Wer kann beim Support auf unsere Chatbot-Daten zugreifen?

Das Problem

Ihr Chatbot läuft auf einem Server in der Schweiz, so steht es im Vertrag. Nun gibt es eine Störung, Sie rufen den Support an, und eine freundliche Stimme sagt: «Wir schauen uns das kurz an.» Sie fragen sich: Von wo aus? Und was sieht diese Person dabei von meinen Daten?

Sie möchten wissen, ob Supportmitarbeitende im Ausland Ihre vertraulichen Inhalte sehen können. Das ist berechtigt, denn Datenschutz endet nicht am Serverstandort. Auch wer aus der Ferne auf ein System zugreift, kann Daten einsehen, selbst wenn sie physisch in der Schweiz bleiben.

Viele Anbieter nutzen Support-Teams in mehreren Ländern, damit rund um die Uhr jemand erreichbar ist. Das ist normal, aber Sie sollten wissen, was das für Ihre Daten bedeutet.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie die Supportstruktur. Fragen Sie: Wer leistet Support (eigene Mitarbeitende, Partnerfirma)? Von welchen Ländern aus? Zu welchen Zeiten?

1. Fragen Sie nach der Art des Zugriffs. Sieht der Support Ihre Chatinhalte und Dokumente, oder nur technische Angaben wie Fehlermeldungen? Gibt es eine Fernwartung mit Bildschirmzugriff?

1. Fragen Sie nach der Freigabe. Kann der Support nur auf Ihre Daten zugreifen, nachdem Sie im Einzelfall zugestimmt haben, oder jederzeit?

1. Fragen Sie nach Protokollierung. Werden Zugriffe aufgezeichnet? Können Sie Einblick in die Protokolle verlangen?

1. Fragen Sie nach Verpflichtungen. Sind Supportmitarbeitende zur Vertraulichkeit verpflichtet? Gelten dieselben Regeln für Partnerfirmen? Siehe Unterauftragnehmer prüfen.

1. Klären Sie die Schutzmassnahmen. Verschlüsselung, getrennte Umgebungen, Zugang nur für ausgewählte Personen. Siehe Sicherheitsnachweise des Anbieters.

1. Begrenzen Sie die Daten. Je weniger Vertrauliches im Chatbot liegt, desto geringer das Risiko. Siehe Vertrauliche Daten.

1. Legen Sie die Regeln für Supportfälle fest. Notieren Sie, was Sie bei Störungen mitteilen und was nicht. Nennen Sie Fehlernummern und Uhrzeiten statt Kundennamen.

Vorlage zum Kopieren

Mit dieser Vorlage erstellen Sie Fragen für den Anbieter:

Du bist Assistent für die Vorbereitung einer Anbieterprüfung in einem Schweizer KMU. Erstelle einen Fragenkatalog zum Support-Zugriff bei einem Chatbot-Anbieter. Du gibst keine rechtliche Beurteilung.

Anbieter: [Name]
Vertraulichkeit unserer Inhalte: [normal / hoch, z. B. Personalunterlagen]
Support-Erwartung: [z. B. Werktags, Reaktionszeit innerhalb von X Stunden]

Erstelle eine Tabelle mit den Spalten: Frage, Warum wichtig, Antwort des Anbieters (leer).
Behandle: Supportstandorte, eigene Mitarbeitende oder Partner, Zugriff auf Inhalte oder nur technische Daten, Freigabe im Einzelfall, Fernwartung, Protokollierung, Vertraulichkeitsverpflichtung, Zugriff ausserhalb der Schweiz, Verschlüsselung, Löschung von Supportdaten.
Formuliere höflich und kurz.

Senden Sie die Fragen und lassen Sie die Antworten schriftlich bestätigen. Ihre IT-Betreuung und Datenschutzberatung können die Ergebnisse einordnen.

Worauf Sie achten müssen

• Rechtliche Einordnung: Auch ein Fernzugriff aus dem Ausland kann als Bekanntgabe von Personendaten ins Ausland gelten. Ob und welche Regeln greifen, beurteilt eine Fachperson. Das Datenschutzgesetz ist dafür die Grundlage.
• Schriftliche Antworten: Verlassen Sie sich nicht auf mündliche Auskünfte am Telefon.
• Verträge: Vereinbaren Sie, dass Zugriffe auf Inhalte nur mit Ihrer Zustimmung erfolgen und protokolliert werden.
• Eigene Disziplin: Schicken Sie dem Support keine Dokumente mit Personendaten per E-Mail. Nutzen Sie Testbeispiele.
• Prompt-Eingaben: Auch Eingaben in der Supportanfrage («Der Bot hat Frau Meier angezeigt») enthalten Personendaten. Formulieren Sie neutral.
• Prüfrhythmus: Wiederholen Sie die Abfrage jährlich und bei Anbieterwechsel.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Anwaltskanzlei in Olten setzt einen internen Chatbot für Vorlagen und Checklisten ein. Die Kanzlei fragt, wer im Störungsfall Zugriff hat.

Vorher: Die Partner gehen davon aus, dass der Anbieter «Schweizer Support» bietet. Nachher: Auf Nachfrage zeigt sich, dass nachts ein Partnerteam im Ausland Störungen bearbeitet und dabei Systemzugriff hat. Die Kanzlei verlangt, dass Zugriffe auf Inhalte nur nach Freigabe möglich sind und protokolliert werden, und entscheidet, keine Mandatsunterlagen im Chatbot zu speichern, sondern nur allgemeine Vorlagen. Das Restrisiko ist damit überschaubar.

So hilft Ihnen Alpasana

Bei der Beurteilung von Anbietern, Zugriffen und Einsatzregeln für Chatbots unterstützt die KI-Beratung und digitale Transformation der Alpasana GmbH. Nach Leistungsbeschreibung gehören dazu die Integration von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung sowie das Dokumentieren der Umsetzung. Rechtliche Beurteilungen im Einzelfall übernimmt eine Fachperson. Projekte werden individuell offeriert.

Häufige Fragen

Ist Support im Ausland automatisch ein Problem?

Nein. Es kommt darauf an, was der Support sieht, wie der Zugriff geregelt ist und welche Daten betroffen sind. Bei allgemeinen Informationen ist das Risiko meist gering, bei Personen- und Vertragsdaten sollten Sie genauer hinsehen.

Kann ich den Support-Zugriff ganz ausschliessen?

Das hängt vom Anbieter ab. Manche Anbieter bieten Zugriff nur nach Freigabe an, bei anderen ist er technisch nötig. Fragen Sie nach der Möglichkeit, Zugriffe zu begrenzen, und halten Sie die Antwort schriftlich fest.

Was soll ich dem Support schicken, wenn etwas nicht funktioniert?

Beschreiben Sie das Problem mit Uhrzeit, Fehlermeldung und Bildschirmfoto ohne Personendaten. Bei Bedarf stellen Sie einen Testfall nach, statt echte Kundendaten zu zeigen.

Was gilt, wenn ich selbst Support-Zugang gewähre?

Dann sollten Sie den Zugang zeitlich begrenzen, nur die nötigen Bereiche freigeben und ihn nach dem Einsatz wieder schliessen. Notieren Sie, wer wann Zugriff hatte und wozu. So bleibt der Vorgang nachvollziehbar.