Auskunftsrecht zum Chatverlauf nach DSGVO

Ein Auskunftsverlangen kommt selten als Formular. Es kommt als Satz in einem Chatfenster: Was haben Sie eigentlich alles über mich gespeichert? Ab diesem Satz läuft eine Frist, und sie läuft auch dann, wenn der Satz an einem Samstagabend in einem Dialogfenster steht, das im Haus niemand als Posteingang betrachtet. Artikel 15 DSGVO gibt jeder betroffenen Person das Recht zu erfahren, ob Daten über sie verarbeitet werden, welche das sind, woher sie stammen und wer sie bekommen hat. Für einen KI-Assistenten ist das eine unbequeme Frage, weil ein Gespräch kein einzelner Datensatz ist: Nachrichten, Sitzungsdaten, Werkzeugaufrufe und abgeleitete Merkmale liegen an verschiedenen Stellen und oft in verschiedenen Systemen. Dieser Beitrag zeigt, was ein Besucher verlangen darf, was in die Kopie gehört, wie ein Verlangen ohne Kundenkonto behandelt wird, wie sich die Identität prüfen lässt, ohne dafür neue Daten zu sammeln, und was vor der Übergabe geschwärzt wird.

Grafik vergrößern

Beschriftungen der Abbildung

• 1
• Eingang
• formlos und ohne Grund
• Frist läuft ab Zugang
• 2
• Identität
• nur bei echten Zweifeln
• keine Datensammlung
• 3
• Sammeln
• alle Ablagen prüfen
• nicht nur das Chatfenster
• 4
• Prüfen
• Rechte anderer wahren
• schwärzen statt streichen
• 5
• Übergabe
• gängiges Format
• verständlich aufbereitet
• Was die Kopie enthält (Artikel 15 Absatz 3)
• Nachrichten mit Zeitstempel
• Kontaktdaten aus dem Gespräch
• Werkzeugaufrufe und Ergebnisse
• Sitzungs- und Verbindungsdaten
• Anhänge und Bewertungen
• Abgeleitete Merkmale
• Frist nach Artikel 12 Absatz 3
• Regelfall: ein Monat ab Eingang
• Verlängerung: zwei Monate
• Eingang
• ein Monat
• drei Monate
• Unterrichtung über die Verlängerung: innerhalb eines Monats nach Eingang
• Zweifel an der Identität: zusätzliche Angaben nur, soweit erforderlich (Artikel 12 Absatz 6)
• Rechte anderer begrenzen die Kopie, sie heben das Auskunftsrecht nicht auf (Artikel 15 Absatz 4)

Auskunftsverlangen zu einem Chatverlauf

Was Artikel 15 wirklich verlangt

Das Auskunftsrecht besteht aus drei Schichten, die in der Praxis gern zu einer zusammenschrumpfen. Die erste Schicht ist die Bestätigung: Verarbeiten Sie Daten über diese Person, ja oder nein? Auch ein Nein ist eine Antwort und muss innerhalb der Frist gegeben werden. Die zweite Schicht ist die Auskunft über die Daten selbst und über acht Angaben, die der Verordnungstext einzeln aufzählt. Die dritte Schicht ist die Kopie. Wer nur eine Datei mit Nachrichten schickt, hat die zweite Schicht übersprungen, und genau daran scheitern die meisten Antworten, nicht am fehlenden Willen.

• Die Verarbeitungszwecke (lit. a) - beim Assistenten etwa die Beantwortung der Anfrage, die Bearbeitung eines Vorgangs und die Prüfung der Antwortqualität
• Die Kategorien personenbezogener Daten, die verarbeitet werden (lit. b)
• Die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden (lit. c)
• Falls möglich die geplante Speicherdauer, sonst die Kriterien für ihre Festlegung (lit. d)
• Das Bestehen eines Rechts auf Berichtigung, Löschung oder Einschränkung der Verarbeitung sowie eines Widerspruchsrechts (lit. e)
• Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (lit. f)
• Alle verfügbaren Informationen über die Herkunft der Daten, wenn diese nicht bei der betroffenen Person erhoben wurden (lit. g)
• Das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen (lit. h)

Die Monatsfrist und was sie verlängert

Die Frist ist der Teil, der am häufigsten reißt, und zwar nicht am Ende, sondern am Anfang. Sie beginnt mit dem Eingang des Antrags, nicht mit dem Tag, an dem jemand ihn liest, weiterleitet oder als Auskunftsverlangen erkennt. Ein Satz in einem Chatfenster, eine Nachricht an die allgemeine Kontaktadresse, eine Bemerkung in einem Bewertungsformular: Alles davon ist ein Eingang. Wer den Kanal nicht überwacht, verliert die ersten Wochen, ohne es zu merken.

Die Verlängerung ist möglich, aber sie ist kein stilles Weiterarbeiten. Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; der Verantwortliche unterrichtet die betroffene Person darüber innerhalb eines Monats nach Eingang zusammen mit den Gründen für die Verzögerung (Art. 12 Abs. 3 DSGVO). Wer gar nicht tätig wird, muss das ebenfalls innerhalb eines Monats mitteilen, samt Hinweis auf die Beschwerde bei einer Aufsichtsbehörde und den gerichtlichen Rechtsbehelf (Art. 12 Abs. 4 DSGVO). Und die Auskunft ist unentgeltlich: Ein Entgelt oder eine Weigerung kommt nur bei offenkundig unbegründeten oder exzessiven Anträgen in Betracht, wobei der Verantwortliche den Nachweis dafür erbringen muss (Art. 12 Abs. 5 DSGVO).

Die Kopie eines Chatprotokolls

Die Kopie ist der Teil, an dem sich zeigt, ob ein Betrieb seinen eigenen Bestand kennt. Ein Gespräch mit einem Assistenten ist technisch kein Dokument, sondern eine Menge von Einträgen in mehreren Ablagen. Wer die Kopie aus der Nachrichtentabelle zieht, liefert den Teil, der ohnehin im Fenster stand, und lässt genau das weg, was die betroffene Person nicht sehen konnte: die Verbindungsdaten, die Werkzeugaufrufe, die abgeleiteten Merkmale und den Vorgang, der aus dem Gespräch entstanden ist.

Was Kopie bedeutet, hat der Gerichtshof der Europäischen Union im Urteil vom 4. Mai 2023 in der Rechtssache C-487/21 ausgelegt: Verlangt ist eine getreue und verständliche Reproduktion der personenbezogenen Daten; wo es für das Verständnis des Zusammenhangs erforderlich ist, kann dazu auch die Wiedergabe von Auszügen aus Dokumenten oder ganzer Dokumente gehören. Für ein Chatprotokoll heißt das: Ein Auszug ohne die zugehörige Frage des Assistenten ist nicht verständlich, und eine Tabelle aus Kennungen ohne Auflösung der Feldnamen ist es ebenso wenig. Die Kopie darf technisch sein, aber sie muss lesbar bleiben. Zur Speicherdauer, die nach lit. d anzugeben ist, hilft eine sauber begründete Staffel weiter, wie sie der Beitrag zu Löschfristen für Chatprotokolle beschreibt.

• Der Nachrichtenverlauf mit Zeitstempeln, einschließlich der Antworten des Assistenten
• Kontaktdaten und sonstige Angaben, die im Gespräch übergeben wurden
• Die Sitzungskennung und die technischen Verbindungsdaten, die dazu gespeichert wurden
• Aufrufe von Werkzeugen und deren Ergebnisse, soweit sie die betroffene Person betreffen
• Anhänge, hochgeladene Bilder und die daraus gewonnenen Angaben
• Bewertungen, Daumen und Freitextrückmeldungen zu einzelnen Antworten
• Abgeleitete Merkmale wie erkannte Sprache, zugeordnetes Anliegen oder eine Einstufung des Gesprächs
• Der Vorgang, der aus dem Gespräch entstanden ist, samt interner Notizen zu dieser Person

Herkunft und Empfänger benennen

Zwei der acht Angaben werden regelmäßig übersehen, weil sie nicht im Gesprächsfenster stehen. Die erste ist die Herkunft: Wenn die Daten nicht bei der betroffenen Person erhoben wurden, sind alle verfügbaren Informationen über ihre Herkunft mitzuteilen (Art. 15 Abs. 1 lit. g DSGVO). Bei einem Assistenten ist das keine Nebensache, denn ein Teil des Gesprächsbestands entsteht gar nicht durch Tippen: Der Bestellstatus kommt aus der im Paket Individuell angebundenen Warenwirtschaft, der Name aus dem Kundenkonto, die Gerätekategorie aus der Fensterbreite. Jede dieser Quellen ist eine Herkunft und gehört benannt.

Die zweite übersehene Angabe sind die Empfänger. Mitzuteilen sind die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden (Art. 15 Abs. 1 lit. c DSGVO). Der Gerichtshof der Europäischen Union hat im Urteil vom 12. Januar 2023 in der Rechtssache C-154/21 entschieden, dass die betroffene Person grundsätzlich die Identität der konkreten Empfänger erfahren muss; nur wenn diese noch nicht feststehen oder der Antrag exzessiv ist, genügen die Kategorien. Für einen Assistenten heißt das: Auch der Dienstleister, der in Ihrem Auftrag verarbeitet, ist Empfänger, und dasselbe gilt für das Ticketsystem, das Rechenzentrum und jede Stelle, an die der Verlauf weitergereicht wird. Wer diese Kette sauber im Vertrag abgebildet hat, kann sie auch in der Auskunft benennen; der Beitrag zur Auftragsverarbeitung zeigt, wie diese Liste entsteht.

Das Verlangen ohne Konto

Der häufigste Fall im Chat ist zugleich der unklarste: Jemand hat anonym gefragt, nichts hinterlassen und meldet sich zwei Wochen später per E-Mail. Für diese Lage gibt es eine eigene Vorschrift. Ist für die Zwecke der Verarbeitung eine Identifizierung der betroffenen Person nicht oder nicht mehr erforderlich, so ist der Verantwortliche nicht verpflichtet, zur bloßen Einhaltung der Verordnung zusätzliche Informationen aufzubewahren, zu beschaffen oder zu verarbeiten (Art. 11 Abs. 1 DSGVO). Kann er nachweisen, dass er die Person nicht identifizieren kann, unterrichtet er sie darüber, sofern möglich, und die Artikel 15 bis 20 finden keine Anwendung - es sei denn, die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen (Art. 11 Abs. 2 DSGVO).

Zwei Missverständnisse hängen an dieser Vorschrift. Das erste: Sie ist keine Einladung, vorsorglich mehr zu speichern. Wer eigens eine Kennung anlegt, um später Auskunft geben zu können, verarbeitet mehr Daten und nicht weniger - das ist die Umkehrung des Gedankens. Das zweite: Sie ist keine bequeme Ausrede. Nicht identifizieren können heißt tatsächlich können, nicht wollen. Wenn ein Gespräch über die im Verlauf genannte Bestellnummer eindeutig zuzuordnen ist, liegt keine fehlende Identifizierbarkeit vor. Die saubere Antwort lautet dann: Wir haben Ihr Gespräch anhand dieser Angabe gefunden, hier ist die Kopie. Wie viel ein Assistent überhaupt über einen Besucher behält, behandelt der Beitrag zum Gesprächsgedächtnis.

• Die Gesprächskennung, die im Fenster sichtbar ist oder in einer zugesandten Abschrift steht
• Ein im Gespräch genanntes Merkmal wie eine Bestell-, Kunden- oder Vorgangsnummer
• Die E-Mail-Adresse, an die eine Abschrift oder eine Antwort aus dem Gespräch gegangen ist
• Der Zeitraum des Gesprächs zusammen mit einem Inhalt, den nur die beteiligte Person kennen kann
• Ein später angelegter Vorgang, der auf das Gespräch verweist, etwa ein Angebot oder ein Ticket
• Die Anmeldung im Kundenkonto, wenn das Gespräch aus dem angemeldeten Bereich geführt wurde

Identität prüfen, ohne neue Daten zu sammeln

Die Identitätsprüfung ist der Punkt, an dem gut gemeinte Vorsicht in einen eigenen Verstoß kippt. Die Regel ist eng gefasst: Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag stellt, so kann er zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind (Art. 12 Abs. 6 DSGVO). Drei Wörter tragen diese Regel. Begründete Zweifel heißt: Es braucht einen Anlass im konkreten Fall, nicht ein allgemeines Unbehagen. Erforderlich heißt: Die mildeste geeignete Prüfung genügt. Und zusätzliche Informationen heißt nicht automatisch Ausweiskopie - eine Ausweiskopie enthält weit mehr Angaben, als zur Bestätigung nötig sind, und schafft einen neuen Bestand, den Sie anschließend schützen und löschen müssen.

Was geschwärzt wird und was nicht

Das Auskunftsrecht endet dort, wo die Rechte anderer beginnen: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Erwägungsgrund 63 nennt als Beispiele Geschäftsgeheimnisse, Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software - und fügt im selben Atemzug hinzu, dass dies nicht dazu führen darf, der betroffenen Person jegliche Auskunft zu verweigern. Damit ist die Richtung vorgegeben: Geschwärzt wird die einzelne Stelle, nicht das Dokument.

• Angaben über andere Personen, die im Gespräch genannt wurden, etwa der Name eines Kollegen oder eine fremde Bestellnummer
• Interne Kennungen von Beschäftigten, soweit die Nachvollziehbarkeit der Bearbeitung auch ohne sie gewahrt bleibt
• Die Systemanweisung des Assistenten und Teile der Wissensbasis, soweit daran wirklich Geschäftsgeheimnisse bestehen
• Erkennungsregeln gegen Missbrauch und Schwellenwerte, deren Offenlegung die Abwehr entwerten würde
• Zugangsdaten, Schlüssel und Tokens, die versehentlich im Freitext gelandet sind
• Inhalte fremder Gespräche, die technisch im selben Auszug liegen, etwa in einem gemeinsamen Protokoll

Nicht geschwärzt wird, was die betroffene Person selbst betrifft, auch wenn es unangenehm ist. Eine interne Notiz über den Gesprächsverlauf, eine Einstufung als schwieriger Fall, ein Vermerk zur Kulanz: All das sind Daten über diese Person und gehören in die Auskunft. Die deutschen Ausnahmen vom Auskunftsrecht in § 34 BDSG sind eng und tragen den Regelfall nicht; die Ausnahme für Daten, die ausschließlich Zwecken der Datensicherung dienen, greift etwa nur zusammen mit weiteren Voraussetzungen und rechtfertigt keine pauschale Kürzung. Halten Sie deshalb zu jeder Schwärzung fest, worauf sie gestützt ist. Diese Notiz ist später der Unterschied zwischen einer nachvollziehbaren Entscheidung und einem Vorwurf, den Sie nicht entkräften können.

Der Ablauf im Betrieb

Ein Auskunftsverlangen ist ein Vorgang mit einem Anfang, einer Frist und einem Nachweis. Was ihn scheitern lässt, ist fast nie die juristische Bewertung, sondern die Zuständigkeit und die Suche über Systeme hinweg. Die folgende Reihenfolge hat sich bewährt, weil sie die beiden zeitkritischen Schritte nach vorn zieht: die Erfassung am Tag des Eingangs und die Rückfrage zur Reichweite, solange noch Zeit für die Antwort bleibt.

Was Sie vorbereiten können

Der Unterschied zwischen einem ruhigen und einem hektischen Auskunftsverlangen entsteht Monate vorher. Wer nach dem Livegang eines Assistenten einmal aufschreibt, welche Ablagen ein Gespräch berührt, hat die Antwort im Kern schon. Alles Weitere ist Routine: ein Muster, eine Zuständigkeit, ein Übungslauf. Die Grundlagen dazu, wo die Daten liegen und wer sie verarbeitet, behandelt der Beitrag zu Datenschutz und Hosting beim KI-Chatbot.

• Eine Aufstellung, die je System nennt, welche Felder zu einem Gespräch gehören und wie sie sich zuordnen lassen
• Ein Auszug, der alle diese Ablagen in einem Lauf abfragt, statt fünf Personen einzeln zu fragen
• Ein Muster für das Begleitschreiben mit den acht Angaben aus Artikel 15 Absatz 1, das nur noch gefüllt wird
• Eine Regel im Assistenten, die ein erkanntes Auskunftsverlangen markiert und einen Vorgang mit Eingangsdatum anlegt
• Eine benannte Zuständigkeit und ein Posteingang, der auch in Urlaubszeiten täglich gelesen wird
• Ein Übungslauf mit einem eigens angelegten Testzugang, bei dem die benötigte Zeit gemessen und notiert wird

Bleibt der Blick auf das Ganze. Ein Auskunftsverlangen ist unangenehm, solange man es als Angriff liest. Es ist aber vor allem eine Prüfung des eigenen Hauses: Wer eine vollständige, verständliche Kopie in vier Wochen übergeben kann, weiß, wo seine Daten liegen, wer sie bekommt und wie lange sie bleiben. Wer das nicht kann, hat kein Auskunftsproblem, sondern ein Bestandsproblem - und das fällt früher oder später an anderer Stelle auf, bei einer Löschung, bei einem Umzug des Systems oder bei der nächsten Prüfung durch die Aufsicht. In XICBOT lässt sich ein einzelnes Gespräch ausleiten, und die Löschfristen je Datenart setzen Sie in der Verwaltung; wo beides liegt, zeigt die Dokumentation. Welche Stellen bei XICBOT überhaupt Daten eines Gesprächs halten, beschreibt die Seite Datenschutz und Hosting.

Häufige Fragen