Chatbot Datenschutz — Was Unternehmen beachten müssen

Chatbots sammeln personenbezogene Daten: Namen, E-Mail-Adressen, Telefonnummern, Anliegen, IP-Adressen. Sobald solche Daten erfasst, verarbeitet oder weitergegeben werden, greift die Datenschutz-Grundverordnung (DSGVO).

Das gilt auch für Live-Chat-Tools und automatisierte Chat-Widgets auf Websites. Unabhängig davon, ob ein Mensch oder eine KI antwortet — die Datenverarbeitung unterliegt denselben Anforderungen: Rechtsgrundlage, Transparenz, Zweckbindung, Datenminimierung und technische Schutzmaßnahmen.

Wer einen Chatbot auf seiner Website betreibt, sollte sicherstellen, dass der Anbieter EU-konform hostet, ein Auftragsverarbeitungsvertrag abgeschlossen werden kann und die Einwilligungsabfrage technisch umsetzbar ist.

Zentor App ist auf EU-konforme Datenverarbeitung ausgelegt. Die wichtigsten Datenschutzaspekte im Überblick:

• EU-Hosting: Gesprächsdaten werden auf Servern in der Europäischen Union verarbeitet.
• Einwilligung konfigurierbar: Das Chat-Widget lässt sich so einstellen, dass Nutzer vor dem Chat-Start eine Einwilligung zur Datenverarbeitung erteilen.
• AVV möglich: Auf Anfrage kann ein Auftragsverarbeitungsvertrag abgeschlossen werden.
• Gesprächsdaten im eigenen Account: Alle Konversationen verbleiben in Ihrem Zentor App-Account und sind nur für autorisierte Teammitglieder einsehbar.
• Rollenbasierte Zugriffsrechte: Sie bestimmen, welche Benutzer Zugang zu Gesprächsdaten haben.

Technische Details zu Hosting-Standort, Löschfristen und AVV-Bedingungen erfragen Sie bitte im Erstgespräch.

Datenschutz beginnt beim Verständnis, welche Daten beim Chat tatsächlich wohin fließen. Beim Website-Chatbot durchläuft eine Nachricht typischerweise vier Stationen — jede mit eigener datenschutzrechtlicher Bedeutung:

1. 1. Browser des Nutzers: Das Chat-Widget wird auf Ihrer Website geladen. Bereits hier entscheidet die Konfiguration, ob vor dem ersten Kontakt eine Einwilligung eingeholt wird und welche technischen Daten (z. B. IP-Adresse) übertragen werden.
2. 2. Übertragung zum Server: Nachrichten werden verschlüsselt an den Verarbeitungsserver übermittelt. Der Hosting-Standort entscheidet, ob die Verarbeitung innerhalb der EU bleibt oder ein Drittlandtransfer entsteht.
3. 3. KI-Verarbeitung: Die Antwort wird durch ein KI-Modell erzeugt — wahlweise über ein lokales KI-Modell in eigener Infrastruktur oder über einen externen KI-Provider. Bei lokaler Ausführung verlässt der Gesprächsinhalt die eigene Umgebung nicht; bei externer Verarbeitung ist die Auftragsverarbeitung vertraglich abzusichern.
4. 4. Speicherung & Inbox: Das Gespräch wird im Account hinterlegt und ist über die Inbox für autorisierte Teammitglieder einsehbar. Hier greifen Zugriffsrechte, Aufbewahrungsfristen und das Löschkonzept.

Die DSGVO verlangt, dass personenbezogene Daten nicht länger gespeichert werden, als es der Zweck erfordert (Speicherbegrenzung). Für Chatbot-Gespräche bedeutet das in der Praxis ein gestuftes Löschkonzept statt unbegrenzter Aufbewahrung:

• Zweck festlegen: Wofür werden Gespräche aufbewahrt — Support-Nachverfolgung, Lead-Bearbeitung, Qualitätssicherung? Der Zweck bestimmt die Frist.
• Aufbewahrungsfrist definieren: Eine konkrete Frist (z. B. nach Abschluss des Anliegens) sollte technisch hinterlegt sein, nicht nur organisatorisch.
• Automatisierte Löschung: Routinen, die abgelaufene Gespräche regelmäßig entfernen, reduzieren das Risiko, dass Daten unkontrolliert „liegen bleiben".
• Betroffenenrechte: Auf Auskunfts- und Löschersuchen muss reagiert werden können — einzelne Gespräche müssen gezielt auffindbar und löschbar sein.
• Dokumentation: Das Löschkonzept gehört in das Verarbeitungsverzeichnis und sollte mit dem Datenschutzbeauftragten abgestimmt sein.

Konkrete Fristen und die technische Umsetzung der Löschroutinen klären Sie bitte im Erstgespräch und mit Ihrem Datenschutzbeauftragten.