Flyweight: Einsatz eines KI-Chatbots für Shopify im Einklang mit DSGVO und AI Act

Auftragsverarbeitungsvertrag, Kennzeichnungspflicht, Datenschutzerklärung, DSGVO, AI Act, was denn nun? 🤯🤯

Die nachstehende Checkliste und Vorlage für die Datenschutzerklärung gehen davon aus, dass Ihr einen Shopify-Shop betreibt und einen DSGVO-konformen KI-Chatbot hinzufügen möchtet. Da Flyweight inzwischen auch Antworten auf E-Mails und Support-Tickets formuliert (Flyweight Copilot) und es Euch oder Eurem Team ermöglicht, Live-Chats zu übernehmen, deckt dieser Leitfaden auch diese Anwendungsfälle ab. Ihr möchtet das Gesamtbild sehen, was unser Shopify-Chatbot alles kann? Dann schaut in den Hauptleitfaden. Dieser Artikel stellt keine Rechtsberatung und keine Anerkennung einer rechtlichen Verpflichtung dar.

Terminologie

1. Datenschutz-Grundverordnung (DSGVO)
   Die DSGVO ist das zentrale Datenschutzgesetz in Europa. Sie legt die Regeln dafür fest, wie Unternehmen mit personenbezogenen Daten umgehen, zum Beispiel, dass nur das erhoben wird, was tatsächlich benötigt wird, und dass es sicher gespeichert wird. Außerdem gibt sie den Menschen Rechte in Bezug auf ihre Daten, einschließlich Auskunft, Berichtigung und Löschung. Für Chatbots bedeutet das: keine umfassende oder unnötige Datenerhebung und klare Kommunikation darüber, wie Daten verwendet werden.

2. Gesetz über künstliche Intelligenz (AI Act)
   Der AI Act ist eine EU-Verordnung, die Regeln für künstliche Intelligenz festlegt. Seine Anforderungen gelten stufenweise; die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026. Ziel ist ein sichererer und fairerer Einsatz von KI-Systemen wie Chatbots. Er gruppiert KI-Systeme nach Risikostufen, von niedrig bis hoch. Jede Kategorie bringt ihre eigenen Anforderungen mit sich, etwa klarzumachen, dass Nutzer mit KI interagieren, und diskriminierende Ergebnisse zu verhindern. Chatbots, die sensible Anwendungsfälle bearbeiten, können in höhere Risikokategorien fallen und strengeren Anforderungen unterliegen.

3. Auftragsverarbeitungsvertrag (AVV)
   Ein Auftragsverarbeitungsvertrag ist ein Vertrag zwischen dem Unternehmen, das den Chatbot nutzt, und dem Anbieter, der ihn betreibt. Er legt fest, dass der Anbieter Nutzerdaten nur auf Weisung des Unternehmens und im Einklang mit den Datenschutzvorschriften verarbeitet. Wenn Ihr einen externen Chatbot-Anbieter nutzt, wird ein AVV in der Regel benötigt, um eine DSGVO-konforme Verarbeitung zu dokumentieren.

4. Datenschutzerklärung
   Eine Datenschutzerklärung erläutert, welche Daten erhoben werden, warum sie erhoben werden und wie lange sie gespeichert werden. Sie sollte auch die Rechte der Nutzer erläutern, etwa das Recht, Löschung zu verlangen oder auf gespeicherte Daten zuzugreifen. Bei der Nutzung von Chatbots sollten diese Informationen leicht verständlich und leicht auffindbar sein.

5. Kennzeichnungspflicht
   Nach Artikel 50 des AI Act müssen Personen, die direkt mit einem KI-System interagieren, grundsätzlich darüber informiert werden, dass sie mit KI interagieren, es sei denn, dies ist unter den Umständen offensichtlich. Das ist die Kennzeichnungspflicht. Ziel sind Transparenz und weniger Missverständnisse.

Rollen und Verantwortlichkeiten

Rollen sind wichtig, weil sie festlegen, wer wofür verantwortlich ist.

Auftragsverarbeiter

Der Chatbot-Anbieter ist in der Regel der Auftragsverarbeiter. Das bedeutet, der Anbieter verarbeitet Daten im Auftrag des Shopbetreibers und auf Grundlage seiner Weisungen. Der Anbieter kümmert sich um die technische Einrichtung und den Betrieb des Chatbots, entscheidet aber nicht darüber, warum die Daten verarbeitet werden. Seine Aufgabe ist es, die Anforderungen des Verantwortlichen zu befolgen und technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umzusetzen. Kurz gesagt: Der Chatbot-Anbieter ist vertraglich daran gebunden, Daten nur nach Weisung zu verarbeiten, nicht für eigene unabhängige Zwecke.

Verantwortlicher

Das ist der Teil, der sich oft etwas kontraintuitiv anfühlt: Der Shopbetreiber ist der Verantwortliche. Als Verantwortlicher entscheidet der Shop, warum und wie Daten verarbeitet werden, zum Beispiel, was der Chatbot erhebt und ob er für Support, Leadgenerierung oder etwas anderes genutzt wird. Der Verantwortliche ist dafür verantwortlich, sicherzustellen, dass Datenerhebung und -verarbeitung die Datenschutzanforderungen erfüllen und dass die Rechte der Nutzer beachtet werden. In der Praxis bedeutet das, dass der Shopbetreiber festlegt, wie der Chatbot eingesetzt wird, und für die datenschutzrechtliche Compliance rund um diese Nutzung verantwortlich ist. Es klingt größer, als es ist. Meist beginnt es damit, in der Datenschutzerklärung klar zu sein.

Praktisches Beispiel

Nehmen wir an, der Shopify-Shop "GarlicPress24" möchte einen KI-Chatbot zur Leadgenerierung einsetzen. Ein Kunde fragt nach den Spezifikationen einer Knoblauchpresse, und die KI gibt fachkundige Hinweise. Im Rahmen dieses Ablaufs erhebt der Chatbot die Kontaktdaten des Kunden, etwa Name und E-Mail-Adresse, und leitet sie an den Experten weiter.

Der Shop muss entscheiden, wie das funktionieren soll. Soll der Lead über KI erfasst werden? Oder soll der Chatbot einfach eine Nachricht anzeigen wie: „Kontaktiert unsere Experten unter E-Mail X“? Der Shopify-Shop ist der Verantwortliche, weil er entscheidet, was passiert, und sicherstellt, dass die Kunden in der Datenschutzerklärung ordnungsgemäß informiert werden. Der KI-Chatbot-Anbieter übernimmt die technische Einrichtung und verarbeitet die Daten nach den Weisungen des Shops, was den Anbieter zum Auftragsverarbeiter macht.

Wie Ihr einen KI-Chatbot im Einklang mit den Datenschutzanforderungen nutzt: Eine Checkliste

Wenn Ihr einen Chatbot im Einklang mit DSGVO und AI Act betreiben möchtet, legen die oben genannten Rollen die Verantwortlichkeiten fest.

1. Nur notwendige Daten erheben
   Der Chatbot sollte nur die Daten erheben, die tatsächlich benötigt werden. Das ist in erster Linie eine Verantwortung des Anbieters. Bei Flyweight streben wir an, nur die minimal erforderlichen personenbezogenen Daten zu verarbeiten. Wenn ein Kunde zum Beispiel nach einem Bestellstatus fragt, verarbeiten wir nur Postleitzahlen und Bestellnummern, nicht zusätzliche Adressdaten oder weitergehende Bestelldaten. Daten, die in die speziellen Formulare des Chatbots eingegeben werden, werden getrennt vom KI-Modell verarbeitet. Freitextnachrichten können dennoch personenbezogene Daten enthalten, und Copilot verarbeitet das offene Support-Gespräch, um einen Antwortentwurf zu erstellen.

2. Transparent sein
   Nutzer sollten verstehen, welche Daten der Chatbot erhebt und wofür sie verwendet werden. Die Datenschutzerklärung ist der richtige Ort, um dies klar zu erläutern, insbesondere für Shopify-Shopbetreiber. Da der Shop der Verantwortliche ist, sollte die Erklärung aktualisiert werden, damit Kunden ordnungsgemäß informiert sind. Unten ist eine Vorlage enthalten, die dabei hilft.

3. Einen Auftragsverarbeitungsvertrag (AVV) abschließen
   Wenn der Chatbot von einem externen Anbieter stammt, sollte es einen Vertrag geben, der die DSGVO-konforme Datenverarbeitung regelt. Prüft, ob der Anbieter einen AVV anbietet, oft als Teil der Standardvereinbarung.

4. Sicherheit und Datenschutz regelmäßig überprüfen
   Der AI Act weist auch auf regelmäßige Überprüfungen KI-bezogener Risiken hin, damit die Chatbot-Konfiguration im Laufe der Zeit compliant bleibt. Das wird in der Regel vom Chatbot-Anbieter gehandhabt. Wir halten diesen Leitfaden aktuell und teilen relevante Änderungen mit.

5. Den Chatbot klar kennzeichnen
   Nutzer sollten wissen, dass sie mit KI sprechen. Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026; siehe die Leitlinien der Europäischen Kommission. Unser KI-Chatbot enthält standardmäßig eine Fußzeile mit dem Hinweis: „AI powered by Flyweight“, und wir empfehlen, diese beizubehalten. Wenn Ihr besonders vorsichtig sein möchtet, könnt Ihr KI auch in der Begrüßungsnachricht oder im Namen des Chatbots erwähnen.

6. E-Mail- und Ticket-Support mit KI (Flyweight Copilot)

   Wenn Ihr oder Euer Team Flyweight Copilot nutzt, um Antworten auf E-Mails oder Tickets zu formulieren, gelten dieselben Rollen: Ihr seid der Verantwortliche, Flyweight ist Euer Auftragsverarbeiter im Rahmen des AVV. Jeder Entwurf wird von Euch oder einer Person in Eurem Team überprüft und versendet, sodass keine automatisierte Entscheidung über die Anfrage des Kunden getroffen wird. Was Ihr tun müsst: den Abschnitt aus der nachstehenden Vorlage in Eure Datenschutzerklärung aufnehmen, sicherstellen, dass nur Ihr und die von Euch autorisierten Personen Zugriff haben, und Kunden niemals nach Gesundheitsdaten oder anderen sensiblen Informationen fragen, die zur Lösung der Anfrage nicht erforderlich sind.

7. Live-Chats übernehmen

   Wenn Ihr oder ein Mitglied Eures Teams einen Chat von der KI übernehmt, sollte der Kunde sehen, dass eine Person beigetreten ist. Das ist die Kehrseite der KI-Kennzeichnungspflicht: Wenn Ihr Kunden mitteilt, wann sie mit KI sprechen, teilt ihnen auch mit, wann sie mit einem Menschen sprechen. Flyweight zeigt die Übergabe standardmäßig im Chat-Widget an. Verwendet Vornamen oder Team-Aliasse, Ihr entscheidet, was angezeigt wird.

Benötige ich eine Einwilligung von Kunden, die uns eine E-Mail schreiben?

In der Regel ist eine gesonderte Einwilligung nicht erforderlich, nur um eine routinemäßige Support-E-Mail zu beantworten. Je nach Anfrage kann die Verarbeitung zur Erfüllung eines Vertrags mit dem Kunden erforderlich sein (Artikel 6 Absatz 1 Buchstabe b DSGVO) oder durch eine dokumentierte Interessenabwägung für den Kundensupport gerechtfertigt sein (Artikel 6 Absatz 1 Buchstabe f DSGVO). Der Händler muss die passende Grundlage für die tatsächliche Verarbeitung, einschließlich KI-Unterstützung, auswählen und sicherstellen, dass nur notwendige Daten verwendet werden. Eine Einwilligung ist kein Ersatz für diese Bewertung, und Support sollte nicht von einer Einwilligung in eine nicht damit zusammenhängende Verarbeitung abhängig gemacht werden.

Was Ihr braucht, ist Transparenz: Nennt Flyweight in Eurer Datenschutzerklärung als Auftragsverarbeiter (Vorlage unten) und verlinkt, wenn Ihr möchtet, in Eurer E-Mail-Signatur oder automatischen Antwort darauf.

Besondere Kategorien erfordern zusätzliche Sorgfalt: Gesundheitsdaten und andere besondere Kategorien erfordern eine anwendbare Voraussetzung nach Artikel 9 Absatz 2 DSGVO sowie eine Rechtsgrundlage nach Artikel 6. Ein Supportvertrag oder berechtigtes Interesse allein reicht nicht aus. Ihr könnt einen Kunden nicht davon abhalten, „Ich muss das wegen meiner Allergie zurückgeben“ zu schreiben, aber Ihr könnt (1) sicherstellen, dass Ihr, Euer Team und Euer KI-Setup niemals aktiv nach solchen Daten fragen, (2) in Eurer Datenschutzerklärung oder automatischen Antwort einen kurzen Hinweis ergänzen, der Kunden bittet, Gesundheitsdaten nur dann zu teilen, wenn sie für ihre Anfrage erforderlich sind, und (3) wenn Euer Shop gesundheitsbezogene Produkte verkauft (Nahrungsergänzungsmittel, Medizinprodukte, Apothekenartikel), vor der Einführung KI-gestützten Supports mit Eurem Datenschutzbeauftragten über eine Datenschutz-Folgenabschätzung sprechen. Der AVV von Flyweight deckt die beiläufige Verarbeitung solcher Daten ab und schließt eine gesonderte Auswertung oder ein Modelltraining aus; der AVV selbst liefert jedoch nicht die Voraussetzung des Händlers nach Artikel 9. Prüft, ob die geplante Verarbeitung voraussichtlich ein hohes Risiko begründet und deshalb vor dem Rollout eine Datenschutz-Folgenabschätzung erfordert.

Siehe die Leitlinien des EDPB zu Rechtsgrundlagen und besonderen Kategorien personenbezogener Daten.

⭐️ Vorlage für die Datenschutzerklärung

Wie wir gesehen haben, sind Shopify-Shops, die als Verantwortliche handeln, in erster Linie dafür verantwortlich, klar zu erläutern, wie Daten verarbeitet werden.

Und der beste Ort dafür? Eure Datenschutzerklärung.

💡 Wenn wir der Shopbetreiber wären, der den Flyweight KI-Chatbot nutzt, würden wir den folgenden Abschnitt in die Datenschutzerklärung aufnehmen, ohne damit eine rechtliche Verpflichtung anzuerkennen oder Rechtsberatung zu leisten:

Passt die Vorlage an die Funktionen an, die Ihr tatsächlich nutzt, an Eure Rechtsgrundlagen und an Eure Aufbewahrungsrichtlinie.

---

Nutzung des Chatbots mit Formularen
Wir bieten Ihnen auf unserer Website einen KI-basierten Chatbot der Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Deutschland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) an, um Ihre Fragen zu beantworten. Bei der Nutzung des Chatbots werden Ihre Anfragen unter Verwendung der aus den von unserer eigenen Website ausgelesenen Website-Informationen erstellten Datenbank und eines Large Language Model zusammengeführt, um Ihnen Antworten auf Ihre Anfrage bereitzustellen. Der Chatbot ist angewiesen, nicht nach personenbezogenen Daten zu fragen. Gut zu wissen: Wenn infolge Ihrer Anfragen gesonderte Formulare erscheinen, in denen Sie dann je nach Anfrage personenbezogene Daten angeben müssen, werden die dort von Ihnen gemachten Angaben gesondert verarbeitet und entsprechend nicht an die KI gesendet.

Verarbeitete Datenkategorien: Die Datenkategorien ergeben sich aus Ihren Anfragen, wenn Sie innerhalb Ihrer Frage personenbezogene Daten eingeben.

• Wenn Sie zum Beispiel fragen: „Wo ist meine Bestellung?“, erscheint ein Formular, in das Sie Ihre Bestellnummer und Ihre Postleitzahl eingeben können.

• Wenn Sie zum Beispiel mehr über ein Produkt erfahren und eine entsprechende Beratung erhalten möchten, erscheint ein Formular, in das Sie die relevanten Informationen eingeben können (z.B. Name, Telefon, E-Mail usw.).

Zweck der Verarbeitung: Verarbeitung der von Ihnen bereitgestellten Informationen zur Erstellung von Antworten auf Ihre Anfragen mithilfe des Chatbots.

• Beispiel: Wenn Sie zum Beispiel fragen: „Wo ist meine Bestellung?“ und Ihre Bestellnummer und Postleitzahl in das Formular eingeben, werden diese Informationen verwendet, um eine direkte Anfrage an das Shopsystem (Shopify) zu stellen, damit die Lieferinformationen übermittelt werden können und Sie über den Status der Bestellung informiert werden können.

• Beispiel: Wenn Sie eine Beratung zu einem Produkt wünschen, wird Ihre Anfrage (mit den von Ihnen im Formular bereitgestellten Daten und dem gesamten Chatverlauf) an den Shopbetreiber weitergeleitet, damit dieser Sie kontaktieren kann.

Datenquelle: Wir erheben diese Daten direkt bei Ihnen.

Rechtsgrundlage: Wir verarbeiten Daten zur Erfüllung vertraglicher oder vorvertraglicher Pflichten gemäß Artikel 6 Absatz 1 Buchstabe b der Datenschutz-Grundverordnung (DSGVO).

Speicherdauer: Wir speichern Supportdaten so lange, wie es zur Bearbeitung Ihrer Anfrage und für etwaige anwendbare Rechtsansprüche oder Dokumentationspflichten erforderlich ist. Gesetzliche Aufbewahrungsfristen von 6 bis 10 Jahren gelten nur für Unterlagen, die diesen Anforderungen unterliegen. Flyweight speichert Gespräche in unserem Auftrag für die Laufzeit unseres Vertrags und löscht sie innerhalb von 30 Tagen nach dessen Ende gemäß unserem Auftragsverarbeitungsvertrag.

Ort der Empfänger: EU und Nicht-EU.

Garantien für Übermittlungen in Drittländer: EU-Standardvertragsklauseln (SCC), Angemessenheitsbeschluss

KI-gestützter Kundensupport (E-Mail und Tickets)

Wenn Sie unseren Kundensupport per E-Mail oder über unser Helpdesk kontaktieren, nutzen wir Flyweight Copilot, ein Tool der Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Deutschland (Impressum / Datenschutzerklärung), um uns beim Kundensupport zu unterstützen. Das Tool liest Ihre Nachricht und, soweit verfügbar, die zugehörigen Bestellinformationen aus unserem Shopsystem und erstellt einen Antwortvorschlag. Jede Antwort wird von einem Mitglied unseres Teams geprüft und versendet. Über Ihre Anfrage wird keine Entscheidung automatisch getroffen. Bitte geben Sie in Ihrer Nachricht keine Gesundheitsdaten oder andere sensible Informationen an, es sei denn, dies ist für Ihre Anfrage erforderlich.

Verarbeitete Datenkategorien: Der Inhalt Ihrer Nachricht (Betreff und Text), Ihr Name und Ihre E-Mail-Adresse sowie Bestelldetails im Zusammenhang mit Ihrer Anfrage (wie Bestellnummer, Bestellstatus und Bestellhistorie).

Zweck der Verarbeitung: Schnellere und genauere Beantwortung Ihrer Supportanfrage.

Datenquelle: Wir erhalten diese Daten direkt von Ihnen und aus unserem Shopsystem.

Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO (Erfüllung eines Vertrags oder vorvertragliche Maßnahmen) und Artikel 6 Absatz 1 Buchstabe f DSGVO (unser berechtigtes Interesse an effizientem Kundensupport). Die Flyweight GmbH verarbeitet Ihre Daten in unserem Auftrag als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags.

Speicherdauer: Wir speichern Supportdaten so lange, wie es zur Bearbeitung Ihrer Anfrage und für etwaige anwendbare Rechtsansprüche oder Dokumentationspflichten erforderlich ist. Gesetzliche Aufbewahrungsfristen von 6 bis 10 Jahren gelten nur für Unterlagen, die diesen Anforderungen unterliegen, nicht automatisch für jede Supportnachricht. Flyweight speichert Gespräche in unserem Auftrag für die Laufzeit unseres Vertrags und löscht sie innerhalb von 30 Tagen nach dessen Ende gemäß unserem Auftragsverarbeitungsvertrag.

Ort der Empfänger: EU und Nicht-EU.

Garantien für Übermittlungen in Drittländer: EU-Standardvertragsklauseln (SCC), Angemessenheitsbeschluss.

Live-Chat mit unserem Team

Ein Mitglied unseres Teams kann einem Chatbot-Gespräch beitreten und es persönlich fortführen. Sie sehen im Chat, wenn dies geschieht. Das Gespräch, einschließlich aller Informationen, die Sie im Chat angegeben haben, steht dann unserem Team zur Verfügung, damit wir Ihnen bei Ihrer Anfrage helfen können.

Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO (Erfüllung eines Vertrags oder vorvertragliche Maßnahmen). Die Flyweight GmbH stellt die Chat-Infrastruktur als unser Auftragsverarbeiter bereit.

Speicherdauer: Wie oben für den Chatbot angegeben.

---

Installiert den datenschutzkonformen Chatbot für europäische Shopify-Shops ✌️