Wie funktioniert der Einsatz von KI-Systemen im Rahmen der Chatbot-Kommunikation?
Unternehmen setzen KI-gestützte Chatbots ein, um die Kommunikation mit Kunden zu automatisieren. Diese Chatbots nutzen spezialisierte KI-Modelle, die über Dialogsysteme auf natürliche Weise mit Nutzern interagieren. Technisch betrachtet analysiert die KI die eingehenden Nachrichten, identifiziert den Kontext und die Intention der Anfrage und erzeugt eine passende Antwort. Die Basis für diese Technologie bildet maschinelles Lernen sowie Methoden der natürlichen Sprachverarbeitung (Natural Language Processing, NLP). Dabei greifen die Systeme auf ein umfangreiches, vorab trainiertes Wissens- und Datenmodell zurück, das speziell für die Verarbeitung von Dialogen optimiert wurde.
Durch den Einsatz von KI-Chatbots vereinfachen und optimieren Unternehmen ihre Kundenkommunikation. Sie erledigen Standardanfragen und Routineaufgaben effizient, sodass sich Mitarbeiter auf komplexere Aufgaben konzentrieren können. Sie sparen so nicht nur Ressourcen, sondern verbessern auch Reaktionszeiten und gewährleisten eine konstante Verfügbarkeit ihres Kundensupports. Das steigert die Kundenzufriedenheit.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Ist die Nutzung von KI-Systemen im Rahmen der Chatbot-Kommunikation zulässig?
Ob der Einsatz von Chatbot-KI-Systemen rechtlich zulässig ist, hängt von den Anforderungen der Datenschutz-Grundverordnung (DSGVO) ab. Besonders relevant ist hierbei, ob und wie personenbezogene Daten verarbeitet werden, insbesondere bei einer Übermittlung an Drittstaaten. Die Übertragung von Daten aus der EU in Länder außerhalb der EU, wie z.B. die USA, ist nur zulässig, wenn ein adäquates Datenschutzniveau gewährleistet wird. Wenn der Anbieter des Chatbot-Systems in einem Drittstaat ansässig ist, müssen Unternehmen prüfen, ob die entsprechende Datenschutzvereinbarung, wie etwa ein Angemessenheitsbeschluss der EU-Kommission, vorliegt.
Ein Beispiel für Anbieter von spezialisierten Chatbot-Systemen sind Unternehmen wie Rasa, Googles Dialogflow und das Microsoft Bot Framework. Sie haben ihren Sitz in den USA. Es gibt einen Angemessenheitsbeschluss für die Datenübermittlung in die USA. Zusätzlich ist die Datenübertragung in die USA rechtlich aber erst dann zulässig, wenn der Datenempfänger außerdem nach dem Datenschutzabkommen EU-USA (Data Privacy Framework) zertifiziert ist.
Nur weil die Datenübertragung mit einer künstlichen Intelligenz rechtlich zulässig ist, bedeutet dies nicht, dass das Programm automatisch datenschutzkonform ist. Damit Sie nicht gegen den deutschen Datenschutz verstoßen, müssen Sie zusätzliche Pflichten erfüllen.
Das ist beim Einsatz von KI-Systemen im Rahmen der Chatbot-Kommunikation datenschutzrechtlich relevant
Unternehmen verarbeiten in Chats je nach Art der Anfrage und der Interaktion verschiedene Datenarten. Zu den häufigsten gehören:
Personenbezogene Daten: Dazu zählen Name, E-Mail-Adresse, Telefonnummer und andere für die Kommunikation notwendige Angaben.
Inhaltsdaten: Diese umfassen die tatsächlichen Nachrichten des Kunden, die potenziell persönliche Informationen enthalten können.
Metadaten: Hierzu gehören Zeitstempel der Konversation, IP-Adresse und andere technische Daten.
Besonders sensibel sind Daten, die als "besondere Kategorien personenbezogener Daten" gelten, wie Gesundheits- oder Finanzdaten. Diese unterliegen strengeren Anforderungen und müssen besonders geschützt werden (Art. 9 DSGVO).
Chatbot-Kommunikation und Datenschutz: Worauf müssen Unternehmen achten?
Unternehmen, die KI-Systeme für ihre Chatbot-Kommunikation verwenden, sollten diese Datenschutzanforderungen aus dem Gesetz berücksichtigen:
Vertrag zur Auftragsdatenverarbeitung abschließen?
Ob Unternehmen mit einem KI-Anbieter einen Vertrag zur Auftragsverarbeitung (AV-Vertrag oder AVV) abschließen müssen, ist davon abhängig, ob die KI als Auftragsverarbeiter agiert. Bei den gängigen Anbietern sieht das aktuell wie folgt aus:
Rasa
Rasa bietet ein Data Processing Agreement (DPA) an, wenn Unternehmen die kommerziellen Cloud-Dienste nutzen (z.B. bei der Verwendung von Rasa X oder Rasa Enterprise). Wenn Unternehmen die Open-Source-Variante verwenden, müssen sie selbst dafür sorgen, dass sie Rasa DSGVO-konform implementieren. Ein AV-Vertrag ist dann nicht möglich.
Dialogflow (Google)
Wenn Unternehmen Dialogflow über Google Cloud nutzen, fungiert die Suchmaschine als Auftragsverarbeiter. Sie können mit Google dann einen AVV in Form eines DPA abschließen.
Microsoft Bot Framework
Microsoft bietet ebenfalls ein Data Processing Agreement an, wenn Unternehmen das Bot Framework zusammen mit anderen Microsoft-Diensten wie Azure nutzen. In der Regel ist Microsoft in diesem Fall als Auftragsverarbeiter tätig. Sie können mit dem Anbieter daher einen AV-Vertrag abschließen.
Inhalte eines AV-Vertrags
Verantwortliche sollten darauf achten, dass im AV-Vertrag zwischen ihnen und dem KI-Anbieter die folgenden Punkte festgelegt sind:
- Welche Daten werden vom Chatbot verarbeitet und gespeichert?
- Wie lange werden diese Daten aufbewahrt?
- Zu welchem Zweck erfolgt die Verarbeitung der Daten?
- Welche Rechte und Pflichten bestehen für beide Parteien im Hinblick auf die Datenverarbeitung?
Datenschutzerklärung anpassen
Unternehmen, die Chatbot-KI-Systeme auf ihrer Webseite einsetzen, müssen ihre Nutzer in der Datenschutzerklärung umfassend darüber informieren.
- Zweck der Datenverarbeitung, z. B. „Automatisierte Kundenkommunikation durch Chatbot-Technologie“.
- Die Rechtsgrundlage für die Verarbeitung, z. B. „Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)“ oder „Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)“.
- Welche Daten verarbeitet werden, z. B. Name, Anfrageinhalt und Kommunikationsdaten.
- Wer die Daten empfängt, z. B. „Der Anbieter des Chatbot-Systems“.
- Informationen zur Datenübermittlung in Drittländer, falls der Anbieter außerhalb der EU ansässig ist.
- Wie lange die Daten gespeichert werden oder wann sie gelöscht werden.
Standardvertragsklauseln (SCCs) abschließen
Liegt kein Angemessenheitsbeschluss vor, müssen Unternehmen mit dem Anbieter von Chatbot-KI-Systemen Standardvertragsklauseln (SCCs) abschließen. So stellen sie sicher, dass die Datenübertragung datenschutzkonform erfolgt.
Datenminimierung und Speicherbegrenzung
Unternehmen sollten nur die Daten verarbeiten, die für den Betrieb des Chatbots unbedingt erforderlich sind. Sie sollten diese nicht länger speichern, als es für den jeweiligen Zweck notwendig ist. Falls möglich, sollten Unternehmen erhobene Daten regelmäßig löschen und die Datenschutz-Einstellungen der KIs streng konfigurieren.
Einwilligung in die Datenerhebung einholen
Unternehmen sollten eine Einwilligung der Nutzer in den Einsatz einer KI für die Chatbot-Kommunikation einholen. Das gilt insbesondere, wenn sie über die KI sensible Informationen wie personenbezogene Daten verarbeiten. Ein Cookie-Banner oder ein Einwilligungsformular kann hierfür eine Lösung sein.
Betroffenenrechte gewährleisten
Unternehmen müssen sicherstellen, dass sie Nutzern jederzeit die Möglichkeit geben, ihre Betroffenenrechte nach der DSGVO wahrzunehmen – dazu gehören das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten sowie das Widerspruchsrecht.
Erstellen Sie jetzt eine rechtssichere Datenschutzerklärung mit dem eRecht24 Datenschutz Generator
- Einfache Integration in Ihre Website
- Anwaltlich geprüfter Generator
- Für Sie kostenfrei in wenigen Schritten
