DSGVO-konformer Chatbot: Was Unternehmen beachten müssen

Chatbots sind aus dem modernen Kundenservice kaum noch wegzudenken. Doch wer einen Chatbot auf seiner Website einsetzt, verarbeitet personenbezogene Daten — und muss sich an die DSGVO halten. Was genau zu beachten ist, welche Fehler teuer werden können und wie du auf der sicheren Seite bleibst, erfährst du in diesem Artikel.

Warum ist die DSGVO bei Chatbots relevant?

Sobald ein Chatbot auf einer Website aktiv ist, werden potenziell personenbezogene Daten verarbeitet. Das beginnt bereits bei der IP-Adresse des Nutzers und kann sich über eingegebene Namen, E-Mail-Adressen, Telefonnummern bis hin zu Gesundheitsdaten erstrecken — besonders relevant bei Chatbots für Arztpraxen.

Die DSGVO (Datenschutz-Grundverordnung) regelt seit Mai 2018, wie personenbezogene Daten in der EU verarbeitet werden dürfen. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Grund genug, das Thema ernst zu nehmen.

1. Rechtsgrundlage: Art. 6 DSGVO

Jede Datenverarbeitung braucht eine Rechtsgrundlage. Für Chatbots kommen vor allem zwei in Frage:

a) Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Der Nutzer stimmt aktiv zu, dass seine Daten im Rahmen der Chat-Konversation verarbeitet werden. Das ist der sicherste Weg, aber auch der aufwändigste: Die Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein. Außerdem muss sie jederzeit widerrufbar sein.

b) Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Alternativ kann die Datenverarbeitung auf das berechtigte Interesse des Website-Betreibers gestützt werden — etwa das Interesse an effizientem Kundenservice. Hierbei muss jedoch eine Interessenabwägung stattfinden: Die Interessen des Nutzers an Datenschutz dürfen nicht überwiegen.

2. Auftragsverarbeitung: Art. 28 DSGVO

Wenn du einen externen Chatbot-Anbieter nutzt (was bei SaaS-Lösungen wie Smartwebchat der Fall ist), liegt in der Regel eine Auftragsverarbeitung vor. Das bedeutet: Der Anbieter verarbeitet personenbezogene Daten in deinem Auftrag.

Was du brauchst:

• Auftragsverarbeitungsvertrag (AVV) — ein schriftlicher Vertrag zwischen dir und dem Chatbot-Anbieter, der die Art und den Zweck der Datenverarbeitung regelt
• Technische und organisatorische Maßnahmen (TOMs) — der Anbieter muss nachweisen, dass er angemessene Sicherheitsmaßnahmen getroffen hat
• Weisungsgebundenheit — der Anbieter darf die Daten nur nach deinen Anweisungen verarbeiten

3. Hosting: Deutschland/EU vs. USA

Ein zentraler Punkt bei der DSGVO-Konformität eines Chatbots ist der Serverstandort. Seit dem Schrems-II-Urteil des EuGH (2020) ist die Übertragung personenbezogener Daten in die USA grundsätzlich problematisch — der "Privacy Shield" wurde für ungültig erklärt.

Was bedeutet das in der Praxis?

Für Unternehmen im Gesundheitswesen, in der Rechtsberatung oder in anderen sensiblen Branchen gilt: EU-Hosting ist keine Option, sondern Pflicht. Chatbot-Anbieter mit Servern in den USA sind hier keine sichere Wahl.

4. Informationspflichten: Was muss in die Datenschutzerklärung?

Gemäß Art. 13 DSGVO musst du Nutzer darüber informieren, dass und wie du ihre Daten verarbeitest. In der Datenschutzerklärung deiner Website solltest du folgende Punkte zum Chatbot aufnehmen:

• Name und Kontaktdaten des Chatbot-Anbieters
• Zweck der Datenverarbeitung
• Rechtsgrundlage (Art. 6 DSGVO)
• Welche Daten erhoben werden (IP-Adresse, Chat-Inhalte, etc.)
• Speicherdauer der Daten
• Ob und wohin Daten in Drittländer übertragen werden
• Hinweis auf den AVV
• Rechte der Betroffenen (Auskunft, Löschung, Widerspruch)

5. Checkliste: Ist dein Chatbot DSGVO-konform?

• Rechtsgrundlage für die Datenverarbeitung definiert (Einwilligung oder berechtigtes Interesse)
• Auftragsverarbeitungsvertrag (AVV) mit dem Chatbot-Anbieter geschlossen
• Chatbot-Anbieter hostet Daten in der EU (kein US-Server)
• Datenschutzerklärung um Chatbot-Abschnitt ergänzt
• Nutzer werden beim Chat-Start über Datenverarbeitung informiert
• Technische Maßnahmen: SSL/TLS-Verschlüsselung bei der Datenübertragung
• Löschkonzept: Wie lange werden Chat-Daten gespeichert?
• Keine unnötigen Daten erhoben (Datensparsamkeit)
• Betroffenenrechte sind umsetzbar (Auskunft, Löschung, Export)
• Cookie-Consent-Banner berücksichtigt den Chatbot (falls Cookies gesetzt werden)

Warum Smartwebchat DSGVO-konform ist

Smartwebchat wurde von Anfang an mit Datenschutz im Blick entwickelt. Hier sind die konkreten Maßnahmen:

• EU-Hosting — Alle Daten werden auf Servern in der Europäischen Union gespeichert
• AVV inklusive — Jeder Kunde erhält automatisch einen Auftragsverarbeitungsvertrag
• SSL/TLS-Verschlüsselung — Sämtliche Datenübertragungen sind Ende-zu-Ende verschlüsselt
• Datensparsamkeit — Es werden nur die Daten verarbeitet, die für den Chat-Betrieb notwendig sind
• Löschung auf Wunsch — Chat-Verläufe können jederzeit gelöscht werden
• Keine Weitergabe zu Werbezwecken — Daten werden nicht verkauft oder zu Werbezwecken genutzt
• Transparente TOMs — Technische und organisatorische Maßnahmen sind dokumentiert und einsehbar

Fazit

Die DSGVO stellt klare Anforderungen an den Einsatz von Chatbots. Wer diese kennt und umsetzt, muss keine Angst vor Bußgeldern haben. Die wichtigsten Punkte: Rechtsgrundlage definieren, AVV abschließen, auf EU-Hosting achten und die Datenschutzerklärung aktualisieren.

Mit einem Anbieter wie Smartwebchat, der DSGVO-Konformität von Anfang an mitdenkt, ist das kein großer Aufwand. So kannst du dich auf das konzentrieren, was wirklich zählt: besseren Service für deine Kunden und Patienten.