Braucht unser KI-Chatbot einen Cookie-Banner?

Das Problem

Sie haben auf Ihrer Website einen KI-Chatbot eingebunden, der Fragen von Besucherinnen beantwortet. Er stammt von einem externen Anbieter und wird per Code-Schnipsel eingebunden. Nun fragen Sie sich: Müssen wir dafür einen Cookie-Banner zeigen? Darf der Chatbot schon laden, wenn die Seite aufgerufen wird? Oder erst nach einer Zustimmung?

Die Antworten im Netz widersprechen sich. Manche sagen, ein Chatbot sei «technisch notwendig» und brauche nichts. Andere behaupten, er brauche immer eine Einwilligung. Beides ist zu pauschal. Es kommt darauf an, was der Chatbot technisch tut, an wen Daten fliessen und welches Recht gilt.

Hier erfahren Sie, welche Fragen entscheidend sind und wie Sie den Chatbot so einbinden, dass Sie auf der sicheren Seite sind. Rechtsberatung ersetzt das nicht.

Einfach erklärt

Für Cookies und vergleichbare Technologien (Speicherung oder Auslesen von Informationen auf dem Gerät der Besucherin) gelten andere Regeln als für Personendaten im Allgemeinen.

Schweiz: Das Fernmeldegesetz erlaubt das Bearbeiten von Daten auf dem Gerät der Nutzenden, wenn sie über die Bearbeitung und deren Zweck informiert werden und darauf hingewiesen werden, dass sie sie ablehnen können. Eine vorgängige Einwilligung ist nach dieser Regel im Grundsatz nicht verlangt, aber Information und Ablehnungsmöglichkeit schon. Daneben gelten die Informationspflichten und Grundsätze des Datenschutzgesetzes.

EU: Für das Speichern oder Auslesen von Informationen auf dem Endgerät ist nach der ePrivacy-Richtlinie und den nationalen Umsetzungen grundsätzlich eine Einwilligung nötig, ausser der Zugriff ist unbedingt erforderlich, um einen ausdrücklich gewünschten Dienst bereitzustellen. Hinzu kommt die DSGVO für die Verarbeitung der Daten. Ob die DSGVO auf Ihren Betrieb anwendbar ist, siehe DSGVO für Schweizer Firmen.

So lösen Sie es mit KI – Schritt für Schritt

So klären Sie die Lage mit Ihrem Anbieter und Ihrer Beratung:

1. Technik klären: Fragen Sie den Anbieter: Welche Cookies und Kennungen setzt der Chatbot? Welche Domains werden kontaktiert? Wann beginnt das Laden?
2. Datenflüsse aufzeichnen: Notieren Sie, welche Daten wohin gehen: Chatinhalte, IP-Adresse, Gerätedaten, Kennungen.
3. Rolle und Vertrag prüfen: Ist der Anbieter Dienstleister in Ihrem Auftrag, oder nutzt er Daten für eigene Zwecke? Siehe Auftragsverarbeitung erkennen.
4. Rechtsraum bestimmen: Richtet sich der Chatbot auch an Besucher aus der EU? Dann gelten zusätzlich EU-Regeln.
5. Ladezeitpunkt festlegen: Technisch ist es oft möglich, den Chatbot erst nach Zustimmung im Cookie-Banner oder erst nach einem Klick auf ein Chat-Symbol zu laden.
6. Information anpassen: Ergänzen Sie die Datenschutzerklärung und den Hinweis im Banner um den Chatbot. Siehe Datenschutzerklärung für KI.
7. Hinweis auf die KI geben: Besucher sollen wissen, dass sie mit einer KI sprechen, siehe Kennzeichnung von KI-Chatbots. Warnen Sie vor Eingabe sensibler Daten.
8. Testen und prüfen lassen: Rufen Sie die Seite im Browser auf und beobachten Sie mit den Entwicklerwerkzeugen, was vor der Zustimmung geladen wird. Lassen Sie das Ergebnis datenschutzrechtlich prüfen.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie Fragen an den Anbieter und an die Beratung vor:

Wir betreiben die Website [Domain] in der Schweiz und möchten einen KI-Chatbot von [Anbieter] einbinden. Zielgruppe: [Schweiz / auch EU-Länder].
Erstelle eine Liste mit technischen und rechtlichen Fragen an den Anbieter, die geklärt werden müssen, damit wir beurteilen können, ob ein Cookie-Hinweis oder eine Einwilligung nötig ist
(Cookies und Kennungen, Zeitpunkt des Ladens, Datenempfänger, Standort, Nutzung für eigene Zwecke oder Training, Speicherdauer, Auftragsverarbeitungsvertrag).
Ergänze Fragen für unsere Datenschutzberatung zur Anwendbarkeit des Schweizer Fernmelderechts, des DSG und gegebenenfalls der EU-Regeln.
Gib keine Rechtsberatung und erfinde keine Gesetzesstellen.

Ergänzen Sie Domain, Anbieter und Zielgruppe. Die Antworten des Anbieters halten Sie schriftlich fest.

Worauf Sie achten müssen

• Pauschalaussagen misstrauen: «Der Chatbot ist notwendig» oder «braucht nie Zustimmung» sind ohne Prüfung nicht verlässlich.
• Banner und Technik müssen übereinstimmen: Ein Banner, das Zustimmung verlangt, während der Chatbot schon lädt, ist wirkungslos und irreführend.
• Ablehnung muss möglich sein: In der Schweiz verlangt das Gesetz einen Hinweis auf die Möglichkeit, abzulehnen. Gestalten Sie sie einfach.
• Chatinhalte sind Personendaten: Besucher geben oft Namen oder Anliegen ein. Informieren Sie, und beschränken Sie Eingaben auf das Nötige.
• Training und Eigennutzung: Klären Sie, ob der Anbieter Eingaben für eigene Zwecke verwendet.
• Ausland: Verarbeitung durch Anbieter im Ausland ist eine Datenbekanntgabe ins Ausland mit eigenen Anforderungen.
• Entwicklung: Gesetze, Praxis der Behörden und Technik ändern sich. Prüfen Sie den Stand regelmässig.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Hotel in Interlaken bindet auf seiner Website einen KI-Chatbot für Fragen zu Zimmern und Ausflügen ein. Viele Gäste stammen aus Deutschland.

Vorher: Der Chatbot lädt bei jedem Seitenaufruf Skripte des Anbieters mit Sitz im Ausland nach. Ein Cookie-Hinweis erwähnt ihn nicht. Ein Gast fragt per Mail, wohin seine Eingaben gehen.

Nachher: Die Hotelleitung klärt mit dem Anbieter die Technik, richtet den Chatbot so ein, dass er erst nach Klick auf das Chat-Symbol lädt, und ergänzt Hinweis und Datenschutzerklärung. Ein kurzer Text im Chatfenster sagt, dass es sich um eine KI handelt und keine sensiblen Daten eingegeben werden sollen. Die Datenschutzberatung bestätigt das Vorgehen und empfiehlt, den Vertrag mit dem Anbieter zu ergänzen.

So hilft Ihnen Alpasana

Wer KI-Anwendungen auf Website und in Prozessen sauber planen möchte, kann sich beraten lassen. Die KI-Beratung und digitale Transformation von Alpasana umfasst laut Beschreibung die Integration von KI-Agenten mit Anwendungsfall, Pilot und Einsatzregeln, die Konzeption von Schnittstellen sowie Websites mit Struktur, UX/UI und Umsetzung. Projekte werden individuell offeriert. Eine rechtliche Prüfung ersetzt das nicht.

Häufige Fragen

Ist ein Chatbot «technisch notwendig»?

Das hängt davon ab, ob er für einen von der Besucherin ausdrücklich gewünschten Dienst nötig ist, und in welcher Form er lädt. Bei Laden ohne Nutzerhandlung ist die Einordnung als notwendig oft fraglich. Lassen Sie es prüfen.

Reicht ein Hinweis im Footer?

Für die Information ist eine gut sichtbare, verständliche Mitteilung nötig, nicht nur ein Link in der Fusszeile. Wo eine Einwilligung gefordert ist, braucht es eine echte Wahlmöglichkeit vor dem Laden.

Muss ich Besucher auf die KI hinweisen?

Ein Hinweis ist sinnvoll und je nach Rechtsraum teils vorgeschrieben. Siehe Kennzeichnung von KI-Chatbots.

Wie sehe ich, was der Chatbot lädt?

Mit den Entwicklerwerkzeugen Ihres Browsers (Netzwerk-Ansicht). Lassen Sie sich das bei Bedarf von Ihrer Webagentur oder IT zeigen.