Datenschutzerklärung für Chatfuel

Warum ist Chatfuel datenschutzrechtlich relevant?

Unternehmen erheben über Chatfuel Userdaten. Je nachdem, wie sie den Chatbot konfigurieren, sammeln und speichern sie dabei unterschiedliche Daten. Das können zum Beispiel

• IP-Adresse,
• Namen,
• E-Mail-Adressen,
• Telefonnummern,
• Informationen zum Browsertyp und
• Informationen zum Betriebssystem sein.

Es handelt sich dabei zum Teil um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Für die Praxis bedeutet das: Unternehmen müssen verschiedene datenschutzrechtliche Pflichten erfüllen, wenn sie Chatfuel verwenden.

Chatfuel DSGVO-konform nutzen

Um Chatfuel gemäß den datenschutzrechtlichen Anforderungen zu verwenden, müssen Unternehmen auf diese Vorgaben achten:

Einwilligung in Datenerhebung einholen

Chatfuel verwendet Cookies, um Nutzerdaten zu sammeln. Unternehmen erheben so personenbezogene Daten. Dafür müssen sie die Erlaubnis der Nutzer einholen. Diese müssen aktiv per Opt-In in die Datenerhebung und -verarbeitung einwilligen. Der Text für die Einwilligung kann dabei so aussehen:

„Hallo, ich bin dein Chatbot von eRecht24 und leite dich durch die DSGVO-News. Damit das auch ordentlich funktioniert, speichere ich deinen Namen und deine Facebook-ID. Nähere Informationen habe ich dir in unseren Datenschutzbestimmungen (Link) bereitgestellt. Du kannst deine Daten übrigens jederzeit abbestellen und löschen. Bist du damit einverstanden?“

Unternehmen können das Nutzer-Einverständnis zum Beispiel über einen Cookie-Banner einholen. Damit dieser allen Vorgaben der DSGVO entspricht, sollten Unternehmen ein Cookie Consent Tool verwenden. Dies holt nicht nur rechtskonform die Erlaubnis der User ein, sondern passt auch die Datenströme auf der Webseite entsprechend an.

Einwilligung für Werbung einholen

Wollen Unternehmen Chatfuel nicht nur für den Kundensupport, sondern auch für Werbung nutzen, benötigen sie dafür vorab die Einwilligung der User. Denn: Für Chatbots gelten die gleichen Vorgaben wie für Direkt-Marketing und E-Mail-Marketing. Unternehmen müssen daher eine ausdrückliche und aktive Einwilligung der User einholen – direkt zu Beginn der Unterhaltung.

Vertrag zur Auftragsverarbeitung schließen

Erheben Unternehmen über Chatfuel Kundendaten, geben sie diese automatisch an den dahinterstehenden Anbieter weiter. Gemäß der DSGVO ist Chatfuel daher ein Auftragsverarbeiter. Das bedeutet: Unternehmen müssen mit Chatfuel einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Dieser stellt sicher, dass der hinter dem Chatbot stehende Anbieter rechtskonform mit den personenbezogenen Userdaten umgeht. In der Regel können Unternehmen einen AV-Vertrag bei Anbietern mit wenigen Klicks abschließen. Sie sollten dabei darauf achten, dass der Vertrag festhält,

• welche Userdaten Chatfuel speichert,
• wie lange der Anbieter die Daten speichert,
• warum Chatfuel die Kundendaten speichert und
• welche Rechte und Pflichten beide Seiten haben.

Schließen Unternehmen keinen AV-Vertrag mit Chatfuel, droht ihnen ein Bußgeld. Die DSGVO ermöglicht dabei in Art. 83 Abs. 4 lit. a eine Geldstrafe von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Datenschutzerklärung aktualisieren

Unternehmen müssen Nutzer in ihrer Datenschutzerklärung darauf hinweisen, dass sie über Chatfuel personenbezogene Daten erheben und verarbeiten. Das sollten sie in einer leicht verständlichen Sprache vornehmen. Die Datenschutzerklärung sollte festhalten,

• welche Nutzerdaten Unternehmen an Chatfuel weitergeben
• warum sie Userdaten an Chatfuel weiterreichen,
• dass sie für die Datenweitergabe mit Chatfuel einen AV-Vertrag geschlossen haben,
• wie Chatfuel die Daten nutzt und
• dass User der Datenspeicherung und Datenweitergabe jederzeit widersprechen können.

Standardvertragsklauseln abschließen

Chatfuel hat seinen Hauptsitz in den USA. Das bedeutet: Der Chatbot sendet alle erhobenen Daten in ein Drittland außerhalb der EU. Um diesen Datentransfer datenschutzkonform zu gestalten, müssen Unternehmen mit Chatfuel Standardvertragsklauseln abschließen. Zusätzlich müssen sie das Risiko, das die Datenübertragung in die USA mitbringt, prüfen und dokumentieren. Dazu müssen sie festhalten,

• welche Art von Daten sie über den Chatbot erheben und weitergeben,
• welche Gesetze zum Datenschutz in den USA herrschen und
• ob Chatfuel weitere Maßnahmen unternimmt, Userdaten in den USA zu schützen.

Möglichst wenige Daten erheben

Die DSGVO gibt den Grundsatz der Datensparsamkeit vor. Das heißt: Unternehmen dürfen über Chatfuel nur die Daten erheben, die sie tatsächlich für die Kommunikation mit Nutzern benötigen.

Datenauskunft gewähren

Wollen Nutzer einsehen, welche Daten Unternehmen über sie erhoben haben, müssen sie ihnen Zugang zu den Daten gewähren. Unternehmen können die Daten beispielsweise per Download zur Verfügung stellen.

Userdaten regelmäßig löschen

Die DSGVO gibt vor: Unternehmen dürfen Nutzerdaten nur so lange speichern, wie sie diese tatsächlich benötigen oder es ein Gesetz vorschreibt. Und: Verlangen User, dass Unternehmen ihre erhobenen Daten löschen, müssen sie diesem Wunsch nachkommen. Auf diese Weise erfüllen sie das Recht auf Vergessenwerden der DSGVO.

Rechtsprechung zu Chatfuel

Für Chatfuel ist diese Rechtsprechung relevant:

Europäischer Gerichtshof zu Tracking Cookies

Der Europäische Gerichtshof (EuGH) kam im Oktober 2019 zu dem Schluss: Seitenbetreiber dürfen nur dann Daten über Cookies sammeln, wenn Nutzer dem vorher zugestimmt haben. Dabei spielt es keine Rolle, ob es sich um personenbezogene oder anonyme Daten handelt (C-637/17).

Bundesgerichtshof zu Tracking Cookies

Um Tracking-Cookies zu verwenden, benötigen Unternehmen eine Einwilligung der User. Diese müssen sie vorher per Opt-In einholen. Sie können dazu keine vorangekreuzte Checkbox verwenden. Zu diesem Ergebnis kam der Bundesgerichtshof (BGH) im Mai 2020 (I ZR 7/16).

Datenschutzbehörde Hamburg zum AV-Vertrag

Die Datenschutzbehörde Hamburg verhängte gegen ein deutsches Versandunternehmen eine Strafe von 5.000 Euro (17.12.2018). Dies hatte es versäumt, mit einem beauftragten Dienstleister aus Spanien einen AV-Vertrag zu schließen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Die Datenschutzbehörde Baden-Württemberg sprach im März 2021 ein Bußgeld in Höhe von 300.000 Euro gegen den Fußballverein VfB Stuttgart aus. Dieser hatte zwar Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Er hatte es jedoch versäumt, dafür AV-Verträge mit den Dritten zu schließen.