Flyweight: AI Chatbot für Shopify DSGVO- und AI-Act-konform nutzen

Auftragsverarbeitungsvertrag, Kennzeichnungspflicht, Datenschutzerklärung, DSGVO, AI-Act - was bitte? 🤯🤯

Die Checkliste und die Vorlage für die Datenschutzerklärung unten gehen davon aus, dass Ihr einen Shopify Store betreibt und einen DSGVO-konformen AI chatbot hinzufügen möchtet. Ihr wollt den kompletten Überblick, was unser Shopify chatbot alles kann? Dann schaut in den Hauptguide. Dieser Artikel ist keine Rechtsberatung und stellt auch keine Bestätigung einer rechtlichen Verpflichtung dar.

Begriffe

1. Datenschutz-Grundverordnung (DSGVO)
   Die DSGVO ist das zentrale Datenschutzgesetz in Europa. Sie legt fest, wie Unternehmen mit personenbezogenen Daten umgehen müssen, zum Beispiel nur die Daten erheben, die wirklich nötig sind, und sie sicher speichern. Gleichzeitig gibt sie Menschen Rechte über ihre Daten, etwa Auskunft, Berichtigung und Löschung. Für Chatbots heißt das: keine unnötige oder zu weitgehende Datenerhebung und klare Informationen dazu, wie Daten verwendet werden.

2. Artificial Intelligence Act (AI Act)
   Der AI Act ist ein geplantes EU-Gesetz für künstliche Intelligenz. Ziel ist ein sicherer und fairerer Einsatz von AI-Systemen wie Chatbots. Er teilt AI-Systeme nach Risikostufen ein, von niedrig bis hoch. Je nach Kategorie gelten unterschiedliche Anforderungen, etwa dass klar sein muss, wenn Nutzer:innen mit AI interagieren, und dass diskriminierende Ergebnisse vermieden werden. Chatbots in sensiblen Anwendungsfällen können in höhere Risikokategorien fallen und strengeren Anforderungen unterliegen.

3. Data Processing Agreement (DPA)
   Ein Data Processing Agreement ist ein Vertrag zwischen dem Unternehmen, das den Chatbot nutzt, und dem Anbieter, der ihn betreibt. Darin wird festgelegt, dass der Anbieter Nutzerdaten nur auf Weisung des Unternehmens und im Rahmen der Datenschutzvorgaben verarbeitet. Wenn Ihr einen externen Chatbot-Anbieter nutzt, braucht Ihr in der Regel ein DPA, um die DSGVO-konforme Verarbeitung zu dokumentieren.

4. Datenschutzerklärung
   Eine Datenschutzerklärung erklärt, welche Daten erhoben werden, warum das passiert und wie lange sie gespeichert werden. Sie sollte auch die Rechte der Nutzer:innen erläutern, zum Beispiel das Recht auf Löschung oder Auskunft. Beim Einsatz eines Chatbots sollten diese Informationen leicht verständlich und leicht auffindbar sein.

5. Kennzeichnungspflicht
   Nach den Grundsätzen der DSGVO und besonders im geplanten AI Act sollten Nutzer:innen erkennen können, dass sie mit AI und nicht mit einem Menschen sprechen. Genau darum geht es bei der Kennzeichnungspflicht. Ziel sind mehr Transparenz und weniger Missverständnisse.

Rollen und Verantwortlichkeiten

Die Rollen sind wichtig, weil sie festlegen, wer wofür verantwortlich ist.

Processor

Der Chatbot-Anbieter ist in der Regel der Processor. Das heißt: Der Anbieter verarbeitet Daten im Auftrag des Store-Betreibers und nach dessen Weisung. Er kümmert sich um das technische Setup und den Betrieb des Chatbots, entscheidet aber nicht darüber, warum die Daten verarbeitet werden. Seine Aufgabe ist es, die Vorgaben des Controllers umzusetzen und technische sowie organisatorische Maßnahmen zum Schutz personenbezogener Daten einzurichten. Kurz gesagt: Der Chatbot-Anbieter ist vertraglich daran gebunden, Daten nur wie angewiesen zu verarbeiten und nicht für eigene unabhängige Zwecke.

Controller

Hier wird es oft etwas kontraintuitiv: Der Store-Betreiber ist der Controller. Als Controller entscheidet der Store, warum und wie Daten verarbeitet werden, zum Beispiel was der Chatbot erfasst und ob er für Support, Lead-Generierung oder etwas anderes genutzt wird. Der Controller ist dafür verantwortlich, dass Datenerhebung und Verarbeitung den Datenschutzanforderungen entsprechen und dass die Rechte der Nutzer:innen gewahrt bleiben. In der Praxis heißt das: Der Store-Betreiber legt fest, wie der Chatbot eingesetzt wird, und trägt die Verantwortung für die Datenschutz-Compliance rund um diesen Einsatz. Das klingt größer, als es ist. Meist fängt es einfach damit an, in der Datenschutzerklärung klar zu sein.

Praktisches Beispiel

Nehmen wir an, der Shopify Store „GarlicPress24“ möchte einen AI chatbot zur Lead-Generierung nutzen. Ein Kunde fragt nach den Spezifikationen einer Knoblauchpresse, und die AI gibt fachkundige Hinweise. Im Verlauf dieses Prozesses sammelt der Chatbot die Kontaktdaten des Kunden, also etwa Name und E-Mail, und leitet sie an den Experten weiter.

Der Store muss entscheiden, wie das ablaufen soll. Soll der Lead über AI erfasst werden? Oder soll der Chatbot einfach eine Nachricht anzeigen wie: „Kontaktiert unsere Expert:innen unter E-Mail X“? Der Shopify Store ist der Controller, weil er festlegt, was passiert, und sicherstellt, dass Kund:innen in der Datenschutzerklärung richtig informiert werden. Der Anbieter des AI chatbot übernimmt das technische Setup und verarbeitet die Daten nach den Vorgaben des Stores. Damit ist der Anbieter der Processor.

So nutzt Ihr einen AI chatbot datenschutzkonform: Eine Checkliste

Wenn Ihr einen Chatbot im Einklang mit DSGVO und AI Act betreiben wollt, ergeben sich die Verantwortlichkeiten aus den Rollen oben.

1. Erhebt nur die Daten, die wirklich nötig sind
   Der Chatbot sollte nur Daten erfassen, die tatsächlich gebraucht werden. Das liegt vor allem in der Verantwortung des Anbieters. Bei Flyweight achten wir darauf, nur das Minimum an personenbezogenen Daten zu verarbeiten, das notwendig ist. Wenn ein Kunde zum Beispiel nach dem Bestellstatus fragt, verarbeiten wir nur Postleitzahl und Bestellnummer, keine zusätzlichen Adressdetails oder weitergehenden Bestelldaten. Personenbezogene Daten werden außerdem getrennt von der AI verarbeitet.

2. Seid transparent
   Nutzer:innen sollten verstehen, welche Daten der Chatbot erfasst und wofür sie verwendet werden. Der richtige Ort dafür ist die Datenschutzerklärung, besonders für Betreiber von Shopify Stores. Da der Store der Controller ist, sollte die Erklärung entsprechend aktualisiert werden, damit Kund:innen sauber informiert sind. Eine Vorlage dafür findet Ihr weiter unten.

3. Schließt ein Data Processing Agreement (DPA) ab
   Wenn der Chatbot von einem externen Anbieter kommt, sollte es einen Vertrag geben, der die DSGVO-konforme Datenverarbeitung regelt. Prüft, ob der Anbieter ein DPA anbietet, oft ist es Teil der Standardvereinbarung.

4. Prüft Sicherheit und Datenschutz regelmäßig
   Der AI Act geht ebenfalls in Richtung regelmäßiger Prüfungen von AI-bezogenen Risiken, damit das Chatbot-Setup langfristig konform bleibt. Das liegt meist beim Chatbot-Anbieter. Wir halten diesen Guide aktuell und teilen relevante Änderungen.

5. Kennzeichnet den Chatbot klar
   Auch wenn eine ausdrückliche Kennzeichnung noch nicht in jedem Fall hart gesetzlich vorgeschrieben ist, ist Transparenz trotzdem der richtige Weg. Nutzer:innen sollten wissen, dass sie mit AI sprechen. Unser AI chatbot hat standardmäßig einen Footer mit dem Hinweis: „AI powered by Flyweight“. Wir empfehlen, ihn beizubehalten. Wenn Ihr besonders vorsichtig sein wollt, könnt Ihr AI zusätzlich in der Willkommensnachricht oder im Namen des Chatbots erwähnen.

⭐️ Vorlage für die Datenschutzerklärung

Wie oben beschrieben, sind Shopify Stores als Controller vor allem dafür verantwortlich, klar zu erklären, wie Daten verarbeitet werden.

Und wo geht das am besten? In Eurer Datenschutzerklärung.

💡 Wenn wir Shop-Betreiber wären und den Flyweight AI Chatbot nutzen würden, würden wir den folgenden Abschnitt in die Datenschutzerklärung aufnehmen, ohne damit eine rechtliche Verpflichtung anzuerkennen oder Rechtsberatung zu geben:

👇👇👇👇👇👇👇👇👇👇

---

Nutzung des Chatbots mit Formularen
Wir bieten Euch auf unserer Website einen AI-basierten Chatbot der Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Deutschland (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) an, um Eure Fragen zu beantworten. Bei der Nutzung des Chatbots werden Eure Anfragen mithilfe der aus den Informationen unserer eigenen Website erstellten Datenbank und eines Large Language Models verarbeitet, um Euch passende Antworten auf Eure Anfrage zu geben. Der Chatbot ist so angewiesen, keine personenbezogenen Daten abzufragen. Gut zu wissen: Wenn infolge Eurer Anfragen separate Formulare erscheinen, in denen Ihr je nach Anfrage personenbezogene Daten angeben müsst, werden diese Angaben separat verarbeitet und entsprechend nicht an die AI gesendet.

Verarbeitete Datenkategorien: Welche Datenkategorien betroffen sind, ergibt sich aus Euren Anfragen, wenn Ihr personenbezogene Daten in Eurer Frage eingebt.

• Wenn Ihr zum Beispiel fragt: „Wo ist meine Bestellung?“, erscheint ein Formular, in das Ihr Eure Bestellnummer und Eure Postleitzahl eingeben könnt.

• Wenn Ihr zum Beispiel mehr über ein Produkt erfahren möchtet und eine passende Beratung erhalten wollt, erscheint ein Formular, in das Ihr die relevanten Angaben eingeben könnt, zum Beispiel Name, Telefon, E-Mail etc.

Zweck der Verarbeitung: Verarbeitung der von Euch bereitgestellten Informationen, um mit dem Chatbot Antworten auf Eure Anfragen zu erstellen.

• Beispiel: Wenn Ihr zum Beispiel fragt: „Wo ist meine Bestellung?“ und Eure Bestellnummer sowie Eure Postleitzahl in das Formular eingebt, werden diese Informationen genutzt, um eine direkte Anfrage an das Store-System (Shopify) zu stellen, damit die Lieferinformationen abgerufen werden können und Ihr über den Status der Bestellung informiert werdet.

• Beispiel: Wenn Ihr eine Beratung zu einem Produkt wünscht, wird Eure Anfrage, inklusive der im Formular angegebenen Daten und des gesamten Chatverlaufs, an den Store-Betreiber weitergeleitet, damit dieser Euch kontaktieren kann.

Datenquelle: Wir erheben diese Daten direkt bei Euch.

Rechtsgrundlage: Wir verarbeiten Daten zur Erfüllung vertraglicher oder vorvertraglicher Pflichten gemäß Artikel 6 Absatz 1 Buchstabe b der Datenschutz-Grundverordnung (DSGVO).

Speicherdauer: Die Daten werden gespeichert, bis Eure Anfrage abgeschlossen ist oder für die Dauer des Vertrags und darüber hinaus, bis gesetzliche Aufbewahrungsfristen von 6 bis 10 Jahren abgelaufen sind.

Ort der Empfänger: EU und Nicht-EU.

Garantien bei Übermittlungen in Drittländer: EU-Standardvertragsklauseln (SCC), Angemessenheitsbeschluss

---

👆👆👆👆👆👆👆👆👆👆

Installiert den datenschutzkonformen Chatbot für europäische Shopify Stores ✌️