Der DSGVO-konforme Chatbot für Deine Website

Was Deinen Chatbot DSGVO-konform macht

Hinweis: Dieser Beitrag hilft Dir beim Einsatz eines Chatbots. Er ist keine Rechtsberatung.

Ein DSGVO-konformer Chatbot ist ein Chatbot, dessen Einsatz die Vorgaben der Datenschutz-Grundverordnung erfüllt. Dazu gehören ein Auftragsverarbeitungsvertrag mit dem Anbieter, transparente Angaben in der Datenschutzerklärung, eine geklärte Rechtsgrundlage oder Einwilligung, Datensparsamkeit, feste Löschfristen und bei KI-Diensten außerhalb der EU geeignete Garantien wie Standardvertragsklauseln.

Beim Datenschutz im KI-Chatbot geht es um drei Fragen: Wer verarbeitet die Daten, wo passiert das und wie lange bleiben sie gespeichert? Chatlotse bringt dafür vier Punkte schon mit:

Checkliste: Chatbot DSGVO-konform einsetzen in 8 Punkten

Bevor ein Chatbot auf Deiner Website live geht, lohnt sich ein kurzer Check. Die folgende Liste orientiert sich an den Grundprinzipien der Datenschutz-Grundverordnung und lässt sich auf jeden Chatbot anwenden, nicht nur auf Chatlotse. Diese acht Punkte gehören für einen datenschutzkonformen Einsatz dazu:

1. Auftragsverarbeitungsvertrag abschließen. Schließe mit dem Anbieter Deines Chatbots einen Vertrag nach Artikel 28 DSGVO ab, bevor Du live gehst.
2. Datenschutzerklärung ergänzen. Nenne den Chatbot, den Anbieter und den Zweck der Verarbeitung in Deiner Datenschutzerklärung.
3. Rechtsgrundlage und Einwilligung klären. Lege fest, auf welcher Rechtsgrundlage der Chat läuft und ob er erst nach einer Zustimmung starten soll. Im Zweifel fragst Du Deinen Rechtsberater.
4. An das Cookie-Banner anbinden. Verbinde den Consent-Modus des Chatbots mit Deinem Cookie-Tool, damit die Einwilligung sauber dokumentiert ist.
5. Hosting und Drittstaaten prüfen. Kläre, wo Dein Anbieter hostet und ob für eine Übermittlung in Drittstaaten Garantien wie Standardvertragsklauseln bestehen.
6. Löschfristen festlegen. Chatverläufe sollten nach festen Fristen automatisch gelöscht werden.
7. Keine sensiblen Daten abfragen. Frage im Chat keine Gesundheitsdaten oder andere besonders geschützte Daten nach Artikel 9 DSGVO ab. Bei Kontaktdaten gilt: nur das, was Du für den Rückruf oder die Antwort wirklich brauchst.
8. KI-Hinweis sichtbar machen. Weise Deine Besucher im Chat darauf hin, dass sie mit einer KI schreiben und die Antworten Fehler enthalten können.

Was davon bei Chatlotse schon erledigt ist: Die Löschfrist (Punkt 6) und der KI-Hinweis (Punkt 8) sind fest eingebaut. Den AVV (Punkt 1) füllst Du im Dashboard in wenigen Schritten selbst aus. Für Punkt 4 gibt es den Consent-Modus mit Anbindung an gängige Cookie-Tools, für Punkt 5 die Übersicht zum Datenfluss weiter unten. Die Punkte 2, 3 und 7 hängen von Deiner eigenen Website ab. Geh die Liste einmal komplett durch, bevor der Chatbot live geht. Danach reicht ein kurzer Blick bei größeren Änderungen.

Datensparsam: Maskierung, Löschfristen und kein Training

Ein wichtiger Grundsatz der DSGVO ist Datensparsamkeit. Verarbeitet wird nur, was für den Zweck wirklich nötig ist. Chatlotse setzt das an mehreren Stellen um.

Bevor eine Nachricht zur KI geht, ersetzt Chatlotse sensible Angaben wie Namen, E-Mail-Adressen oder Telefonnummern automatisch durch Platzhalter. Diese PII-Maskierung ist standardmäßig eingeschaltet, Du musst sie nicht extra aktivieren. Chatverläufe werden spätestens nach 90 Tagen automatisch gelöscht, auf Anfrage über den Support lässt sich eine kürzere Frist wie 30 Tage einstellen. Zur Abwehr von Missbrauch speichert Chatlotse pseudonymisierte IP-Hashes, ebenfalls höchstens 90 Tage. Weder Deine Inhalte noch die Gespräche Deiner Besucher werden zum Training von KI-Modellen verwendet: Laut Angaben von Anthropic werden Daten aus der kommerziellen API nicht für das Training genutzt.

Ein Beispiel aus dem Alltag: Schreibt ein Besucher „Mein Name ist Max Mustermann, bitte ruft mich unter 0151 1234567 zurück“, ersetzt Chatlotse Name und Telefonnummer automatisch durch Platzhalter, bevor die Nachricht überhaupt zur KI geht. Für die Antwort reicht der Inhalt der Frage, die konkrete Telefonnummer braucht das Sprachmodell dafür nicht.

So entstehen keine unnötigen Daten, und nichts wird zweckentfremdet.

Datenschutzerklärung und Vertrag zur Auftragsverarbeitung

Setzt Du einen Chatbot ein, gehört ein eigener Abschnitt in Deine Datenschutzerklärung. Diese Angaben solltest Du dort machen:

• dass Du einen KI-Chatbot einsetzt und wofür, etwa zum Beantworten von Besucherfragen
• welche Daten verarbeitet werden: die Chatnachrichten und freiwillig eingegebene Kontaktdaten
• die Rechtsgrundlage, bei Einsatz des Consent-Modus zum Beispiel die Einwilligung
• Chatlotse als Auftragsverarbeiter und Anthropic PBC (USA) als Unterauftragsverarbeiter mit EU-Standardvertragsklauseln
• die Speicherdauer: spätestens 90 Tage
• wie Besucher ihre Einwilligung widerrufen können

Die genauen Angaben zu Chatlotse findest Du in der Datenschutzerklärung von Chatlotse. Nutzt Du WordPress, hilft Dir unser WordPress-Plugin bei der Einbindung. Den Textbaustein für die Datenschutzerklärung ergänzt Du aber selbst.

Den Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO musst Du dafür nicht per E-Mail anfordern: Im Dashboard findest Du ihn unter Einstellungen, füllst ihn dort online aus, unterschreibst ihn digital und lädst ihn anschließend als PDF für Deine Unterlagen herunter. Alle weiteren Datenschutz-Einstellungen im Dashboard erklärt die Doku-Seite Datenschutz einrichten.

Alle Datenschutz-Funktionen stecken in beiden Tarifen. SMART kostet 47 € netto im Monat, PREMIUM 97 € netto. Du kannst Chatlotse 14 Tage kostenlos testen. Die Details findest Du bei den Preisen und Tarifen von Chatlotse.

Gerade in Betrieben mit besonders sensiblen Daten, etwa in einer Arztpraxis oder einer Kanzlei, lohnt sich zusätzliche Vorsicht: Frage über den Chat keine Gesundheits- oder Mandatsdaten ab, sondern nutze ihn für allgemeine Fragen wie Öffnungszeiten, Anfahrt oder Terminwünsche, die dann persönlich geklärt werden. Wie ein Chatbot solche Standardfragen im Alltag übernimmt, zeigt die Seite Chatbot im Kundenservice.