Was taugt das Versprechen «rechtssicherer Chatbot»?

Das Problem

Auf der Website des Anbieters steht gross: «100 % rechtssicherer Chatbot, DSG- und DSGVO-konform.» Frau Müller liest das und atmet auf: Dann kann sie ja nichts falsch machen. Oder doch?

Solche Versprechen sind verständlich, denn Recht ist für kleine Unternehmen unübersichtlich. Aber sie sind mit Vorsicht zu lesen. Ein Chatbot ist ein Werkzeug. Ob dessen Einsatz rechtmässig ist, hängt davon ab, was Sie damit tun: Welche Personendaten werden bearbeitet? Wofür? Wurden die Betroffenen informiert? Wo laufen die Daten? Das kann kein Anbieter pauschal für alle seine Kundinnen und Kunden zusichern.

Diese Checkliste hilft, solche Aussagen einzuordnen. Sie ist keine Rechtsberatung, sondern eine Orientierung dafür, welche Fragen Sie stellen und wann Sie Fachleute beiziehen sollten.

So lösen Sie es mit KI – Schritt für Schritt

1. Die Aussage genau lesen. Was wird versprochen: «unterstützt Sie bei der Einhaltung» oder «garantiert Konformität»? Der erste Satz ist realistisch, der zweite nicht.

1. Nach dem Beleg fragen. Welche Unterlagen stützen die Aussage: Vertrag zur Datenbearbeitung, Liste der Unterauftragnehmer, Beschreibung der Sicherheitsmassnahmen, unabhängige Prüfungen? Siehe Sicherheitsnachweise des Anbieters.

1. Den eigenen Einsatz beschreiben. Notieren Sie: Wer nutzt den Chatbot, welche Daten tippen die Nutzer ein, was speichert der Anbieter und wie lange?

1. Datenschutzerklärung prüfen. Informiert Ihre Erklärung über den Chatbot und die Bearbeitung? Siehe Datenschutzerklärung: Checkliste.

1. Kennzeichnung klären. Wissen Nutzer, dass sie mit einer KI sprechen? Siehe Kennzeichnung als KI.

1. Verantwortung im Vertrag lesen. Was übernimmt der Anbieter, was bleibt bei Ihnen? Siehe Verantwortung zwischen Anbieter und Kunde.

1. Rechtliche Prüfung einplanen. Bei sensiblen Daten oder grösseren Projekten lassen Sie Verträge und Einsatz von einer Fachperson prüfen.

1. Dokumentieren. Halten Sie fest, was Sie geprüft haben und wann. Das zeigt Sorgfalt, falls später Fragen kommen.

Vorlage zum Kopieren

Mit dieser Frage an den Anbieter prüfen Sie, wie belastbar das Versprechen ist.

Guten Tag
Auf Ihrer Website steht, Ihr Chatbot sei «[Wortlaut des Versprechens]». Wir möchten dies für unseren Einsatz einordnen. Bitte beantworten Sie schriftlich:
1. Worauf bezieht sich diese Aussage genau (Funktion, Hosting, Vertrag)?
2. Mit welchen Unterlagen können Sie sie belegen?
3. Was müssen wir als Kunde selbst tun, damit unser Einsatz rechtmässig ist?
4. Welche Haftung übernehmen Sie, und in welchen Fällen nicht?
5. Wo liegen die Grenzen der Zusicherung?
Freundliche Grüsse [Name]

Bewahren Sie die Antwort auf. Sie hilft später bei der Datenschutzdokumentation.

Worauf Sie achten müssen

• Gesetze gelten für Sie als Betreiberin: Für Unternehmen in der Schweiz gilt das Datenschutzgesetz (DSG). Wenn Sie Kundinnen und Kunden in der EU bedienen, kann auch die DSGVO relevant sein. Ob und wie, klären Sie im Einzelfall.
• EU AI Act: Die Verordnung der EU über künstliche Intelligenz enthält unter anderem Transparenzregeln für Systeme, die mit Menschen interagieren. Ob sie für Ihren Betrieb gilt, hängt vom EU-Bezug und der Einstufung ab. Lassen Sie das prüfen und verlassen Sie sich nicht auf pauschale Aussagen.
• Kein Gütesiegel für alles: Es gibt keine allgemeine «Rechtssicherheits-Plakette». Zertifizierungen und Gutachten gelten für bestimmte Dinge und Zeiträume.
• Werbeaussagen und Haftung: Prüfen Sie, ob Vertragsklauseln die Werbeaussage einschränken, etwa mit Haftungsausschlüssen.
• Eigene Texte: Auch Aussagen Ihres Chatbots können rechtliche Wirkung haben. Siehe Ungewollte Zusagen vermeiden.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Physiotherapie-Zentrum in Olten möchte einen Chatbot einsetzen. Der Anbieter wirbt mit «rechtssicher für das Gesundheitswesen».

Vorher: Frau Müller, die das Sekretariat leitet, will deshalb auf eine eigene Prüfung verzichten. Nachher stellt sie die Fragen oben. Die Antworten zeigen, dass der Anbieter nur die technische Plattform zusichert. Für die Frage, welche Daten Patientinnen im Chat eingeben dürfen, ist das Zentrum selbst zuständig. Es beschränkt den Chatbot auf organisatorische Auskünfte und lässt die Datenschutzerklärung durch eine Fachperson prüfen.

So hilft Ihnen Alpasana

Rechtliche Fragen beantwortet Alpasana nicht, wohl aber die Einordnung, wie ein Chatbot in Ihre Abläufe passt. Die KI-Beratung und digitale Transformation von Alpasana unterstützt bei der Analyse von KI-Potenzialen, bei Governance und Einsatzregeln für KI-Agenten und bei der Dokumentation der Umsetzung.

So bereiten Sie das Gespräch mit Ihrer Datenschutz- oder Rechtsberatung gut vor. Projekte werden individuell offeriert.

Häufige Fragen

Gibt es ein offizielles Siegel «DSG-konform»?

Nein, kein allgemeines Gütesiegel für Chatbots. Das Datenschutzgesetz kennt freiwillige Zertifizierungen für bestimmte Systeme, doch sie ersetzen nicht die Prüfung Ihres Einsatzes. Hinweise der Aufsichtsstelle finden Sie beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Ist ein Chatbot mit Servern in der Schweiz automatisch sicher?

Nein. Der Standort ist ein Faktor, aber nicht der einzige. Auch Zugriffe, Unterauftragnehmer, Speicherdauer und Ihr eigener Umgang mit den Daten zählen.

Wer haftet, wenn der Chatbot etwas Falsches sagt?

Das hängt von Vertrag und Einzelfall ab. Gegenüber Ihren Kundinnen und Kunden sind in der Regel Sie der Ansprechpartner. Klären Sie die Aufteilung vorab mit dem Anbieter und lassen Sie sich beraten.

Brauche ich einen Juristen, bevor ich starte?

Für einfache Auskunfts-Chatbots mit öffentlichen Informationen reicht oft eine sorgfältige Selbstprüfung. Bei Personendaten, Gesundheits- oder Finanzthemen ist eine fachliche Prüfung sinnvoll.