Chatbot und Gesundheitsdaten im Onlineshop: Datenschutz bei ungefragten Angaben

Beim Datenschutz für Chatbots im Onlineshop werden Gesundheitsdaten oft erst dann zum Thema, wenn ein Kunde sie ungefragt nennt. Schreibt jemand eine Diagnose oder akute Beschwerden in deinen Shop-Chat, sollte der Bot die Angabe nicht vertiefen. Er kann eine allgemeine Produktfrage beantworten, sollte daraus aber keine individuelle Gesundheitsberatung machen. Danach musst du prüfen, wo der Verlauf gelandet ist, wer darauf zugreifen kann und ob weitere Kopien entstanden sind. EU-Hosting allein beantwortet diese Fragen nicht.

Warum eine ungefragte Angabe trotzdem einen Umgangsplan braucht

„Welche Inhaltsstoffe hat diese Creme?“ ist eine gewöhnliche Produktfrage. „Ich habe Neurodermitis – ist diese Creme richtig für mich?“ enthält zusätzlich eine persönliche Gesundheitsangabe. Du hast sie nicht angefordert; trotzdem steht sie jetzt im Chatverlauf und kann bei der weiteren Bearbeitung sichtbar oder weitergegeben werden. Gesundheitsdaten können zu den besonderen Kategorien personenbezogener Daten gehören. Ob eine konkrete Äußerung rechtlich darunterfällt und welche Verarbeitung zulässig ist, lässt sich nicht allein an einem einzelnen Wort festmachen.

Dieser Artikel behandelt den praktischen Sonderfall nach dem Eingang einer solchen Nachricht. Für die übergreifende Prüfung von Zuständigkeiten, Datenfluss und Rechtsgrundlagen lies ergänzend Datenfluss und DSGVO-Pflichten beim KI-Chatbot. Hier ist zunächst die Trennung wichtig: Ob ein Produkt einen bestimmten Inhaltsstoff enthält, kannst du sachlich beantworten. Aus der ungefragten Diagnose solltest du weder eine ausdrückliche Einwilligung noch einen Auftrag zur persönlichen Gesundheitsberatung ableiten.

Die Antwort fragt nicht nach Schweregrad, Befunden oder bisherigen Behandlungen. Diese Grenze gilt auch dann, wenn die Kundin von sich aus weitere Einzelheiten nennt: Die nächste Antwort sollte die persönliche Angabe nicht erneut aufgreifen.

Welche Nachricht erfordert welche Reaktion?

Ordne eine Nachricht nach ihrem Inhalt ein, bevor du die Antwort formulierst. Die folgende Tabelle ist eine Arbeitsregel für den Support, keine automatische rechtliche Einstufung jeder Äußerung.

Nachricht	Sachliche Antwort	Grenze und nächster Schritt
„Ist die Creme parfümfrei?“	Die Frage anhand der Produktinformationen beantworten oder sagen, dass die Angabe nicht belegt ist.	Keine persönliche Vorgeschichte erfragen, nur um diese Produktfrage zu beantworten.
„Ich habe eine diagnostizierte Hauterkrankung. Ist die Creme für mich geeignet?“	Verfügbare Inhaltsstoffe und veröffentlichte Anwendungshinweise nennen.	Keine Symptome, Befunde oder Diagnoseunterlagen anfordern; keine individuelle Eignung zusichern. Für eine persönliche Einschätzung an medizinisches Fachpersonal verweisen.
„Mir geht es plötzlich sehr schlecht. Hilft euer Produkt jetzt?“	Keine Produktempfehlung als Lösung für die akuten Beschwerden geben.	Nicht im Chat diagnostizieren oder die Dringlichkeit mit weiteren Gesundheitsfragen einschätzen. Auf unverzügliche geeignete medizinische Hilfe verweisen.

Diese Einordnung gilt auch für menschliche Antworten: Ein Teammitglied sollte bei einer Produktfrage mit Diagnose nicht aus Hilfsbereitschaft medizinische Rückfragen stellen. Prüfe getrennt davon, welche Daten dein Chatbot aktiv abfragen sollte. Ungefragt erhaltene Angaben und gezielt erhobene Angaben verlangen unterschiedliche Prüfungen.

So antwortet der Bot, ohne sensible Angaben zu vertiefen

Eine brauchbare Bot-Regel braucht eine klare Antwortgrenze und einen erlaubten Ausweg. „Sei vorsichtig bei Gesundheitsthemen“ ist zu unbestimmt: Daraus geht nicht hervor, ob der Bot nach Symptomen fragen oder ein Produkt empfehlen soll. Formuliere stattdessen, was er unterlassen und welche sachliche Hilfe er anbieten soll.

Teste die Regel mit neu formulierten Eingaben: „Ich habe eine Diagnose – ist das Produkt geeignet?“, „Ich nehme Medikamente – welches Mittel soll ich kaufen?“ und „Ich habe plötzlich starke Beschwerden – hilft das jetzt?“. Prüfe jede Antwort auf Rückfragen nach Gesundheitsdetails, unbelegte persönliche Eignungsaussagen und Produktempfehlungen trotz möglicher akuter Situation. Bei askVela kannst du Richtlinien im Klartext formulieren und mit Bot-Regeln und Testkonsole ohne echten Kundendialog vorab prüfen. Ein gelungener Test ersetzt nicht die spätere Sichtung tatsächlicher Antworten.

Bei akuten Beschwerden muss die Antwort anders ausfallen als bei einer gewöhnlichen Kosmetikfrage:

Der Bot fragt hier nicht nach Vorerkrankungen oder Dosierungen. Auch eine gut gemeinte Produktliste wäre fehl am Platz: Der Shop-Chat soll akute Beschwerden nicht medizinisch einordnen.

Wer verarbeitet die Nachricht nach dem Absenden?

Eine passende Bot-Antwort begrenzt nur den nächsten Gesprächsschritt. Sie entfernt die ursprüngliche Angabe nicht aus dem Verlauf. Zeichne deshalb für deinen Shop den Weg der Nachricht nach: Wo wird die Eingabe verarbeitet, wo erscheint die Bot-Antwort, wer kann den Chatverlauf öffnen und was passiert bei einer tatsächlichen Übergabe an das Team?

1. Eingabe und Bot-Antwort: Halte fest, welches Chatsystem die Nachricht erhält und auf welche hinterlegten Informationen es für die Antwort zugreift. Prüfe, ob Antwortvorschläge oder manuelle Kopien den sensiblen Inhalt erneut enthalten.
2. Chatverlauf: Ermittle, wo der vollständige Verlauf einsehbar ist und welche Personen oder Rollen ihn öffnen können. „Nur der Support“ reicht als Antwort nicht, wenn im Alltag weitere Personen denselben Zugang nutzen.
3. Übergabe: Prüfe den tatsächlichen Auslöser und den Zielort. Ein Gesundheitsbegriff allein bedeutet nicht, dass automatisch an das Team übergeben wird. Bei askVela landen übergebene Gespräche in der Team-Inbox für übergebene Gespräche; zusätzlich erhält der Betreiber eine E-Mail mit dem Verlauf. Diese E-Mail ist abschaltbar.
4. Weitere Kopien: Sieh nach, ob jemand den Verlauf per E-Mail weitergeleitet, in eine interne Notiz übernommen oder als Beispiel für eine Antwortvorlage abgelegt hat. Halte bestätigte Fundorte getrennt von bloß möglichen Kopien fest.

Du entscheidest als Shopbetreiber über Zweck und Umgang mit den Kundennachrichten. Welche Rolle ein beauftragter Dienst übernimmt und ob weitere Empfänger beteiligt sind, prüfst du anhand der Verträge und des tatsächlichen Datenflusses. Die Datenschutz-Funktionen von askVela können Teil dieser Prüfung sein; Verschlüsselung, EU-Hosting oder eine Vereinbarung zur Auftragsverarbeitung sind aber keine automatische Erlaubnis, Gesundheitsangaben beliebig weiterzuverarbeiten.

Wie begrenzt dein Team die weitere Verarbeitung?

Lege für den gefundenen Verlauf eine zuständige Person fest. Ihre Aufgabe ist zunächst, Zugriffe und Kopien zu erfassen und unnötige Weitergaben zu stoppen – nicht, Rechtsfragen allein zu entscheiden. Dafür zieht sie bei Bedarf die datenschutzverantwortliche Person oder Rechtsberatung hinzu.

Falls dein Team gelöste Chats später als Wissensquelle nutzt, trenne die wiederverwendbare allgemeine Produktantwort von der persönlichen Krankengeschichte. Für die zeitliche Entscheidung solltest du gesondert die Aufbewahrung von Chatverläufen prüfen.

Was dokumentierst du nach dem Vorfall?

Schreibe einen kurzen internen Vermerk, der den Ablauf nachvollziehbar macht, ohne die sensible Nachricht erneut vollständig zu vervielfältigen. Verweise für den Originalwortlaut nur auf den Fundort, falls er für die Prüfung benötigt wird.

Eine ungefragte Gesundheitsangabe ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Ob eine gesonderte rechtliche Prüfung nötig ist, hängt vom tatsächlichen Vorgang ab – etwa davon, ob Unbefugte Zugriff hatten oder der Verlauf ungewollt weitergegeben wurde. Der Vermerk hält die Fakten für diese Prüfung fest, ohne aus einem einzelnen Chat eine neue Sammlung sensibler Beispiele aufzubauen.