joinin
EnglishDemo ansehen
Vor der Einführung

KI-Assistent auf der Website — und der Datenschutz.

Was geklärt sein muss, bevor der erste Besucher mit einem Assistenten schreibt.

Fünf Punkte, die vorher stehen müssen.

Ein Assistent nimmt Besucherfragen entgegen und verarbeitet damit personenbezogene Daten. Es gilt dasselbe wie für jedes andere Werkzeug auf eurer Website.

Auftragsverarbeitung
Der Anbieter verarbeitet Daten in eurem Auftrag. Dafür verlangt Art. 28 DSGVO einen Vertrag — vor dem produktiven Einsatz, auch vor einem Test mit echten Besuchern.
Dienstleister und Drittländer
Hinter einem Assistenten stehen Hosting, Datenbank, Modellanbieter und E-Mail-Versand. Ihr müsst wissen, wer welche Daten sieht. Sitzt jemand außerhalb der EU, braucht die Übermittlung eine Grundlage nach Kapitel V DSGVO.
Transparenz
Besucher müssen erkennen, dass sie mit einem KI-Assistenten schreiben. Eure Datenschutzerklärung muss die Verarbeitung abbilden, bevor er online geht.
Datensparsamkeit
Ein Assistent darf nicht nebenbei Kontaktdaten einsammeln. Sie gehören nur erhoben, wenn der Besucher sie bewusst und für einen erkennbaren Zweck angibt.
Löschen und Auskunft
Für Chatverläufe, Anfragen und Protokolle braucht ihr Fristen und einen Weg, Auskunfts- und Löschverlangen zu erfüllen. Der Punkt fehlt in der Praxis am häufigsten.

Wie joinin das beantwortet.

Verbindlich ist nicht dieser Abschnitt, sondern das jeweilige Dokument.

  • Eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO wird beim Start elektronisch abgeschlossen — mit den technischen und organisatorischen Maßnahmen und der Unterauftragnehmerliste als Anlagen.
  • Jeder eingesetzte Dienstleister ist mit Zweck und verarbeiteten Daten benannt. Neue oder ersetzte Anbieter werden vorab in Textform mitgeteilt; ihr könnt innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
  • Übermittlungen in Drittländer werden auf einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln mit ergänzenden Maßnahmen gestützt.
  • Der Assistent ist durchgehend als KI gekennzeichnet, inklusive Hinweis auf mögliche Fehler, und hat im Chat einen eigenen Datenschutzhinweis für Besucher.
  • Kontaktdaten werden erst nach ausdrücklicher Bestätigung des Besuchers zu einer Anfrage. Ohne Bestätigung entsteht keine Übergabe.

Diese Seite ordnet ein und ersetzt keine Rechtsberatung. Verantwortlich für die Verarbeitung auf eurer Website bleibt eure Organisation. Verbindlich sind allein die Dokumente: Datenschutzerklärung, Auftragsverarbeitungsvereinbarung, technische und organisatorische Maßnahmen und Unterauftragnehmerliste. Wie joinin insgesamt arbeitet, steht unter Sicherheit & Datenschutz.

Häufige Fragen

Was dabei am häufigsten gefragt wird.

Braucht ein KI-Assistent auf der Website einen Auftragsverarbeitungsvertrag?

In aller Regel ja. Sobald ein Anbieter personenbezogene Daten in eurem Auftrag verarbeitet — und Besucherfragen mitsamt Kontaktdaten sind solche Daten —, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Er gehört vor den ersten echten Besucher, nicht danach.

Müssen Besucher erkennen können, dass sie mit einer KI schreiben?

Ja. Ein Assistent, der sich als Mensch ausgibt, ist weder zulässig noch sinnvoll. Bei joinin ist die Kennzeichnung fester Bestandteil der Oberfläche, zusammen mit dem Hinweis, dass Antworten Fehler enthalten können.

Werden Chatverläufe für das Training von KI-Modellen verwendet?

Nein. Die Besucherfrage, der nötige Gesprächsverlauf und der für die Antwort erforderliche Organisationskontext werden an den Modellanbieter übermittelt, um die Antwort zu erzeugen. Kontaktdaten sollen dabei nicht in den Modellkontext gelangen. Welche Dienstleister beteiligt sind und wofür, steht vollständig in der Unterauftragnehmerliste.

Werden Daten in Drittländer übermittelt?

Ja, das lässt sich beim derzeitigen Aufbau nicht ausschließen: mehrere eingesetzte Anbieter sitzen außerhalb der EU. Solche Übermittlungen werden nach Kapitel V DSGVO abgesichert, insbesondere über einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln mit den erforderlichen ergänzenden Maßnahmen. Die jeweils aktuellen Betriebsangaben stehen bei den technischen und organisatorischen Maßnahmen.

Wann werden Kontaktdaten eines Besuchers weitergegeben?

Erst, wenn der Besucher die Anfrage ausdrücklich bestätigt. Ohne diese Bestätigung entsteht keine strukturierte Anfrage und es werden keine Kontaktdaten an das Team übergeben.

Offene Punkte klären wir vorher.

Wenn eure Datenschutzbeauftragte oder euer Vorstand etwas Bestimmtes wissen muss: schreibt uns, bevor irgendetwas eingerichtet wird.

Frage stellen

Grundlagen zuerst? Wie ein Website-Assistent arbeitet.