Datenschutzerklärung für den Chatbot: Diese Punkte gehören hinein

Sobald ein Chatbot auf Deiner Website läuft, muss Deine Datenschutzerklärung ihn erwähnen. Nach eRecht24 gehören dazu Kontaktdaten der verantwortlichen Stelle, Zweck, Empfänger und Speicherdauer sowie Hinweise auf die Betroffenenrechte, das Widerrufsrecht und die zuständige Aufsichtsbehörde. Dieser Beitrag zeigt, welche Angaben speziell beim BlueBranch Chatbot hineinkommen.

Die Pflichtpunkte

• Was passiert: Ein KI-Chatbot beantwortet Fragen zu den Inhalten Deiner Website.
• Welche Daten: die Frage und die letzten Nachrichten desselben Gesprächs, falls Besucher dort Daten nennen. Bei Spracheingabe zusätzlich die Aufnahme für die Dauer der Umwandlung.
• Empfänger: die BlueBranch GmbH als Auftragsverarbeiter und deren Hosting-Dienstleister Hetzner Online GmbH.
• Drittland: keine Übermittlung.
• Rechtsgrundlage: je nach Einsatz Art. 6 Abs. 1 lit. a, b oder f DSGVO. Entscheide das für Deine Website.
• Speicherdauer: abhängig von Deinen Einstellungen (siehe unten).
• KI-Hinweis: der Chat spricht als KI. Der Hinweis selbst gehört in den Chat, nicht nur in die Erklärung.

Was der Chatbot im Browser speichert

Die Erweiterungen setzen keine eigenen Cookies. Was sie im Browser des Besuchers ablegen, ist überschaubar:

• Chatverlauf im lokalen Speicher (localStorage), samt Antworten, Quellen und gegebenem Feedback, damit der Chat einen Seitenwechsel übersteht. Ein Verlauf, in dem 24 Stunden lang nichts passiert ist, wird beim nächsten Laden verworfen. Besucher können ihren Chat als Text- oder WebVTT-Datei herunterladen; die Datei entsteht im Browser.
• Sitzungs-Token: Es wird erst bei der ersten Frage geholt. Dadurch legen die Seiten keine Session an und bleiben im HTTP-Cache.

Eine IP-Adresse speichern die Erweiterungen nicht. Für die Ratenbegrenzung entsteht nur ein kurzlebiger Zähler mit Hashwert im Cache Deiner Website. Die Anfrage an die API stellt Dein Server, deshalb erreicht die IP-Adresse des Besuchers die API nicht.

Braucht das eine Einwilligung?

§ 25 Abs. 1 TDDDG erlaubt das Speichern von Informationen im Endgerät grundsätzlich nur nach Einwilligung. Nach Abs. 2 Nr. 2 ist sie nicht nötig, wenn das Speichern unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich angeforderter Dienst bereitgestellt werden kann. Ob der Chatverlauf darunter fällt, wird in der Praxis unterschiedlich beurteilt. Manche Anbieter stützen die Speicherung eines Schlüssels zur Wiederherstellung des Chatverlaufs auf diese Ausnahme, ein Beispiel ist die Datenschutzinformation zum Chat der ADAC Versicherung. Das ist keine Rechtsauskunft für Deine Website, sondern ein Beispiel dafür, wie andere es einordnen. Bewerte es mit Deiner oder Deinem Datenschutzbeauftragten.

Optionale Funktionen

• Fragen und Antworten speichern (standardmäßig aus): Gespeichert werden Frage, Antwort, Quellen, Seite und Modul, aber keine IP-Adresse, kein Browser und keine Nutzerkennung. E-Mail-Adressen, Telefonnummern und IBANs werden maskiert. Die Aufbewahrung ist einstellbar (Standard 180 Tage, 0 heißt unbegrenzt; setze sie kurz).
• Feedback (standardmäßig aus): 👍/👎 und ein Kommentar von höchstens 1.000 Zeichen. Eine bewertete Antwort wird samt Frage gespeichert, auch wenn das Speichern aller Fragen aus ist.
• Spracheingabe (standardmäßig aus): Die Aufnahme wird nicht gespeichert, siehe Spracheingabe ohne Speicherung.

Textbaustein als Ausgangspunkt

Der folgende Entwurf ist ein Muster und kein fertiger Rechtstext. Passe ihn an Deine Verhältnisse und die gewählten Einstellungen an und lass ihn prüfen.

MusterKI-Chatbot

Auf unserer Website setzen wir einen KI-Chatbot ein, der Fragen zu den Inhalten
dieser Website beantwortet. Wenn Sie ihm eine Frage stellen, wird die Frage
(und die letzten Nachrichten dieses Gesprächs) über unseren Server an die
Chatbot-Plattform der BlueBranch GmbH, Hans-Vogel-Straße 59, 90765 Fürth,
übermittelt. Dort wird sie auf eigenen Servern in Deutschland verarbeitet und
beantwortet. Mit der BlueBranch GmbH besteht ein Vertrag über
Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer
findet nicht statt. Ihre Eingaben werden nicht zum Training von KI-Modellen
verwendet. Bitte geben Sie keine sensiblen Daten ein.

Der Chat wird als KI-Assistent gekennzeichnet; seine Antworten werden
automatisch erzeugt und können Fehler enthalten.

Der Chatverlauf wird im lokalen Speicher Ihres Browsers abgelegt, damit er
einen Seitenwechsel übersteht. Er wird nach 24 Stunden ohne Aktivität
verworfen. Cookies setzt der Chatbot nicht.

[Nur bei aktivierter Spracheingabe:] Wenn Sie die Spracheingabe nutzen und dem
Browser den Zugriff auf das Mikrofon erlauben, wird Ihre Aufnahme zur
Umwandlung in Text an unseren Dienstleister übertragen. Die Aufnahme wird nicht
gespeichert und nach der Umwandlung verworfen.

Rechtsgrundlage ist [Art. 6 Abs. 1 lit. f / lit. b / lit. a DSGVO: bitte
passend wählen]. [Speicherdauer und weitere Angaben ergänzen.]

Weiterlesen

Die vollständige Liste der Betreiberpflichten steht im Beitrag Chatbot DSGVO-konform einsetzen, die technischen Zusagen auf der Seite DSGVO & AVV.