Datenschutzerklärung für Tars Chatbot

Warum ist Tars Chatbot datenschutzrechtlich relevant?

Unternehmen legen bei einem Tars Chatbot selbst fest, welche Daten sie von Usern erheben möchten. Auf einer Landing Pages sammeln sie über den Bot vor allem personenbezogene Daten wie

• Namen,
• E-Mail-Adressen und
• Telefonnummern. 

Dabei handelt es sich um personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) schreiben für die Erhebung und Speicherung dieser Daten besondere datenschutzrechtliche Pflichten vor.

Können Unternehmen Tars Chatbot DSGVO-konform verwenden?

Achten Unternehmen auf diese datenschutzrechtlichen Vorgaben, können sie das Tool rechtskonform verwenden:

Einwilligung in Datenerhebung einholen

Unternehmen nutzen Tars Chatbots vor allem, um Leads zu generieren. Sie haben daher das Ziel, personenbezogene Daten von Nutzern zu sammeln. Dafür benötigen sie ihre Einwilligung. Unternehmen müssen diese per Opt-In einholen. Dafür eignet sich ein Cookie-Banner. Mit einem Cookie Consent Tool können sie diesen so gestalten, dass er datenschutzkonform das Einverständnis der User in die Datenerhebung einholt und dann die Datenübermittlung auf der Webseite entsprechend anpasst.

Vertrag zur Auftragsverarbeitung schließen

Alle Daten, die Unternehmen über einen Tars Chatbot erheben, geben sie automatisch an den dahinterstehenden Anbieter Tars Technologies weiter. Damit ist Tars Technologies ein Auftragsverarbeiter. Unternehmen müssen mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Der Vertrag stellt sicher, dass Tars Technologies alle Daten, die es über seine Chatbots erhält, rechtskonform behandelt. Unternehmen müssen darauf achten, dass der Vertrag erklärt,

• welche Nutzerdaten Tars speichert,
• wie lange Tars diese Daten speichert,
• warum Tars die Daten speichert und
• welche Rechte und Pflichten beide Parteien haben.

Versäumen es Unternehmen, einen AV-Vertrag mit Tars abzuschließen, droht ihnen ein Bußgeld. Art. 83 Abs. 4 lit. a DSGVO ermöglicht dabei Strafen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Datenschutzerklärung anpassen

Jedes Mal, wenn Unternehmen personenbezogene Daten sammeln, müssen sie Nutzer in ihrer Datenschutzerklärung darauf hinweisen. Das gilt auch für die Verwendung von Tars Chatbot. Unternehmen sollten dabei in einer einfach verständlichen Sprache erklären,

• dass sie mit Tars einen AV-Vertrag geschlossen haben,
• welche Userdaten sie an Tars weiterreichen,
• warum sie diese Daten an Tars weitergeben,
• wie Tars die Userdaten nutzt und
• dass Nutzer der Datenerhebung und -weitergabe jederzeit widersprechen können.

Standardvertragsklauseln abschließen

Tars Technologies hat seinen Sitz in Newark in den USA. Um Daten rechtskonform in die USA zu versenden, können Unternehmen auf EU-Standardvertragsklauseln setzen. Sie müssen diese Klauseln mit Tars abschließen. Zusätzlich müssen sie das Risiko der Datenübermittlung in die USA prüfen und dokumentieren. Dazu müssen Unternehmen festhalten,

• welche Art von Daten sie an Tars in den USA versenden,
• welche Datenschutzgesetze in den USA herrschen und
• welche Maßnahmen Tars Technologies noch nutzt, um Userdaten außerhalb der EU zu schützen.

Möglichst wenige Daten erheben

Die DSGVO gibt vor: Unternehmen dürfen nur die Daten von Usern erheben, die sie für ihren angestrebten Zweck benötigen. Für die Leadgenerierung auf einer Landing Page kann das beispielsweise eine E-Mail-Adresse sein. Unternehmen wahren so den Grundsatz der Datensparsamkeit der DSGVO.

Datenauskunft gewähren

Haben Unternehmen einmal Daten über einen Tars Chatbot erhoben, können Nutzer eine Einsicht in diese Daten verlangen. Unternehmen müssen ihnen die Daten dann zur Verfügung stellen. Das können sie beispielsweise als Download vornehmen.

Userdaten regelmäßig löschen

Unternehmen dürfen Userdaten, die sie über einen Tars Chatbot erhoben haben, nur so lange speichern, wie sie diese tatsächlich benötigen. Für die Praxis heißt das: Sie müssen regelmäßig Userdaten löschen. Und: Verlangen Nutzer die Löschung ihrer Daten, müssen Unternehmen diesem Wunsch nachkommen. Das schreibt die DSGVO vor.

Rechtsprechung zu Tars Chatbot

Zu Tars Chatbot liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Für das Tool sind jedoch diese Urteile relevant:

Datenschutzbehörde Hamburg zum AV-Vertrag

Das deutsche Versandunternehmen Kolibri Image sah sich nicht verantwortlich, einen AV-Vertrag für die Zusammenarbeit mit einem spanischen Dienstleister aufzusetzen. Die Datenschutzbehörde Hamburg sah das anders. Sie sprach daher am 17.12.2018 ein Bußgeld in Höhe von 5.000 Euro gegen Kolibri Image aus.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der VfB Stuttgart, ein Fußball-Bundesligaverein, arbeitete mit mehreren Dienstleistern zusammen. Diese verarbeiteten für den Verein weisungsgebunden mehrere tausend Mitgliederdaten. Ein AV-Vertrag lag dafür jedoch nicht vor. Auf diese Weise fehlte es dem Verein an einer rechtlichen Grundlage für die Datenweitergabe. Das bestrafte die Datenschutzbehörde Baden-Württemberg im März 2021 mit einem Bußgeld von 300.000 Euro.

Europäischer Gerichtshof zum Privacy Shield

Um personenbezogene Daten in die USA zu versenden, können Unternehmen nicht mehr den Privacy Shield als rechtliche Grundlage verwenden. Zu diesem Ergebnis kam der Europäische Gerichtshof (EuGH) im Juli 2020. Die Richter führten ihre Entscheidung auf das niedrige Datenschutzniveau in den USA zurück. Die Überwachungsprogramme dort sind nicht auf das zwingend erforderliche Maß beschränkt. Und: Deutsche User haben keine rechtliche Handhabe, um gegen Datenschutzverstöße US-amerikanischer Unternehmen und Behörden vorzugehen (Az. C-311/18).