Was braucht ein Website-Chatbot beim Datenschutz?

Das Problem

Ein Chatbot, also ein automatischer Gesprächsassistent, soll häufige Fragen auf Ihrer Website beantworten. Sie möchten Öffnungszeiten und Leistungen erklären. Besucher schreiben jedoch möglicherweise auch Telefonnummern, gesundheitliche Hintergründe oder Beschwerden hinein, obwohl Sie danach gar nicht gefragt haben.

Die Datenfrage beginnt deshalb schon bei der Gestaltung des Eingabefeldes. Hinzu kommen gespeicherte Gespräche, technische Protokolle und mögliche Verbindungen zu Ihrem Kundensystem. Vor dem Start brauchen Sie einen nachvollziehbaren Ablauf für normale Fragen und für unerwartete persönliche Inhalte.

So lösen Sie es mit KI – Schritt für Schritt

1. Begrenzen Sie den Auftrag des Bots. Schreiben Sie auf, welche öffentlichen Informationen er erklären darf. Beginnen Sie beispielsweise mit Leistungen und Kontaktwegen. Schliessen Sie die Bearbeitung persönlicher Dossiers im ersten Entwurf aus und zeigen Sie dafür einen geeigneten Kontaktweg an.

1. Zeichnen Sie den vollständigen Datenweg. Lassen Sie die technische Ansprechperson Website, Chatdienst, KI-Anbieter, Protokollspeicher und allfällige weitere Dienste aufzeichnen. Prüfen Sie, ob schon beim Laden des Chatfensters Daten übertragen werden. Notieren Sie, welche Stellen Zugriff erhalten können.

1. Prüfen Sie Verträge und Einstellungen. Verlangen Sie Unterlagen zu Anbieterrollen, Unterauftragnehmern, Ländern und Löschung. Unterauftragnehmer sind weitere Dienstleister, die der Anbieter einsetzt. Die Checkliste zum Auftragsbearbeitungsvertrag hilft, gezielte Rückfragen vorzubereiten.

1. Gestalten Sie den sichtbaren Einstieg. Machen Sie klar, dass Besucher mit einem automatischen System sprechen, und verlinken Sie den passenden Datenschutzhinweis. Schreiben Sie verständlich, welche Angaben nicht ins Feld gehören. Bei EU-Bezug sind die Transparenzregeln aus Artikel 50 gesondert zu prüfen.

1. Testen Sie mit erfundenen Gesprächen. Nutzen Sie KI, um harmlose Testfragen und schwierige Grenzfälle zu erstellen. Prüfen Sie, ob der Bot bei persönlichen Anliegen zuverlässig auf den menschlichen Kontakt verweist. Kontrollieren Sie auch, ob er unbelegte Versprechen über Preise, Verfügbarkeit oder Datenschutz macht.

1. Organisieren Sie den Zugriff auf Protokolle. Legen Sie fest, wer Chatverläufe sehen darf und wofür sie gebraucht werden. Prüfen Sie, ob kürzere Speicherung oder weniger Protokollierung genügt. Definieren Sie den Weg für Auskunfts- und Löschanfragen, bevor die ersten echten Gespräche eingehen.

1. Geben Sie den Start bewusst frei. Lassen Sie Fachabteilung, technische Betreuung und zuständige Datenschutzperson die offenen Punkte abschliessen. Halten Sie einen Abschaltweg bereit, falls der Bot fremde Inhalte preisgibt oder falsche Zusagen macht. Prüfen Sie nach Änderungen an Datenquellen und Funktionen erneut.

Vorlage zum Kopieren

Erstelle einen Testplan für einen Website-Chatbot.
Erlaubte Themen: [öffentliche Themen]
Nicht erlaubte Aufgaben: [Liste]
Menschlicher Kontaktweg: [freigegebener Kontaktweg]
Entwirf erfundene Testfragen: normale Frage, persönliche Daten,
unklare Anfrage, Reklamation und Frage nach einer verbindlichen Zusage.
Gib pro Fall die erwartete Reaktion und ein Abbruchkriterium an.
Verwende keine realen Kundendaten. Erfinde keine Unternehmensleistungen.

Ersetzen Sie die Platzhalter durch Ihre geprüften Angaben; verwenden Sie für die KI-Anfrage keine vertraulichen Originalunterlagen.

Was prüfen Sie vor der öffentlichen Freigabe?

Testen Sie den Einstieg auch auf einem Mobiltelefon und mit einer sehr kurzen Frage. Sind Hinweis und menschlicher Kontakt dort noch verständlich sichtbar? Stellen Sie eine Frage, die der Bot nicht beantworten kann, und beobachten Sie, ob er seine Grenze nennt oder eine Antwort erfindet.

Kontrollieren Sie danach die gespeicherten Testprotokolle gemeinsam mit der technischen Betreuung. Prüfen Sie, welche Angaben tatsächlich ankommen und ob unnötige Daten erfasst werden. Verwenden Sie dabei ausschliesslich erfundene Inhalte. Notieren Sie für jeden Fehler, wer ihn behebt und wie Sie die Korrektur vor dem Start nochmals nachvollziehen. Eine gute Antwort auf die erste Testfrage genügt als Abnahme nicht.

Worauf Sie achten müssen

• Ein Hinweis «Bitte keine persönlichen Daten» verhindert Eingaben nicht technisch. Planen Sie trotzdem den Umgang mit unerwarteten Angaben und schränken Sie vermeidbare Übermittlungen ein.
• Vertrauliche Dokumente gehören nicht ungeprüft in die Wissensbasis des Bots. Eine Wissensbasis ist die Sammlung von Informationen, aus der er Antworten vorbereitet.
• Cookies und ähnliche Speichertechniken sowie eingebundene Drittdienste können weitere Fragen auslösen. Lassen Sie die konkrete Website-Einrichtung und die massgeblichen Rechtsordnungen prüfen.
• Bei einer vermuteten Offenlegung fremder Daten stoppen Sie den betroffenen Ablauf und nutzen intern den Vorfallplan. Lassen Sie keine weiteren Besucher als Testpersonen dienen.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Velogeschäft in Thun möchte Fragen zu Reparaturannahme und Öffnungszeiten automatisch beantworten. Im ersten Versuch greift der Bot auf einen Ordner zu, der auch alte Kundenkorrespondenz enthält. Frau Müller erkennt das Problem bei einem Test mit einer erfundenen Frage nach einem Auftrag.

Die Datenquelle wird auf freigegebene öffentliche Informationen beschränkt. Persönliche Auftragsfragen verweist der Bot an das Geschäft. Der Start erfolgt erst, nachdem Zugriff, Hinweise und Protokollierung geprüft wurden. Dadurch bleibt die Funktion überschaubar und das Team weiss, wie es bei ungeeigneten Antworten eingreifen kann.

So hilft Ihnen Alpasana

Alpasana nimmt Geschäftsprozesse auf, analysiert mögliche KI-Anwendungen und begleitet die Umsetzung. Dazu gehören die Konzeption von Schnittstellen, die Verbindung von Systemen sowie Websites und Web-Apps. Bei KI-Agenten umfasst das Angebot den Anwendungsfall, einen Pilotversuch und Einsatzregeln. Das Angebot finden Sie unter KI-Beratung und digitale Transformation.

Alpasana kann den beschriebenen Anwendungsfall und seine Einbindung in Ihre Website konzipieren und begleiten. Eine rechtliche Prüfung der konkreten Datenbearbeitung ist davon getrennt zu organisieren. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Brauchen wir ein eigenes Chatprotokoll?

Das hängt vom Zweck ab; speichern Sie nicht vorsorglich alles. Prüfen Sie, ob für die Qualitätskontrolle bereinigte Beispiele oder technische Fehlerangaben genügen und wie lange diese benötigt werden.

Darf der Bot direkt auf Kundendossiers zugreifen?

Das wäre ein wesentlich anderer Anwendungsfall mit zusätzlichen Zugriffs- und Identitätsprüfungen. Eine Freigabe für öffentliche Auskünfte deckt diesen Zugriff nicht automatisch ab.

Wo steht der Datenschutzhinweis am besten?

Er sollte vor der relevanten Dateneingabe leicht erreichbar und verständlich sein. Die Vorbereitung einer KI-Datenschutzerklärung hilft, den Inhalt mit dem tatsächlichen Ablauf abzugleichen.