Wie bearbeitet man Auskunfts- und Löschanfragen zum Chatbot?

Das Problem

Ein Kunde schreibt: «Ich habe letzten Monat mit Ihrem Chatbot geschrieben. Welche Daten haben Sie über mich gespeichert? Bitte löschen Sie alles.» Frau Müller im Sekretariat liest die Mail und fragt sich, was nun zu tun ist. Wo liegen die Chatdaten überhaupt? Wer darf sie herausgeben? Wie lange hat man Zeit?

Solche Anfragen kommen vor, auch bei kleinen Betrieben. Das Datenschutzrecht gibt Personen Rechte gegenüber Unternehmen, die ihre Daten bearbeiten. In der Schweiz ist das vor allem das Datenschutzgesetz (DSG), bei Bezug zur EU kann die DSGVO hinzukommen.

Ein Chatbot macht den Fall schwieriger, weil Daten an mehreren Orten liegen können: im Chat-Dienst des Anbieters, in Protokollen, in Benachrichtigungs-Mails und im Sprachmodell-Dienst. Wer vorbereitet ist, antwortet ruhig und korrekt.

So lösen Sie es mit KI – Schritt für Schritt

1. Legen Sie eine Zuständigkeit fest. Eine Person nimmt Anfragen entgegen und führt ein einfaches Protokoll: Eingang, Inhalt, Frist, Erledigung.
2. Bestätigen Sie den Eingang. Schicken Sie eine kurze Mail, dass die Anfrage geprüft wird, und fragen Sie, falls nötig, nach Einzelheiten (Zeitraum, verwendete E-Mail-Adresse).
3. Prüfen Sie die Identität. Auskunft bekommt nur die betroffene Person. Vergleichen Sie, ob die Anfrage von der bekannten Adresse kommt, und fordern Sie bei Zweifel einen angemessenen Nachweis an. Verlangen Sie nicht mehr Daten, als nötig sind.
4. Suchen Sie an allen Orten. Nutzen Sie Ihren Datenflussplan: Chat-Dienst, Protokolle, E-Mail-Postfächer, Formulare, Anbieter. Der Anbieter kann oft Daten zu einer Chat-ID liefern.
5. Stellen Sie die Auskunft zusammen. Sie enthält die gespeicherten Daten, den Zweck, die Herkunft, die Empfänger und die Speicherdauer. Schwärzen Sie Daten Dritter.
6. Prüfen Sie das Löschen. Nicht alles muss gelöscht werden. Aufbewahrungspflichten oder berechtigte Interessen können dagegen sprechen. Halten Sie die Begründung fest, falls Sie etwas behalten.
7. Lassen Sie den Anbieter mitwirken. Bitten Sie ihn schriftlich, die Daten in seinen Systemen und bei seinen Dienstleistern zu löschen, und lassen Sie sich die Erledigung bestätigen. Siehe Dokument vollständig aus dem Chatbot entfernen.
8. Antworten Sie fristgerecht und schriftlich. Informieren Sie, was Sie getan haben, und legen Sie die Unterlagen ab. Prüfen Sie die aktuell geltenden Fristen, bevor Sie antworten.

Vorlage zum Kopieren

Diese Vorlage hilft, die Antwort an die betroffene Person vorzubereiten. Geben Sie dabei keine echten Personendaten in ein externes KI-Werkzeug ein.

Du hilfst mir, einen Antwortbrief auf eine Datenschutzanfrage zu entwerfen.

Unser Unternehmen: [Name, Ort]
Art der Anfrage: [Auskunft / Löschung / beides]
Datum des Eingangs: [Datum]
Ergebnis unserer Prüfung (ohne Namen):
- Gefundene Daten: [Art der Daten, z. B. Chatverlauf vom Datum, E-Mail-Adresse]
- Orte der Speicherung: [Systeme]
- Empfänger: [Anbieter, Dienstleister]
- Gelöscht: [ja/nein, was]
- Nicht gelöscht, weil: [Begründung, z. B. Aufbewahrungspflicht]

Schreibe einen freundlichen, klaren Brief in der Sie-Form, Schweizer Rechtschreibung. Gliedere ihn nach «Ihre Anfrage», «Was wir gefunden haben», «Was wir getan haben», «Ihre weiteren Möglichkeiten».
Regeln: Erfinde keine Fristen oder Gesetzesartikel. Wo etwas fehlt, setze [Platzhalter]. Der Brief ist ein Entwurf zur Prüfung durch unsere verantwortliche Person.

Lassen Sie den fertigen Brief von der Datenschutzverantwortlichen oder Ihrer Rechtsberatung prüfen, bevor Sie ihn senden.

Worauf Sie achten müssen

• Gesicherte Grundsätze: Das Schweizer Datenschutzgesetz gibt Personen unter anderem ein Auskunftsrecht und Ansprüche auf Berichtigung und Löschung. Es gibt Ausnahmen und Fristen, die in Gesetz und Verordnung geregelt sind. Prüfen Sie diese im Einzelfall oder lassen Sie sich beraten.
• Identität: Geben Sie Daten nie an Unbekannte heraus. Eine falsche Auskunft ist selbst ein Datenschutzvorfall.
• Unvollständige Suche: Chatdaten liegen oft in mehreren Systemen. Fragen Sie auch den Anbieter nach Kopien und Sicherungen.
• Aufbewahrungspflichten: Manche Daten müssen aus geschäftlichen oder gesetzlichen Gründen bleiben. Löschen Sie nicht voreilig, dokumentieren Sie Entscheide.
• KI-Modell: Wenn Daten in ein Modell trainiert worden wären, wäre das Löschen schwierig. Klären Sie vorab, ob Ihr Anbieter Daten dafür verwendet, siehe Training mit Ihren Daten.
• Kein Rechtsrat: Diese Seite zeigt Abläufe, keine rechtliche Beratung.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Hotel im Berner Oberland betreibt einen Website-Chatbot für Gästefragen. Eine Gästin bittet um Auskunft und Löschung ihrer Chatdaten.

Vorher hätte die Rezeption nicht gewusst, wo sie suchen soll. Nachher greift die Datenschutzverantwortliche auf den Datenflussplan zurück: Der Chat-Dienst speichert Verläufe 90 Tage, und Anfragen mit Kontaktangaben gehen zusätzlich per Mail an das Reservationsteam. Sie bestätigt die Identität über die bekannte Mailadresse, holt vom Anbieter die Daten zur Chat-ID, löscht die Mails und lässt sich vom Anbieter die Löschung bestätigen. Die Gästin erhält einen kurzen Brief, und der Vorgang wird im Protokoll festgehalten.

So hilft Ihnen Alpasana

Damit Anfragen zügig beantwortet werden können, müssen Datenquellen und Zuständigkeiten klar sein. Die KI-Beratung und digitale Transformation von Alpasana unterstützt dabei, Prozesse aufzunehmen, Schnittstellen zu konzipieren, Systeme zu verbinden und Einsatzregeln für KI festzulegen.

So wissen Sie, wo Chatdaten liegen und wer was tut. Eine rechtliche Beurteilung im Einzelfall erhalten Sie bei Ihrer Datenschutz- oder Rechtsberatung. Projekte werden individuell offeriert.

Häufige Fragen

Wie schnell müssen wir antworten?

Das Gesetz sieht dafür Fristen vor, die in der Datenschutzverordnung geregelt sind. Prüfen Sie die aktuelle Fassung oder fragen Sie Ihre Datenschutzstelle, und handeln Sie im Zweifel lieber früher.

Dürfen wir für die Auskunft Geld verlangen?

Grundsätzlich ist die Auskunft kostenlos. Ausnahmen sind eng geregelt. Prüfen Sie den Einzelfall, bevor Sie eine Gebühr erwähnen.

Was, wenn die Daten beim Anbieter liegen?

Verantwortlich bleibt Ihr Unternehmen. Der Vertrag sollte regeln, dass der Anbieter bei Anfragen mitwirkt. Siehe Auftragsverarbeitung prüfen.

Kann der Chatbot solche Anfragen selbst beantworten?

Das ist nicht empfehlenswert. Auskunft und Löschung betreffen Rechte von Personen und verlangen Identitätsprüfung und Verantwortung. Der Chatbot kann höchstens auf das Verfahren und die Kontaktstelle hinweisen.