Vorlagen für deine Rechtstexte
Wer den Chat einbaut, verarbeitet Daten seiner Besucher. Hier steht zum Kopieren, was dafür in deine Datenschutzerklärung und deine AGB gehört — und was du sonst noch brauchst.
Die Bausteine sind in der Sie-Form geschrieben, weil sie in deiner Datenschutzerklärung deine Besucher ansprechen — nicht dich. Wenn du deine Kunden duzt, schreib sie um.
Gelb markierte Stellen musst du selbst ausfüllen. Lass keine davon stehen — sie fallen beim Lesen sofort auf, und genau dafür sind sie markiert.
1 · Für deine Datenschutzerklärung
Chat auf dieser Website
Auf dieser Website setzen wir ChatFlamingo ein, einen Chat-Dienst der CertoClav Sterilizer GmbH, Peintner Straße 10, 4060 Leonding, Österreich. Über den Chat können Sie uns direkt Fragen stellen. Je nach unserer Einstellung antwortet ein Mitglied unseres Teams oder eine künstliche Intelligenz.
Welche Daten verarbeitet werden
- Inhalt Ihrer Nachrichten und der Gesprächsverlauf
- Angaben, die Sie freiwillig machen, etwa Name, E-Mail-Adresse oder Telefonnummer
- aufgerufene Seiten, Verweildauer, Browser und Betriebssystem
- Ihre IP-Adresse und der daraus ermittelte ungefähre Standort
- Dateien und Bilder, die Sie im Chat hochladen
Zweck und Rechtsgrundlage
Wir verarbeiten diese Daten, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung oder Durchführung eines Vertrags geht, sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, Anfragen schnell und unmittelbar zu beantworten.
Speicherung auf Ihrem Endgerät
Der Chat setzt keine Cookies. Er legt
Einträge im localStorage Ihres Browsers ab, alle
mit dem Präfix certochat-: eine zufällige
Sitzungskennung, die Herkunft Ihres Besuchs (verweisende
Adresse und Einstiegsseite), den Gesprächsverlauf und die
Angaben, die Sie im Chat selbst machen. Der gesamte Satz wird
nach sieben Tagen verworfen. Lässt Ihr Browser den
localStorage nicht zu, weicht der Chat auf den
sessionStorage und zuletzt auf den
Arbeitsspeicher aus.
Diese Einträge sind erforderlich, damit der von Ihnen aufgerufene Dienst funktioniert; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG beziehungsweise § 165 Abs. 3 Z 2 TKG 2021 nicht erforderlich.
Auftragsverarbeitung
Die CertoClav Sterilizer GmbH verarbeitet diese Daten ausschließlich in unserem Auftrag und nach unseren Weisungen. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Gespräche liegen in einer Datenbank, die allein unserem Konto zugeordnet ist.
Künstliche Intelligenz
Soll der Chat Fragen automatisch beantworten, werden Ihre Frage, der bisherige Gesprächsverlauf und der passende Ausschnitt aus den von uns hinterlegten Unterlagen an den Anbieter des Sprachmodells übermittelt, um die Antwort zu erzeugen. Eingesetzt werden Modelle von Anthropic PBC, San Francisco, USA, und OpenAI Ireland Ltd., Dublin, Irland; OpenAI verarbeitet dabei auch über die OpenAI, L.L.C. in den USA. Beide sind als Unterauftragsverarbeiter gebunden. Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet.
Auf Nachfrage weist der Chat darauf hin, dass es sich um eine künstliche Intelligenz handelt. Die Antworten werden aus den von uns bereitgestellten Inhalten erzeugt; sie können unvollständig oder überholt sein.
Empfänger und Übermittlung in Drittländer
Neben den genannten Anbietern sind beteiligt: Cloudflare, Inc. (Auslieferung und Schutz vor Angriffen) sowie Salesforce, Inc. (Betrieb der Anwendung und der Datenbanken, Rechenzentrum in der Europäischen Union). Soweit dabei Daten in die Vereinigten Staaten übermittelt werden, geschieht das auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO.
Speicherdauer
Gespräche und hochgeladene Dateien löschen wir automatisch nach [Anzahl] Tagen.
Ihre Rechte
Ihnen stehen die in dieser Datenschutzerklärung an anderer Stelle beschriebenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu. Sie können den Chat jederzeit schließen, ohne ihn zu benutzen.
Drei Stellen, die du anpassen musst. Die Löschfrist stellst du selbst im Dashboard ein — trag hier dieselbe Zahl ein, sonst widersprechen sich Text und Wirklichkeit. Hast du die Standortermittlung im Dashboard abgeschaltet, streich die Zeile mit der IP-Adresse. Und beantwortest du alle Fragen selbst, ohne die KI, kannst du den ganzen Abschnitt „Künstliche Intelligenz" weglassen.
2 · Für deine AGB
Auskünfte im Chat
Auskünfte, die über den Chat auf dieser Website erteilt werden, sind unverbindlich. Sie stellen kein rechtsverbindliches Angebot dar, und ein Vertrag kommt über den Chat nicht zustande.
Das gilt besonders für Antworten, die automatisch durch eine künstliche Intelligenz erzeugt werden: Sie beruhen auf den von uns hinterlegten Inhalten und können unvollständig oder überholt sein. Maßgeblich sind allein die Angaben auf den Produktseiten, in unseren schriftlichen Angeboten und in diesen Bedingungen.
[Nur für Shops: Bestellungen nehmen wir ausschließlich über den Warenkorb entgegen.]
Der Chat steht Ihnen ohne Anspruch auf eine bestimmte Verfügbarkeit oder Antwortzeit zur Verfügung.
Wenn du in einem Bereich arbeitest, in dem Auskünfte haftungsträchtig sind — Heilberufe, Rechts- oder Steuerberatung, Finanzdienstleistungen — reicht dieser Baustein nicht. Dann gehört ein Satz dazu, dass der Chat keine Beratung im Sinne deines Berufsrechts ersetzt. Das gehört in fachkundige Hände.
3 · Für dein Verarbeitungsverzeichnis (Art. 30 DSGVO)
Bezeichnung der Verarbeitung
Chat und automatisierte Beantwortung von Besucherfragen auf der eigenen Website
Zweck
Beantwortung von Anfragen, Beratung, Kontaktaufnahme
Kategorien betroffener Personen
Besucherinnen und Besucher der Website; Beschäftigte, die den Chat bedienen
Kategorien personenbezogener Daten
Nachrichteninhalte und Gesprächsverläufe; freiwillig angegebene Kontaktdaten; Nutzungsdaten (aufgerufene Seiten, Verweildauer, Browser, Betriebssystem); IP-Adresse und daraus ermittelter ungefährer Standort; hochgeladene Dateien und Bilder
Kategorien von Empfängern
CertoClav Sterilizer GmbH, Leonding, Österreich (Auftragsverarbeiterin) und deren Unterauftragsverarbeiter: Cloudflare, Inc.; Salesforce, Inc.; Anthropic PBC; OpenAI Ireland Ltd.
Übermittlung in Drittländer
Vereinigte Staaten, auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO
Löschfristen
Gespräche und Anhänge: [Anzahl] Tage, automatisch
Technische und organisatorische Maßnahmen
Eigene Datenbank je Kunde; Bindung des Widgets an freigegebene Domains; verschlüsselte Übertragung und Speicherung; Rollen im Dashboard; Begrenzung der Anfragen je Besucher; abschaltbare Standortermittlung. Einzelheiten in Anlage 1 des Auftragsverarbeitungsvertrags.
Was du sonst noch brauchst
Den AV-Vertrag
Du bist datenschutzrechtlich verantwortlich für die Daten deiner Besucher, wir verarbeiten sie in deinem Auftrag. Dafür schreibt Art. 28 DSGVO einen Vertrag vor. Er wird beim Anlegen des Kontos bestätigt und protokolliert; nachlesen kannst du ihn jederzeit im Auftragsverarbeitungsvertrag.
Den Datenschutz-Link im Chatfenster
Im Dashboard trägst du die Adresse deiner eigenen Datenschutzerklärung ein. Sie wird dann im Chatfenster verlinkt, dort wo der Besucher sie braucht — nämlich bevor er schreibt.
Dieselbe Löschfrist an beiden Stellen
Die Frist stellst du im Dashboard ein. Was in deiner Datenschutzerklärung steht, muss damit übereinstimmen. Steht dort 30 Tage und das Dashboard löscht nach 180, ist der Text falsch — und das fällt bei einer Prüfung als Erstes auf.
Eine Entscheidung zur Standortermittlung
Aus der IP-Adresse wird der ungefähre Standort ermittelt. Das lässt sich im Dashboard abschalten. Brauchst du es nicht, schalte es ab und streich die Zeile aus dem Baustein — weniger Daten, weniger zu erklären.
Wenn Beschäftigte den Live-Chat bedienen
Ein System, mit dem sich Antwortzeiten und Gesprächszahlen je Person auswerten lassen, ist grundsätzlich zur Leistungs- und Verhaltenskontrolle geeignet. In Deutschland löst das die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG aus, in Österreich braucht es je nach Ausgestaltung eine Betriebsvereinbarung nach § 96 oder § 96a ArbVG. Das wird gern übersehen. Wenn es bei dir eine Arbeitnehmervertretung gibt: vorher mit ihr sprechen.
Besondere Datenkategorien im Blick behalten
Wer eine Praxis, eine Apotheke oder einen Shop für Medizinprodukte betreibt, muss damit rechnen, dass Besucher Gesundheitsdaten in den Chat schreiben — auch ungefragt. Solche Daten sind vom Auftragsverarbeitungsvertrag nicht gedeckt. Zwei Dinge helfen: dem Bot in den Hausregeln verbieten, danach zu fragen, und in der Begrüßung darum bitten, keine Gesundheitsangaben zu machen. Ob darüber hinaus eine Datenschutz-Folgenabschätzung nötig ist, hängt von deinem Einsatz ab.
Die KI-Offenlegung — die macht der Bot selbst
Auf Nachfrage sagt der Bot, dass er eine KI ist. Das ist Teil seiner Grundeinstellung und lässt sich nicht versehentlich abschalten. Damit ist die Transparenzpflicht aus Art. 50 der KI-Verordnung (EU) 2024/1689 erfüllt, ohne dass du daran denken musst.