Chat-Widget und Cookie-Banner: was § 25 TDDDG für den Chat verlangt

Ein Chat-Widget ist für viele Betreiber das letzte Element, das noch ins Cookie-Banner wandert, und oft landet es dort aus Unsicherheit statt aus einem Grund. Dabei stellen sich zwei Fragen, die zwei Gesetze beantworten. § 25 TDDDG regelt, was das Widget im Browser des Besuchers ablegen oder dort auslesen darf, gleich ob dabei personenbezogene Daten im Spiel sind. Die DSGVO regelt, auf welcher Grundlage die Inhalte des Gesprächs verarbeitet werden. Dieser Beitrag trennt beide Ebenen, zeigt, was ein Widget vor der ersten Nachricht tun darf und was nicht, und wie Hinweis, Widerruf und Nachweis technisch aussehen. Er erklärt die Rechtslage und ersetzt im Einzelfall keine fachliche Beratung.

Grafik vergrößern

Beschriftungen der Abbildung

• 1
• Speichert oder liest das Widget
• etwas im Browser des Besuchers?
• 2
• Hat der Besucher den Chat
• ausdrücklich angefordert, etwa per Klick?
• 3
• Ist es technisch unbedingt
• erforderlich, um das Gespräch zu führen?
• § 25 TDDDG ist nicht berührt
• Es bleibt die Frage nach der Grundlage in der DSGVO
• nein
• Einwilligung vor dem ersten Speichern
• § 25 Abs. 1 TDDDG, etwa über das Cookie-Banner
• nein
• Einwilligung nötig, auch nach dem Klick
• etwa Wiedererkennung, Besuchsmerker, Messung
• nein
• ja
• ja
• ja
• Keine Einwilligung nach § 25 TDDDG nötig
• Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG
• Geprüft wird je Speichervorgang,
• nicht einmal für das ganze Widget
• Unabhängig davon: Chatinhalte brauchen eine Grundlage nach Art. 6 Abs. 1 DSGVO

Braucht das Chat-Widget eine Einwilligung?

Zwei Gesetze, zwei verschiedene Fragen

Die erste Frage betrifft den Ort. § 25 Absatz 1 TDDDG erlaubt das Speichern von Informationen in der Endeinrichtung und den Zugriff auf dort bereits gespeicherte Informationen nur mit Einwilligung des Endnutzers. Die Vorschrift fragt nicht danach, ob die Information eine Person erkennbar macht. Die Aufsichtsbehörden betonen das in ihrer Orientierungshilfe ausdrücklich: Das TDDDG regelt den Schutz der Privatsphäre bei der Nutzung von Endeinrichtungen, unabhängig davon, ob ein Personenbezug vorliegt oder nicht. Ein Eintrag im lokalen Speicher des Browsers, der nur den Wert „offen“ oder „geschlossen“ enthält, fällt damit ebenso unter die Vorschrift wie eine Besucherkennung.

Die zweite Frage betrifft den Inhalt. Was ein Besucher in das Chatfenster schreibt, seine Frage, eine Bestellnummer, vielleicht seinen Namen, sind personenbezogene Daten, und für ihre Verarbeitung braucht es eine der Bedingungen aus Art. 6 Abs. 1 DSGVO. Für eine Anfrage kommt häufig die Durchführung vorvertraglicher Maßnahmen in Betracht, die auf Anfrage der betroffenen Person erfolgen (Art. 6 Abs. 1 lit. b DSGVO); daneben stehen die berechtigten Interessen nach lit. f oder eine Einwilligung nach lit. a. Welche Grundlage trägt, hängt am Zweck des Assistenten. Für Kontaktdaten, die im Gespräch aufgenommen werden, beschreibt das der Beitrag Kontaktdaten im Chat: Einwilligung richtig einholen; hier geht es um das Endgerät. Wichtig ist die Verbindung beider Ebenen: Nach der Orientierungshilfe ist eine Zustimmung im Banner, deren Wortlaut die Folgeverarbeitung nicht anspricht, keine gebündelte Einwilligung nach TDDDG und DSGVO, sondern lediglich eine Einwilligung nach dem TDDDG.

Der Chat ist gewünscht, sobald jemand klickt

Die Ausnahme, auf die sich ein Chat-Widget stützen kann, steht in § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist danach nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Darin stecken zwei Bedingungen, und beide müssen zugleich erfüllt sein: Der Dienst muss ausdrücklich gewünscht sein, und der Vorgang muss für genau diesen Dienst unbedingt erforderlich sein.

Für die erste Bedingung haben die Aufsichtsbehörden in ihrer Orientierungshilfe für Anbieter digitaler Dienste eine klare Linie gezogen. Sie unterscheiden den Basisdienst einer Website von Zusatzdiensten, die man einzeln in Anspruch nehmen kann, und nennen den Chat ausdrücklich: Ein Kontaktformular, ein Chat oder ein Kartendienst werden nicht automatisch mit dem ersten Aufruf der Webseite gewünscht. Gewünscht sind solche Zusatzdienste erst, wenn Nutzer sie explizit in Anspruch nehmen, zum Beispiel einen Chatbot anklicken.

Daraus folgt eine einfache Bauregel: Bis zum Klick zeigt das Widget nur seinen Auslöser und legt nichts ab. Mit dem Klick beginnt der Dienst, und erst dann kann eine Speicherung, die das Gespräch technisch trägt, unter die Ausnahme fallen. Wo das Widget sitzt und wann es sich von selbst meldet, ist eine Gestaltungsfrage mit eigenen Regeln, wie Chat-Widget platzieren: Position, Timing, Ansprache zeigt. Für die Rechtsfrage gilt dabei: Eine Sprechblase, die sich nach einer Weile von selbst öffnet, ist kein Klick des Besuchers.

Was unbedingt erforderlich bedeutet

Die zweite Bedingung ist enger, als der Alltagsbegriff vermuten lässt. Die Orientierungshilfe versteht sie technisch: Von der Ausnahme sind nur Zugriffe erfasst, die technisch erforderlich sind, um gerade den gewünschten Dienst bereitzustellen. Ausdrücklich ausgeschlossen ist die wirtschaftliche Begründung. Eine Ausnahme von der Einwilligungsbedürftigkeit kann nicht dadurch begründet werden, dass das Speichern oder Auslesen wirtschaftlich für das Geschäftsmodell erforderlich ist, in das der Dienst eingebunden ist. Zu prüfen sind dabei vier Fragen, die die Aufsicht ausdrücklich stellt:

• Wann: der Zeitpunkt der Speicherung. Eine Gesprächskennung, die beim Seitenaufruf entsteht, liegt vor dem Wunsch; dieselbe Kennung, die mit der ersten Nachricht entsteht, liegt danach.
• Wie lange: die Laufzeit des Eintrags. Für individualisierte Einträge hält die Aufsicht häufig nur die Dauer einer Sitzung für erforderlich.
• Was: der Inhalt. Eine eindeutige Kennung wiegt schwerer als ein Wert wie „offen“ oder „geschlossen“, der niemanden von anderen unterscheidet.
• Für wen: wer den Eintrag auslesen kann. Ein Eintrag, den nur die eigene Seite liest, ist anders zu bewerten als einer, auf den ein Dritter zugreift.

Für ein Chat-Widget lassen sich daraus konkrete Folgerungen ableiten. Eine Gesprächskennung, die einen Seitenwechsel überbrückt, damit das laufende Gespräch nicht abreißt, ist ein typischer Kandidat für die Ausnahme. Eine Kennung, die den Besucher nach Wochen wiedererkennt, ist es in der Regel nicht; das ist eine eigene Verarbeitung mit eigener Grundlage, wie der Beitrag zum Gesprächsgedächtnis eines Assistenten ausführt. Sparsamkeit gilt sogar für die Einwilligung selbst: Die Aufsicht hält es nicht für erforderlich, dass für die Speicherung einer Einwilligung ein Cookie mit einer eindeutigen ID langfristig gespeichert wird.

Was ein Widget vor der ersten Nachricht ablegt

Die meisten Widgets tun beim Laden der Seite mehr, als ihr Auslöser verrät. Sie holen eine Konfiguration vom Server, bauen ihr Fenster unsichtbar vorab auf, damit es beim Klick sofort bereitsteht, und schreiben dabei Einträge in den Speicher des Browsers. Wer wissen will, was das eigene Widget tut, lädt die Seite in einem frischen Browserprofil, klickt nichts an und sieht in den Entwicklerwerkzeugen nach, welche Cookies und welche Einträge im lokalen Speicher und im Sitzungsspeicher entstanden sind. Diese Liste ist die Grundlage jeder weiteren Prüfung.

Ein Abruf beim Laden der Seite ist dabei nicht nur eine Frage des § 25. Jede Anfrage an einen Server überträgt technisch die IP-Adresse des Besuchers, und das ist eine Verarbeitung nach der DSGVO, die in der Datenschutzerklärung und, wenn ein Dienstleister beteiligt ist, im Vertrag zur Auftragsverarbeitung abgebildet sein sollte. Was dieser Vertrag bei einem Chat-Assistenten regeln sollte, steht in Auftragsverarbeitung für KI-Assistenten. Je weniger vor dem Klick geschieht, desto kürzer wird diese Liste.

Sofort laden oder erst nach dem Klick

Für den Zeitpunkt des Ladens gibt es drei Muster, und sie unterscheiden sich weniger in der Technik als darin, was vor der Entscheidung des Besuchers geschieht. Das erste lädt alles zusammen mit der Seite. Das zweite zeigt nur einen Auslöser und baut das Fenster erst beim Klick auf. Das dritte wartet zusätzlich auf eine Zustimmung im Banner der Seite und bleibt bis dahin still.

Der zweite Weg ist in der Regel der ausgewogenste, und er hängt an einer Bedingung: Das Ladeskript selbst darf beim Laden nichts ablegen und sollte so schlank sein, dass es die Seite nicht spürbar verlangsamt. Bei XICBOT läuft auf der einbindenden Seite nur dieses Ladeskript; das Chatfenster liegt in einem eigenen Rahmen. Wann dieser Rahmen lädt, hängt an einer Einstellung. Ohne Einwilligungstor hängt der Lader ihn nach dem Laden der Seite ein, und der Rahmen holt seine Konfiguration, ohne dass jemand klickt; das entspricht dem ersten Muster, nur zeitlich hinter der Seite. Mit Tor lädt der Rahmen erst nach der Zustimmung im Banner oder nach dem Klick auf den Auslöser. Was ein Widget an Ladezeit kostet, zeigt Chat-Widget und Ladezeit.

Cookie-Banner und Chat: wer wen steuert

Legt ein Widget Einträge ab, die eine Einwilligung brauchen, gehört es mit einem eigenen, verständlich benannten Zweck in das Banner der Seite. Dann gilt für den Chat dieselbe Reihenfolge wie für jedes andere Element: erst die Entscheidung, dann der Zugriff. Die Aufsichtsbehörden halten es für nicht zulässig, wenn einwilligungsbedürftige Cookies bereits mit dem erstmaligen Aufruf einer Website gesetzt und erst anschließend die Einwilligung abgefragt wird. Für das Widget heißt das: Es muss auf die Entscheidung im Banner warten können und sich von dort auch wieder abschalten lassen.

Umgekehrt gilt: Ein Widget, das vor dem Klick nichts ablegt und danach nur, was das Gespräch trägt, braucht für § 25 TDDDG in der Regel keinen Eintrag im Banner. Wer es trotzdem dort aufführt, erweckt den Eindruck einer Wahl, die es so nicht gibt. Warum ein unnötiges Banner selbst ein Problem sein kann, ist in Kontaktdaten im Chat mit der Sicht einer Aufsichtsbehörde beschrieben. Wird das Banner gebraucht, entscheidet seine Gestaltung darüber, ob die Zustimmung trägt.

• Der Chat hat im Banner einen eigenen Zweck mit verständlicher Beschreibung, nicht bloß den Namen eines Produkts.
• Ablehnen steht gleichwertig neben Zustimmen. Eine Schaltfläche „Einstellungen oder Ablehnen“, die erst zu einer weiteren Ebene des Banners führt, reicht nach Auffassung der Aufsichtsbehörden nicht aus.
• Die Entscheidung im Banner öffnet und schließt das Tor des Widgets, ohne dass die Seite neu geladen werden muss.
• Ein Widerruf im Banner räumt die Einträge des Widgets und beendet ein laufendes Gespräch.
• Der Auslöser des Chats verdeckt die Schaltflächen des Banners nicht, und das Banner verdeckt den Auslöser nicht dauerhaft.

Der Hinweis gehört vor die erste Nachricht

Mit der ersten Nachricht beginnt die Erhebung der Gesprächsinhalte, und genau diesen Zeitpunkt nennt Art. 13 Abs. 1 DSGVO für die Information: Der Verantwortliche teilt der betroffenen Person die Angaben zum Zeitpunkt der Erhebung mit. Welche Angaben das im Einzelnen sind, steht im bereits verlinkten Beitrag zu Kontaktdaten im Chat. Für ein Widget kommt es vor allem auf Ort und Zeitpunkt an. Ein Verweis auf die Datenschutzerklärung im Fuß der Seite erreicht den Besucher in diesem Moment in der Regel nicht. Der Hinweis gehört deshalb in das Fenster selbst, sichtbar, bevor die erste Frage abgeschickt ist. Daraus folgen für das Widget vier Punkte:

• Der Hinweis nennt den Betreiber der Seite als Verantwortlichen, nicht den Anbieter der Software, die das Fenster liefert.
• Er steht vor der ersten Eingabe, gleich auf welchem Weg das Fenster geöffnet wurde: über den Auslöser, eine Sprechblase oder einen Verweis auf der Seite.
• Ändert der Betreiber den Hinweistext, während ein Fenster offen ist, sieht der Besucher den neuen Wortlaut, bevor er weiterschreibt.
• Das Fenster sagt, dass eine Maschine antwortet. Diese Kennzeichnung ist eine eigene Pflicht, die der Beitrag zum EU AI Act und KI-Chats beschreibt.

Soll das Gespräch auf einer Einwilligung beruhen, kommt eine Hürde hinzu, die oft unterschätzt wird. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten nach Erwägungsgrund 32 DSGVO keine Einwilligung darstellen. Wer die erste Frage tippt, hat damit nicht eingewilligt, sondern eine Frage gestellt. In XICBOT zeigt das Fenster vom Server den Hinweis, dass eine Maschine antwortet, und über einen Knopf im Kopf des Fensters erfährt der Besucher, dass der Betreiber der Seite das Gespräch speichert. Ist die Einwilligung eingeschaltet, steht vor der ersten Nachricht zusätzlich der Einwilligungstext des Betreibers, mit Zustimmen und Ablehnen gleichrangig nebeneinander; ein Ablehnen legt kein Gespräch an und lässt die Eingabe gesperrt. Die übrigen Angaben nach Art. 13 DSGVO setzt XICBOT nicht von sich aus ein; sie formuliert der Betreiber, im Einwilligungstext oder in seiner Datenschutzerklärung.

Widerruf: so einfach wie die Zustimmung

Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf der Einwilligung so einfach ist wie ihre Erteilung, und § 25 Abs. 1 TDDDG verweist für die Einwilligung ausdrücklich auf diese Verordnung. Die Aufsichtsbehörden leiten daraus ab: Wird eine Einwilligung unmittelbar bei der Nutzung einer Webseite erteilt, muss auch ihr Widerruf auf diesem Weg möglich sein. Was Art. 7 DSGVO für Widerruf und Nachweis allgemein verlangt, beschreibt der bereits verlinkte Beitrag zu Kontaktdaten im Chat; hier geht es um das, was ein Widget dabei technisch leisten muss.

Für einen Chat gibt es damit zwei Orte, an denen widerrufen werden kann: im Fenster selbst und im Banner der Seite. Beide sollten dasselbe bewirken, und zwar technisch, nicht nur in der Anzeige. Ein Widerruf, der einen Haken entfernt, während das Gespräch im Hintergrund weiterläuft, verdient den Namen nicht. Beim Banner kommt hinzu, dass das Fenster in diesem Moment offen sein kann und die Seite für den Widerruf nicht neu geladen wird. Ein Widerruf sollte deshalb mindestens Folgendes bewirken:

• Der Stand der Einwilligung im Browser wird sofort entfernt.
• Geplante Ansprachen und sichtbare Sprechblasen verschwinden.
• Ein laufender Antwortlauf bricht ab, und das Fenster nimmt keine Eingabe mehr an.
• Gesprächskennung und Merker werden aus dem Speicher der Seite geräumt.

XICBOT bietet beide Wege an, sie reichen aber verschieden weit. Im Fenster widerruft der Besucher ohne Konto; der Widerruf wird gesetzt, bevor irgendetwas anderes geschieht, ein laufender Antwortlauf bricht ab, und danach nimmt das Fenster nichts mehr an. Die Einträge im Speicher der Seite räumt dieser Weg nicht: Gesprächskennung und Merker bleiben stehen, bis ihre Frist abläuft, es sei denn, der Besucher löscht das Gespräch im Fenster, dann entfällt die Gesprächskennung. Über das Banner der Seite räumt der Handgriff zum Widerrufen dagegen den Stand der Einwilligung, Gesprächskennung, Besuchsmerker und Rahmen. Wie ein Besucher außerdem Auskunft über sein Gespräch bekommt, beschreibt Auskunftsrecht zum Chatverlauf.

Nachweis: was festgehalten werden sollte

Für den Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO kommen beim Widget zwei Besonderheiten hinzu. Die Zustimmung entsteht in einem Fenster, das auf mehreren Seiten eingebunden sein kann, und ihr Wortlaut kann sich ändern, während ein Fenster offen ist. Der Datensatz sollte deshalb neben dem Zeitpunkt auch die einbindende Seite nennen und nach einer Änderung des Hinweistextes noch eindeutig zuordnen lassen, welcher Wortlaut galt.

Wichtig ist der Ort dieses Datensatzes. Ein Eintrag im Browser kann verschwinden, etwa wenn der Besucher die Daten seines Browsers löscht, und eine Einwilligung, die nur dort steht, ist danach weder nachweisbar noch widerrufbar. In XICBOT hängt die Einwilligung deshalb am Gespräch auf dem Server: mit Zeitpunkt und einem Abdruck über den gezeigten Wortlaut, die Fassung der XICBOT-Datenschutzerklärung und die einbindende Seite. Den Wortlaut selbst bewahrt XICBOT nicht auf; wer frühere Fassungen archiviert, kann sie über den Abdruck eindeutig zuordnen. Ändert der Betreiber den Wortlaut, während ein Fenster offen ist, entsteht kein Gespräch; das Fenster zeigt den neuen Text und fragt neu. Wo diese Daten liegen und wie lange, steht unter Datenschutz und Hosting.

Prüfreihenfolge für die eigene Seite

• Die Seite in einem frischen Browserprofil laden, nichts anklicken und alle Cookies und Speichereinträge notieren, die trotzdem entstehen.
• Je Eintrag Zweck, Zeitpunkt, Laufzeit, Inhalt und Leser festhalten.
• Prüfen, ob der Eintrag vor oder nach dem Klick auf den Chat entsteht. Was davor entsteht, braucht in der Regel eine Einwilligung oder gehört gestrichen.
• Für alles danach fragen, ob sich das Gespräch ohne diesen Eintrag technisch nicht führen ließe. Nur dann kommt die Ausnahme in Betracht.
• Für die Chatinhalte die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO bestimmen und begründen, unabhängig vom Banner.
• Hinweis, Ablehnen, Widerruf und Nachweis einmal von Anfang bis Ende als Testfall durchspielen und das Ergebnis dokumentieren.

Diese Reihenfolge ist bewusst technisch, weil die Rechtsfrage erst beantwortbar wird, wenn feststeht, was im Browser tatsächlich passiert. Wer sie einmal durchläuft, kommt in der Regel mit weniger Abfragen aus, als befürchtet, und kann jede verbleibende begründen. Das Banner wird dadurch kürzer, das Chatfenster ehrlicher, und die Frage einer Aufsichtsbehörde lässt sich mit einer Liste beantworten statt mit einer Vermutung.

Häufige Fragen