- Die DSGVO gilt für jeden Chatbot, der personenbezogene Daten von EU-Nutzern erhebt oder verarbeitet. Sie verlangt Transparenz, Nutzerrechte und strenge Datenschutzmaßnahmen.
- Sie müssen Nutzer klar und frühzeitig darüber informieren, welche Daten Ihr Chatbot sammelt, warum, wie sie gespeichert oder weitergegeben werden und welche Rechte die Nutzer auf Zugriff oder Löschung ihrer Daten haben.
- Daten dürfen nur für die angegebenen, konkreten Zwecke und mit einer rechtlichen Grundlage wie Einwilligung, Vertragserfüllung oder berechtigtem Interesse verarbeitet werden.
- Nutzer müssen ihre DSGVO-Rechte ausüben können – etwa auf ihre Daten zugreifen, sie berichtigen oder löschen – idealerweise direkt über die Chatbot-Flows.
Wenn Sie darüber nachdenken, einen Chatbot für ein Unternehmen einzusetzen, ist dieser Artikel für Sie.
Da die DSGVO (Datenschutz-Grundverordnung) Unternehmen, die Kundendaten verarbeiten, betrifft, wächst der Druck, auch die technischen Aspekte im Unternehmen anzugehen.
Eine häufige Frage unserer Kunden ist: Wie mache ich meinen Botpress-Chatbot DSGVO-konform? Die Einhaltung der DSGVO kann herausfordernd sein, aber wir unterstützen Sie dabei.
Wenn die DSGVO für Ihr Unternehmen gilt, finden Sie hier einige Tipps und Hinweise, um die fortlaufende Konformität Ihres Chatbots sicherzustellen.
DSGVO-Kurzüberblick
Was ist die DSGVO?
Die DSGVO ist eine EU-Verordnung zum Datenschutz und zur Privatsphäre. Sie betrifft Einzelpersonen und Unternehmen in der EU und im Europäischen Wirtschaftsraum (EWR) – auch bei der Übertragung von Daten außerhalb dieser Regionen.
Ihr Ziel ist es, Einzelpersonen die Kontrolle über ihre personenbezogenen Daten zu geben und einheitliche Regelungen in der EU zu schaffen. Wenn Ihr Unternehmen in diesen Regionen tätig ist, müssen Sie die DSGVO einhalten.
Die Nichteinhaltung der DSGVO ist teuer: Es drohen hohe Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Sie müssen Ihren Nutzern nachweisen können, dass Sie deren Daten genau wie versprochen verarbeiten. Das stärkt das Vertrauen in Ihre Chatbots und kann letztlich die Rentabilität und den Erfolg Ihres Unternehmens steigern.
Was gilt als personenbezogene Daten?
Nach der DSGVO gelten als personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen“. Dazu gehören:
- Telefonnummern
- Kreditkartennummern
- Personalnummern
- Kontodaten
- Kfz-Kennzeichen
- Aussehen
- Kundennummern
- Adressen
Die Definition der DSGVO ist weit gefasst – wenn Sie unsicher sind, ob eine Information als personenbezogen gilt, behandeln Sie sie besser entsprechend.
1. Seien Sie transparent
Wenn Sie Kundendaten über Ihren Chatbot erheben – und diese Daten unter die DSGVO fallen – müssen Sie gegenüber den Nutzern transparent sein. Erklären Sie das Wer, Was, Wo, Wann und Warum der Datenerhebung.
Das bedeutet, dass Sie Ihre Nutzer darüber informieren, welche Kundendaten Sie erheben, wie Sie diese verwenden und mit wem Sie sie teilen. Diese Informationen müssen dem Nutzer vor der Datenerhebung bereitgestellt werden.
Informieren Sie den Nutzer vor der Erhebung
Geben Sie einen klaren und verständlichen Hinweis, bevor Sie Kundendaten über Ihren Chatbot verarbeiten.
Das geschieht oft über Pop-ups, die erklären, welche Daten erhoben werden, warum dies geschieht und welche Rechte der Nutzer in Bezug auf seine Daten hat.
Veröffentlichen Sie eine öffentliche Datenschutzerklärung
Beschreiben Sie Ihre Datenverarbeitung auch in einer Online-Datenschutzerklärung und aktualisieren Sie diese bei Bedarf. Sie können sich an der Datenschutzerklärung von Botpress orientieren.
Ihre Datenschutzerklärung sollte Folgendes enthalten:
- Welche Informationen vom Nutzer erhoben werden
- Warum Sie personenbezogene Daten verarbeiten (also den Zweck der Datenerhebung)
- Wie Sie personenbezogene Daten speichern und übertragen
- Wie Sie personenbezogene Daten schützen und verarbeiten
- Die Datenschutzrechte der Nutzer
Transparenz beim Umgang mit Kundendaten schafft Vertrauen und Wohlwollen – das führt zu stärkeren, dauerhafteren Kundenbeziehungen und letztlich zu einem nachhaltigeren und angesehenen Unternehmen.
2. Seien Sie ehrlich
Verarbeiten Sie Daten nur für die angegebenen Zwecke. Achten Sie darauf, dass Ihr Unternehmen und Ihre Mitarbeitenden Kundendaten ausschließlich für die genannten Zwecke nutzen.
Wenn Sie zum Beispiel angeben, Kundendaten für Werbemitteilungen, das Training von Algorithmen, Datenanalysen zur Produktverbesserung, technischen Support, Kundenservice oder Personalisierung zu verwenden, dürfen Sie die Daten auch nur dafür nutzen – und nicht für andere Zwecke.
3. Seien Sie umsichtig
Verarbeiten Sie Daten nur mit einer passenden rechtlichen Grundlage.
Überprüfen Sie intern, auf welcher rechtlichen Grundlage Sie Kundendaten verarbeiten. Diese Analyse ist nach DSGVO erforderlich.
Sie dürfen Kundendaten nur verarbeiten, wenn mindestens eine der folgenden Bedingungen erfüllt ist:
- Es liegt eine ausdrückliche Einwilligung des Chatbot-Nutzers vor
- Es besteht ein Vertrag mit dem Nutzer und die Verarbeitung ist dafür unerlässlich
- Sie erfüllen eine rechtliche Verpflichtung
- Sie schützen die lebenswichtigen Interessen des Nutzers (z. B. in einer Notlage)
- Sie erfüllen eine Aufgabe im öffentlichen Interesse
- Sie handeln im Rahmen Ihrer amtlichen Befugnisse
- Sie verfolgen berechtigte Interessen (sofern diese nicht durch die Interessen oder Grundrechte und -freiheiten der Nutzer überwiegen)
Die häufigsten Gründe für die Verarbeitung von Kundendaten sind Einwilligung, Vertragserfüllung oder berechtigte Interessen.
4. Seien Sie nutzerorientiert
Ermöglichen Sie Nutzern, ihre Datenschutzrechte wahrzunehmen.
Ein Punkt auf der DSGVO-Checkliste für Online-Chatbots ist, dass Nutzer ihre Datenschutzrechte nach DSGVO ausüben können.
Chatbot-Nutzer müssen Zugriff auf die über sie erhobenen Daten erhalten, diese berichtigen, die Verarbeitung einschränken oder widersprechen, die Löschung verlangen oder die Daten in einem übertragbaren Format erhalten können.
Idealerweise können Nutzer diese Rechte direkt im Chatbot-Dialog über einen interaktiven Frage-Antwort-Prozess ausüben. Mit Botpress ist das möglich.
5. Seien Sie menschlich
Zeigen Sie, dass automatisierte Entscheidungen von Menschen begleitet werden.
Chatbots von Botpress nutzen KI-Technologie. Genauer gesagt sind es KI-Agenten, die von LLMs unterstützt werden.
Sofern bestimmte Bedingungen nicht erfüllt sind, dürfen Sie Ihren Chatbot nicht so gestalten, dass KI allein kritische Entscheidungen über Nutzer trifft: Entscheidungen dürfen keine rechtlichen Auswirkungen haben oder den Nutzer erheblich beeinträchtigen.
Das bedeutet, dass bei jedem Einsatz eines Chatbots mit agentischer KI menschliche Kontrolle gewährleistet sein muss, um die DSGVO einzuhalten. Sie müssen Nutzern zeigen können, dass Menschen an diesen Entscheidungen beteiligt waren.
6. Seien Sie zurückhaltend bei Logs
Überprüfen Sie, welche Arten von Protokollen Ihr Chatbot erstellt. Gibt es Fehlerprotokolle? Zugriffsprotokolle? Sicherheitsprotokolle?
Falls ja, prüfen Sie, ob diese Protokolle Kundendaten wie IP-Adressen, Identifikationsdaten oder vollständige Namen enthalten. Ist das der Fall, müssen Sie möglicherweise Prozesse einführen, um diese Daten zu löschen. Die DSGVO verbietet es, solche Daten ohne rechtliche Grundlage aufzubewahren.
Wenn keine Aufbewahrungspflicht besteht, löschen Sie alle personenbezogenen Daten aus Protokollen.
Bei Botpress werden personenbezogene Daten aus Protokollen nach einer klar definierten Frist automatisch gelöscht.
7. Seien Sie sicherheitsbewusst
Zusätzlich zu den anderen Punkten müssen Sie auch technische, organisatorische, physische und administrative Maßnahmen ergreifen, um die über Ihren Chatbot verarbeiteten Informationen zu schützen.
Das kann bedeuten, dass Sie:
- Verschlüsseln Sie Kundendaten sowohl im Ruhezustand als auch bei der Übertragung
- Anonymisieren oder pseudonymisieren Sie Kundendaten
- Verwalten Sie den Zugriff Ihrer Mitarbeitenden auf Kundendaten angemessen und ausschließlich nach dem Need-to-know-Prinzip.
- Sorgen Sie für geeignete Backups und weitere Schutzmaßnahmen
Dies sind alles angemessene Maßnahmen, um die Ihnen anvertrauten Daten zu schützen – sie variieren je nach Zweck Ihres Chatbots und den erhobenen Daten.
Weitere Beispiele finden Sie in Anhang 2 der Datenverarbeitungsvereinbarung von Botpress, in dem die von uns beim Bau eines Chatbots ergriffenen Sicherheitsmaßnahmen aufgeführt sind.
Konforme Chatbots erstellen
Die Einhaltung der DSGVO durch Ihren Chatbot ist nicht nur aus rechtlichen oder finanziellen Gründen wichtig. Vertrauen und Transparenz gegenüber Ihren Nutzern sind entscheidend für das öffentliche Image Ihres Unternehmens und die Beziehung zu Ihren Kunden. Im Zweifel sollten Sie sicherstellen, dass Ihre Produkte und Dienstleistungen eine DSGVO-Checkliste befolgen, um die Einhaltung zu gewährleisten.
Wir unterstützen Sie gerne dabei, dass Ihr KI-Chatbot die erforderlichen Vorschriften einhält. Viele Funktionen zur DSGVO-Konformität sind direkt in Botpress integriert, damit Sie sich auf das Erstellen Ihres Bots konzentrieren können.
Bei Fragen erreichen Sie uns unter [email protected].
FAQs
1. Ist die Einhaltung der DSGVO für Nicht-EU-Unternehmen, die Chatbots nutzen, verpflichtend?
Ja, die DSGVO-Konformität ist auch für Unternehmen außerhalb der EU verpflichtend, wenn deren Chatbot personenbezogene Daten von EU-Bürgern verarbeitet oder sich in irgendeiner Weise an EU-Nutzer richtet. Dies gilt unabhängig vom Firmensitz aufgrund des extraterritorialen Anwendungsbereichs der DSGVO (Artikel 3).
2. Wie führe ich eine Datenschutz-Folgenabschätzung (DPIA) für meinen Chatbot durch?
Um eine DPIA für Ihren Chatbot durchzuführen, identifizieren Sie die erhobenen personenbezogenen Daten, bewerten Sie die Risiken für die Privatsphäre der Nutzer und dokumentieren Sie die technischen und organisatorischen Schutzmaßnahmen (wie Verschlüsselung oder Zugriffskontrollen). Die DPIA sollte einem strukturierten Format folgen und vor dem Einsatz durchgeführt werden, wenn die Verarbeitung risikoreich ist.
3. Wie stelle ich sicher, dass mein Chatbot während des Debuggings oder bei Analysen keine sensiblen Daten protokolliert?
Um sicherzustellen, dass Ihr Chatbot keine sensiblen Daten protokolliert, konfigurieren Sie das Logging so, dass Nachrichteninhalte ausgeschlossen werden, maskieren oder schwärzen Sie Felder (z. B. Namen, E-Mails, medizinische Daten) und beschränken Sie den Zugriff auf Protokolle durch rollenbasierte Zugriffskontrolle (RBAC). Debugging-Tools sollten in anonymisierten Umgebungen getestet werden, und Protokolle sollten regelmäßig gelöscht oder verschlüsselt werden.
4. Muss ich meinen Chatbot für verschiedene Regionen mit unterschiedlichen Datenschutzgesetzen lokalisieren?
Ja, Sie müssen die Datenverarbeitung Ihres Chatbots an regionale Gesetze wie die DSGVO (EU), CCPA (Kalifornien) oder LGPD (Brasilien) anpassen. Dies kann Anpassungen bei Aufbewahrungsfristen, Einwilligungsmechanismen und der Verwaltung von Nutzerrechten für jede Region erfordern, in der Ihr Chatbot eingesetzt wird.
5. Gilt die Echtzeit-Benutzerprofilierung durch LLMs als DSGVO-konform?
Echtzeit-Profiling von Nutzern durch LLMs kann nur dann DSGVO-konform sein, wenn strenge Anforderungen erfüllt werden: ausdrückliche Einwilligung der Nutzer, Transparenz und das Recht auf Widerspruch gegen automatisierte Entscheidungen (Artikel 22). Wenn das Profiling Auswirkungen auf die Rechte der Nutzer oder den Zugang zu Diensten hat, sind eine menschliche Überprüfung und ausführliche Offenlegungen gesetzlich vorgeschrieben.
.webp)
