Datenschutzerklärung KI-Chatbot „ida“

Für das Bundeskanzleramt (BKA) und alle dessen datenschutzrechtlich verantwortlichen Stellen hat der Schutz von personenbezogenen Daten eine hohe Priorität. Wir achten darauf, personenbezogene Daten in Einklang mit allen anwendbaren europarechtlichen und österreichischen Rechtsvorschriften zu verarbeiten und nehmen unsere Verantwortung sehr ernst.

Wir möchten, dass Sie wissen, zu welchen Zwecken und auf welchen Rechtsgrundlagen wir personenbezogene Daten erheben und wie wir diese Daten verarbeiten. Wir möchten Sie darüber hinaus über Ihre Rechte in Datenschutzangelegenheiten informieren und Ihnen mitteilen, an wen Sie sich diesbezüglich wenden können.

Da im Laufe der Zeit Änderungen der Datenschutzerklärung notwendig werden können, empfehlen wir Ihnen, sich diese ab und zu erneut durchzulesen.

Allgemeines zum Datenschutz in Österreich

Datenschutz ist ein Grundrecht, das in der Charta der Grundrechte der Europäischen Union und in § 1 DSG verankert ist. Seit 25. Mai 2018 gilt in der Europäischen Union die Datenschutz-Grundverordnung (DSGVO). Zum gleichen Zeitpunkt trat in Österreich das neue Datenschutzgesetz (DSG) in Kraft.

Was regelt die Datenschutz-Grundverordnung?

Die DSGVO ist eine Verordnung der Europäischen Union und gilt unmittelbar in jedem Mitgliedsstaat, also auch in Österreich. Die DSGVO enthält Vorschriften über die Verarbeitung von personenbezogenen Daten, wie z. B. die Grundsätze für die Verarbeitung, die Rechte der betroffenen Person sowie die Pflichten der Verantwortlichen und der Auftragsverarbeiter.

Was regelt das Datenschutzgesetz?

Das DSG ist ein österreichisches Gesetz und enthält Regelungen zur Ergänzung der DSGVO sowie Vorschriften zur Umsetzung der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Als identifizierbar gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, z. B. mittels Zuordnung zu einem Namen oder einer Kennnummer (beispielsweise Steuernummer, Sozialversicherungsnummer und Kontonummer).

Nachzulesen im Artikel 4 Ziffer 1 DSGVO.

Was bedeutet der Begriff „Verarbeitung“?

Der Begriff „Verarbeitung“ meint jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu zählen z. B. das Erheben, das Erfassen, die Organisation, das Ordnen, das Speichern, das Anpassen oder Verändern, das Auslesen, das Abfragen, das Verwenden, das Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder das Verknüpfen, das Einschränken, das Löschen oder das Vernichten von personenbezogenen Daten.

Nachzulesen im Artikel 4 Ziffer 2 DSGVO.

Was bedeutet der Begriff „Verantwortlicher“?

Der Begriff „Verantwortlicher“ meint die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Nachzulesen im Artikel 4 Ziffer 7 DSGVO.

Was bedeutet der Begriff „Auftragsverarbeiter“?

Der Begriff „Auftragsverarbeiter“ meint eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Nachzulesen im Artikel 4 Ziffer 8 DSGVO.

Wo finden Sie weiterführende Informationen zum Datenschutz?

Den gesamten Text der DSGVO finden Sie auf EUR-Lex unter eur-lex.europa.eu. Den gesamten Text des DSG in der aktuellen Fassung finden Sie im Rechtsinformationssystem des Bundes unter www.ris.bka.gv.at. Weitere Informationen zum Datenschutz finden Sie darüber hinaus auf der Webseite der Datenschutzbehörde unter www.dsb.gv.at.

Verarbeitung Ihrer personenbezogenen Daten durch den KI-Chatbot „ida“

Bitte beachten Sie, dass es sich bei den nachfolgend angeführten Zwecken, Rechtsgrundlagen und Verarbeitungsmodalitäten um eine allgemeine Aufzählung handelt. Für eine individuelle und detaillierte Information über Ihre personenbezogenen Daten haben Sie das Recht auf Auskunft. An wen Sie sich dazu wenden können, finden Sie im Abschnitt Datenschutzrechte.

Gesetzliche Grundlagen der Verarbeitungstätigkeiten

Als Rechtsgrundlage der Verarbeitung fungiert Artikel 6 Abs 1 lit e DSGVO in Verbindung mit § 1 Abs 2 USPG.

Welche personenbezogenen Daten werden verarbeitet?

An diesbezüglich erster Stelle ist darauf hinzuweisen, dass der KI-Chatbot „ida“ (im Folgenden: ida) dazu konzipiert und entwickelt wurde, allgemein gehaltene Anfragen von Userinnen und Usern zu auf den Webseiten www.id-austria.gv.at und www.oesterreich.gv.at verfügbaren Inhalten auf interaktive Art und Weise zu beantworten. Diese Inhalte werden von ida gleichzeitig auch in erster Linie als Wissensbasis für die automatisierte Beantwortung von Fragen herangezogen.

Hingegen dient ida jedoch nicht dazu, konkrete individuelle Anliegen bestimmter Personen bzw auf bestimmte Personen bezogene Anliegen oder Anbringen entgegenzunehmen. Aufgrund dessen werden die Userinnen und User zu Beginn der Kommunikation mit ida ausdrücklich darauf hingewiesen, dass keine personenbezogenen Daten oder vertrauliche Informationen in das Eingabefeld eingegeben werden sollen. Da das Eingabefeld aus technischen Gründen als Freitextfeld zur Verfügung gestellt werden muss, kann die Verarbeitung von von Userinnen und Usern unter Missachtung dieses ausdrücklichen Hinweises eingegebenen personenbezogenen Daten letztlich allerdings nicht verhindert werden.

Folgerichtig kommt es potentiell zur Verarbeitung jener personenbezogenen Daten, die von Userinnen und Usern in das Eingabefeld von ida eingegeben werden.

Insgesamt werden die folgenden Kategorien von Daten verarbeitet:

• Eingaben, Abfragen und Ausgaben (alle drei Kategorien können aus den soeben oben angeführten Gründen potentiell personenbezogene Daten enthalten)
• Chat-ID (Session ID), Zeitstempel der Chat-Erstellung, Chat-Metadaten (insbesondere Ausführungsdauer und Tokenverbrauch)
• Feedback-ID, Feedback-Typ, Feedback-Begründung, Zeitstempel der Feedback-Erstellung
• Filter-Entscheidungen (systemgeneriert), Filter-Begründungen (systemgeneriert), Filter-Details (systemgeneriert)
• Trace-ID (Prozesskennung)

Welche Zwecke haben die einzelnen Verarbeitungsvorgänge?

Im Detail besteht die Verarbeitung aus den folgenden vier Phasen, die dem jeweils angeführten Zweck dienen:

Wer ist für die Datenverarbeitung verantwortlich?

Verantwortlicher im Sinne von Art 4 Z 7 Datenschutz-Grundverordnung (DSGVO) für die angeführten Datenverarbeitungen ist das BKA.

Darüber hinaus fungiert die Bundesrechenzentrum GmbH als Betreiberin¹ des KI-Chatbots „ida“ sowie zugleich als Auftragsverarbeiterin für die angeführten Datenverarbeitungen und ist somit nicht datenschutzrechtlich Verantwortliche.

Diesbezüglich wurde sowohl eine Auftragsverarbeitervereinbarung abgeschlossen als auch eine entsprechende Detailbeauftragung durchgeführt.

Anderweitige Datenübermittlungen finden nicht statt; ebenso werden keine Sub-Dienstleister eingebunden.

Datenschutzrechte

Die DSGVO und das DSG regeln auch die Datenschutzrechte der betroffenen Personen, also derjenigen, deren personenbezogene Daten verarbeitet werden. Der Rechtsanspruch der betroffenen Person richtet sich gegen den Verantwortlichen, also gegen die für die Datenverarbeitung verantwortliche Stelle.

Welche Datenschutzrechte haben Sie?

Nach der DSGVO und dem DSG stehen Ihnen grundsätzlich verschiedene Rechte zu, insbesondere:

• das Recht, die Einwilligung zur Verarbeitung Ihrer personenbezogenen Daten jederzeit zu widerrufen, sofern die Verarbeitung durch uns auf Grundlage Ihrer Einwilligung erfolgt;
• das Recht auf Auskunft darüber, ob Sie betreffende personenbezogene Daten von uns verarbeitet werden und welchen Inhalt diese haben, sowie das Recht auf Berichtigung bzw. Vervollständigung und auf Löschung Ihrer personenbezogenen Daten, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung sowie auf Datenübertragbarkeit, sofern die gesetzlichen Voraussetzungen dafür vorliegen.

Die jeweiligen gesetzlichen Voraussetzungen sowie etwaige Ausnahmen und Beschränkungen dieser Rechte ergeben sich aus den Artikeln 12 bis 22 DSGVO bzw. aus den §§ 42 bis 45 DSG sowie aus den Rechtsvorschriften, die den jeweiligen Datenverarbeitungen zu Grunde liegen.

Wichtiger Hinweis:
Aus technischen Gründen, insbesondere im Zusammenhang mit bestmöglichen datenschutzfreundlichen Voreinstellungen, unterliegen die Datenverarbeitungen durch ida durchwegs kurzen Speicher- bzw. Löschfristen:

Dementsprechend können die Datenschutzrechte nur vor Ablauf dieser Fristen abgewickelt werden. Bei Einlangen eines konkreten Auskunfts- oder Berichtigungsersuchens gemäß DSGVO innerhalb von 90 Tagen betreffend einen bestimmten Chat wird die Aufbewahrungsfrist dieses konkreten Chats auf ein Jahr ab dem Zeitpunkt der Beantwortung des Ersuchens gesetzt. Chats und deren Inhalte sind ausschließlich mittels der im jeweiligen Chat ersichtlichen Chat-ID rückverfolgbar.

In jenen Fällen, in denen sonstige gesetzliche Ausnahmen bzw. Beschränkungen der Datenschutzrechte bestehen, dürfen wir Ihrem Antrag nicht bzw. nur eingeschränkt entsprechen. Sofern dies gesetzlich zulässig ist, teilen wir Ihnen in diesem Fall den Grund für die Verweigerung bzw. Einschränkung mit.

Wie können Sie Ihren Antrag einbringen?

Sie können Ihren Antrag zur Geltendmachung Ihrer Datenschutzrechte bei der für die Verarbeitung Ihrer personenbezogenen Daten verantwortlichen Stelle per Brief oder E-Mail einbringen. Bitte beachten Sie jedoch den unter Wie wird Ihr Antrag beantwortet? formulierten Vorbehalt sowie den Umstand, dass zur Bestätigung Ihrer Identität die Beilage einer Kopie eines amtlichen Lichtbildausweises (z. B. Reisepass oder Personalausweis) erforderlich ist.

Bitte verfassen Sie Ihren Antrag so konkret wie möglich. Nur so können wir diesen effizient und rasch bearbeiten.

Wir ersuchen Sie darüber hinaus um Verständnis dafür, dass wir in Zweifelsfällen weitere Angaben zu Ihrer Identität verlangen müssen. Dies dient ausschließlich dem Schutz Ihrer personenbezogenen Daten und soll sicherstellen, dass nur Sie selbst Auskunft über Ihre personenbezogenen Daten erhalten.

Wer sind Ihre Ansprechpartner?

Fragen und Anliegen in datenschutzrechtlichen Angelegenheiten im Zusammenhang mit dem KI-Chatbot „ida“ können Sie an die zuständige Abteilung VII/4 – E-Government Bürger oder an die Datenschutzbeauftragten des BKA (siehe gleich unten) richten.

Kontaktdaten der zuständigen Abteilung:
Bundeskanzleramt Österreich
Sektion VII Digitalisierung und E-Government
Abteilung VII/4 – E-Government Bürger
Ballhausplatz 2, 1010 Wien

Wie lauten die Kontaktdaten des datenschutzrechtlich Verantwortlichen?

Verantwortlicher:
Bundeskanzleramt Österreich
Ballhausplatz 2, 1010 Wien
Telefon: +43 1 531 15-0
E-Mail: post@bka.gv.at

Wie lauten die Kontaktdaten der Datenschutzbeauftragten?

Datenschutzbeauftragte des Bundeskanzleramts:
Bundeskanzleramt Österreich
Ballhausplatz 2, 1010 Wien
E-Mail: datenschutz@bka.gv.at

Wie lange dauert die Bearbeitung Ihres Antrags?

Wir werden Ihnen ehestmöglich, jedenfalls aber innerhalb eines Monats nach Eingang Ihres Antrags, die entsprechenden Informationen über die Maßnahmen zur Verfügung stellen.

Beachten Sie bitte, dass diese Frist um weitere zwei Monate verlängert werden kann, wenn dies unter Berücksichtigung der Komplexität bzw. der Anzahl von Anträgen erforderlich ist. Wir informieren Sie aber jedenfalls innerhalb eines Monats nach Eingang Ihres Antrags über eine etwaige Fristverlängerung und über die Gründe dafür.

Wie wird Ihr Antrag beantwortet?

Personenbezogene Daten sind Vertrauenssache. Da eine unverschlüsselte E-Mail leider nicht als sicher eingestuft werden kann und eher mit einer Postkarte als mit einem Brief vergleichbar ist, übermitteln wir die Beantwortung Ihres Antrags niemals per E-Mail. Sie erhalten die Beantwortung daher per eZustellung (RSa) oder per Post (RSa).

Welche Beschwerdemöglichkeiten haben Sie?

Bei Fragen, Anregungen und Beschwerden in Datenschutzangelegenheiten stehen Ihnen die Datenschutzbeauftragten des BKA zur Verfügung.

Wenn Sie der Auffassung sind, dass die Verarbeitung Ihrer personenbezogenen Daten durch uns gegen Datenschutzvorschriften verstößt oder Ihre datenschutzrechtlichen Ansprüche in einer sonstigen Weise verletzt worden sind, können Sie bei der zuständigen Aufsichtsbehörde Beschwerde einlegen. In Österreich ist dies die Datenschutzbehörde.

Kontaktdaten:
Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
Telefon: +43 1 52 152 0
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at