KI-Chatbot und DSGVO im Onlineshop: Datenfluss, Pflichten und Prüfliste

Eine Kundin schreibt in den Shop-Chat: „Wo bleibt meine Bestellung?“ Bevor ein KI-Chatbot antwortet, kann ihre Nachricht mehrere Stationen durchlaufen. Vielleicht erhält ein KI-Dienst den Gesprächskontext. Vielleicht fragt der Chat zusätzlich das Shopsystem ab. Und wenn ein Mensch übernimmt, können weitere Kopien des Verlaufs entstehen. Ob der Einsatz für deinen Shop datenschutzgerecht ausgestaltet ist, lässt sich deshalb nicht aus einem einzelnen Hinweis wie „EU-gehostet“ ablesen.

Dieser Leitfaden folgt der Versandstatusfrage vom Widget bis zur möglichen Übergabe. Du bekommst ein Datenfluss-Diagramm zum Ausfüllen, ein Arbeitsblatt für die Bestellabfrage und eine Prüfliste für Unterlagen und Einstellungen. Trage nur ein, was für deine Konfiguration belegt ist. Wo eine Anbieterantwort fehlt, bleibt das Feld offen.

Was bedeutet DSGVO-konform bei einem KI-Chatbot im Onlineshop?

Die Aussage „DSGVO-konform“ auf einer Produktseite bewertet nicht automatisch deinen konkreten Einsatz. Ein Chat für allgemeine Fragen zu Lieferzeiten hat einen anderen Datenweg als ein Chat, der Bestellungen sucht und Gespräche weiterleitet. Selbst bei einer allgemeinen Frage können Besucher ungefragt Namen, Adressen oder Bestellnummern in den Freitext schreiben. Plane deine Prüfung daher nicht nur für die Angaben, die das Widget ausdrücklich abfragt.

Erfasse getrennt: den Nachrichteninhalt, aktiv abgefragte Kontaktdaten, technische Verbindungsdaten, gegebenenfalls aus dem Shop abgerufene Bestellinformationen und Kopien bei einer Übergabe. Frage bei jeder Kategorie, wer sie erhält, wofür sie benötigt wird und wie sie wieder gelöscht wird. EU-Hosting, verschlüsselte Übertragung und ein Auftragsverarbeitungsvertrag (AVV) sind relevante Nachweise, aber keine Antwort auf alle diese Fragen. Bei askVela findest du die Grundlagen unter Sicherheit & DSGVO, etwa die verschlüsselte Übertragung vom Widget bis zur Inbox. Ordne solche Angaben den Stationen deines Einbaus zu, dann siehst du schnell, welche Fragen noch offen sind.

Vom Chat-Widget zur KI-Antwort: den Datenfluss sichtbar machen

Zeichne zuerst den Weg einer konkreten Nachricht. Das folgende Diagramm ist hypothetisch und beschreibt keine Architektur eines bestimmten Anbieters. Streiche Stationen, die es bei deinem Einbau nicht gibt, und ergänze tatsächlich beteiligte Dienste.

„Server in Frankfurt“ und „Sprachmodell in einer EU-Region“ sind nur Beispiele für Angaben, die du beim gewählten Anbieter verifizieren müsstest. Übernimm keinen Ort ungeprüft in das Diagramm: Der Serverstandort des Chat-Dienstes belegt nicht den Verarbeitungsort eines möglichen KI-Dienstes. Frage außerdem nach weiteren Protokollen und Zugriffsmöglichkeiten; ein Standortfeld allein beschreibt noch keinen vollständigen Datenweg.

Prüfe den Zeitpunkt der Verbindung. Wird ein Dienst schon beim Laden der Shopseite angesprochen, erst beim Öffnen des Chats oder erst nach dem Absenden einer Nachricht? Das askVela-Chat-Widget baust du mit einem einzigen Skript-Snippet ein. Welche Verbindungen deine Einbindung auslöst, siehst du am schnellsten direkt im eingebauten Shop, zum Beispiel im Netzwerk-Tab der Entwicklertools deines Browsers.

Wer ist für welche Verarbeitung verantwortlich?

Du entscheidest als Shopbetreiber, wofür der Chat im Kundenservice eingesetzt wird und welche Funktionen du freischaltest. Ein Chat-Anbieter verarbeitet Daten für die vereinbarte Leistung; ein gegebenenfalls beteiligter KI-Dienst kann weitere Eingaben erhalten. Welche datenschutzrechtliche Rolle die einzelnen Beteiligten im konkreten Fall haben, ergibt sich aber nicht allein aus ihren Produktbezeichnungen. Vergleiche die tatsächlichen Zwecke, vertraglichen Regelungen und Anbieterangaben. Frage ausdrücklich nach, wenn ein Dienst Daten auch für eigene Zwecke verarbeiten könnte.

Nutze die folgende Tabelle für die Anfrage „Wo ist meine Bestellung?“. Die Beispiele zeigen mögliche Daten, keine Behauptung über deinen Anbieter. Ersetze sie durch belegte Angaben. Für jede aktive Station solltest du anschließend die zugehörige Vertragsregelung oder Anbieterinformation finden können.

Station	Mögliche Daten	Möglicher neuer Datenbestand	Für deinen Shop eintragen
Besucher und Widget	Freitext; eventuell E-Mail-Adresse oder Bestellnummer; technische Verbindungsdaten	Übertragung an die durch den Einbau angesprochenen Dienste	Verbindung ab: ___; abgefragte Angaben: ___
Chat-Dienst	Nachricht, Gesprächskontext, gegebenenfalls Kontaktdaten	Chatverlauf und möglicherweise technische Protokolle	Betreiber: ___; Speicherort: ___; Löschweg: ___
Gegebenenfalls KI-Dienst	Übermittelte Eingabe und der für die Antwort mitgesendete Kontext	Mögliche weitere Speicherung oder Protokolle – beim Anbieter klären	Betreiber: ___; Inhalte: ___; Region: ___; Löschung: ___
Gegebenenfalls Shopsystem	Suchangaben und passende Bestellinformationen	Bestellabfrage und Rückgabe an den Chat-Dienst	Suchschlüssel: ___; zurückgegebene Felder: ___; Zugriffsschutz: ___
Gegebenenfalls Support-Team	Gesprächsverlauf, Kontaktdaten, eventuell Bestellkontext	Team-Ansicht und möglicherweise E-Mail-Kopie	Berechtigte: ___; E-Mail-Empfänger: ___; Löschweg: ___

Trenne insbesondere Chat und Shopsystem. Die Aussage „Der Bot kennt den Bestellstatus“ verdeckt, ob der Chat nur einen Status erhält oder auch Zahlung, Positionen und Sendungsnummer. Notiere die tatsächlich zurückgegebenen Felder. Prüfe ebenso, ob die Suche allein mit einer E-Mail-Adresse erfolgt oder eine zusätzliche Bestellnummer verlangt wird. Die Frage, wie ein Kunde für eine individuelle Auskunft zugeordnet wird, gehört in deine Prozessprüfung; eine Suchabfrage ersetzt diese Prüfung nicht.

Welche Unterlagen und Einstellungen solltest du vor dem Start prüfen?

Schicke dem Anbieter nicht die allgemeine Frage „Ist euer Chat DSGVO-konform?“, sondern die offenen Felder deines Diagramms. Bitte um Antworten, die du einer Station zuordnen kannst. Vergleiche anschließend Vertrag, Unterauftragnehmerliste, technische Angaben und deine Einstellungen. Wenn die Dokumente unterschiedliche Empfänger oder Speicherwege nennen, markiere den Widerspruch zur Klärung.

Eine dokumentierte Löschung des Chatverlaufs beantwortet nicht, was mit einer E-Mail-Kopie desselben Gesprächs geschieht. Ebenso sagt eine Widget-Einstellung nichts darüber aus, wie ein möglicher KI-Dienst empfangene Eingaben speichert oder verwendet. Führe für solche Kopien eigene Zeilen in deiner Nachweisliste.

Aktualisiere diese Liste, wenn du eine Bestellabfrage, einen anderen KI-Dienst oder eine neue Benachrichtigung aktivierst. Eine frühere Prüfung beschreibt sonst womöglich nicht mehr den laufenden Betrieb.

Was ändert sich bei Bestellstatus, ChatGPT-Anbindung und Übergabe ans Team?

„Wie lange dauert der Versand?“ lässt sich möglicherweise aus veröffentlichten Hilfe-Inhalten beantworten. „Wo ist meine Bestellung?“ führt dagegen zu einer individuellen Abfrage. Entscheide vor der Freischaltung, welche Suchangaben der Chat anfordern darf und welche Rückgabefelder für deine Auskunft nötig sind. Teste auch den Fall, dass keine eindeutige Bestellung gefunden wird: Der Bot sollte dann keine passende Bestellung behaupten.

Bei askVela ist die Bestellauskunft für Shopify, WooCommerce und JTL-Shop ab Version 5.3 fertig angebunden. Andere Shopsysteme brauchen dafür einen eigenen kleinen Endpunkt des Shops; askVela signiert jede Anfrage dorthin (HMAC-SHA256). Je nach Einstellung erfolgt die Abfrage mit E-Mail-Adresse oder mit Bestellnummer und E-Mail-Adresse. Der Chat nennt dann, soweit der Shop es liefert, etwa Bestell- und Versandstatus, Versanddienst und Sendungsnummer mit Tracking-Link. Halte den Weg zum Shopsystem deshalb gesondert fest und prüfe die tatsächlich übertragenen Felder.

Das Schlagwort „ChatGPT-Anbindung“ verrät noch nicht, welcher Dienst tatsächlich beteiligt ist. Lass dir für ein tatsächlich eingesetztes externes Sprachmodell den Betreiber, die übermittelten Inhalte, die Verarbeitungsregion, die vertragliche Einbindung sowie Speicher- und Löschwege benennen. Frage auch, ob für die Antwort die gesamte bisherige Unterhaltung oder nur ein Ausschnitt übermittelt wird. Der Hosting-Ort des Widgets beantwortet keine dieser Fragen.

Bei der Übergabe kommen Teamzugriff und möglicherweise neue Kontaktdaten hinzu. Ein vorsichtiger Gesprächsverlauf könnte so aussehen:

Der Bot stellt hier keine Versanddiagnose auf, für die ihm ein Beleg fehlt. Auch der askVela-Bot sagt offen, wenn eine Angabe nicht belegt ist, statt zu raten. Fehlt bei der Übergabe die E-Mail-Adresse, fragt das System danach. Übergebene Gespräche landen in der Team-Inbox für übergebene Gespräche; der Betreiber erhält zusätzlich eine abschaltbare E-Mail mit dem Verlauf. Prüfe deshalb sowohl die Berechtigungen in der Inbox als auch Empfänger und Löschung dieser E-Mail-Kopie.

Für deinen eigenen Test brauchst du keine echte Bestellung. Formuliere eine erfundene Statusfrage und beobachte, ob der Bot zwischen belegter Auskunft, Rückfrage und Übergabe unterscheidet. Weitere Beispiele für inhaltliche Grenzen findest du unter Einsatzbereiche und Grenzen von KI-Chatbots im E-Commerce.

Welche Hinweise zur KI und zum Datenschutz gehören in den Shop?

Besucher sollten erkennen können, ob sie gerade mit einem Bot oder einem Menschen sprechen. Schreibe am Chat-Einstieg nur Funktionen aus, die tatsächlich aktiv sind. Ein Hinweis auf Bestellauskünfte wäre irreführend, wenn der Chat gar keine Bestellungen abrufen kann. Der Datenschutzhinweis sollte vom Einstieg aus leicht erreichbar sein und zu den dokumentierten Datenwegen passen.

Streiche den Satz zur Bestellauskunft, wenn diese Funktion nicht aktiv ist. Passe auch den Übergabehinweis an den tatsächlichen Ablauf an. Der Mustertext ersetzt weder vollständige Datenschutzhinweise noch die Prüfung einer passenden Rechtsgrundlage.

Wenn du den Live-Chat im Onlineshop einrichtest, halte zugleich fest, welche Einbindung du gewählt hast. Prüfe die Hinweise und den Datenfluss nach technischen Änderungen erneut.

So triffst du eine belastbare Entscheidung vor der Freischaltung

Ein kurzes Prüfprotokoll ist hilfreicher als ein pauschales Häkchen hinter „EU-gehostet“. Arbeite mit einer konkreten Anfrage und dokumentiere, welche Antworten belegt sind.

1. Datenweg ausfüllen: Verfolge „Wo ist meine Bestellung?“ vom Laden des Widgets bis zur Antwort und möglichen Übergabe. Streiche nicht aktive Stationen und ergänze tatsächlich eingesetzte Dienste.
2. Offene Pfeile klären: Ordne AVV, Unterauftragnehmer, Verarbeitungsorte, Zugriffe und Löschwege den Stationen zu. Vermerke zu jeder offenen Frage, wer die Antwort einholen soll.
3. Einbau mit Unterlagen abgleichen: Prüfe, ob Chat-Einstieg und Datenschutzhinweise die aktivierten Funktionen beschreiben. Kontrolliere Teamrechte und Empfänger von Benachrichtigungen.
4. Ohne echte Kundendaten testen: Spiele eine allgemeine Versandfrage, eine nicht belegbare Behauptung, eine erfolglose Bestellsuche und einen Übergabewunsch durch. Notiere, welche Angaben der Chat verlangt und welche Kopien entstehen.
5. Freischaltung bewusst entscheiden: Fehlen wesentliche Angaben zum beteiligten KI-Dienst, zu Speicherwegen oder zur Löschung, kläre sie, bevor personenbezogene Kundendaten durch diesen Chat laufen.

Die Entscheidungsregel lautet: Eine unbekannte Station im Datenfluss ist kein Detail für später. Hole für die rechtliche Bewertung deines konkreten Shops fachkundigen Rat ein. Dieser Leitfaden hilft dir, Fragen und Unterlagen dafür vorzubereiten; er ersetzt keine Rechtsberatung.