Datenschutz-Folgenabschätzung (DSFA)

Gemäß Art. 35 DSGVO | Version 1.0

1. Systembeschreibung

Hebelki betreibt einen KI-gestützten Chatbot zur Terminbuchung und Kundenservice für Geschäftskunden (Multi-Tenant SaaS). Das System verarbeitet personenbezogene Daten von Endkunden im Auftrag der jeweiligen Geschäftskunden.

System: KI-Chatbot (OpenRouter / DeepSeek) mit Tool-Calling

Zweck: Automatisierte Terminbuchung, FAQ-Beantwortung, Kundenservice

Kanäle: Web-Chat, WhatsApp (via Twilio), Telefon (via Twilio + OpenAI)

Verantwortlicher: Jeweiliger Geschäftskunde (Auftraggeber)

Auftragsverarbeiter: Hebelki (Betreiber der Plattform)

2. Risikoklassifizierung

Begrenztes Risiko (Limited Risk)

Gemäß EU AI Act (Verordnung (EU) 2024/1689) wird dieses KI-System als System mit begrenztem Risiko klassifiziert. Es unterliegt Transparenzpflichten gemäß Art. 50 (Offenlegung der KI-Interaktion) und Art. 4 (KI-Kompetenz).

3. Verarbeitete Datenkategorien

Kontaktdaten

Name, E-Mail-Adresse, Telefonnummer

Buchungsdaten

Termine, ausgewählte Dienstleistungen, Mitarbeiterzuordnung

Chatverlauf

Nachrichten, KI-Antworten, Tool-Aufrufe, Konversationsmetadaten

Technische Daten

IP-Adresse (Rate Limiting), Kanal (Web/WhatsApp), Zeitstempel

4. Risikobewertung

Risiko	Eintrittswahrscheinlichkeit	Auswirkung	Risikostufe
Datenpanne / unbefugter Zugriff auf Kundendaten	Gering	Hoch	Mittel
Unbefugter Zugriff auf Geschäftsdaten (Tenant-Isolation)	Gering	Hoch	Mittel
KI-Halluzination (falsche Informationen an Kunden)	Mittel	Mittel	Mittel
Cross-Tenant-Datenleck (Daten eines Mandanten an anderen)	Sehr gering	Sehr hoch	Mittel

5. Schutzmaßnahmen

Verschlüsselung: TLS/SSL für alle Übertragungen, verschlüsselte Datenbank im Ruhezustand, Twilio-Credentials AES-verschlüsselt
Zugriffskontrolle: Clerk-Authentifizierung, rollenbasierte Berechtigungen (Owner/Admin/Staff), Business-Member-Prüfung
Tenant-Isolation: Alle Datenbankabfragen durch businessId gefiltert, serverseitige businessId-Injektion bei Tool-Aufrufen
KI-Transparenz: Pflicht zur KI-Offenlegung in erster Nachricht, EU AI Act Art. 50 Compliance
Rate Limiting: Schutz gegen Missbrauch (10 Nachrichten/Min Chatbot, 5/Min Buchungen)
Datenminimierung: Konfigurierbare Aufbewahrungsfristen (90-1095 Tage), automatische Löschung
Eskalation: Automatische Weiterleitung an menschliche Mitarbeiter bei Problemen
TOMs: Technische und organisatorische Maßnahmen dokumentiert (TOMs ansehen)

6. Restrisikobewertung

Akzeptables Restrisiko

Nach Implementierung aller oben genannten Schutzmaßnahmen wird das Restrisiko als akzeptabel eingestuft. Die Kombination aus Verschlüsselung, Zugriffskontrolle, Tenant-Isolation und Transparenzmaßnahmen reduziert die identifizierten Risiken auf ein vertretbares Niveau.

7. Überprüfungsplan

Überprüfungszyklus: Jährlich oder bei wesentlichen Systemänderungen

Nächste Überprüfung: Februar 2027

Verantwortlich: Datenschutzbeauftragter / Geschäftsführung

Auslöser für außerplanmäßige Überprüfung:

Wechsel des KI-Modells oder Anbieters
Neue Datenkategorien oder Verarbeitungszwecke
Sicherheitsvorfälle
Änderungen der Rechtsgrundlage (DSGVO, EU AI Act)

Rechtsgrundlagen

Art. 35 DSGVO: Datenschutz-Folgenabschätzung

Art. 28 DSGVO: Auftragsverarbeitung (AVV zwischen Hebelki und Geschäftskunde)

Art. 32 DSGVO: Sicherheit der Verarbeitung (TOMs)

EU AI Act Art. 4: KI-Kompetenz

EU AI Act Art. 50: Transparenzpflichten für KI-Systeme mit begrenztem Risiko

Dieses Dokument wird jährlich überprüft und bei Bedarf aktualisiert.

Bei Fragen wenden Sie sich an privacy@hebelki.de