ScapBot

Ja. ScapBot verwendet Cookies und vergleichbare Speichermechanismen (typischerweise Session ID und persistentes Besucher Cookie) zur Konversationskontinuität, Wiedererkennung und Analyse. Da sie für einen ausdrücklich angefragten Dienst nicht zwingend erforderlich sind, verlangt ePrivacy Art. 5(3) eine vorherige, granulare Einwilligung vor jedem Schreib oder Lesevorgang.

Ja für Analyse und Lead Capture Identifikatoren sowie in den meisten Fällen für die Chat Funktion selbst, sofern sie proaktiv ausgelöst wird oder persistente Identifikatoren nutzt. Das Skript muss bis zur Einwilligung über die CMP blockiert werden. Ein rein besucherinitiiertes Chat mit ausschließlich zwingend erforderlichem Speicher kann auf berechtigtem Interesse beruhen, vorbehaltlich einer dokumentierten Abwägung.

Für Analyse, Verhaltensprofiling und Marketing orientierte Lead Capture ist die Einwilligung (Art. 6(1)(a)) die passende Grundlage. Für die zwingend erforderliche Chat Funktion kann nach Abwägung berechtigtes Interesse (Art. 6(1)(f)) greifen. Werden besondere Datenkategorien (Art. 9) erfasst, ist zusätzlich eine Bedingung nach Art. 9 wie ausdrückliche Einwilligung notwendig.

ScapBot wird in den USA gehostet, daher liegen internationale Übermittlungen aus EWR und UK vor. Erforderlich sind SCC, ein Transfer Impact Assessment nach Schrems II und zusätzliche Maßnahmen wie Verschlüsselung und Zugriffskontrollen. Zertifiziert sich ScapBot unter dem EU US Data Privacy Framework, ist der aktive Status auf der offiziellen DPF Liste zu prüfen.

Eine DSFA wird dringend empfohlen und ist häufig verpflichtend. Auslöser: großflächige Verarbeitung von Freitext mit potenziellen Art. 9 Daten, systematische Beobachtung von Besucherverhalten, Profiling und Übermittlungen in ein Drittland ohne Angemessenheitsbeschluss. Risiken, Maßnahmen und Restrisikoentscheidung vor Go Live dokumentieren.

Skript bis zur Einwilligung blockieren, AVV mit ScapBot abschließen, DSFA durchführen, kurze Speicherfristen konfigurieren, Admin Zugriffe nach Need to Know beschränken, sensible Inhalte aus Transcripts soweit möglich filtern oder redigieren, Anbieter und US Transfergrundlage im Datenschutzhinweis nennen, jährlich oder bei Versionswechsel reauditieren.

EU gehostete Chatbot und Lead Capture Anbieter reduzieren Transferrisiko und Aufwand. Open Source Selbsthosting (z. B. Rasa, Botpress) im EWR bietet die größte Datenhoheit. Beim Vergleich vertragliche Garantien, Hostingregion, Sub Auftragsverarbeiter, Speicherkontrollen und Behandlung von Art. 9 Daten prüfen.

Eigene Einträge für jedes ScapBot Cookie oder Identifikator mit Name, Zweck, Dauer und Kategorie (funktional, analytisch, Marketing) ergänzen. Im Datenschutzhinweis ScapBot als Auftragsverarbeiter listen, Datenkategorien (auch potenzielle Art. 9 Inhalte) beschreiben, US Transfermechanismus und Betroffenenrechte erläutern und auf Privacy Policy sowie AVV von ScapBot verlinken.