Wie Sie Bots und Sprachassistenten rechtssicher einsetzen

Die Digitalisierung durchzieht sämtliche Bereiche des Wirtschaftslebens - allen voran den Kundenservice. Unternehmen stehen bereits jetzt attraktive Möglichkeiten zur automatisierten Bearbeitung von Kundenanfragen zur Verfügung: Von geräteübergreifenden Messengern und Bots bis hin zu Sprachassistenten. Doch nicht alles, was technisch möglich ist, ist auch erlaubt: Wie also ist ein datenschutzkonformer Einsatz dieser Technologien bei gleichzeitiger Wahrung von Conversion und Usability möglich?

Die richtige Rechtsgrundlage ist entscheidend

Immer mehr Unternehmen erkennen das Potenzial von Messengern für den eigenen Kundenservice. Sobald jedoch personenbezogene und nicht anonymisierte Daten verarbeitet werden, ist der Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) eröffnet. Schon die IP-Adresse des Endgerätes gilt als personenbezogenes Datum. Hinzu kommt, dass diese Dienste oftmals einen individuellen Benutzeraccount (z. B. Facebook Messenger) oder die Angabe der eigenen Telefonnummer erfordern (z. B. WhatsApp), sodass auch hierüber ein Personenbezug hergestellt werden kann.

Die Verarbeitung personenbezogener Daten muss jedoch immer auf eine Rechtsgrundlage gestützt werden können. In Betracht kommen hier die Einwilligung, überwiegende berechtigte Interessen sowie ein Vertrag. Im Kundenkontakt werden personenbezogene Daten primär zur Erfüllung eines Vertrages (klassischer Kundenservice) oder zur Durchführung vorvertraglicher Maßnahmen (Beantwortung von konkreten Fragen zum Angebot) verarbeitet. Ein überwiegendes berechtigtes Interesse liegt etwa vor, wenn sich eine Person, ohne Absicht einen Vertrag zu schließen, an das Unternehmen wendet. Die Einholung einer Einwilligung ist aus organisatorischer Sicht am aufwendigsten. So müssen betroffene Personen zunächst in einfacher, klarer und verständlicher Sprache über alle Umstände der Datenverarbeitung aufgeklärt werden. Verantwortliche müssen zudem nachweisen, dass eine Einwilligung eingeholt wurde, da diesbezügliche Zweifel zu ihren Lasten gehen. Betroffenen Personen steht auch jederzeit ein Recht auf Widerruf ihrer Einwilligung zu. Ob eine Verarbeitung durchgeführt werden kann oder nicht, liegt in diesem Fall somit zu einem beachtlichen Teil in den Händen der Betroffenen.

Wer ist für die Verarbeitung der Daten verantwortlich?

Eine weitere Frage, die Unternehmen beim Einsatz von Messengern, Bots und Assistenten beantworten müssen, ist die nach der Verantwortlichkeit. Die Beantwortung dieser Frage ist etwa im Hinblick auf die Bearbeitung von Betroffenenanfragen oder im Fall von bußgeldbewehrten Rechtsverstößen wichtig.

• Messenger: Beim Einsatz von Messengern muss zwischen den Datenarten unterschieden werden: Für die Erhebung von (personenbezogenen) Metadaten wie Zeit und Ort oder Rufnummer ist in jedem Fall der Anbieter des jeweiligen Messengers verantwortlich. Seit dem viel diskutierten EuGH-Urteil (Az.: C-210/16) zur gemeinsamen Verantwortlichkeit beim Betrieb von Facebook  -Fanpages, steht aber immer auch eine gemeinsame Verantwortlichkeit von Anbieter und Unternehmen im Raum - schließlich trägt das Unternehmen durch den Einsatz zur Verarbeitung personenbezogener Daten durch den Anbieter bei. Ein tatsächlicher Zugang zu allen personenbezogenen Daten ist nicht erforderlich. WhatsApp   hingegen sieht sich aufgrund der Tatsache, dass die Inhalte wegen der Ende-zu-Ende-Verschlüsselung nicht eingesehen werden können, per se nicht als Verantwortlicher, sondern als Auftragsverarbeiter. Bis zu einer Klärung, sollten Unternehmen daher zumindest einen Auftragsverarbeitungsvertrag (AVV) schließen oder auf Alternativen zurückgreifen.
• Bots: Ähnliches gilt für den Einsatz von Bots. Wird z. B. eine (White Label-)Software im eigenen Rechenzentrum gehostet und ist ein Zugriff des Anbieters ausgeschlossen, so findet die Verarbeitung in aller Regel in eigener Verantwortlichkeit statt. Anders hingegen, wenn die Software vom Anbieter gehostet und lediglich über Schnittstellen (APIs) eingebunden wird. Je nach Ausgestaltung der Zusammenarbeit kann hier ebenfalls eine gemeinsame Verantwortlichkeit vorliegen. Untersteht der Hoster hingegen den Weisungen des den Bot einsetzenden Unternehmens, so liegt eine Auftragsverarbeitung nahe. In jedem Fall ist auch hier eine Vereinbarung erforderlich: Entweder ein sog. Joint Controllership Agreement (JCA), also eine Vereinbarung für die Verarbeitung in gemeinsamer Verantwortlichkeit, oder ein klassischer AVV.
• Sprachassistenten: Ist der Einsatz von Sprachassistenten wie etwa Alexa beabsichtigt, so sprechen viele Gründe für das Vorliegen einer gemeinsamen Verantwortlichkeit: Der Anbieter des Assistenten übernimmt zum Beispiel vollständig die STT- (speech to text) bzw. TTS-Analyse (text to speech) und die Intent-Erkennung, also die Feststellung der Absicht des Nutzers. Insofern handelt es sich gewissermaßen um ein geschlossenes System ohne Möglichkeit der direkten Einflussnahme durch Kunden des Anbieters. Der Kunde hingegen ermöglicht die Datenverarbeitung erst durch die Entscheidung für den Einsatz. Auch er hat zum Beispiel ein Interesse an der Verbesserung der Spracherkennungs- und Sprachverständnissysteme, wie sie Amazon   vornimmt. Beide legen daher die Zwecke und Mittel der Verarbeitung im Sinne des Artikel 26 DSGVO fest, sodass diese als gemeinsame Verantwortliche betrachtet werden müssten. Das Problem: Keiner der etablierten Anbieter bietet den Abschluss eines JCA an. Werden erforderliche Verträge nicht geschlossen, drohen hohe Bußgelder. Daher empfiehlt es sich, die Nutzung von Sprachassistenten auf bloße Auskünfte zu beschränken, bis mehr Rechtssicherheit herrscht.

Spezifische Herausforderungen beim Einsatz von Sprach- und Chatbots

Der Einsatz von Chatbots und Sprachassistenten lockt Unternehmen mit einer Entlastung der Service-Mitarbeiter, die sich so auf komplexere Anfragen konzentrieren können. Neben den bereits aufgeführten, müssen Unternehmen weitere Herausforderungen meistern. Das sogenannte Transparenzgebot etwa besagt, dass sich Betroffene darüber im Klaren sein müssen, ob sie mit einem Bot oder einem Menschen kommunizieren. Löst ein Mensch den Bot bzw. Assistenten ab oder vice versa, so muss der Kunde entsprechend darüber informiert werden.

Zudem gilt der Grundsatz der Datenminimierung. Rückfragen durch einen Bot oder Assistenten sollten so konzipiert sein, dass sie den Kunden nicht zur Preisgabe weiterer personenbezogener Daten veranlassen, die für die Bearbeitung irrelevant sind (sogenannte aufgedrängte Daten). Es dürfen also nur die Daten erhoben werden, die zur Bearbeitung der Anfrage zwingend notwendig sind. Und wenn doch einmal personenbezogene Daten ungefragt preisgegeben werden? Dann sollte sichergestellt werden, dass diese Daten schnellstmöglich das System wieder verlassen. Das temporäre Speichern zum Zwecke der Aussortierung lässt sich über berechtigte Interessen rechtfertigen. Die Krux ist die technische Umsetzung.

Biometrische Daten sind besondere Kategorien personenbezogener Daten

Biometrische Daten gelten als besonders sensibel, da sie die eindeutige Identifizierung einer Person ermöglichen. Daher zählen sie auch nach der DSGVO zu den besonderen Kategorien personenbezogener Daten, an deren Verarbeitung strenge Voraussetzungen geknüpft werden. Verantwortliche im Unternehmen können jedoch aufatmen: Die Klangfarbe einer Stimme gilt nach der DSGVO nur als biometrisches Datum, wenn die Verarbeitung die Identifizierung einer Person zum Zweck hat. Bei der Nutzung von Sprachassistenten geht es regelmäßig nicht um die Identifizierung betroffener Personen anhand ihrer Klangfarbe. Selbst wenn Amazon die angekündigte Technologie zur Erkennung der Gefühlslage von Kunden einsetzen würde, fehlte es an der eben genannten Auswertungsabsicht.

Fazit: Das Konzept zählt

Die aufgezeigten Herausforderungen verdeutlichen, dass Datenschutz bereits vor der erstmaligen Erhebung personenbezogener Daten beginnt. Ein durchdachtes Datennutzungs- und Datenschutzkonzept ist daher von besonderer Bedeutung, um den organisatorischen Aufwand möglichst gering halten zu können.

---

Die iBusiness-Autorin Kathrin Schürmann ist Rechtsanwältin und Partnerin bei der Tech-Kanzlei Schürmann Rosenthal Dreyer   und spezialisiert auf das digitale Business. Ihre Schwerpunkte sind Datenschutz und Wettbewerbsrecht, ihr Fokus liegt unter anderem auf den Themen KI, Big Data und Kundenbindung.