abschnitt zum Chatbot sollte enthalten:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls der Datenschutzbeauftragten
• Zweck: Beantwortung von Fragen, Aufnahme von Rückruf- und Terminwünschen
• Rechtsgrundlage der Verarbeitung
• Welche Daten verarbeitet werden, einschließlich der Gesprächsinhalte
• Anbieter und Subauftragsverarbeiter als Empfänger
• Übermittlung in Drittländer und deren Grundlage
• Speicherdauer der Gesprächsverläufe und Kontaktdaten
• Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch und Beschwerde bei der Datenschutzbehörde
• Hinweis, dass die Antworten von einer KI erzeugt werden

Den Datenschutzhinweis im Chatfenster selbst kurz halten und auf die vollständige Datenschutzerklärung verlinken.

Wie lange dürfen Chatverläufe gespeichert werden?

Die DSGVO nennt keine feste Frist für Chatverläufe; nach dem Grundsatz der Speicherbegrenzung in Art. 5 dürfen Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist. Der Betrieb muss deshalb selbst eine Frist festlegen, sie begründen und in die Datenschutzerklärung schreiben. Wichtig ist, dass der Anbieter die Frist technisch umsetzt und Daten danach automatisch löscht. Ohne festgelegte Frist können Chatverläufe beim Anbieter unbegrenzt liegen bleiben, was dem Grundsatz der Speicherbegrenzung widerspricht.

Bewährt hat sich eine Trennung nach Zweck: Gesprächsverläufe zur Qualitätsverbesserung werden nach einer kurzen Frist gelöscht oder anonymisiert, Kontaktdaten für Rückrufe nach Erledigung gelöscht oder in das Kundensystem übernommen, wo dessen Regeln gelten. Für Statistiken wie die häufigsten Fragen genügen anonymisierte Daten; auch so zeigt die Auswertung, welche Inhalte auf der Website fehlen. Beispiel (erfunden): Ein Fitnessstudio in Graz löscht Chatverläufe automatisch nach einer festgelegten Frist und übernimmt Anmeldungen zum Probetraining direkt in die Mitgliederverwaltung.

Was gilt bei US-Anbietern und beim Drittlandtransfer?

Daten dürfen an Anbieter in den USA übermittelt werden, wenn eine Grundlage nach Kapitel V der DSGVO besteht. Die wichtigste ist derzeit das EU-US Data Privacy Framework: Die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss dafür erlassen. Er gilt aber nur für US-Unternehmen, die nach dem Framework zertifiziert sind; ob das zutrifft, lässt sich in der offiziellen Data-Privacy-Framework-Liste prüfen. Praktisch heißt das: Vor Vertragsabschluss schriftlich nachfragen, wo Gesprächsdaten verarbeitet werden, welche Subauftragsverarbeiter beteiligt sind und auf welcher Grundlage Daten in die USA gehen.

Ist ein Anbieter nicht zertifiziert, braucht es andere Garantien, meist EU-Standardvertragsklauseln. Viele Chatbots nutzen Sprachmodelle von US-Unternehmen, deshalb lohnt der Blick in die Liste der Subauftragsverarbeiter. Am einfachsten ist ein Setup, bei dem Gesprächsdaten in Rechenzentren in der EU verarbeitet werden; auch dann lohnt ein Blick in den Vertrag, ob Support oder Wartung aus Drittländern erfolgen. Ein Restrisiko bleibt: Frühere Abkommen zum Datentransfer in die USA hat der Europäische Gerichtshof gekippt, zuletzt 2020 mit dem Urteil Schrems II.

Warum gehören Gesundheitsdaten nicht in den Chatbot?

Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO haben in einem Website-Chatbot nichts verloren. Dazu zählen neben Gesundheitsdaten etwa Angaben zu religiöser Überzeugung, politischer Meinung, Gewerkschaftszugehörigkeit oder sexueller Orientierung sowie genetische und biometrische Daten. Ihre Verarbeitung ist grundsätzlich verboten, Ausnahmen setzen strenge Bedingungen voraus.

Für Arztpraxen, Therapeut:innen, Apotheken oder Fitnessstudios mit Gesundheitsangeboten heißt das: Der Chatbot beantwortet nur organisatorische Fragen wie Öffnungszeiten, Anfahrt, Ablauf oder mitzubringende Unterlagen. Er fragt keine Symptome ab und gibt keine medizinischen Auskünfte. Schreiben Nutzer:innen trotzdem Gesundheitsangaben in den Chat, verweist der Chatbot freundlich auf Telefon oder persönlichen Termin. Ein sichtbarer Hinweis im Chatfenster beugt vor, etwa: „Bitte geben Sie hier keine Gesundheitsdaten ein. Für medizinische Fragen rufen Sie uns an.“ Mehr dazu im Ratgeber KI in Arztpraxen.

Checkliste: Chatbot DSGVO-konform und nach AI Act gekennzeichnet

Diese Checkliste fasst zusammen, was vor dem Livegang eines Chatbots geklärt sein sollte. Wer alle Punkte abhaken kann, hat die wichtigsten Pflichten abgedeckt; für Sonderfälle wie Gesundheitsbetriebe empfiehlt sich zusätzlich eine Datenschutzberatung. Zur Kennzeichnung nach dem AI Act siehe auch den Ratgeber EU AI Act für KMU.

Häufige Fragen

Dieser Artikel ist eine allgemeine Information und ersetzt keine Rechts-, Steuer- oder Förderberatung. Stand siehe oben; Fehler gefunden? Schreib an office@pipeline-solutions.at.