Ein Chat-Widget berührt in Deutschland vier Regelwerke: das TDDDG beim Zugriff auf die Endeinrichtung, die DSGVO bei den Chat-Daten, die KI-Verordnung, sobald ein Bot antwortet, und das Betriebsverfassungsgesetz, wenn ein Betriebsrat besteht. Dieser Ratgeber ordnet die Pflichten in der Reihenfolge, in der sie beim Einbau auftreten, und verknüpft sie mit der Wahl des Anbieters.
Das Wichtigste in Kürze
- Laden Sie das Skript des Chat-Anbieters erst nach der Einwilligung im Consent-Banner oder nach dem Klick auf den Chat-Button (Zwei-Klick-Lösung).
- Nennen Sie den Chat-Anbieter im Consent-Banner und in der Datenschutzerklärung namentlich, auch wenn er nur Auftragsverarbeiter ist.
- Schließen Sie vor dem Livegang einen AVV nach Art. 28 DSGVO. Prüfen Sie bei US-Anbietern die Zertifizierung unter dem Data Privacy Framework und behalten Sie Standardvertragsklauseln als Rückfallebene.
- Geben Sie die Informationen nach Art. 13 DSGVO dort, wo der Chat beginnt: am Vorab-Formular oder vor der ersten Nachricht.
- Antwortet ein KI-Bot, muss das spätestens bei der ersten Interaktion klar erkennbar sein. Ein Hinweis nur in den AGB genügt nach den Hinweisen der Bundesnetzagentur nicht.
- Besteht ein Betriebsrat, gehört die Einführung der Chat-Software vor dem Start auf seine Tagesordnung.
- Die E-Mail-Adresse im Impressum bleibt Pflicht. Ein Chat-Widget ersetzt sie nicht (§ 5 DDG).
§ 25 TDDDG: Einwilligung vor dem Zugriff auf die Endeinrichtung
§ 25 Abs. 1 TDDDG erlaubt das Speichern von Informationen in der Endeinrichtung und den Zugriff auf dort gespeicherte Informationen nur mit Einwilligung, die auf klaren und umfassenden Informationen beruht. Das Gesetz hieß bis Mai 2024 TTDSG; § 25 ist in der Sache unverändert. Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um und gilt unabhängig davon, ob die gespeicherten Daten personenbezogen sind.
Die Regel erfasst mehr als Cookies. Der Europäische Datenschutzausschuss zählt in den Leitlinien 2/2023 (Version 2.0 vom 7. Oktober 2024) auch den Local Storage und JavaScript dazu, das den Browser anweist, Informationen zurückzusenden. Eine Besucher-ID, die ein Chat-Widget im Local Storage ablegt, steht damit einem Cookie gleich.
Ohne Einwilligung kommt ein Zugriff nur aus, wenn er unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Genau hier hat sich die Datenschutzkonferenz festgelegt. Die Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) nennt den Chat als Zusatzfunktion neben dem Basisdienst der Website. Solche Funktionen seien nicht schon mit dem ersten Seitenaufruf gewünscht, sondern erst, wenn Nutzer sie „explizit in Anspruch nehmen, z. B. einen Chatbot anklicken“.
Die Folge für die Praxis: Was ein Chat-Widget beim Laden der Seite speichert oder ausliest, fällt nicht unter die Ausnahme und braucht eine Einwilligung. Nach dem Klick ist nur das ausgenommen, was der Chat technisch benötigt, etwa eine Sitzungskennung, die das Gespräch zusammenhält. Die Artikel-29-Datenschutzgruppe hat diesen zweistufigen Test bereits in der Stellungnahme 04/2012 beschrieben; sie nennt den Chat nicht beim Namen, die DSK wendet dieselbe Logik ausdrücklich auf ihn an.
Das praktische Muster: Zwei-Klick-Lösung oder Consent-Banner
- Zeigen Sie beim Seitenaufruf nur einen statischen Chat-Button aus Ihrem eigenen Code, ohne Skript des Anbieters, ohne Cookie und ohne Eintrag im Local Storage.
- Laden Sie das Skript des Anbieters erst, wenn der Besucher den Button anklickt. Alternativ laden Sie es, nachdem der Besucher im Consent-Banner in den Chat eingewilligt hat.
- Schalten Sie alles, was über das Gespräch hinausgeht, nur mit Einwilligung frei: proaktive Chat-Einladungen, das Wiedererkennen zurückkehrender Besucher, Besucher-Tracking vor dem Klick.
Die DSK verlangt außerdem, dass ein Drittdienstleister, der auf die Endeinrichtung zugreift, als Akteur genannt wird, und zwar unabhängig davon, ob er selbst Verantwortlicher oder nur Auftragsverarbeiter ist. Der Name des Chat-Anbieters gehört also in den Consent-Banner und in die Datenschutzerklärung. Wechseln Sie den Anbieter oder binden Sie einen weiteren ein, brauchen Sie nach der Orientierungshilfe für diesen neuen Fall eine neue Einwilligung.
Zur Einordnung: Die Orientierungshilfe ist die Auffassung der deutschen Aufsichtsbehörden, kein Gesetz und kein Urteil. Der Europäische Datenschutzausschuss überlässt die Auslegung der Ausnahme ausdrücklich dem nationalen Recht und den nationalen Behörden. Eine Veröffentlichung einer einzelnen Landesdatenschutzbehörde, die sich eigens mit Live-Chat-Widgets befasst, haben wir nicht gefunden. Die DSK-Position ist damit die deutlichste behördliche Aussage, an der Sie sich ausrichten können.
DSGVO: Rechtsgrundlage, Information und AVV
Sobald im Chat Name, E-Mail-Adresse, IP-Adresse oder ein Transkript anfallen, brauchen Sie eine Rechtsgrundlage nach Art. 6 Abs. 1 der DSGVO. Für Support-Chats kommen üblicherweise Buchstabe b (vorvertragliche Maßnahmen auf Anfrage oder Vertragserfüllung) oder Buchstabe f (berechtigte Interessen) in Betracht. Die Einwilligung nach Buchstabe a bleibt typischerweise der werblichen Nachverfolgung vorbehalten. Die DSGVO nennt den Chat nicht; die Wahl treffen und dokumentieren Sie als Verantwortlicher.
Art. 13 DSGVO verlangt die Information zum Zeitpunkt der Erhebung. Ein Absatz in einer Datenschutzerklärung, die der Besucher nie sieht, genügt dafür nicht. Setzen Sie am Vorab-Formular oder vor der ersten Nachricht einen kurzen Hinweis mit Link, der folgende Punkte abdeckt:
- wer Verantwortlicher ist und wie man ihn erreicht,
- Zwecke und Rechtsgrundlage der Verarbeitung,
- Empfänger, also den Chat-Anbieter mit Namen,
- einen etwaigen Drittlandtransfer und das Instrument dafür,
- die Speicherdauer der Transkripte.
Ein gehosteter Chat-Anbieter, der Transkripte in Ihrem Auftrag speichert, ist Auftragsverarbeiter. Art. 28 Abs. 3 DSGVO schreibt dafür einen Vertrag vor, der unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt. Der AVV muss stehen, bevor das Widget live geht. Prüfen Sie vor dem Kauf, ob der Anbieter den AVV auf jedem Tarif anbietet, auch auf dem kostenlosen, und ob er eine Liste seiner Unterauftragsverarbeiter veröffentlicht. Beides fließt in unser Kriterium zu Datenstandort und Compliance ein, das wir unter So bewerten wir beschreiben.
Drittlandtransfer und EU-Hosting
Verarbeitet der Anbieter oder einer seiner Unterauftragsverarbeiter Daten außerhalb des EWR, verlangt Kapitel V der DSGVO ein Transferinstrument: einen Angemessenheitsbeschluss nach Art. 45 oder geeignete Garantien wie Standardvertragsklauseln. Für US-Anbieter gilt der Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023. Er deckt nur Unternehmen ab, die aktiv zertifiziert sind. Prüfen Sie den Eintrag des Anbieters in der DPF-Liste; fehlt er, brauchen Sie Standardvertragsklauseln.
Wer sich diese Prüfung ersparen will, macht den Speicherort zum Kaufkriterium. Unsere Liste Live-Chat mit EU-Hosting ordnet die Anbieter danach. Was die Anbieter selbst dokumentieren, fällt sehr unterschiedlich aus:
- Lime Connect (früher Userlike, Sitz in Köln) gibt an, alle Chat-Daten auf Servern in Deutschland zu speichern. Für die KI-Modelle nennt der Anbieter Microsoft Azure und AWS Bedrock, die Region der KI-Verarbeitung aber nicht.
- Crisp (Sitz in Nantes) dokumentiert EU-Hosting und einen AVV auf allen Tarifen, erklärt aber selbst, weder ein SOC-2-Audit noch ein ISO-27001-Zertifikat zu haben.
- Bei LiveChat und Freshchat wird die Datenregion bei der Registrierung gewählt. Für den kostenlosen Tarif von Freshchat ist die Regionswahl nicht bestätigt.
- Intercom bietet regionales Hosting laut Hilfecenter nur auf den Tarifen Advanced und Expert an.
- tawk.to speichert die Daten in den USA und bietet keine EU-Region; der AVV enthält Standardvertragsklauseln.
- Smartsupp widerspricht sich: Die Preisseite nennt Server in der EU, der DSGVO-Hilfeartikel spricht davon, dass ein Teil der Daten auch in den USA und anderen Ländern liegt.
EU-Hosting beantwortet die Transferfrage nicht allein. Maßgeblich ist auch, wo die Unterauftragsverarbeiter arbeiten, etwa der Betreiber des KI-Modells. Fragen Sie nach der Liste und nach der Region der KI-Verarbeitung, bevor Sie einen Bot einschalten.
KI-Chatbot: Transparenzpflicht nach Art. 50 KI-Verordnung
Art. 50 Abs. 1 der KI-Verordnung (EU) 2024/1689 gilt seit dem 2. August 2026. KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Betroffenen erfahren, dass sie mit einer KI kommunizieren, es sei denn, das ist für eine verständige, aufmerksame Person offensichtlich. Bei einem Website-Chat, in dem zuerst ein Bot antwortet oder Bot und Menschen sich ein Widget teilen, sollten Sie sich auf diese Ausnahme nicht verlassen. Nach Art. 50 Abs. 5 muss der Hinweis klar und eindeutig sein, spätestens bei der ersten Interaktion erfolgen und barrierefrei zugänglich sein.
Einen Aufschub gibt es dafür nicht. Die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, verschiebt Hochrisiko-Pflichten und gewährt bereits vermarkteten generativen Systemen eine Frist bis zum 2. Dezember 2026, aber nur für die Kennzeichnung KI-erzeugter Inhalte nach Art. 50 Abs. 2. Die FAQ der Kommission (Stand 24. Juli 2026) bestätigen das.
In Deutschland ist die Bundesnetzagentur nach dem KI-MIG, in Kraft seit dem 29. Juli 2026, die zuständige Marktüberwachungsbehörde. Ihre Hinweise zu den Transparenzpflichten sind konkret: Art. 50 gilt für alle erfassten Systeme unabhängig vom Datum der Markteinführung. Der Hinweis muss eindeutig sein und vor oder bei der ersten Interaktion erfolgen. Formlose Mittel wie Text, Symbol oder Audio sind zulässig. Eine Klausel in den AGB allein reicht nicht aus.
Die Kommission ordnet die Pflicht aus Abs. 1 dem Anbieter des KI-Systems zu, also dem Hersteller des Bots. Verlassen sollten Sie sich darauf nicht: Wer den Bot konfiguriert und unter eigener Marke einsetzt, sollte prüfen, ob der Hinweis tatsächlich eingeschaltet ist, am besten in der ersten Bot-Nachricht oder im Kopf des Widgets. Die Leitlinien der Kommission zu Art. 50 vom 20. Juli 2026 haben wir nicht im Volltext ausgewertet; wie sie gemischte Widgets aus Mensch und Bot behandeln, ist von uns nicht geprüft. Verstöße gegen Art. 50 können nach Art. 99 Abs. 4 mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Worin sich Live-Chat, Chatbot und KI-Agent unterscheiden, erklärt der Ratgeber Live-Chat, Chatbot oder KI-Agent.
Betriebsrat: Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
Besteht ein Betriebsrat, bestimmt er nach § 87 Abs. 1 Nr. 6 BetrVG mit über die „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Live-Chat-Software protokolliert je Mitarbeiter Transkripte, Antwortzeiten, Bewertungen und die Zahl der Chats. Auf die Absicht des Arbeitgebers kommt es nach der Rechtsprechung nicht an; es genügt, dass das System zur Überwachung objektiv geeignet ist, wie eine Zusammenfassung der Kanzlei Hammer Rechtsanwälte festhält.
Das Gesetz nennt Chat-Software nicht. Das Bundesarbeitsgericht hat aber am 13. Dezember 2016 entschieden (1 ABR 7/15), dass eine vom Arbeitgeber betriebene Facebook-Seite, auf der Besucher Beiträge zum Verhalten und zur Leistung von Mitarbeitern veröffentlichen können, eine technische Überwachungseinrichtung im Sinne der Vorschrift ist. Dass Chat-Bewertungen und gespeicherte Transkripte, die namentlich einem Mitarbeiter zugeordnet sind, ebenso zu behandeln sind, ist unsere Analogie, nicht die Aussage des Gerichts. Eine Entscheidung, die § 87 Abs. 1 Nr. 6 BetrVG ausdrücklich auf Live-Chat-Software anwendet, haben wir nicht gefunden. Der vorsichtige Weg ist eine Betriebsvereinbarung vor der Einführung, die regelt, welche Auswertungen je Mitarbeiter zulässig sind und wer sie einsehen darf.
Aufbewahrung von Chat-Transkripten
Eine feste gesetzliche Frist speziell für Chat-Transkripte haben wir in den ausgewerteten Quellen nicht gefunden. Fest steht zweierlei: Art. 13 DSGVO verpflichtet Sie, die Speicherdauer oder die Kriterien dafür zu nennen, und der AVV muss die Dauer der Verarbeitung festlegen. Sie brauchen also eine eigene, begründete Löschfrist, bevor der Chat live geht. Welche Transkripte darüber hinaus handels- oder steuerrechtlich aufzubewahren sind, hängt vom Inhalt ab und gehört in die Beratung durch Ihre Steuer- oder Rechtsberatung.
Für die Anbieterwahl heißt das: Prüfen Sie, ob sich Transkripte automatisch nach einer einstellbaren Frist löschen lassen, ob einzelne Gespräche auf Anfrage eines Betroffenen gelöscht und exportiert werden können und was mit den Daten bei Vertragsende geschieht. Kostenlose Tarife begrenzen den Chatverlauf teils von sich aus. Wie lange welcher Tarif den Verlauf vorhält, zeigt unser Audit der kostenlosen Tarife. Eine solche Begrenzung ersetzt kein Löschkonzept, denn sie beschreibt, was Sie sehen, nicht zwingend, was der Anbieter speichert.
Von der Pflicht zur Frage an den Anbieter
| Pflicht | Rechtsquelle | Was Sie den Anbieter fragen |
|---|---|---|
| Einwilligung vor dem Zugriff auf die Endeinrichtung | § 25 TDDDG, DSK-Orientierungshilfe | Lässt sich das Widget erst nach Einwilligung oder Klick laden? Welche Cookies und Local-Storage-Einträge setzt es wann? |
| Auftragsverarbeitung | Art. 28 DSGVO | Gibt es den AVV auf jedem Tarif? Ist die Liste der Unterauftragsverarbeiter veröffentlicht? |
| Drittlandtransfer | Kapitel V DSGVO | Wo liegen Transkripte und KI-Verarbeitung? Aktive DPF-Zertifizierung, Standardvertragsklauseln im Vertrag? |
| KI-Transparenz | Art. 50 KI-VO, KI-MIG | Kennzeichnet sich der Bot in der ersten Nachricht selbst als KI, und lässt sich der Text anpassen? |
| Mitbestimmung | § 87 Abs. 1 Nr. 6 BetrVG | Lassen sich Auswertungen je Mitarbeiter einschränken oder abschalten? |
| Speicherdauer | Art. 13 und Art. 28 DSGVO | Gibt es automatische Löschfristen, Export und Löschung einzelner Gespräche? |
Verstöße gegen die Grundsätze der Verarbeitung, die Informationspflichten und die Transferregeln können nach Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Der Vorschlag der Kommission, die Regeln zur Endeinrichtung im Rahmen des „Digital Omnibus“ in die DSGVO zu verlagern, ist am 18. September 2026 nicht beschlossen; den Verhandlungsstand kennen wir nur aus Fachpresse, nicht aus Primärdokumenten. Bis auf Weiteres gilt § 25 TDDDG.
Quellen
- § 25 TDDDG, Gesetze im Internet
- DSK, Orientierungshilfe Digitale Dienste, Version 1.2 (November 2024)
- Richtlinie 2002/58/EG (ePrivacy), konsolidierte Fassung, Art. 5 Abs. 3
- EDSA, Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3, Version 2.0
- Artikel-29-Datenschutzgruppe, Stellungnahme 04/2012 (WP 194)
- Verordnung (EU) 2016/679 (DSGVO): Art. 6, 13, 28, Kapitel V, Art. 83
- Europäische Kommission, EU-US-Datentransfers und Data Privacy Framework
- Gericht der EU, Pressemitteilung zur Rechtssache T-553/23, Latombe/Kommission (3. September 2025)
- WilmerHale, Beitrag zum Rechtsmittel gegen das DPF-Urteil (1. Dezember 2025), Kanzleiquelle
- Verordnung (EU) 2024/1689 (KI-Verordnung): Art. 50, Art. 99
- Verordnung (EU) 2026/1744
- Europäische Kommission, FAQ zu den Transparenzpflichten nach Art. 50 (Stand 24. Juli 2026)
- Europäische Kommission, Leitlinien zu den Transparenzpflichten nach Art. 50 (20. Juli 2026)
- KI-MIG, Gesetze im Internet
- Bundesnetzagentur, Transparenzpflichten nach der KI-Verordnung
- § 87 BetrVG, Gesetze im Internet
- Bundesarbeitsgericht, Beschluss vom 13. Dezember 2016, 1 ABR 7/15
- Hammer Rechtsanwälte, Mitbestimmung des Betriebsrats bei Software und KI-Systemen, Kanzleiquelle
- § 5 DDG, Gesetze im Internet
Häufige Fragen
Brauche ich für ein Live-Chat-Widget eine Einwilligung im Consent-Banner?
Ja, wenn das Widget schon beim Seitenaufruf Cookies setzt oder den Local Storage nutzt. Die Datenschutzkonferenz wertet einen Chat erst mit dem Klick des Besuchers als ausdrücklich gewünscht (Orientierungshilfe Digitale Dienste, Version 1.2). Ohne Banner-Einwilligung kommen Sie aus, wenn Sie das Skript des Anbieters erst nach dem Klick auf einen statischen Chat-Button laden und danach nur speichern, was das Gespräch technisch braucht.
Reicht ein AVV, wenn der Chat-Anbieter in den USA sitzt?
Nein. Der AVV nach Art. 28 DSGVO regelt die Auftragsverarbeitung, nicht den Drittlandtransfer. Für den Transfer brauchen Sie zusätzlich ein Instrument nach Kapitel V: die aktive Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework, das am 18. September 2026 gültig ist, oder Standardvertragsklauseln. Weil ein Rechtsmittel gegen das Urteil zum Framework anhängig ist, sind Standardvertragsklauseln als Rückfallebene sinnvoll. Anbieter mit dokumentiertem EU-Hosting stehen in der Liste Live-Chat mit EU-Hosting.
Muss ich kennzeichnen, dass ein KI-Chatbot antwortet?
Ja. Art. 50 der KI-Verordnung gilt seit dem 2. August 2026 und verlangt einen klaren Hinweis spätestens bei der ersten Interaktion. Die Pflicht trifft nach Lesart der Kommission den Anbieter des KI-Systems; als Betreiber der Website sollten Sie trotzdem prüfen, ob der Hinweis in Ihrem Widget eingeschaltet ist. Die Bundesnetzagentur hält Text, Symbol oder Audio für zulässig, eine Klausel in den AGB allein aber nicht für ausreichend.
Muss der Betriebsrat der Einführung einer Chat-Software zustimmen?
Wenn ein Betriebsrat besteht, sollten Sie davon ausgehen. § 87 Abs. 1 Nr. 6 BetrVG erfasst technische Einrichtungen, die Verhalten oder Leistung der Arbeitnehmer überwachen können, und Chat-Software zeichnet Antwortzeiten, Bewertungen und Transkripte je Mitarbeiter auf. Ein Urteil eigens zu Live-Chat-Software haben wir nicht gefunden; die Einordnung stützt sich auf eine Analogie zum Facebook-Beschluss des Bundesarbeitsgerichts (1 ABR 7/15). Üblich ist eine Betriebsvereinbarung vor dem Start.
Wie lange darf ich Chat-Transkripte speichern?
Eine feste Frist eigens für Chat-Transkripte haben wir in den ausgewerteten Quellen nicht gefunden. Sie müssen die Speicherdauer selbst festlegen, begründen und nach Art. 13 DSGVO in der Datenschutzinformation nennen; der AVV muss die Dauer der Verarbeitung regeln. Achten Sie bei der Anbieterwahl auf einstellbare automatische Löschfristen und auf die Löschung einzelner Gespräche.
Ersetzt ein Chat-Widget die E-Mail-Adresse im Impressum?
Nein. § 5 Abs. 1 Nr. 2 DDG verlangt Angaben für eine schnelle elektronische Kontaktaufnahme einschließlich der Adresse für die elektronische Post. Der Chat ist ein zusätzlicher Kanal, kein Ersatz.
Weiterlesen
- Reicht ein kostenloser Live-Chat-Tarif für Ihr Team?Ratgeber
- Preise pro Nutzer oder pro Workspace: Was Ihre Teamgröße mit der Rechnung machtRatgeber
- Wie Live-Chat-Anbieter KI abrechnenRatgeber
- Live-Chat vs Chatbot vs KI-AgentRatgeber
- Beste Live-Chat-Software 2026Bestenliste
- Gratis-Tarif-Check: Passt Ihr Team in einen kostenlosen Live-Chat-Tarif?
Diese Seite wurde mit KI-Unterstützung anhand der hier aufgeführten Quellen recherchiert und verfasst. Wir haben diese Produkte nicht selbst installiert oder getestet. Methode: So bewerten wir