Welche Unterauftragnehmer hat unser Chatbot-Anbieter?

Das Problem

Sie haben einen Vertrag mit dem Chatbot-Anbieter unterschrieben, die Datenschutzerklärung gelesen und fühlen sich abgesichert. Doch der Anbieter betreibt den Chatbot meist nicht allein. Für die Server nutzt er einen Cloud-Dienst, für das Sprachmodell einen weiteren Anbieter, für E-Mails einen Versanddienst und für Support vielleicht ein Ticketsystem.

Jede dieser Firmen kann mit Ihren Daten in Berührung kommen. Man nennt sie Unterauftragnehmer, im Englischen «Subprozessoren». Wenn Sie sie nicht kennen, wissen Sie nicht, wer Ihre Daten tatsächlich sieht und wo sie liegen.

Das ist besonders wichtig, wenn Kundendaten oder interne Unterlagen betroffen sind. Dieser Beitrag hilft Ihnen, die Kette zu erfragen und festzuhalten. Er ersetzt keine rechtliche Beratung.

So lösen Sie es mit KI – Schritt für Schritt

1. Verlangen Sie die Liste. Bitten Sie den Anbieter schriftlich um eine aktuelle Liste aller Unterauftragnehmer, mit Firmenname, Aufgabe und Standort der Datenverarbeitung.
2. Suchen Sie in den Vertragsunterlagen. Oft steht die Liste im Anhang zur Auftragsverarbeitung oder auf einer eigenen Seite der Website. Notieren Sie Fundstelle und Datum.
3. Ordnen Sie die Firmen den Aufgaben zu. Wer verarbeitet die Frage des Nutzers? Wer speichert Dokumente? Wer sendet E-Mails? Wer misst Nutzung? Nutzen Sie dazu Ihren Datenflussplan.
4. Prüfen Sie Standorte. Liegt die Verarbeitung in der Schweiz, in Europa oder anderswo? Bei Verarbeitung im Ausland lesen Sie Daten im Ausland.
5. Klären Sie das Verfahren bei Änderungen. Wie wird ein neuer Unterauftragnehmer angekündigt, und können Sie widersprechen oder kündigen?
6. Fragen Sie nach der Weitergabe der Pflichten. Der Anbieter soll bestätigen, dass seine Dienstleister vertraglich ähnlichen Schutzpflichten unterliegen.
7. Dokumentieren Sie das Ergebnis. Legen Sie Liste, Antwort und Datum in Ihrem Datenschutzordner ab.
8. Prüfen Sie wiederkehrend. Einmal pro Jahr und bei grösseren Änderungen fragen Sie nach, ob die Liste noch stimmt.

Vorlage zum Kopieren

Diese Mail-Vorlage können Sie an den Anbieter senden. Passen Sie sie an Ihren Vertrag an.

Betreff: Unterauftragnehmer für [Name des Chatbot-Angebots]

Guten Tag [Name]

Wir setzen [Produktname] seit [Datum] bei [Firma] ein und dokumentieren die Verarbeitung unserer Daten. Bitte senden Sie uns bis [Datum] schriftlich:

1. Die aktuelle Liste aller Unterauftragnehmer mit Firmenname, Aufgabe und Standort der Datenverarbeitung.
2. Angaben, ob Dokumente, Chatverläufe oder Nutzerdaten an ein externes Sprachmodell oder einen anderen Dienst übermittelt werden, und wenn ja, an welchen.
3. Das Verfahren bei neuen oder gewechselten Unterauftragnehmern (Frist der Ankündigung, Widerspruchsrecht).
4. Eine Bestätigung, dass Ihre Dienstleister zu vergleichbarem Datenschutz vertraglich verpflichtet sind.
5. Ob unsere Daten zum Training von Modellen verwendet werden.

Freundliche Grüsse
[Name, Funktion, Firma]

Passen Sie Punkte an, die für Ihre Branche zusätzlich wichtig sind, etwa Berufsgeheimnisse.

Worauf Sie achten müssen

• Rechtliche Grundlage: Nach dem Schweizer Datenschutzgesetz darf eine Bearbeitung von Personendaten nur dann an Dritte übertragen werden, wenn die Datensicherheit gewährleistet ist. Bei EU-Bezug kann die DSGVO weitere Vorgaben machen. Lassen Sie den Einzelfall fachlich prüfen.
• Berufs- und Geschäftsgeheimnisse: Manche Branchen unterliegen besonderen Geheimhaltungspflichten. Klären Sie vorher, ob Dienstleister im Ausland überhaupt zulässig sind.
• Allgemeine Antworten: «Wir arbeiten mit führenden Partnern» ist keine Antwort. Verlangen Sie Namen.
• Veraltete Listen: Anbieter wechseln Dienstleister. Prüfen Sie das Änderungsdatum der Liste.
• Gesamtbild: Die Liste zeigt nicht, welche Daten wohin gehen. Verbinden Sie sie mit Ihrem Datenflussplan und den Sicherheitsnachweisen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in St. Gallen prüft einen Wissens-Chatbot für interne Arbeitsanleitungen. Der Anbieter nennt in der Verkaufsunterlage «Hosting in Europa».

Vorher: Das Büro nimmt die Aussage für bare Münze. Nachher: Es fordert die Unterauftragnehmerliste an. Daraus geht hervor, dass das Sprachmodell von einem weiteren Anbieter kommt und Anfragen dorthin übermittelt werden. Das Büro fragt nach Standort und Trainingsnutzung, bespricht das Ergebnis mit seiner Datenschutzverantwortlichen und beschränkt den Chatbot zunächst auf Dokumente ohne Mandantendaten.

So hilft Ihnen Alpasana

Die Frage nach der Dienstleisterkette gehört in eine saubere Auswahl und Einführung. Die KI-Beratung und digitale Transformation von Alpasana unterstützt dabei, KI-Vorhaben zu priorisieren und mit Einsatzregeln einzuführen, Prozesse aufzunehmen und Systeme zu verbinden.

So klären Sie, welche Daten ein Chatbot überhaupt sehen soll. Rechtliche Bewertungen nimmt Alpasana hier nicht vor; dafür ziehen Sie Ihre Datenschutz- oder Rechtsberatung bei. Projekte werden individuell offeriert.

Häufige Fragen

Darf der Anbieter einfach Unterauftragnehmer einsetzen?

Das hängt vom Vertrag. Üblich ist eine allgemeine Zustimmung mit Ankündigung von Änderungen. Prüfen Sie, ob Sie widersprechen oder kündigen können.

Sind Unterauftragnehmer immer ein Problem?

Nein. Cloud-Dienste und Sprachmodelle sind normal. Entscheidend sind Transparenz, Schutzmassnahmen und der Standort.

Müssen wir Kunden über Dienstleister informieren?

Das Datenschutzrecht verlangt Transparenz über Bearbeitungen und Empfänger. Wie detailliert, hängt vom Fall ab. Lassen Sie Ihre Datenschutzerklärung fachlich prüfen.

Was, wenn der Anbieter keine Liste herausgibt?

Das ist ein Warnzeichen. Fragen Sie nochmals schriftlich nach, und prüfen Sie Alternativen. Siehe Auswahl eines Anbieters.