Chatbot im Unternehmen: Was ist bei der DSGVO zu prüfen?

Das Problem

Ein Chatbot auf der Website nimmt Fragen entgegen. Dabei schreiben Besucherinnen oft mehr, als man erwartet: Namen, E-Mail-Adressen, Telefonnummern, Bestellnummern, manchmal sogar Gesundheits- oder Finanzangaben. Jede dieser Eingaben ist ein Personendatum, sobald sie sich auf eine bestimmte oder bestimmbare Person bezieht.

Damit stellt sich die Frage nach dem Datenschutz: Was darf der Chatbot speichern? Wer sieht die Gespräche? Wohin gehen die Daten, etwa an einen Anbieter im Ausland? Und gilt für eine Schweizer Firma das Schweizer Datenschutzgesetz (DSG) oder die europäische DSGVO (Datenschutz-Grundverordnung)?

Frau Müller, die in einem Reisebüro mit Kundschaft aus der Schweiz und Deutschland für Datenschutz mitverantwortlich ist, möchte wissen, welche Punkte sie vor dem Start klären muss. Diese Seite liefert eine Checkliste. Sie ersetzt keine Rechtsberatung; für den Einzelfall braucht es eine fachliche Prüfung.

So lösen Sie es mit KI – Schritt für Schritt

1. Anwendbares Recht klären. In der Schweiz gilt das DSG. Die DSGVO kann zusätzlich relevant sein, wenn Sie gezielt Personen in der EU ansprechen oder deren Verhalten beobachten. Lassen Sie das für Ihre Firma prüfen, siehe DSGVO für Schweizer Firmen mit EU-Kunden.
2. Datenfluss aufzeichnen. Notieren Sie: Welche Daten gibt der Besucher ein? Wohin werden sie gesendet (Anbieter, Sprachmodell-Dienst, Ihr Server)? Wo werden sie gespeichert, wie lange, wer hat Zugriff? Siehe Datenflüsse dokumentieren.
3. Zweck festlegen. Halten Sie schriftlich fest, wofür der Chatbot Daten verwendet. Verwenden Sie die Daten nicht für andere Zwecke, etwa Werbung, ohne dies zu klären.
4. Verträge mit Dienstleistern prüfen. Wenn ein Anbieter Daten in Ihrem Auftrag verarbeitet, braucht es klare vertragliche Regeln. Prüfen Sie, ob Unterauftragnehmer eingesetzt werden und ob Daten ins Ausland gelangen. Siehe Auftragsverarbeitung prüfen.
5. Information der Nutzenden. Informieren Sie in der Datenschutzerklärung und im Chatfenster, dass ein KI-Chatbot im Einsatz ist, welche Daten verarbeitet werden und an wen man sich wenden kann. Eine Checkliste bietet Datenschutzerklärung für Chatbots.
6. Datensparsamkeit umsetzen. Weisen Sie den Chatbot an, nicht nach unnötigen Angaben zu fragen, und fordern Sie Besucher auf, keine sensiblen Daten einzugeben. Legen Sie Speicherdauer und Löschung der Verläufe fest.
7. Betroffenenrechte vorbereiten. Klären Sie, wie Sie Anfragen auf Auskunft oder Löschung bearbeiten, und wer dafür zuständig ist. Prüfen Sie bei hohem Risiko, ob eine Datenschutz-Folgenabschätzung nötig ist.

Vorlage zum Kopieren

Dieser Prompt bereitet ein Prüfblatt für das Gespräch mit Ihrer Datenschutzberatung vor. Er enthält keine Personendaten:

Du hilfst einem Unternehmen in der Schweiz ([Branche], Kundschaft aus [Schweiz/EU]) bei der Vorbereitung einer Datenschutzprüfung für einen Website-Chatbot. Du gibst keine Rechtsberatung.
Angaben: Der Chatbot [beantwortet Fragen zu Leistungen/nimmt Anfragen auf]. Anbieter: [Name oder «noch offen»]. Verarbeitung: [Ort/«unbekannt»].
Aufgabe:
1. Erstelle ein Prüfblatt mit den Abschnitten: anwendbares Recht, Datenarten, Zweck, Dienstleister und Verträge, Auslandsbezug, Information, Speicherdauer, Betroffenenrechte, Sicherheit.
2. Formuliere zu jedem Abschnitt [2] Fragen, die wir intern oder beim Anbieter klären müssen.
3. Markiere Punkte, die eine Fachperson prüfen muss.
Nenne keine Gesetzesartikel, wenn du dir nicht sicher bist, und erfinde keine Anforderungen.

Füllen Sie die Angaben aus und besprechen Sie das Blatt mit Ihrer Datenschutzverantwortlichen oder Rechtsberatung.

Prüfblatt auf einen Blick

Einen Überblick über die Rechtsordnungen bietet DSG und DSGVO: Unterschiede bei KI. Für die Schweiz speziell lesen Sie «Chatbot-Datenschutz in der Schweiz».

Worauf Sie achten müssen

• Rechtsgrundlagen. Das DSG verlangt unter anderem Transparenz und Verhältnismässigkeit und regelt die Bearbeitung durch Auftragsbearbeiter. Die DSGVO kennt eigene Rechtsgrundlagen, Informationspflichten und Anforderungen an Auftragsverarbeiter. Welche Regeln konkret gelten, klärt eine Fachperson.
• Besondere Daten. Gesundheits-, Finanz- oder Kinderdaten verlangen besondere Sorgfalt. Der Chatbot sollte nicht dazu auffordern, solche Angaben einzugeben.
• Auslandsbezug. Wenn der Anbieter oder seine Unterauftragnehmer ausserhalb der Schweiz verarbeiten, gelten zusätzliche Anforderungen. Fragen Sie nach Standorten und Verträgen.
• Training mit Ihren Daten. Klären Sie, ob Gespräche vom Anbieter zur Verbesserung seiner Modelle genutzt werden. Das ist ein häufiger Streitpunkt.
• Sicherheit. Zugriff auf Gesprächsverläufe, Verschlüsselung und Protokollierung gehören dazu. Der EDÖB informiert über KI und Datenschutz.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Reisebüro in St. Gallen mit Kundschaft in der Schweiz, Deutschland und Österreich plant einen Chatbot für Fragen zu Reisen. Frau Müller füllt das Prüfblatt aus.

Vorher war unklar, wohin die Gespräche gehen. Nachher zeigt sich: Der Anbieter nutzt einen Sprachmodell-Dienst mit Verarbeitung im Ausland und speichert Verläufe lange. Sie klärt mit der Rechtsberatung, welche Verträge nötig sind, passt die Datenschutzerklärung an, kürzt die Speicherdauer und ergänzt im Chatfenster den Hinweis, keine Passnummern oder Gesundheitsangaben einzugeben. Erst danach geht der Chatbot in einen Pilot.

So hilft Ihnen Alpasana

Damit Ihr Team Datenschutz als Teil des KI-Alltags versteht, bietet Alpasana die KI-Weiterbildung für Unternehmen an. Die Online-Weiterbildung vermittelt KI-Grundlagen, Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit EU AI Act bei EU-Bezug. Mitarbeitende lernen im eigenen Tempo; für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Die Weiterbildung ist keine Rechtsberatung und bestätigt nicht, dass Ihr Chatbot rechtmässig ist. Die rechtliche Prüfung im Einzelfall bleibt bei Fachpersonen.

Häufige Fragen

Gilt die DSGVO für meine Schweizer Firma?

Unter Umständen ja, nämlich wenn Sie Personen in der EU gezielt Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Ob das auf Sie zutrifft, prüft eine Fachperson. Das Schweizer DSG gilt in jedem Fall.

Brauche ich eine Einwilligung der Besucher?

Nicht automatisch. Es hängt von der Rechtsgrundlage, den verarbeiteten Daten und eingesetzten Techniken (zum Beispiel Cookies) ab. Klären Sie das mit einer Fachperson und informieren Sie in jedem Fall transparent.

Muss ich Gespräche speichern?

Nein, und es ist oft besser, es nicht länger als nötig zu tun. Legen Sie fest, ob und wie lange Verläufe aufbewahrt werden, und löschen Sie sie danach.