Datenschutz-Folgenabschätzung für Chat-Assistenten

Die Frage kommt meist spät und im falschen Moment: Der Assistent ist gebaut, die Wissensbasis steht, der Termin für den Livegang ist gesetzt, und jemand fragt, ob dafür eigentlich eine Datenschutz-Folgenabschätzung nötig gewesen wäre. Artikel 35 DSGVO verlangt sie, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat - und zwar vorab, nicht im Nachgang. Für einen Chat-Assistenten ist die Antwort weder automatisch ja noch automatisch nein. Sie hängt daran, wer schreibt, worüber geschrieben wird, was der Assistent daraus ableitet und was danach mit dem Verlauf geschieht. Dieser Beitrag führt durch die drei Fälle aus Absatz 3, durch die Liste der Aufsichtsbehörde, durch die Lagen, in denen ein Assistent darunter fällt, und durch die, in denen er es nicht tut. Am Ende steht, wie die Abschätzung aufgebaut ist, welche Rolle der Datenschutzbeauftragte darin hat und warum das Ergebnis ein Dokument ist, das weitergeführt wird.

Grafik vergrößern

Beschriftungen der Abbildung

• Auslöser prüfen
• Artikel 9, Profiling, Liste
• Art. 35 Abs. 3
• Rat einholen
• Datenschutzbeauftragter
• Art. 35 Abs. 2
• Abschätzung schreiben
• vier Bestandteile
• Art. 35 Abs. 7
• Überprüfen
• wenn sich das Risiko ändert
• Art. 35 Abs. 11
• Die drei Fälle aus Absatz 3
• a) Bewertung mit Rechtswirkung
• systematisch und umfassend, auch durch Profiling
• b) Besondere Kategorien, umfangreich
• Artikel 9 Absatz 1 oder Daten nach Artikel 10
• c) Überwachung öffentlicher Bereiche
• systematisch und umfangreich
• Was nach Absatz 7 drinstehen muss
• a) Beschreibung der Vorgänge und Zwecke
• b) Notwendigkeit und Verhältnismäßigkeit
• c) Bewertung der Risiken
• d) Abhilfemaßnahmen und Garantien
• Bleibt das Risiko trotz Maßnahmen hoch: vorherige Konsultation der Aufsichtsbehörde nach Artikel 36 Absatz 1

Wann Artikel 35 DSGVO greift

Was Artikel 35 wirklich verlangt

Die Pflicht hängt nicht an einer Branche, nicht an einer Mitarbeiterzahl und nicht an einem Umsatz. Sie hängt an einer Prognose über die Verarbeitung selbst. Vier Merkmale nennt der Verordnungstext, die dabei zusammen zu betrachten sind: die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung. Ergibt diese Betrachtung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, ist die Abschätzung fällig. Ergibt sie das nicht, ist sie es nicht - auch dann nicht, wenn die eingesetzte Technik neu ist oder nach außen beeindruckend wirkt.

Zwei Wörter tragen diesen Satz. Voraussichtlich heißt: Es geht um eine Prognose vor dem Start, nicht um einen Nachweis nach dem ersten Schaden. Vorab heißt: vor der Verarbeitung, also bevor der erste echte Besucher tippt. Beides zusammen verschiebt die Abschätzung an einen Ort, an den sie in der Praxis selten gelegt wird - in die Planung, neben die Auswahl des Dienstleisters und die Festlegung der Löschfristen, nicht hinter die Abnahme. Absatz 1 Satz 2 erlaubt dabei ausdrücklich, für mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken eine einzige Abschätzung vorzunehmen: Ein Assistent, der auf zwei Domains desselben Betriebs mit derselben Wissensbasis und derselben Verarbeitungskette läuft, braucht kein zweites Dokument.

Die drei Fälle aus Absatz 3

Absatz 3 nimmt dem Verantwortlichen einen Teil der Prognose ab. Er nennt Fälle, in denen eine Abschätzung erforderlich ist, ohne dass das hohe Risiko noch einmal einzeln hergeleitet werden müsste. Das Wort insbesondere zeigt zugleich, dass die Aufzählung nicht abschließend ist: Ein Vorgang, der keinen der drei Fälle trifft, kann nach Absatz 1 trotzdem abschätzungspflichtig sein - die drei Fälle sind ein Boden, keine Decke.

• Buchstabe a: systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen
• Buchstabe b: umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10
• Buchstabe c: systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Neue Technologie ist kein vierter Fall

Der Satzteil insbesondere bei Verwendung neuer Technologien steht in Absatz 1 und wird regelmäßig gelesen, als stünde dort: Wer KI einsetzt, braucht eine Abschätzung. Das gibt der Text nicht her. Die neue Technologie ist ein Merkmal, das die Prognose beeinflusst, weil über ihre Folgen weniger Erfahrung vorliegt - sie ist keine eigene Bedingung. Ein Assistent, der ausschließlich veröffentlichte Inhalte erklärt, Öffnungszeiten nennt und bei allem Weiteren an einen Menschen übergibt, verarbeitet Gesprächsinhalte und Sitzungsdaten. Das ist eine Verarbeitung, sie braucht eine Rechtsgrundlage, einen Eintrag im Verzeichnis nach Artikel 30 DSGVO und begründete Löschfristen. Ein hohes Risiko im Sinne von Absatz 1 folgt daraus nicht automatisch.

Die Liste der Aufsichtsbehörde

Die Verordnung überlässt die Prognose nicht allein dem Verantwortlichen. Nach Artikel 35 Absatz 4 DSGVO erstellt und veröffentlicht die Aufsichtsbehörde eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und übermittelt diese Liste dem in Artikel 68 genannten Ausschuss. Das ist der erste Ort, an dem Sie nachsehen, bevor Sie selbst abwägen. Die Liste ist keine Empfehlung: Steht Ihr Vorgang darauf, ist die Abschätzung durchzuführen, und die eigene Einschätzung tritt zurück.

Maßgeblich ist die Liste der für Sie zuständigen Aufsichtsbehörde. In Deutschland liegt die Aufsicht über nichtöffentliche Stellen bei den Ländern, es gibt also nicht eine Liste, sondern je Aufsicht eine - inhaltlich weitgehend abgestimmt, im Wortlaut aber nicht identisch. Wer mehrere Niederlassungen betreibt, klärt deshalb zuerst die Zuständigkeit und liest danach. Absatz 5 erlaubt der Aufsichtsbehörde zusätzlich, eine Liste der Arten von Verarbeitungsvorgängen zu erstellen und zu veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist. Beide Listen sind Auslegungshilfe und Arbeitsersparnis zugleich; sie ersetzen die eigene Prüfung nur dort, wo der eigene Vorgang dem beschriebenen wirklich entspricht.

Wann ein Chat-Assistent darunter fällt

Ein Assistent ist kein einheitlicher Verarbeitungsvorgang, sondern ein Bündel aus mehreren. Die Frage lautet deshalb nie: Ist ein Chat-Assistent abschätzungspflichtig? Sie lautet: Welche der Funktionen, die dieser Assistent hat, verschiebt die Prognose in Richtung hohes Risiko? Vier Lagen kommen dabei regelmäßig vor.

• Besondere Kategorien nach Artikel 9 Absatz 1 DSGVO kommen regelmäßig vor, nicht nur im einzelnen Ausnahmefall
• Der Assistent leitet aus dem Gespräch Merkmale ab, die die Person selbst nicht angegeben hat
• Gespräche werden über die Sitzung hinaus einer Person zugeordnet und dauerhaft zusammengeführt
• Eine automatische Einstufung entscheidet über den weiteren Weg eines Anliegens
• Betroffen sind Personen in schwächerer Stellung, etwa Beschäftigte, Patienten oder Minderjährige
• Daten fließen in ein Drittland oder an Empfänger, mit denen der Besucher nicht rechnet

Wann er es nicht tut

Der häufigste Zuschnitt im Mittelstand ist der schlichte: Der Assistent beantwortet Fragen aus einer gepflegten Wissensbasis, nennt Öffnungszeiten, Versandwege und Zuständigkeiten, nimmt bei Bedarf Name und E-Mail-Adresse auf und übergibt alles Weitere an einen Menschen. Hier trifft keiner der drei Fälle aus Absatz 3 zu, und auch die Prognose nach Absatz 1 ergibt in der Regel kein hohes Risiko. Das ist kein Freibrief, sondern das Ergebnis einer Prüfung - und genau als solches gehört es festgehalten.

• Buchstabe a setzt eine systematische und umfassende Bewertung persönlicher Aspekte voraus, die Grundlage für Entscheidungen mit Rechtswirkung ist. Ein Assistent, der Wissen wiedergibt und übergibt, bewertet niemanden.
• Buchstabe b setzt eine umfangreiche Verarbeitung besonderer Kategorien voraus. Eine gelegentliche Angabe, die ein Besucher unaufgefordert macht und die nach kurzer Frist gelöscht wird, ist keine umfangreiche Verarbeitung dieser Kategorie.
• Buchstabe c betrifft die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Gemeint sind Bereiche, die der Allgemeinheit offenstehen; ein Chatfenster auf der eigenen Website ist damit nicht angesprochen.

Der Aufbau der Abschätzung

Wer die Pflicht bejaht, braucht dafür kein Formular und keine eigene Software. Absatz 7 nennt vier Bestandteile als Mindestinhalt, alles Weitere ist Darstellungsfrage. Der Umfang richtet sich nach dem Vorgang, nicht nach der Seitenzahl: Für einen Assistenten mit klarem Zuschnitt ist eine Abschätzung von wenigen Seiten belastbarer als dreißig Seiten Allgemeinplätze, die auf jeden beliebigen Betrieb passen würden.

• Buchstabe b: eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck
• Buchstabe c: eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1
• Buchstabe d: die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird
• Absatz 9: gegebenenfalls der Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung

Der Datenschutzbeauftragte im Verfahren

Die Beteiligung ist keine Höflichkeit gegenüber einer internen Stelle, sondern eine Vorgabe mit einem klaren Adressaten und einem klaren Zeitpunkt.

Zwei Dinge folgen daraus. Erstens ist der Rat bei der Durchführung einzuholen, nicht eine fertige Fassung zur Kenntnis zu geben - die Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und die Überwachung ihrer Durchführung gehören nach Artikel 39 Absatz 1 Buchstabe c DSGVO ausdrücklich zu seinen Aufgaben. Zweitens bleibt die Verantwortung beim Verantwortlichen: Der Datenschutzbeauftragte berät und überwacht, er entscheidet nicht an Ihrer Stelle. Für nichtöffentliche Stellen in Deutschland kommt eine Wechselwirkung hinzu, die häufig übersehen wird. Nach § 38 Absatz 1 BDSG benennen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen; nehmen sie Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, ist ein Datenschutzbeauftragter unabhängig von der Zahl der mit der Verarbeitung beschäftigten Personen zu benennen. Wer also zu dem Ergebnis kommt, dass sein Assistent abschätzungspflichtig ist, hat damit zugleich eine Benennungspflicht ausgelöst.

Wenn das Risiko bleibt: die vorherige Konsultation

Die Abschätzung kann zu einem unbequemen Ergebnis führen: Das Risiko bleibt hoch, obwohl alle vorgesehenen Maßnahmen bereits eingerechnet sind. Dann endet das Verfahren nicht im eigenen Haus, und die Verarbeitung darf bis zur Rückmeldung der Aufsicht nicht in dieser Form starten.

Das Ergebnis: ein Dokument, das weiterläuft

Am Ende steht kein Häkchen, sondern ein Dokument. Es ist der Nachweis, dass die Prognose gestellt wurde, wie sie begründet ist und welche Maßnahmen daraus folgen. Die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO verlangt, die Einhaltung der Grundsätze nachweisen zu können; ohne dieses Dokument ist eine sorgfältige Abwägung im Streitfall nicht von einer unterlassenen zu unterscheiden. Welche Angaben zu Empfängern und Unterauftragnehmern dabei hineingehören, ergibt sich aus derselben Kette, die der Beitrag zur Auftragsverarbeitung beschreibt.

Mit der Unterschrift ist die Abschätzung außerdem nicht abgeschlossen. Artikel 35 Absatz 11 DSGVO verlangt, erforderlichenfalls eine Überprüfung durchzuführen, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; das gilt zumindest dann, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind. Bei einem Assistenten ändert sich genau das häufiger als bei einem Formular: Ein neues Werkzeug, eine zusätzliche Datenquelle, ein weiterer Verarbeiter oder eine neue Sprache verschieben die Risikolage, ohne dass jemand das Dokument aufschlägt.

• Der Assistent bekommt Zugriff auf ein weiteres Fachsystem oder ein neues Werkzeug
• Er nimmt neue Arten von Angaben auf, etwa Anhänge, Bilder oder Spracheingaben
• Die Wissensbasis wird um Inhalte erweitert, die personenbezogene Angaben enthalten
• Ein beteiligter Dienstleister, ein Verarbeitungsort oder eine Unterbeauftragung ändert sich
• Aus Gesprächen werden erstmals Merkmale abgeleitet oder Gespräche werden erstmals bewertet
• Eine Panne, eine Beschwerde oder eine Anfrage der Aufsicht zeigt ein Risiko, das nicht im Dokument steht

Für die Beschreibung des Vorgangs brauchen Sie die Angaben des Anbieters: Verarbeitungsort, Unterauftragsverarbeiter, Löschfristen und technische Maßnahmen. Für XICBOT stehen sie auf der Seite Datenschutz und Hosting; wie der zugehörige Vertrag aufgebaut ist, erläutert der Beitrag zum Auftragsverarbeitungsvertrag. Wie ein Assistent in einer Praxis mit Terminfragen und Angaben zur Gesundheit umgeht, beschreibt die Seite zum Assistenten für Praxen.

Häufige Fragen