Braucht unser Website-Chatbot eine Einwilligung?

Das Problem

Sie möchten auf Ihrer Website einen Chatbot einbauen. Eine kleine Sprechblase unten rechts, Besucher stellen Fragen, die KI antwortet. Der Anbieter liefert dazu ein Stück Code, das man nur einfügen muss. Jetzt kommt die Frage: Muss das Ding warten, bis die Besucherin einem Cookie-Banner zugestimmt hat? Oder darf es sofort laden?

Die Antwort hängt davon ab, was der Chatbot technisch tut. Viele Chatbots laden beim Aufruf der Seite Programmcode von einem fremden Server. Dabei wird die IP-Adresse der Besucher an den Anbieter übermittelt. Manche setzen zusätzlich Cookies oder ähnliche Speicher im Browser, etwa um ein Gespräch wiederzuerkennen. Andere erfassen Verhalten oder verbinden sich mit Werbe- und Analysediensten.

Die rechtlichen Anforderungen unterscheiden sich je nach Land. In der EU gilt für das Speichern und Auslesen von Informationen auf Endgeräten grundsätzlich eine Einwilligungspflicht mit Ausnahmen für technisch notwendige Funktionen. In der Schweiz verlangt das Fernmelderecht nach gängiger Auffassung vor allem, dass Besucher informiert werden und Cookies ablehnen können. Dazu kommen die Pflichten des Datenschutzes bei der Bearbeitung von Personendaten. Einzelheiten und Auslegung ändern sich, deshalb ist hier nur der Rahmen beschrieben.

So lösen Sie es mit KI – Schritt für Schritt

1. Technik klären. Fragen Sie den Anbieter schriftlich: Welche Daten werden beim Laden übertragen? Welche Cookies oder lokalen Speicher werden gesetzt? Welche Drittanbieter sind beteiligt? Wo stehen die Server?

1. Selbst nachschauen. Öffnen Sie Ihre Website mit den Entwicklerwerkzeugen des Browsers (Reiter «Netzwerk» und «Anwendung») und beobachten Sie, was beim Laden des Chatbots passiert. Oder lassen Sie das Ihre Webverantwortliche tun.

1. Zweck bestimmen. Wofür verarbeitet der Chatbot Daten: nur für die Beantwortung der Frage, oder auch für Auswertung, Werbung, Training des Anbieters? Letzteres ist heikler.

1. Entscheid über den Startzeitpunkt. Wenn beim Laden Daten an Dritte gehen oder nicht notwendige Cookies gesetzt werden, laden Sie den Chatbot erst nach einer Zustimmung. Eine sichere Variante: Die Sprechblase erscheint, doch der eigentliche Chatbot wird erst nach Klick geladen, mit Hinweis.

1. Cookie-Banner anpassen. Ordnen Sie den Chatbot einer Kategorie zu und beschreiben Sie ihn verständlich. Ablehnen muss genauso einfach sein wie Zustimmen.

1. Datenschutzerklärung ergänzen. Beschreiben Sie, welche Daten der Chatbot bearbeitet, wozu, bei wem, wie lange und wo. Eine Checkliste: Datenschutzerklärung für Chatbots.

1. Hinweis im Chat einbauen. Informieren Sie am Gesprächsbeginn, dass der Chat mit KI arbeitet und dass keine sensiblen Angaben eingegeben werden sollen. Siehe Chatbot als KI kennzeichnen.

1. Fachlich prüfen lassen und beobachten. Lassen Sie die Lösung von einer Datenschutzfachperson prüfen und kontrollieren Sie nach Änderungen des Anbieters erneut.

Vorlage zum Kopieren

Mit dieser Vorlage entwerfen Sie die Fragen an den Chatbot-Anbieter. Schicken Sie die Anfrage per E-Mail und bewahren Sie die Antwort auf.

Betreff: Fragen zum Datenschutz beim Einsatz Ihres Website-Chatbots

Guten Tag

Wir möchten Ihren Chatbot auf unserer Website [Domain] einsetzen und bitten Sie vor der Einrichtung um Antworten auf folgende Fragen:

1. Welche Daten werden beim Laden der Chatbot-Komponente an Ihre Server oder an Dritte übermittelt (z. B. IP-Adresse, Browserangaben)?
2. Werden Cookies oder ähnliche lokale Speicher gesetzt? Wenn ja, welche, mit welchem Zweck und welcher Dauer?
3. Welche weiteren Dienste oder Unterauftragnehmer sind beteiligt (z. B. Anbieter des KI-Modells)?
4. Wo werden die Daten verarbeitet und gespeichert?
5. Lässt sich der Chatbot so konfigurieren, dass er erst nach einer Aktion der Besucherin (z. B. Klick) geladen wird?
6. Werden Gespräche gespeichert, wie lange, und können sie gelöscht werden?
7. Werden Daten zum Training von Modellen verwendet? Lässt sich das ausschliessen?
8. Stellen Sie Textbausteine für unsere Datenschutzerklärung bereit?

Freundliche Grüsse
[Name, Betrieb]

Ergänzen Sie die Angaben und lassen Sie sich die Antworten schriftlich bestätigen. Sie sind die Grundlage für Cookie-Banner und Datenschutzerklärung.

Worauf Sie achten müssen

• Rechtslage je nach Land: Für Besucher aus der EU gelten strengere Einwilligungsregeln als nach Schweizer Recht. Wenn Ihre Website auch EU-Publikum anspricht, prüfen Sie beides. Details klären Sie mit Fachleuten.
• Eingaben der Besucher: Menschen schreiben im Chat oft Namen, Telefonnummern oder Probleme. Das sind Personendaten. Weisen Sie darauf hin, keine sensiblen Angaben einzugeben.
• Voreinstellungen: Ein Banner, bei dem Zustimmen einfacher ist als Ablehnen, ist problematisch. Beide Optionen gleichwertig anbieten.
• Unklare Anbieterangaben: Wenn der Anbieter nicht sagen kann, was sein Code tut, ist das ein Warnsignal.
• Änderungen im Hintergrund: Anbieter ändern Dienste und Unterauftragnehmer. Verlangen Sie eine Information bei Änderungen.
• Kinder und besondere Daten: Bei Angeboten für Minderjährige oder zu Gesundheitsthemen gelten erhöhte Anforderungen. Holen Sie fachlichen Rat ein.
• Erklärungen der KI: Die KI kann Rechtsfragen nicht verlässlich beurteilen. Nutzen Sie sie höchstens, um Fragen zu formulieren. Vertiefung: Chatbots und Cookies.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Reisebüro in Baden möchte einen Chatbot für Fragen zu Öffnungszeiten und Angeboten einbauen. Der Webverantwortliche schaut mit den Entwicklerwerkzeugen nach und stellt fest: Beim Laden der Seite wird Code eines US-Anbieters geladen, ein Cookie gesetzt, und die Seite kontaktiert einen zusätzlichen Analysedienst.

Er schickt die Fragen aus der Vorlage an den Anbieter. Die Antwort bestätigt den Cookie und die Verbindung zum Analysedienst, der sich abschalten lässt. Das Reisebüro konfiguriert den Chatbot so, dass er erst nach einem Klick auf die Sprechblase lädt, mit dem Hinweis «Dieser Chat wird von einem externen Anbieter betrieben». Das Cookie-Banner wird ergänzt, die Datenschutzerklärung beschreibt den Chatbot. Eine Datenschutzfachfrau prüft das Ergebnis noch einmal.

So hilft Ihnen Alpasana

Wenn Sie den Chatbot in Ihre Website und Abläufe einbinden und dabei Einsatzregeln festlegen möchten, hilft die KI-Beratung und digitale Transformation der Alpasana GmbH. Nach Leistungsbeschreibung gehören dazu die Integration von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung sowie Websites und Web-Apps mit Umsetzung, Go-Live und Betreuung. Projekte werden individuell offeriert.

Datenschutzrechtliche Beratung im Einzelfall ist damit nicht gemeint. Dafür ziehen Sie Fachleute bei.

Häufige Fragen

Reicht ein Hinweis im Cookie-Banner?

Er muss mit der Technik übereinstimmen. Wenn der Chatbot mehr tut, als der Banner sagt, ist der Hinweis wertlos. Prüfen Sie zuerst die Technik, dann den Text.

Darf der Chatbot ohne Zustimmung starten, wenn er keine Cookies setzt?

Auch ohne Cookies können Daten an Dritte gehen, zum Beispiel die IP-Adresse. Je nach Rechtslage und Zielgruppe kann eine Zustimmung oder zumindest eine klare Information nötig sein. Klären Sie das im Einzelfall.

Was gehört in die Datenschutzerklärung?

Welche Daten der Chatbot bearbeitet, wozu, bei welchen Anbietern, wo und wie lange, und wie Betroffene ihre Rechte ausüben. Verwenden Sie die Angaben des Anbieters und lassen Sie sie prüfen.