Wer in der Kette welche Rolle hat
Wenn Sie für einen Kunden einen Chatbot auf dessen Website bauen und betreiben, haben mindestens drei Beteiligte mit den Gesprächen der Besucher zu tun. Welche Rolle jeder hat, richtet sich danach, wer tatsächlich entscheidet, nicht danach, wie der Vertrag die Parteien nennt.
| Beteiligter | Rolle nach der DSGVO | Warum | Was er schriftlich braucht |
|---|---|---|---|
| Ihr Kunde, auf dessen Website der Chatbot läuft | Verantwortlicher (Art. 4 Nr. 7) | Entscheidet, wozu die Nachrichten der Besucher verarbeitet werden, und über die wesentlichen Mittel: welche Daten, wie lange, wer sie sieht | Eine Datenschutzerklärung für die Besucher (Art. 13) und einen Auftragsverarbeitungsvertrag (AVV) mit Ihnen (Art. 28 Abs. 3) |
| Ihre Agentur | Auftragsverarbeiter (Art. 4 Nr. 8) | Betreibt den Chatbot im Auftrag des Kunden und ist dabei weisungsgebunden (Art. 28 Abs. 3 lit. a, Art. 29) | Diesen AVV, einen passenden mit der Plattform (Art. 28 Abs. 4) und ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 2) |
| Die Chatbot-Plattform | Unterauftragsverarbeiter, in der DSGVO „weiterer Auftragsverarbeiter“ (Art. 28 Abs. 2 und 4) | Speichert und verarbeitet die Gespräche für Sie, im Auftrag Ihres Kunden | Einen Vertrag mit Ihnen, der dieselben Datenschutzpflichten enthält, und die Genehmigung Ihres Kunden |
| Die Dienstleister der Plattform: Hosting, Datenbank, Sprachmodelle, E-Mail | Weitere Unterauftragsverarbeiter | Jeder übernimmt einen Schritt für die Plattform | Die Verträge der Plattform und einen Eintrag in der Liste, die Ihr Kunde erhält |
Der Europäische Datenschutzausschuss (EDSA) fasst die Regel in einem Satz zusammen: „Die gesamte Verarbeitungskette muss durch schriftliche Vereinbarungen geregelt werden“ (Leitlinien 07/2020, Rn. 160). Wo ChatterLab in dieser Kette steht, zeigt unsere DSGVO-Seite.
Die Funktionsübertragung hilft nicht weiter. Wer das alte BDSG kennt, sucht vielleicht einen Ausweg über die „Funktionsübertragung“. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) stellt in seiner Abgrenzungshilfe klar, dass es diese Figur unter der DSGVO nicht mehr gibt; maßgeblich ist im Einzelfall, wer über Zwecke und Mittel der Verarbeitung entscheidet. Die Datenschutzkonferenz (DSK) zählt in ihrem Kurzpapier Nr. 13 die Betreuung von Kontaktformularen oder Nutzeranfragen zu Webseiten ausdrücklich zu den Dienstleistungen, die regelmäßig Auftragsverarbeitung sein können.
Wann eine Agentur kein Auftragsverarbeiter mehr ist. Wer keinen eigenen Zweck verfolgt, „sondern lediglich für erbrachte Dienstleistungen bezahlt wird“, handelt laut EDSA als Auftragsverarbeiter und nicht als gemeinsam Verantwortlicher (Rn. 62). Mit einem eigenen Zweck ändert sich das: Nach Art. 28 Abs. 10 gilt ein Auftragsverarbeiter, der selbst über Zwecke und Mittel bestimmt, insoweit als Verantwortlicher, nach der DSK „mit allen rechtlichen Folgen“, etwa der Pflicht, Betroffenenrechte zu erfüllen. Ein eigener Zweck wäre bei einer Chatbot-Agentur etwa, Leads aus dem Chat eines Kunden für den eigenen Vertrieb zu nutzen oder Gespräche mehrerer Kunden für Benchmarks oder für den Chatbot eines anderen Kunden auszuwerten. Legen Sie Zwecke und wesentliche Mittel gemeinsam mit dem Kunden fest, können Sie gemeinsam Verantwortliche nach Art. 26 werden: mit einer Vereinbarung, deren wesentlicher Inhalt den Besuchern zur Verfügung zu stellen ist, und Rechten, die Besucher gegenüber jedem von Ihnen geltend machen können. Einfacher ist es, Auftragsverarbeiter zu bleiben und jede dieser Entscheidungen als Weisung des Kunden festzuhalten.
Welche Entscheidungen beim Kunden liegen. Der EDSA nennt sie „wesentliche Mittel“: welche Daten, wie lange, wer Zugang hat und wessen Daten (Rn. 40). Beim Chatbot heißt das: was das Kontaktformular abfragt, wie lange Gespräche gespeichert bleiben, wer sie lesen darf und ob Besucher Dateien senden können. Halten Sie zu jedem Punkt fest, wie der Kunde entschieden hat, statt es selbst festzulegen.
Zwei Verträge, die zueinander passen müssen
Sie schließen einen AVV mit Ihrem Kunden (Art. 28 Abs. 3) und einen mit der Plattform (Art. 28 Abs. 4). Der zweite muss dieselben Datenschutzpflichten enthalten wie der erste, der Sache nach, nicht im Wortlaut (EDSA, Rn. 160). Richten Sie den Vertrag mit dem Kunden deshalb an dem aus, was die Plattform Ihnen tatsächlich zusagt: Mehr, als Sie selbst bekommen, können Sie nicht versprechen. Worauf Sie beim Vertrag der Plattform achten, steht in unserer AVV-Checkliste für Chatbots.
| Thema | Ihre Zusage an den Kunden | Was die Plattform Ihnen vorher zusagen muss |
|---|---|---|
| Unterauftragsverarbeiter | Genehmigung für eine Liste mit Namen (Art. 28 Abs. 2). In der Formulierungshilfe des BayLDA setzt die Zustimmung Name, Anschrift und vorgesehene Tätigkeit des Subunternehmers voraus | Die aktuelle Liste ihrer Dienstleister mit Aufgabe und Standort (EDSA, Rn. 152) |
| Änderungen der Liste | Schriftliche Ankündigung mit fester Frist und ein Einspruchsrecht, das ausdrücklich im Vertrag steht (BayLDA) | Eine längere Frist und eine Ankündigung, die aktiv an Sie geht. Zugang zu einer Liste, die „von Zeit zu Zeit aktualisiert“ wird, genügt nicht (EDSA, Rn. 128, Fußnote 54) |
| Drittlandübermittlung | Nichts außerhalb des EWR ohne Weisung und Grundlage nach Kapitel V (Art. 28 Abs. 3 lit. a) | Welche Schritte den EWR verlassen und auf welcher Grundlage (die Fragen dazu) |
| Datenpannen | Meldung binnen einer festen Zahl von Stunden; eine solche Frist im Vertrag kann laut EDSA angebracht sein (Rn. 136) | Eine kürzere Frist als Ihre eigene |
| Betroffenenanfragen | Unverzügliche Weiterleitung und keine eigene Antwort ohne den Kunden (Standardvertragsklauseln, Klausel 8 Buchst. a) | Eine Möglichkeit, die Daten eines Besuchers zu finden, zu exportieren und zu löschen |
| Vertragsende | Löschung oder Rückgabe nach Wahl des Kunden, mit Bestätigung (Art. 28 Abs. 3 lit. g; EDSA, Rn. 141) | Vollständigen Export und Löschung für diesen Kunden |
| Kontrollen | Nachweise und Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h) | Den eigenen AVV, die Liste der Unterauftragsverarbeiter und die Beschreibung der technischen und organisatorischen Maßnahmen (TOM), zum Weitergeben |
Was passiert, wenn Ihr Kunde einem neuen Unterauftragsverarbeiter widerspricht, regelt das Gesetz nicht. Die DSK schreibt, dass der Verantwortliche die Unterbeauftragung dann per Weisung unterbinden oder die Auftragsverarbeitung beenden muss, wenn keine Einigung gelingt. Das BayLDA empfiehlt, die Folgen vertraglich zu regeln; ohne eine solche Regelung kann der Unterauftragnehmer, gegen den sich der Einspruch richtet, nach seiner Formulierungshilfe nicht beauftragt werden.
Die Fristen, durchgerechnet. Angenommen, die Plattform sagt Ihnen eine Meldung von Datenpannen binnen 24 Stunden und eine Ankündigung neuer Unterauftragsverarbeiter 30 Tage im Voraus zu. Dann können Sie Ihrem Kunden eine Meldung binnen 36 Stunden zusagen und behalten 12 Stunden zum Prüfen und Weiterleiten. Leiten Sie eine Ankündigung binnen fünf Tagen weiter und geben dem Kunden 14 Tage für einen Einspruch, bleiben Ihnen 11 Tage, um selbst bei der Plattform Einspruch zu erheben oder einen Wechsel vorzubereiten. Die Zahlen sind ein Beispiel zum Verhandeln, keine gesetzlichen Fristen: Die DSGVO verlangt vom Auftragsverarbeiter nur, „unverzüglich“ zu melden (Art. 33 Abs. 2), und auch die Standardvertragsklauseln der Kommission nennen keine Stundenzahl (Klausel 9.2). Entscheidend ist die Reihenfolge. Ihr Kunde behält seine eigene Frist gegenüber der Aufsichtsbehörde: möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde (Art. 33 Abs. 1).
Zehn Klauseln für den AVV mit Ihrem Kunden
Nehmen Sie diese Punkte als Anlage in den Dienstleistungsvertrag auf, neben Leistungsumfang und Vergütung. Die Formulierungen sind ein Ausgangspunkt, den Sie mit Ihrer Rechtsberatung anpassen, kein fertiger Vertrag. Als Grundlage dienen können auch die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/915) oder die Formulierungshilfe des BayLDA, die das Amt ausdrücklich nicht als zivilrechtliche Beratung versteht und vor allem für klassische IT-Dienstleistungen geschrieben hat. Ein individueller Vertrag ist laut EDSA ebenso möglich (Rn. 106). Abschließen können Sie den AVV elektronisch: Nach der Auslegungshilfe des BayLDA braucht es dafür nach herrschender Auffassung keine qualifizierte elektronische Signatur, den Abschluss müssen die Parteien aber beweiskräftig dokumentieren.
| Nr. | Klausel | Warum | Beispiel zum Anpassen |
|---|---|---|---|
| 1 | Gegenstand | Pflichtinhalt nach Art. 28 Abs. 3 | „Die Agentur betreibt auf www.example.com einen KI-Chatassistenten, der Fragen der Besucher aus vom Kunden freigegebenen Inhalten beantwortet, und wertet die Gespräche aus, um die Antworten zu verbessern. Daten: Chatnachrichten, die Seite, auf der eine Frage gestellt wurde, sowie Dateien und Kontaktdaten, die Besucher freiwillig senden. Betroffene: Besucher der Website des Kunden.“ |
| 2 | Weisungen | Art. 28 Abs. 3 lit. a; E-Mail genügt (EDSA, Rn. 118); Hinweis auf datenschutzwidrige Weisungen (Art. 28 Abs. 3, letzter Unterabsatz) | „Die Agentur verarbeitet personenbezogene Daten des Kunden nur auf dessen dokumentierte Weisung: diesen Vertrag, die Einstellungen in Anlage 2 und spätere Weisungen per E-Mail. Hält sie eine Weisung für rechtswidrig, teilt sie dies dem Kunden unverzüglich mit.“ |
| 3 | Keine eigenen Zwecke | Sonst gelten Sie insoweit als Verantwortlicher (Art. 28 Abs. 10) | „Die Agentur verwendet die Daten des Kunden nur für die in diesem Vertrag genannten Zwecke, insbesondere nicht für eigene Zwecke oder für andere Kunden, auch nicht zum Verbessern anderer Chatbots.“ |
| 4 | Zugang | Art. 28 Abs. 3 lit. b; wer Zugang hat, entscheidet der Kunde (EDSA, Rn. 40) | „Gespräche lesen dürfen nur die in Anlage 3 genannten Beschäftigten der Agentur; alle sind zur Vertraulichkeit verpflichtet.“ |
| 5 | TOM | Art. 28 Abs. 3 lit. c und Art. 32 | „Die Agentur trifft die in Anlage 4 beschriebenen technischen und organisatorischen Maßnahmen, einschließlich derer ihrer Plattform, und überprüft sie jährlich.“ |
| 6 | Unterauftragsverarbeiter | Art. 28 Abs. 2 und 4; Drittlandübermittlung nur auf Weisung | „Der Kunde genehmigt die Unterauftragsverarbeiter, die Anlage 5 mit Aufgabe, Standort und, außerhalb des EWR, der Garantie für die Übermittlung aufführt. Änderungen kündigt die Agentur mindestens 21 Tage vorher schriftlich an. Der Kunde kann binnen 14 Tagen Einspruch erheben; einigen sich die Parteien nicht, kann jede Seite den Vertrag für den betroffenen Chatbot beenden.“ |
| 7 | Betroffenenanfragen | Art. 28 Abs. 3 lit. e; die Monatsfrist des Kunden (Art. 12 Abs. 3) verlängert sich nicht, weil er auf Sie wartet (EDSA, Rn. 132) | „Die Agentur leitet Anfragen von Besuchern binnen zwei Arbeitstagen an den Kunden weiter, beantwortet sie nicht selbst und findet, exportiert oder löscht die Daten auf Weisung binnen fünf Arbeitstagen.“ |
| 8 | Datenpannen | Art. 33 Abs. 2 und Art. 28 Abs. 3 lit. f | „Die Agentur meldet dem Kunden eine Verletzung des Schutzes der für ihn verarbeiteten personenbezogenen Daten unverzüglich, spätestens 36 Stunden, nachdem sie ihr bekannt wurde, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.“ |
| 9 | Speicherdauer und Vertragsende | Art. 28 Abs. 3 lit. g | „Gespräche werden zwölf Monate nach der letzten Nachricht gelöscht, sofern der Kunde nichts anderes anweist. Bei Vertragsende exportiert die Agentur sie auf Wunsch, löscht den Chatbot mit seinen Daten binnen 30 Tagen und bestätigt die Löschung mit Datum schriftlich oder in dokumentierter elektronischer Form.“ |
| 10 | Nachweise und Kontrollen | Art. 28 Abs. 3 lit. h | „Die Agentur stellt die zum Nachweis nötigen Informationen bereit, darunter den AVV ihrer Plattform und deren Liste der Unterauftragsverarbeiter, und ermöglicht Kontrollen nach Ankündigung mit 30 Tagen Vorlauf.“ |
White Label versteckt die Plattform vor Besuchern, nicht vor dem Gesetz
White Label bestimmt, was ein Besucher sieht: Ihre Marke oder die Ihres Kunden, auf Ihrer eigenen Domain. An den Rollen ändert es nichts. Ihr Kunde muss die Plattform trotzdem genehmigen (Art. 28 Abs. 2), ihr Name gehört also in den AVV. Auftragsverarbeiter sind Empfänger im Sinne von Art. 4 Nr. 9; die DSK leitet daraus Informationspflichten nach Art. 13 Abs. 1 lit. e und Auskunftsrechte nach Art. 15 ab. Die Datenschutzerklärung Ihres Kunden nennt deshalb die Empfänger oder wenigstens deren Kategorien. Und wer nachfragt, hat Anspruch auf die Namen: Der EuGH hat im Urteil Österreichische Post (C-154/21, 12. Januar 2023) entschieden, dass das Auskunftsrecht die Identität der Empfänger umfasst, es sei denn, sie lassen sich nicht identifizieren oder der Antrag ist offenkundig unbegründet oder exzessiv. Halten Sie die Liste der Unterauftragsverarbeiter griffbereit; Formulierungen für den Chat finden Sie in unserer Vorlage für die Datenschutzerklärung.
Im Alltag: Anfragen, Datenpannen, Zugriffe und Vertragsende
Verträge helfen nur, wenn jemand tut, was darin steht. So sieht die Routine aus, mit den Schritten in ChatterLab dort, wo sich Plattformen unterscheiden.
Ein Besucher will Auskunft oder Löschung. Landet die Anfrage bei Ihnen, leiten Sie sie noch am selben Tag an den Kunden weiter und beantworten sie nicht selbst; auch die Formulierungshilfe des BayLDA sieht Auskünfte an Betroffene nur nach Weisung oder Zustimmung des Auftraggebers vor. Hat der Kunde entschieden, finden Sie das Gespräch unter Aktivität (der Besucher kann ungefähr sagen, wann es stattfand) und lesen es dort, oder Sie rufen genau dieses Gespräch über die API ab. PDF exportieren erfasst alle Gespräche des gewählten Zeitraums; diese Datei geben Sie dem Besucher also nicht unverändert weiter. Löschen entfernt das Gespräch mit den dort hinterlassenen Kontaktdaten und lässt sich nicht rückgängig machen. Eine einzelne Datei entfernen Sie mit Datei löschen, Kontaktdaten und Tickets haben auf den Seiten Leads und Tickets ein eigenes Löschen. ChatterLab beantwortet solche Anfragen nicht an Ihrer Stelle (Daten und Datenschutz, auf Englisch). Ihr Kunde hat einen Monat Zeit (Art. 12 Abs. 3), und das Warten auf Sie verlängert diese Frist nicht.
Eine Datenpanne. Melden Sie sie dem Kunden innerhalb der vereinbarten Stunden, auch wenn noch nicht alles bekannt ist: Nach den Standardvertragsklauseln enthält die erste Meldung, was vorliegt (Klausel 9.2). Nur bei Agenturen gibt es diesen Vorfall: einen Kundenlink, der an die falsche Person geht, während das Dashboard Gespräche zeigt. Der Link lässt sich ohne Passwort öffnen. Mit Neuer Link setzen Sie den alten außer Kraft; geben Sie Ihrem Kunden dann die Fakten, damit er entscheiden kann, ob er die Aufsichtsbehörde informieren muss.
Ihr Team. Im Agency-Tarif können sich bis zu 5 Personen im Arbeitsbereich anmelden, Sie eingeschlossen, jede mit eigenem Konto. Jede Rolle (Inhaber, Admin und Mitglied) kann Gespräche, Kontaktdaten und Tickets lesen; löschen oder exportieren können Gespräche nur Inhaber und Admins. Wer Zugang hat, entscheiden Sie also mit der Einladung: Laden Sie nur die Personen aus Klausel 4 ein. Das Audit-Log hält fest, wer was geändert hat.
Was der Kunde sieht. Jeder Kunde erhält einen privaten Kundenlink zu einem Dashboard nur zum Ansehen, ohne eigenes Konto; es zeigt seinen Agenten und nichts von Ihren anderen Kunden oder Ihren Honoraren. Gespräche anzeigen legt pro Kunde fest, ob das Dashboard enthält, was Besucher geschrieben haben; ausgeschaltet zeigt es nur Zahlen und ein Diagramm. Halten Sie die Entscheidung des Kunden fest: Wo Besucher Persönliches teilen könnten, das sein Team nicht lesen muss, sind Zahlen allein die sicherere Wahl. Der Haken: Ein API-Schlüssel mit Leserecht, der an diesen Agenten gebunden ist, liest die Gespräche unabhängig von diesem Schalter. Geben Sie einem Kunden deshalb einen Schlüssel, der nur chatten darf (Berichte und das Dashboard des Kunden, auf Englisch).
Weniger erheben, kürzer speichern. Das Widget fragt nach keinem Namen und keiner E-Mail-Adresse, solange Kontaktformular und Tickets ausgeschaltet sind, und speichert keine IP-Adressen. Könnten Besucher Gesundheits- oder Kontodaten teilen, schreiben Sie in den Hinweis über dem Chat, was sie nicht teilen sollen. Machen Sie aus einer Frage mit Antwort verbessern eine Quelle, lassen Sie die Angaben des Besuchers weg: Eine Quelle steht jedem Besucher offen, der die passende Frage stellt. ChatterLab löscht kein Gespräch von selbst; eine vereinbarte Löschfrist von zwölf Monaten bedeutet also einen Löschtermin in Ihrem Kalender oder einen Aufruf über die API. Leads werden nach 3 Jahren gelöscht, gelöste Tickets nach 2 Jahren und Dateien von Besuchern nach 30 Tagen.
Ein Kunde kündigt. Kunde entfernen löst nur die Verknüpfung; Agent, Quellen und Gespräche bleiben. Exportieren Sie auf Wunsch die Gespräche als PDF und die Leads mit Als CSV exportieren, löschen Sie dann den Agenten, was seine Gespräche, hochgeladenen Dateien und Leads entfernt, und bestätigen Sie die Löschung mit Datum, wie es die Formulierungshilfe des BayLDA vorsieht.
Die KI-Verordnung in zwei Absätzen
Nach Art. 50 Abs. 1 der KI-Verordnung muss ein Chatbot so konzipiert sein, dass Menschen erfahren, dass sie mit einer KI interagieren, und zwar ab dem 2. August 2026 (Art. 113). Die Pflicht richtet sich an den Anbieter des Systems. Die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) hat die Hochrisiko-Regeln auf spätere Termine verschoben, diese Pflicht und ihren Termin aber unverändert gelassen (Stand 25. Oktober 2026). ChatterLab baut den Hinweis in das Widget ein: Jedes Gespräch beginnt mit einer Zeile wie „Sie chatten mit einem KI-Assistenten“ in der Sprache des Widgets, kein Tarif, kein Add-on und keine Einstellung entfernt sie, sie nennt keine Marke, Antworten sind im Code der Seite als KI-generiert gekennzeichnet, und der Agent gibt sich nie als Mensch aus. White Label ändert daran nichts; mehr zur Regel steht auf unserer Seite zur KI-Kennzeichnungspflicht.
Wer in einer White-Label-Kette Anbieter ist, lässt sich weniger leicht sagen. Nach Art. 3 Nr. 3 ist Anbieter auch, wer ein KI-System entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt. Eine Agentur, die einen Chatbot unter ihrer Marke verkauft, sollte prüfen, ob das auf sie zutrifft; Wiederverkäufer erwähnt die Definition nicht. Unser Beitrag Anbieter oder Betreiber geht die Fälle durch. Agenten für die drei Einsatzzwecke, die ChatterLab als hochriskant einstuft (Personalbeschaffung, Kreditwürdigkeit und Gesundheitswesen), lehnt ChatterLab in jedem Tarif außer Enterprise ab; dort werden sie mit jedem Kunden einzeln vereinbart.
Was ChatterLab Agenturen bietet und was bei Ihnen bleibt
| Sie brauchen | Was ChatterLab Ihnen gibt | Was bei Ihnen bleibt |
|---|---|---|
| Die Kette schriftlich | Die Dokumentation sagt es so: Ihr Kunde ist Verantwortlicher, Sie sind sein Auftragsverarbeiter, ChatterLab ist Ihr Auftragsverarbeiter. Den AVV schickt ChatterLab auf Anfrage: management@sri-group.eu | Ihr AVV mit jedem Kunden |
| Eine Liste der Unterauftragsverarbeiter | Daten und Datenschutz nennt jeden Dienstleister, der Besucherdaten verarbeitet, mit Aufgabe und Standort, auch die zwei Schritte in den USA: OpenAI für die Suchvektoren, Resend für E-Mails | Die Liste in Anlage 5 übernehmen und Änderungen weitergeben |
| Trennung der Kunden | Ein Agent pro Kunde. Agenten teilen nur Ihre Credits, eine Antwort entsteht nur aus den Quellen dieses Agenten, und mit Ihren Inhalten oder Gesprächen werden keine Modelle trainiert | Kein Material eines Kunden in den Agenten eines anderen kopieren |
| Ihr Team | Im Agency-Tarif 5 Personen mit eigenem Konto und eigener Rolle; Änderungen werden samt der Person protokolliert, die sie vorgenommen hat, und 2 Jahre aufbewahrt | Nur die Personen einladen, die Ihr Vertrag nennt |
| Berichte für den Kunden | Unter Kunden (auf Englisch): Verbrauch pro Kunde, ein Monatsbericht auf Englisch, Niederländisch, Französisch, Deutsch oder Spanisch und ein Dashboard nur zum Ansehen, mit oder ohne Gespräche | Die Entscheidung des Kunden festhalten und den Link vertraulich behandeln |
| Ihre Marke | Ab Studio Widget und API auf Ihrer eigenen Domain (auf Englisch); im Agency-Tarif auch Berichte und Dashboards, und Bericht-E-Mails von Ihrer Adresse, sobald sie verifiziert ist. Der KI-Hinweis bleibt | Ihrem Kunden sagen, welche Plattform dahintersteht |
ChatterLab beantwortet keine Betroffenenanfragen an Ihrer Stelle, löscht Gespräche nicht nach Zeitplan und gibt Ihren Kunden keinen Zugang zu Ihrem Arbeitsbereich: Ihre Kunden erhalten den Link. Wie schnell ChatterLab Ihnen eine Datenpanne meldet und wie lange im Voraus es einen neuen Unterauftragsverarbeiter ankündigt, steht nicht in der Dokumentation. Fragen Sie nach beidem, wenn Sie den AVV anfordern, und legen Sie erst danach Ihre eigenen Fristen gegenüber dem Kunden fest. Was jeder Tarif enthält, steht auf der White-Label-Seite.
Häufige Fragen von Agenturen
Brauche ich als Agentur einen AVV mit meinem Kunden?
Ja. Betreiben Sie den Chatbot im Auftrag des Kunden, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag oder ein anderes Rechtsinstrument, das Sie gegenüber dem Kunden bindet und Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien Betroffener sowie die Pflichten aus den Buchstaben a bis h festlegt. Er ist schriftlich abzufassen, was auch elektronisch geschehen kann (Art. 28 Abs. 9). Grundlage können die Standardvertragsklauseln der Kommission oder ein eigener Text sein.
Darf ich eine Chatbot-Plattform einsetzen, ohne den Kunden zu informieren?
Nein. Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch nehmen. Bei einer allgemeinen Genehmigung müssen Sie jede beabsichtigte Änderung mitteilen, damit der Kunde Einspruch erheben kann; gelingt keine Einigung, muss er laut DSK die Unterbeauftragung per Weisung unterbinden oder den Auftrag beenden. White Label verbirgt die Plattform vor Besuchern, nicht vor Ihrem Kunden.
Wer haftet, wenn bei der Plattform eine Datenpanne passiert?
Gegenüber Ihrem Kunden haften Sie dafür, dass die Plattform ihre Datenschutzpflichten einhält (Art. 28 Abs. 4 DSGVO). Gegenüber einem Besucher, der durch eine DSGVO-widrige Verarbeitung einen Schaden erleidet, haftet der Kunde als Verantwortlicher; ein Auftragsverarbeiter haftet nur, wenn er die speziell Auftragsverarbeitern auferlegten Pflichten verletzt, rechtmäßige Weisungen missachtet oder gegen sie gehandelt hat (Art. 82 Abs. 2). Sind mehrere verantwortlich, haftet jeder für den gesamten Schaden und kann bei den anderen deren Anteil zurückfordern (Art. 82 Abs. 4 und 5).
Darf ich Gespräche eines Kunden nutzen, um andere Chatbots zu verbessern?
Nicht als dessen Auftragsverarbeiter. Gespräche für einen anderen Kunden, für Benchmarks oder für das eigene Marketing zu nutzen, ist ein eigener Zweck. Nach Art. 28 Abs. 10 DSGVO gelten Sie dann insoweit als Verantwortlicher, mit eigener Rechtsgrundlage und eigenen Informationspflichten gegenüber den Besuchern. Der EDSA nennt dafür eine Marketingagentur als Beispiel (Leitlinien 07/2020, Rn. 81). In ChatterLab antwortet jeder Agent nur aus seinen eigenen Quellen.
Muss ich mich als Agentur irgendwo registrieren?
Nein, eine allgemeine Meldepflicht kennt die DSGVO nicht mehr (Erwägungsgrund 89). Sie führen ein Verzeichnis der Verarbeitungen für Ihre Kunden (Art. 30 Abs. 2); die Ausnahme für Unternehmen unter 250 Mitarbeitern greift nicht, wenn Sie nicht nur gelegentlich verarbeiten (Art. 30 Abs. 5). Einen Datenschutzbeauftragten brauchen Sie, wenn Art. 37 DSGVO oder § 38 BDSG es verlangt, Letzterer in der Regel ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten. Seine Kontaktdaten veröffentlichen Sie und melden sie der Aufsichtsbehörde (Art. 37 Abs. 7), in Bayern über das Meldeportal des BayLDA.
Was gilt, wenn der Kunde außerhalb der EU sitzt?
Ihre Agentur bleibt an die Pflichten eines Auftragsverarbeiters gebunden, weil sie in der EU niedergelassen ist (Art. 3 Abs. 1 DSGVO). Ihr Kunde unterliegt der DSGVO als Verantwortlicher, wenn er Menschen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet (Art. 3 Abs. 2). Allein dadurch, dass er einen Auftragsverarbeiter in der EU beauftragt, unterliegt er ihr laut EDSA nicht (Leitlinien 3/2018). Für Daten, die Sie ihm übermitteln, gelten die Regeln zur Drittlandübermittlung aus Kapitel V.
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 3, 4, 12, 13, 15, 26, 28 bis 30, 32, 33, 37 und 82 sowie Erwägungsgrund 89, mit den Berichtigungen im ABl. L 314 vom 22.11.2016 und ABl. L 127 vom 23.5.2018, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
- Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0, Europäischer Datenschutzausschuss, gelesen am 25. Oktober 2026.
- Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Datenschutzkonferenz, Stand 17.12.2018, gelesen am 25. Oktober 2026.
- Abgrenzungshilfe Auftragsverarbeitung / Verantwortlichkeit, Bayerisches Landesamt für Datenschutzaufsicht, gelesen am 25. Oktober 2026.
- Formulierungshilfe für einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO, Bayerisches Landesamt für Datenschutzaufsicht, gelesen am 25. Oktober 2026.
- Auslegungshilfe Auftragsverarbeitung Formerfordernis, Bayerisches Landesamt für Datenschutzaufsicht, Stand 15.05.2019, gelesen am 25. Oktober 2026.
- DSB-Meldung - online & sicher, Bayerisches Landesamt für Datenschutzaufsicht, gelesen am 25. Oktober 2026.
- Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, Klauseln 7.7, 8 und 9, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
- Urteil des Gerichtshofs vom 12. Januar 2023, RW gegen Österreichische Post AG, C-154/21, Gerichtshof der Europäischen Union, gelesen am 25. Oktober 2026.
- Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3), Version 2.0, Europäischer Datenschutzausschuss, gelesen am 25. Oktober 2026.
- Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3, 50 und 113, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
- Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Art. 1, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
- § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen, Gesetze im Internet, Bundesministerium der Justiz und für Verbraucherschutz, gelesen am 25. Oktober 2026.
So ist dieser Beitrag entstanden: mit KI-Unterstützung verfasst und anschließend mit der tatsächlichen Funktionsweise von ChatterLab und den im Beitrag genannten Quellen abgeglichen. Fehler entdeckt? Schreiben Sie an management@sri-group.eu.