Als personenbezogene Daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ebenfalls als personenbezogen zu klassifizieren sind Teilinformationen, die gemeinsam zur Identifizierung einer bestimmten Person führen können.
Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung, wie einem Namen oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Konkret heißt das, dass nicht nur Daten wie der Name einer Person unter den Datenschutz fallen, sondern auch die Daten, die im Einzelnen nicht dazu führen würden, dass eine Person über sie identifizierbar wäre, sondern bei denen man in der Summe darauf schließen könnte, wer diese Person ist.
In der Praxis fallen darunter unter anderem folgende Daten:
- Vor- und Nachname
- E-Mail-Adressen
- Privatanschrift
- Standortdaten
- IP-Adressen
- Kundennummern
- Benutzernamen
- etc.
Sogar an sich nicht direkt zuordenbare Vorgangsnummern wie Aktenzeichen, Bestellnummern usw. sind unter Zuhilfenahme der entsprechenden Akten, Datenbanken oder IT-Systeme personenbeziehbar.
Die wichtigsten Fragen, die man sich am Anfang eines Projekts in Bezug auf den Datenschutz stellen muss, sind:
- In welchem Bereich wird der Chatbot eingesetzt?
- Mit welchen Daten hat man hierbei zu tun? Werden insbesondere auch besonders schützenswerte Daten, wie z. B. Gesundheits- oder Sozialdaten verarbeitet?
- Was ist die Grundlage für die Verarbeitung dieser Daten?
- Ist die Verarbeitung dieser Daten unabdingbar für die Erfüllung des Zwecks?
Bei Fragen an eine Stadtverwaltung zum Beispiel müssen - mit Ausnahme der IP-Adresse - in der Regel keine personenbezogenen Daten verarbeitet werden. Allerdings kann es sein, dass Anträge im Chatbot ausgefüllt werden sollen. In dem Fall muss der Datenschutz dabei berücksichtigt werden.
Bestimmte Daten, wie Bewerber- und Patientendaten, unterliegen einem besonderen Schutz. Achten Sie darauf, keine oder nur die absolut notwendigen personenbeziehbaren Daten zu erheben. Sollte dies für Ihren Anwendungsfall dennoch erforderlich sein, sollten Ihre Datenschutzhinweise über die Verarbeitung der Daten aufklären, gegebenenfalls ist sogar eine explizite Einwilligung vor Nutzung des Chatbots erforderlich; dann muss auch auf eine zwingend notwendige Widerrufsmöglichkeit hingewiesen werden.
Weniger personenbezogene Daten zu erheben bedeutet auch, dass der Verwaltungsaufwand in Ihrem Chatbot geringer ist. Wer keine personenbezogenen Daten erhebt, muss auch keine Auskünfte darüber geben, Löschfristen umsetzen oder Protokolle führen.