Betroffenenrechte im KI-Chatbot: Auskunft & Löschung umsetzen

Jeder Kunde hat das Recht zu erfahren, welche Daten Ihr KI-Chatbot über ihn speichert – und kann deren Löschung verlangen. Für Support-Teams bedeutet das: Sie brauchen klare Prozesse, um diese Betroffenenrechte nach DSGVO fristgerecht zu erfüllen. Dieser Leitfaden zeigt Ihnen, wie Sie Auskunfts-, Lösch- und Berichtigungsanfragen technisch und organisatorisch umsetzen.

Was sind Betroffenenrechte nach DSGVO?

Die Artikel 15 bis 22 der Datenschutz-Grundverordnung (DSGVO) definieren umfassende Rechte für betroffene Personen – also jeden, dessen personenbezogene Daten Sie verarbeiten. Für Chatbot-Betreiber sind besonders relevant:

• Auskunftsrecht (Art. 15 DSGVO): Kunden können eine Kopie aller gespeicherten Daten anfordern
• Recht auf Berichtigung (Art. 16 DSGVO): Fehlerhafte Daten müssen korrigiert werden
• Recht auf Löschung (Art. 17 DSGVO): Das "Recht auf Vergessenwerden"
• Recht auf Einschränkung (Art. 18 DSGVO): Verarbeitung kann eingeschränkt werden
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Daten müssen in maschinenlesbarem Format exportierbar sein
• Widerspruchsrecht (Art. 21 DSGVO): Betroffene können der Verarbeitung widersprechen

Bei Verstößen drohen empfindliche Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. Doch wichtiger als die Strafe ist das Kundenvertrauen: Wer Betroffenenrechte professionell handhabt, signalisiert Datenschutz-Kompetenz.

Auskunftsrecht (Art. 15 DSGVO) bei Chatbots

Das Auskunftsrecht ist das am häufigsten ausgeübte Betroffenenrecht. Kunden können jederzeit eine vollständige Auskunft über ihre gespeicherten Daten verlangen – und Sie haben maximal einen Monat Zeit für die Antwort.

Welche Chatbot-Daten müssen Sie offenlegen?

Bei einer Auskunftsanfrage müssen Sie alle personenbezogenen Daten zusammenstellen, die Ihr Chatbot verarbeitet:

• Chat-Verläufe: Sämtliche Konversationen mit Zeitstempeln
• Kontaktdaten: Name, E-Mail, Telefonnummer aus Formularen
• Technische Daten: IP-Adressen, Browser-Informationen, Session-IDs
• Ticket-Daten: Automatisch erstellte Support-Tickets mit Inhalt und Status
• Analyse-Daten: Nutzungsverhalten, Klickpfade, Sentiment-Scores
• Wissensdatenbank-Interaktionen: Welche Artikel wurden abgerufen

So bereiten Sie die Auskunft vor

Eine strukturierte Antwort enthält folgende Informationen nach Art. 15 Abs. 1 DSGVO:

1. Verarbeitungszwecke: Warum werden die Daten erhoben (z.B. Kundenservice, Qualitätssicherung)
2. Datenkategorien: Welche Arten von Daten werden verarbeitet
3. Empfänger: An wen werden Daten weitergegeben (z.B. Chatbot-Anbieter, CRM-System)
4. Speicherdauer: Wie lange werden die Daten aufbewahrt
5. Herkunft: Woher stammen die Daten (direkt vom Kunden oder aus anderen Quellen)
6. Automatisierte Entscheidungsfindung: Werden automatisierte Entscheidungen getroffen

Praxis-Tipp: Export-Funktion einrichten

Richten Sie in Ihrem Chatbot-System eine Datenexport-Funktion ein. Bei ki-kundenservice-chatbot.de können Sie alle Kundendaten mit einem Klick als JSON oder CSV exportieren – inklusive aller Chat-Verläufe und Ticket-Historien. Das spart bei jeder Anfrage wertvolle Zeit.

Recht auf Löschung (Art. 17 DSGVO) im Chatbot

Das "Recht auf Vergessenwerden" verpflichtet Sie, personenbezogene Daten auf Anfrage zu löschen. Doch nicht jede Löschanfrage muss erfüllt werden – und die technische Umsetzung hat ihre Tücken.

Wann müssen Sie Chatbot-Daten löschen?

Die DSGVO definiert sechs Löschgründe in Art. 17 Abs. 1:

• Die Daten sind für den ursprünglichen Zweck nicht mehr notwendig
• Der Kunde widerruft seine Einwilligung
• Der Kunde widerspricht der Verarbeitung nach Art. 21
• Die Daten wurden unrechtmäßig verarbeitet
• Eine rechtliche Verpflichtung zur Löschung besteht
• Die Daten wurden in Bezug auf Dienste der Informationsgesellschaft erhoben

Ausnahmen: Wann Sie nicht löschen müssen

Es gibt wichtige Ausnahmen, die besonders für den Kundenservice relevant sind:

• Gesetzliche Aufbewahrungspflichten: Steuerrechtlich relevante Daten (6-10 Jahre)
• Rechtsansprüche: Daten zur Geltendmachung oder Abwehr von Ansprüchen
• Öffentliches Interesse: Archivierung, Forschung, Statistik

Beispiel: Ein Kunde verlangt die Löschung seines Chat-Verlaufs. Der Verlauf dokumentiert jedoch eine Reklamation, die noch nicht abgeschlossen ist. In diesem Fall können Sie die Löschung aufschieben, bis der Fall geklärt ist – müssen aber die Verarbeitung einschränken.

Technische Umsetzung der Löschung

Bei der Löschung in Chatbot-Systemen müssen Sie mehrere Speicherorte berücksichtigen:

1. Primäre Datenbank: Chat-Verläufe und Kundenstammdaten
2. Backups: Auch in Sicherungen müssen Daten gelöscht oder anonymisiert werden
3. Verknüpfte Systeme: CRM, Helpdesk, Analytics-Tools
4. Log-Dateien: System- und Zugriffsprotokolle
5. KI-Trainingsdaten: Falls Chat-Verläufe zum Training verwendet wurden

Dokumentieren Sie jeden Löschvorgang mit Zeitstempel und betroffenen Systemen. Diese Nachweispflicht ist essenziell für Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Recht auf Berichtigung (Art. 16 DSGVO)

Kunden können verlangen, dass unrichtige Daten korrigiert werden. Im Chatbot-Kontext betrifft das vor allem:

• Falsch erfasste Kontaktdaten: Tippfehler in E-Mail oder Telefonnummer
• Fehlerhafte Kategorisierung: Falsches Kundensegment oder falsche Sprache
• Unvollständige Daten: Fehlende relevante Informationen ergänzen

Praxis-Beispiel Berichtigung

Ein Kunde kontaktiert Ihren Chatbot auf Deutsch, wird aber aufgrund eines Fehlers als englischsprachig kategorisiert. Er erhält künftig englische Follow-up-E-Mails. Der Kunde hat das Recht, diese fehlerhafte Zuordnung korrigieren zu lassen.

Die Berichtigung muss unverzüglich erfolgen – also ohne schuldhaftes Zögern. In der Praxis bedeutet das: innerhalb weniger Werktage nach Eingang der Anfrage.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Kunden können verlangen, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Das Ziel: Der Kunde soll seine Daten zu einem anderen Anbieter mitnehmen können.

Welches Format ist DSGVO-konform?

Die DSGVO schreibt kein spezifisches Format vor. Bewährt haben sich:

• JSON: Ideal für strukturierte Chat-Verläufe und Metadaten
• CSV: Für tabellarische Daten wie Ticket-Listen
• XML: Für komplexe, hierarchische Datenstrukturen
• PDF: Zusätzlich als menschenlesbares Format

Welche Daten sind übertragbar?

Das Recht auf Datenübertragbarkeit gilt nur für Daten, die:

• Der Kunde selbst bereitgestellt hat (Chat-Nachrichten, Formulareingaben)
• Auf Basis einer Einwilligung oder eines Vertrags verarbeitet werden
• Automatisiert verarbeitet werden (was bei Chatbots immer der Fall ist)

Nicht übertragbar sind dagegen Ihre internen Analysen, Bewertungen oder abgeleitete Daten wie Sentiment-Scores.

Widerspruchsrecht (Art. 21 DSGVO)

Das Widerspruchsrecht erlaubt Kunden, der Verarbeitung ihrer Daten zu widersprechen – insbesondere bei automatisierten Entscheidungen. Für KI-Chatbots ist das hochrelevant.

Automatisierte Entscheidungsfindung im Chatbot

Trifft Ihr Chatbot automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung? Beispiele:

• Automatische Priorisierung: Tickets werden nach KI-Einschätzung priorisiert
• Routing-Entscheidungen: Anfragen werden automatisch an Teams zugewiesen
• Kulanzentscheidungen: KI entscheidet über Rückerstattungen oder Gutscheine
• Sperrungen: Automatische Account-Sperrung bei verdächtigem Verhalten

Bei solchen Entscheidungen hat der Kunde nach Art. 22 DSGVO das Recht auf menschliche Überprüfung. Richten Sie daher immer eine Eskalationsmöglichkeit an einen menschlichen Agenten ein.

So reagieren Sie auf Widersprüche

Bei einem Widerspruch müssen Sie die Verarbeitung sofort einstellen, es sei denn, Sie können zwingende schutzwürdige Gründe nachweisen. In der Praxis bedeutet das:

1. Markieren Sie den Kunden im System als "Verarbeitung eingeschränkt"
2. Deaktivieren Sie proaktive Chatbot-Nachrichten für diesen Kunden
3. Prüfen Sie, ob zwingende Gründe für die Weiterverarbeitung bestehen
4. Informieren Sie den Kunden innerhalb eines Monats über das Ergebnis

Technische Umsetzung: So bereiten Sie Ihren Chatbot vor

Eine DSGVO-konforme Bearbeitung von Betroffenenanfragen erfordert technische Vorbereitung. Hier sind die wichtigsten Maßnahmen:

1. Vollständiges Dateninventar erstellen

Dokumentieren Sie alle Stellen, an denen Ihr Chatbot personenbezogene Daten speichert:

• Chat-Datenbank (Verläufe, Timestamps, Session-IDs)
• Wissensdatenbank (Nutzerinteraktionen, Suchverläufe)
• Ticket-System (Anfragen, Bearbeitungshistorie)
• Analytics-System (Nutzungsstatistiken, A/B-Tests)
• Externe Integrationen (CRM, E-Mail-Marketing, Helpdesk)

2. Eindeutige Kundenidentifikation implementieren

Um Daten einem Kunden zuordnen zu können, brauchen Sie eindeutige Identifier:

• E-Mail-Adresse: Primärer Identifier für registrierte Nutzer
• Session-ID: Für anonyme Chat-Sitzungen
• Browser-Fingerprint: Zur Verknüpfung mehrerer Sessions (mit Einwilligung)
• Kundennummer: Falls CRM-Integration besteht

3. Export-Schnittstelle entwickeln

Eine API oder Admin-Funktion, die auf Knopfdruck alle Daten eines Kunden exportiert:

• Filter nach Kunden-ID oder E-Mail
• Ausgabe in JSON und PDF
• Automatische Zusammenführung aus allen Subsystemen
• Protokollierung des Exports

4. Lösch-Routine implementieren

Eine Löschfunktion, die Daten aus allen relevanten Systemen entfernt:

• Kaskadierende Löschung über verknüpfte Tabellen
• Anonymisierung statt Löschung, wo Aufbewahrungspflichten bestehen
• Automatische Benachrichtigung verknüpfter Systeme via Webhook
• Audit-Log aller Löschvorgänge

5. Audit-Trail führen

Dokumentieren Sie jeden Bearbeitungsschritt:

• Eingang der Anfrage (Datum, Kanal, Inhalt)
• Identitätsprüfung (Wie wurde der Anfragende verifiziert?)
• Durchgeführte Maßnahmen (Export, Löschung, Berichtigung)
• Kommunikation mit dem Betroffenen
• Abschluss und Fristwahrung

Best Practices: Betroffenenanfragen effizient bearbeiten

Mit dem richtigen Prozess werden Betroffenenanfragen zur Routine statt zum Krisenmodus:

Standardprozess etablieren

1. Anfrage-Eingang: Zentrale E-Mail-Adresse (z.B. datenschutz@firma.de) einrichten
2. Erstprüfung: Art der Anfrage identifizieren (Auskunft, Löschung, etc.)
3. Identitätsprüfung: Anfragenden verifizieren (E-Mail-Bestätigung, Kundenkonto)
4. Frist setzen: Automatische Erinnerung nach 3 Wochen
5. Bearbeitung: Daten exportieren/löschen/korrigieren
6. Antwort: Standardisierte Antwortvorlage mit allen Pflichtangaben
7. Dokumentation: Vorgang im Datenschutz-Register protokollieren

Antwortvorlagen vorbereiten

Erstellen Sie Vorlagen für die häufigsten Anfragen:

• Eingangsbestätigung: "Wir haben Ihre Anfrage erhalten und werden sie bis zum [Datum] beantworten."
• Identitätsprüfung: "Zur Verifizierung Ihrer Identität bitten wir Sie..."
• Auskunftserteilung: Strukturierte Auflistung aller Datenkategorien
• Löschbestätigung: "Ihre Daten wurden wie folgt gelöscht..."
• Ablehnung mit Begründung: "Wir können Ihrer Anfrage nicht nachkommen, weil..."

Team schulen

Jeder Mitarbeiter mit Kundenkontakt sollte wissen:

• Wie erkenne ich eine Betroffenenanfrage?
• An wen leite ich sie weiter?
• Welche Fristen gelten?
• Was darf ich am Telefon/Chat sagen, was nicht?

Checkliste: DSGVO-konforme Betroffenenrechte im Chatbot

Nutzen Sie diese Checkliste zur Selbstprüfung:

• ☐ Alle Speicherorte personenbezogener Daten dokumentiert
• ☐ Export-Funktion für Kundendaten implementiert
• ☐ Lösch-Routine über alle Systeme hinweg eingerichtet
• ☐ Backup-Strategie berücksichtigt Löschanfragen
• ☐ Prozess für Identitätsprüfung definiert
• ☐ Antwortvorlagen für alle Anfragetypen erstellt
• ☐ Fristenmanagement (1 Monat) implementiert
• ☐ Audit-Trail für alle Vorgänge aktiv
• ☐ Mitarbeiter geschult
• ☐ Eskalationspfad zu menschlichen Agenten vorhanden
• ☐ Datenschutzbeauftragter eingebunden
• ☐ Verfahrensverzeichnis aktualisiert

Fazit: Betroffenenrechte als Chance für Kundenbindung

Die professionelle Bearbeitung von Betroffenenanfragen ist mehr als Compliance-Pflicht – sie ist eine Chance. Kunden, deren Datenschutzanfragen schnell und transparent bearbeitet werden, entwickeln mehr Vertrauen in Ihr Unternehmen.

Ein moderner KI-Chatbot wie von ki-kundenservice-chatbot.de unterstützt Sie dabei mit:

• One-Click-Datenexport: Alle Kundendaten sofort abrufbar
• Automatische Löschfunktion: DSGVO-konforme Datenlöschung über alle Systeme
• Audit-Logging: Vollständige Dokumentation aller Vorgänge
• Live-Chat-Übergabe: Jederzeit Eskalation an menschliche Agenten
• EU-Hosting: Serverstandort Deutschland für maximale Rechtssicherheit

Nutzen Sie die Betroffenenrechte als Qualitätsmerkmal Ihres Kundenservice – und als Wettbewerbsvorteil gegenüber Anbietern, die Datenschutz als lästige Pflicht betrachten.