DSGVO bei Website-Chatbots: Worauf Unternehmen achten sollten

01

Mit Zweck und Rechtsgrundlage beginnen

Bevor ein Chatbot Daten verarbeitet, sollte klar sein, wofür sie gebraucht werden. Allgemeine Fragen beantworten, einen Rückruf vorbereiten und einen Termin anfragen sind unterschiedliche Zwecke und können unterschiedliche Informationen erfordern.

Die passende Rechtsgrundlage hängt vom konkreten Einsatz ab. Unternehmen sollten sie nicht pauschal aus einem Muster übernehmen, sondern zusammen mit den tatsächlichen Funktionen, Datenflüssen und eigenen rechtlichen Anforderungen prüfen.

02

Nur notwendige Daten abfragen

Die DSGVO nennt Datenminimierung als einen zentralen Grundsatz. Für eine Frage zu Öffnungszeiten braucht es keine Telefonnummer. Für einen Rückruf reichen häufig Name, Kontaktmöglichkeit und ein knapp beschriebenes Anliegen.

Weniger Pflichtfelder verbessern nicht nur den Datenschutz. Sie reduzieren Abbrüche und machen das Gespräch für Kunden schneller. Sensible Angaben sollten nicht vorsorglich abgefragt werden.

• Pflichtfelder für jeden Gesprächszweck einzeln begründen
• Freitext nicht länger speichern als für den Zweck erforderlich
• Sensible Informationen weder anfordern noch in Beispielen nahelegen

03

Transparenz verständlich umsetzen

Besucher sollten erkennen, dass sie mit einem digitalen Assistenten schreiben, welche Daten verarbeitet werden und wo sie weitere Informationen finden. Der Hinweis muss verständlich sein und zur tatsächlichen technischen Umsetzung passen.

Ebenso wichtig ist die Übergabe: Wann liest ein Mitarbeiter mit? Welche Informationen werden per E-Mail, CRM oder Kalender weitergegeben? Transparenz entsteht durch konkrete Aussagen, nicht durch möglichst lange Rechtstexte im Chatfenster.

04

Anbieter und Auftragsverarbeitung prüfen

Unternehmen müssen nachvollziehen können, welche Rolle sie selbst und welche Rolle der Anbieter bei der Verarbeitung einnehmen. Wird ein Dienstleister als Auftragsverarbeiter eingesetzt, regelt Artikel 28 DSGVO die Anforderungen an die vertragliche Grundlage.

Zur Prüfung gehören auch Unterauftragnehmer, Verarbeitungsorte, technische Schutzmaßnahmen und mögliche Drittlandübermittlungen. Ein EU-Serverstandort allein beantwortet noch nicht jede Frage zum gesamten Datenfluss.

05

Löschung, Zugriffe und Betroffenenrechte organisieren

Lege fest, wie lange Gesprächsdaten für Support, Übergabe oder Qualitätsprüfung benötigt werden. Löschfristen sollten technisch umsetzbar sein und zu den in der Datenschutzerklärung genannten Angaben passen.

Auch intern braucht es klare Regeln: Wer darf Gespräche sehen? Wie werden Auskunft, Berichtigung oder Löschung umgesetzt? Und wie wird dokumentiert, wenn Funktionen oder eingebundene Anbieter geändert werden?