Ein KI-Chatbot beantwortet Fragen auf Ihrer Website, rund um die Uhr und ohne Wartezeit. Viele Schweizer KMU zögern trotzdem. Der häufigste Einwand hat nichts mit der Technik zu tun, sondern mit dem Datenschutz: Darf ich das überhaupt?
Die kurze Antwort: Ja. Das revidierte Schweizer Datenschutzgesetz (revDSG) verbietet keine Chatbots. Es verlangt Transparenz und einen sauberen Umgang mit den Daten, die dabei anfallen. Ein KI-Chatbot ist mit dem Schweizer Datenschutz vereinbar, wenn Sie vier Punkte regeln: Datenschutzerklärung, Zweckbindung, Auftragsbearbeitung und Datenstandort.
Dieser Beitrag zeigt, welche Daten bei einem Website-Chatbot tatsächlich fliessen, was das Gesetz verlangt und welche Zusicherungen Sie von einem seriösen Anbieter erwarten dürfen. Er ist eine praktische Orientierung, keine Rechtsberatung.
Welche Daten bei einem Website-Chatbot fliessen
Zuerst die Einordnung: Ein Chatbot auf der Website ist kein Kundenkonto. Besucher melden sich nicht an, es gibt kein Login und kein Profil. Im Kern fliessen drei Arten von Daten:
- Besucherfragen: Der eingetippte Text geht an den Chatbot-Anbieter und an das dahinterliegende KI-Modell, damit eine Antwort entsteht.
- Technische Daten: IP-Adresse, Zeitpunkt, Browsertyp. Diese fallen bei jedem Website-Besuch an, mit oder ohne Chatbot.
- Freiwillige Angaben: Wer im Chat eine E-Mail-Adresse oder Telefonnummer hinterlässt, etwa für einen Rückruf, übermittelt Personendaten.
Der heikelste Punkt ist das Freitextfeld. Besucher können dort alles eintippen, auch Namen, Adressen oder Angaben zur Gesundheit. Genau deshalb verlangt das Gesetz Transparenz: Wer den Chat nutzt, soll wissen, was mit den Eingaben geschieht.
Was das revidierte Datenschutzgesetz verlangt
Das revDSG ist seit dem 1. September 2023 in Kraft. Für einen Website-Chatbot sind vier Grundsätze entscheidend:
- Transparenz: Sie informieren darüber, dass ein Chatbot im Einsatz ist, welche Daten er bearbeitet und in welche Länder sie gehen. Der richtige Ort dafür ist die Datenschutzerklärung.
- Zweckbindung: Die Eingaben dienen der Beantwortung der Frage, nicht mehr. Keine Werbeprofile, kein Verkauf an Dritte.
- Verhältnismässigkeit: Bearbeitet wird nur, was für die Antwort nötig ist. Ein Website-Chatbot braucht keine Nutzerprofile.
- Datensicherheit: Verschlüsselte Übertragung und geregelte Zugriffe sind Pflicht, keine Kür.
Wichtig: Anders als oft vermutet braucht es für einen Chatbot in der Regel keine Einwilligung der Besucher. Das Schweizer Gesetz setzt auf Information statt auf Zustimmungsbanner. Wer die Grundsätze einhält und sauber informiert, bearbeitet Daten rechtmässig.
So hoch kann die Busse nach revDSG ausfallen. Sie richtet sich bei vorsätzlicher Verletzung bestimmter Pflichten, etwa der Informationspflicht, gegen die verantwortliche Privatperson, nicht gegen die Firma. Ein Grund mehr, die Datenschutzerklärung ernst zu nehmen.
Die vier Punkte, die Sie konkret regeln
1. Datenschutzerklärung ergänzen
Nehmen Sie einen eigenen Abschnitt zum Chatbot auf. Darin stehen: der Name des Anbieters, der Zweck (Beantwortung von Anfragen), die Art der Daten (Chateingaben, technische Daten), die Speicherdauer und das Land, in dem die Daten bearbeitet werden. Das ist in einer halben Stunde erledigt und deckt die Informationspflicht ab.
2. Keine Zweckentfremdung
Die Chatverläufe Ihrer Besucher gehören nicht in Werbelisten und nicht ungefragt ins Training fremder KI-Modelle. Prüfen Sie im Vertrag, ob der Anbieter Ihre Daten für eigene Zwecke nutzen darf. Seriöse Anbieter schliessen das standardmässig aus.
3. Auftragsbearbeitungsvertrag abschliessen
Der Chatbot-Anbieter bearbeitet Personendaten in Ihrem Auftrag. Das Schweizer Recht nennt das Auftragsbearbeitung, die DSGVO spricht von Auftragsverarbeitung. Dafür braucht es einen Vertrag, meist AVV oder DPA genannt. Er regelt, dass der Anbieter die Daten nur nach Ihren Weisungen bearbeitet, sie angemessen schützt und Unterauftragnehmer offenlegt. Bei den meisten Anbietern liegt ein solcher Vertrag bereit oder ist Teil der AGB.
4. Datenstandort und Auslandübermittlung klären
Bleiben die Daten in der Schweiz oder in der EU beziehungsweise im EWR, ist die Übermittlung unkritisch: Der Bundesrat anerkennt diese Länder als Staaten mit angemessenem Datenschutz. Bei US-Anbietern gilt seit September 2024 das Swiss-U.S. Data Privacy Framework: Ist der Anbieter dort zertifiziert, ist die Übermittlung zulässig. Andernfalls braucht es Standardvertragsklauseln. Fragen Sie nach, wo gehostet wird, und halten Sie die Antwort fest.
Praxis-Tipp: Stellen Sie dem Anbieter vier Fragen schriftlich: Wo werden die Daten gehostet? Gibt es einen Auftragsbearbeitungsvertrag? Werden meine Chatverläufe für KI-Training genutzt? Wie lange werden sie gespeichert? Legen Sie die Antworten ab. Damit können Sie jederzeit belegen, dass Sie Ihre Pflichten wahrgenommen haben.
Was seriöse Anbieter zusichern
An diesen Punkten erkennen Sie, ob ein Anbieter Datenschutz ernst nimmt:
| Zusicherung | Warum das zählt |
|---|---|
| Auftragsbearbeitungsvertrag (AVV/DPA) | Ohne Vertrag haften Sie für einen Dienstleister, den Sie nicht kontrollieren. |
| Transparenter Hosting-Standort | Sie müssen das Land in der Datenschutzerklärung nennen können. |
| Kein Training mit Ihren Chatverläufen | Verhindert, dass Besucherdaten in fremden KI-Modellen landen. |
| Definierte Löschfristen | Gelöschte Daten können nicht missbraucht werden. |
| Verschlüsselte Übertragung | Grundanforderung der Datensicherheit nach revDSG. |
| Liste der Unterauftragnehmer | Sie wissen, welche Dritten im Hintergrund mitarbeiten. |
Wer auf diese Fragen keine klaren Antworten gibt, ist der falsche Partner. Das gilt für uns genauso wie für jeden anderen Anbieter.
Und der Chatbot von Frascati?
Wir sind eine Schweizer Digitalagentur aus Oberwil BL und vermieten einen KI-Chatbot ab CHF 49 im Monat: Basic mit 250 Gesprächen, Pro mit 1'500 Gesprächen für CHF 129 im Monat. Beide Varianten lassen sich 14 Tage gratis testen, mit hinterlegter Karte. Der Einbau erfolgt mit einer Zeile Code, unabhängig vom System Ihrer Website. Stellen Sie uns dieselben vier Fragen wie jedem anderen Anbieter, wir beantworten sie vor dem Vertragsabschluss. Und ob sich ein Chatbot für Ihr KMU überhaupt lohnt, haben wir separat geprüft: AI-Chatbot auf der Website, sinnvoll oder Spielerei?
Häufige Fragen
Braucht es eine Einwilligung, bevor Besucher den Chatbot nutzen?
In der Regel nein. Das revDSG verlangt Information, nicht Zustimmung. Eine transparente Datenschutzerklärung und ein klar erkennbarer Chatbot genügen meistens. Eine Einwilligung braucht es erst, wenn besonders schützenswerte Daten gezielt bearbeitet werden oder die Bearbeitung über den erkennbaren Zweck hinausgeht.
Muss ich meine Datenschutzerklärung anpassen?
Ja. Der Chatbot ist eine neue Datenbearbeitung. Die Informationspflicht verlangt, dass Sie Anbieter, Zweck, Datenarten, Speicherdauer und Empfängerland nennen. Ein eigener Abschnitt genügt.
Darf der Anbieter die Chatverläufe für sein KI-Training nutzen?
Nur wenn Sie dem vertraglich zustimmen. Standard sollte sein, dass Ihre Daten ausschliesslich für den Betrieb Ihres Chatbots genutzt werden. Prüfen Sie diesen Punkt vor der Unterschrift, nicht danach.
Gilt für meine Schweizer Website auch die DSGVO?
Möglicherweise. Wenn Sie erkennbar Kunden in der EU ansprechen, etwa mit Versand nach Deutschland oder Preisen in Euro, kann die DSGVO zusätzlich gelten. Die gute Nachricht: Wer die vier Punkte aus diesem Beitrag umsetzt, erfüllt bereits die wichtigsten Anforderungen beider Gesetze. Im Zweifel lohnt sich eine kurze rechtliche Abklärung.
