Datenschutz-Folgenabschätzung für KI-Chatbots im Onlineshop: Wann ist sie nötig?

Du willst einen KI-Chatbot in deinem Onlineshop einsetzen und fragst dich, ob du dafür eine Datenschutz-Folgenabschätzung (DSFA) brauchst? Entscheidend ist nicht das Wort „KI“, sondern ob die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Ein Chat für allgemeine FAQ-Fragen ist deshalb anders zu prüfen als ein Chat, der Bestelldaten abruft und Gespräche an dein Team übergibt. Auch EU-Hosting allein beantwortet die Frage nicht.

Was die Vorprüfung klärt – und was nicht

In der Vorprüfung beschreibst du den geplanten Datenfluss, mögliche Folgen für Betroffene und vorhandene Schutzmaßnahmen. Anschließend hältst du fest, ob eine DSFA erforderlich ist, nach dem geprüften Stand nicht erforderlich erscheint oder ob entscheidende Informationen fehlen. Den breiteren Überblick über Datenfluss und DSGVO-Pflichten beim KI-Chatbot im Onlineshop findest du im Grundlagenartikel. Hier geht es um die Entscheidung zur DSFA.

Grenze den Prüfgegenstand so ab, dass du ihn später wiedererkennst: „FAQ-Antworten auf Produktseiten ohne Bestellzugriff“ beschreibt etwas anderes als „Bestellauskunft mit Übergabe an das Support-Team“. Eine Vorprüfung für die erste Variante deckt die zweite nicht ab. Sie ist außerdem eine dokumentierte Entscheidungshilfe, keine rechtliche Freigabe für den gesamten Chat-Einsatz.

Zeichne zuerst den Datenfluss deines Chatbots auf

Verfolge einen möglichen Kundenweg: Eine Person schreibt eine Nachricht, erhält eine Antwort, fragt nach ihrer Bestellung und möchte schließlich mit einem Menschen sprechen. Notiere für jeden tatsächlich vorgesehenen Schritt Datenquelle, Empfänger, Zweck und Personen mit Zugriff. Die Tabelle ist ein Arbeitsmuster. Als Produktbeispiel nutzt sie belegte askVela-Funktionen: Antworten aus der Wissensdatenbank, optionalen Bestell- und Kundenkontext sowie die Übergabe in die Team-Inbox.

Schritt	Daten und Weg	Zuständigkeit und Prüffrage
Chat-Eingabe und FAQ-Antwort	Die Person schreibt Freitext; der Chat-Dienst verarbeitet die Nachricht für eine Antwort aus der Wissensdatenbank. Auch eine allgemeine Anfrage kann freiwillig personenbezogene oder sensible Angaben enthalten.	Der Shop bestimmt Zweck und Einsatz. Prüfe anhand von Vertrag und tatsächlichem Ablauf die Rolle des Dienstleisters und wer Chat-Inhalte sehen kann.
Bestellauskunft, falls eingerichtet	Je nach Einstellung werden eine E-Mail-Adresse oder eine Bestellnummer mit E-Mail-Adresse abgefragt. Soweit der Shop sie liefert, können etwa Bestellstatus, Zahlungs- und Versandangaben sowie Positionen ausgegeben werden.	Der Shop prüft die tatsächlich bereitgestellten Felder, die Zuordnung zur Bestellung und mögliche weitere Empfänger. Der Dienstleister muss die für seine Rolle nötigen Angaben zum Ablauf liefern.
Übergabe an das Team, falls genutzt	Das übergebene Gespräch landet in der Team-Inbox. Beim beschriebenen Produktablauf erhält der Betreiber zusätzlich eine E-Mail mit dem Verlauf; die Benachrichtigung ist abschaltbar.	Der Shop klärt, wer in Inbox und E-Mail-Postfach Zugriff benötigt. Prüfe, welche Angaben der übergebene Verlauf enthält und ob am Postfach weitere Beteiligte mitwirken.

Ersetze in deiner eigenen Tabelle die beispielhaften Wege durch deine Konfiguration und ergänze alle tatsächlichen Empfänger. Der Shop ist für die Entscheidung über seinen Chat-Einsatz verantwortlich. Ob und in welchem Umfang der Chat-Dienstleister als Auftragsverarbeiter handelt, prüfst du ebenso wie die Rollen weiterer Beteiligter anhand der Verträge, Zwecke und Abläufe – nicht anhand einer Produktbezeichnung. Die Angaben zu Sicherheit und Datenschutz bei askVela können Ausgangspunkt für Fragen an den Anbieter sein; sie ersetzen die Prüfung deines Datenflusses nicht.

Fragenkatalog: Wo könnten hohe Risiken entstehen?

Beantworte die Fragen getrennt für jede geplante Funktion. Halte zu jeder relevanten Antwort fest: Chat-Szenario → betroffene Daten → mögliche Folge für die Person → tatsächlich vorhandene Maßnahme → offene Frage. So wird aus einer bloßen Liste eine nachvollziehbare Bewertung.

Eine ergänzende Frage ist, welche Daten dein KI-Chatbot abfragen sollte. Für die DSFA-Vorprüfung zählt darüber hinaus, was Personen tatsächlich eingeben können und was dein Shop abruft oder weitergibt.

Beispiel: FAQ-Chat oder Bestellauskunft?

Die folgenden Szenarien zeigen, wie sich eine Vorentscheidung begründen lässt. Sie sind keine verbindliche Einstufung für deinen Shop.

Szenario A: Nur allgemeine FAQ-Antworten

Ein Shop lässt ausschließlich Fragen zu Produkten und Liefermöglichkeiten aus einer Wissensdatenbank beantworten. Bestellabruf und geplante Identifizierung sind in diesem Szenario nicht eingerichtet. Damit entfällt die angebundene Bestelldatenquelle aus dem Prüfgegenstand. Freitext-Eingaben bleiben dennoch zu bewerten.

Eine vorläufige Aktennotiz könnte lauten: „FAQ-Antworten ohne Bestellzugriff; freiwillige Gesundheitsangaben im Freitext möglich. Zugriff auf solche Eingaben, vorhandene Maßnahmen und einschlägige Kriterien der Aufsichtsbehörde noch zu prüfen. Entscheidung offen.“ Das ist präziser als „Nur FAQ, also keine DSFA“. Sind diese Punkte geklärt und sprechen die geprüften Kriterien nicht für ein voraussichtlich hohes Risiko, lässt sich ein Ergebnis „nach geprüftem Stand nicht erforderlich“ begründen – bezogen auf diesen abgegrenzten Funktionsumfang.

Szenario B: Bestellauskunft mit Übergabe

Der Shop ergänzt Bestell- und Kundendaten im Chat. Für die Auskunft fragt der Chat je nach Einstellung nach der E-Mail-Adresse oder nach Bestellnummer und E-Mail-Adresse. Soweit der Shop sie liefert, können Bestellstatus, Versandangaben und Positionen genannt werden. Wird das Gespräch übergeben, sieht das Team den Verlauf; beim hier beschriebenen Ablauf ist auch die abschaltbare E-Mail mit Verlauf an den Betreiber zu berücksichtigen.

Bewerte die Schritte einzeln: Zuordnung: Was verhindert eine Auskunft an die falsche Person? Abruf: Welche Felder liefert der konkrete Zugriff? Antwort: Was davon wird im Chat sichtbar? Übergabe: Wer kann den Verlauf in Inbox und gegebenenfalls E-Mail-Postfach lesen? Eine falsche allgemeine Lieferauskunft hat andere mögliche Folgen als die Anzeige fremder Bestellpositionen.

Ein konkreter Prüfauftrag lautet: „Können unsere Bestellpositionen Rückschlüsse auf sensible Umstände zulassen, und wer sieht sie nach einer Übergabe?“ Solange diese Frage oder der Umfang des Abrufs ungeklärt ist, trägt eine pauschale Entwarnung nicht. Umgekehrt macht eine Bestellauskunft allein die DSFA nicht automatisch erforderlich. Maßgeblich bleiben der konkrete Ablauf, mögliche Folgen und die einschlägigen Risikokriterien.

So hältst du die Vorentscheidung schriftlich fest

Eine datierte Aktennotiz macht den geprüften Funktionsstand und die Begründung sichtbar. Kopiere die Vorlage für jeden wesentlich anderen Datenfluss. Trage Schutzmaßnahmen nur dann als vorhanden ein, wenn sie tatsächlich eingerichtet sind; eine geplante Änderung gehört stattdessen zu den offenen Aufträgen.

Fehlende Anbieterinformationen gehören unter „offene Prüfaufträge“, nicht unter „kein Risiko“. Um den Umfang eines vorgesehenen Bestellabrufs festzustellen, kannst du den Weg mit geeigneten Testdaten durchspielen und die zurückgegebenen Felder dokumentieren. Ändert sich später ein Zugriffsweg oder Empfänger, aktualisiere die Vorprüfung vor Aktivierung der Änderung. Vermerke dabei ausdrücklich, welche Annahme der bisherigen Entscheidung nicht mehr gilt.

Was folgt, wenn sich ein hohes Risiko abzeichnet?

Ergibt die Vorprüfung für die geplante Verarbeitung voraussichtlich ein hohes Risiko, führe vor ihrem Beginn eine vollständige DSFA durch. Ziehe die für Datenschutz zuständige Person im Shop oder fachkundige Beratung hinzu. Eine ungeklärte Vorprüfung wird nicht dadurch abgeschlossen, dass du die Funktion zunächst mit echten Kundendaten aktivierst.

Die DSFA untersucht den konkreten Ablauf, die Erforderlichkeit und Verhältnismäßigkeit der Verarbeitung, Risiken für Betroffene und Maßnahmen zu ihrer Bewältigung. Beim Bestell-Chat betrifft das etwa die Zuordnung der Anfrage, die tatsächlich gelieferten Bestellfelder und sämtliche Zugriffe auf einen übergebenen Verlauf. Bleibt trotz vorgesehener Maßnahmen ein hohes Restrisiko, prüfe vor Beginn der Verarbeitung die Voraussetzungen einer vorherigen Konsultation der Aufsichtsbehörde. Das Ergebnis bezieht sich immer auf deinen dokumentierten Funktionsumfang – nicht auf KI-Chatbots im Allgemeinen.