Chatbot und Cookies: Braucht der Website-Chat eine Einwilligung nach § 25 TDDDG?

Die kurze Antwort#

Ein Chat-Widget braucht nicht automatisch einen Cookie-Banner, und es ist auch nicht automatisch davon befreit. Entscheidend ist, was das Widget auf dem Gerät des Besuchers ablegt oder dort ausliest, zu welchem Zeitpunkt und wofür:

• Vor dem ersten Klick auf den Chat hat der Besucher den Chat noch nicht gewünscht. Was das Widget dann speichert oder ausliest, braucht nach der Lesart der Datenschutzkonferenz (DSK) eine Einwilligung.
• Nach dem Klick kommt für das, was das Gespräch technisch braucht, die Ausnahme in § 25 Abs. 2 Nr. 2 TDDDG in Frage, solange es nur so lange gespeichert bleibt wie nötig, in der Regel bis zum Ende der Sitzung.
• Für Statistik, Werbung oder das Wiedererkennen bei späteren Besuchen braucht es in aller Regel eine Einwilligung, auch wenn derselbe Cookie zugleich dem Chat dient.

Daneben gilt die DSGVO für die personenbezogenen Daten, die dabei verarbeitet werden: die IP-Adresse, die beim Laden eines fremden Skripts beim Anbieter ankommt, und die Gespräche selbst. Eine Einwilligung nach § 25 TDDDG ersetzt weder Ihre Datenschutzerklärung noch den Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter des Chats. Alle Angaben in diesem Artikel haben wir am 25. Oktober 2026 an den Quellen geprüft.

Die Regel: § 25 TDDDG und Art. 5 Abs. 3 ePrivacy-Richtlinie#

Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung und der Zugriff auf dort bereits gespeicherte Informationen nur zulässig, „wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“. Information und Einwilligung richten sich nach der DSGVO.

Für einen Chat kommt die Ausnahme in § 25 Abs. 2 Nr. 2 in Frage: Eine Einwilligung ist nicht nötig, wenn die Speicherung oder der Zugriff „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann“. Die Ausnahme in Nr. 1 erfasst nur Speicherungen, deren alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist.

Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG in der Fassung der Richtlinie 2009/136/EG um. Bis zum 14. Mai 2024 hieß das Gesetz TTDSG; § 25 hat sich mit der Umbenennung inhaltlich nicht geändert, wie die DSK festhält. Für Chat-Widgets zählen vier Punkte:

1. Nicht nur Cookies. Die Vorschrift ist technikneutral. Die DSK nennt ausdrücklich Web-Storage-Objekte, also Local Storage und Session Storage, als Speicherung im Sinne von § 25. Liest ein Skript per JavaScript Eigenschaften des Geräts aus und schickt sie an einen Server, um einen Fingerabdruck zu bilden, ist auch das ein Zugriff.
2. Kein Personenbezug nötig. § 25 gilt auch für Informationen, die keine personenbezogenen Daten sind. Der Europäische Gerichtshof hat das für Art. 5 Abs. 3 im Urteil Planet49 vom 1. Oktober 2019 (C-673/17) entschieden.
3. Keine Mindestdauer. Der Europäische Datenschutzausschuss (EDSA) hält in seinen Leitlinien 2/2023 fest, dass die Richtlinie weder eine Ober- noch eine Untergrenze für die Zeit kennt, die eine Information gespeichert sein muss. Ein Wert, der nur bis zum Schließen des Tabs lebt, ist also ebenfalls gespeichert.
4. Zwei Prüfungen. § 25 TDDDG regelt das Speichern und Auslesen auf dem Gerät, die DSGVO alles, was danach mit personenbezogenen Daten geschieht. Die DSK erinnert daran, dass beim Einbinden fremder Inhalte, Skripte eingeschlossen, regelmäßig personenbezogene Daten beim Betreiber des fremden Servers ankommen. Dafür braucht es eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.

Ein Verstoß gegen § 25 Abs. 1 ist eine Ordnungswidrigkeit, die mit einer Geldbuße von bis zu 300.000 Euro geahndet werden kann (§ 28 TDDDG). Das Gesetz gilt für alle, die in Deutschland eine Niederlassung haben oder hier Dienstleistungen erbringen (§ 1 Abs. 3). Bei digitalen Diensten bleibt die Aufsicht durch die nach Landesrecht zuständigen Behörden unberührt (§ 1 Abs. 1 Nr. 8); die BfDI ist für § 25 nur bei Telekommunikationsanbietern und öffentlichen Stellen des Bundes zuständig (§ 29 Abs. 2).

Hinweis. Die Regel kann sich ändern. Am 19. November 2025 hat die Europäische Kommission mit dem Digital-Omnibus (COM(2025) 837) vorgeschlagen, das Speichern und Auslesen personenbezogener Daten auf Endgeräten in einen neuen Art. 88a DSGVO zu überführen: weiterhin mit Einwilligung, unter anderem mit einer Ausnahme für eine ausdrücklich verlangte Dienstleistung und der Möglichkeit, mit einem einzigen Klick abzulehnen; ein Art. 88b soll maschinenlesbare Signale für die Wahl des Nutzers bringen. Die Verfahrensakte des Europäischen Parlaments zeigt am 25. Oktober 2026 den Stand „Awaiting committee decision“. Geltendes Recht ist das nicht; dieser Artikel beruht auf den Regeln, die heute gelten.

Was die Datenschutzkonferenz zu Chats sagt#

Der EDSA klärt in seinen Leitlinien 2/2023 nur, was technisch unter Art. 5 Abs. 3 fällt. Ob eine Ausnahme greift, sei im Einzelfall nach dem nationalen Recht und den Leitlinien der nationalen Behörden zu prüfen. In Deutschland ist das vor allem die Orientierungshilfe der DSK für Anbieter von digitalen Diensten, Version 1.2 vom November 2024. Die DSK ist das Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, und ihre Orientierungshilfe nennt den Chat beim Namen:

• Ein Chat ist eine Zusatzfunktion. Die DSK betrachtet eine Website nicht als einen einzigen Dienst, sondern als Bündel von Funktionen. Als Bestandteil einer Unternehmenswebsite nennt sie „einen eingebundenen Chat“ (Rz. 72), unter den Zusatzdiensten „Chatboxen“ (Rz. 74).
• Gewünscht ist er erst mit dem Klick. Ein Chat wird „nicht automatisch mit dem ersten Aufruf der Webseite“ gewünscht. Nutzer wünschen solche Funktionen erst, wenn sie sie ausdrücklich in Anspruch nehmen, etwa wenn sie „einen Chatbot anklicken“ (Rz. 76).
• „Unbedingt erforderlich“ heißt technisch erforderlich. Dass ein Cookie für das Geschäftsmodell wirtschaftlich nötig ist, genügt nicht (Rz. 78).
• Wann, wie lange, was, für wen. Gespeichert werden darf erst, wenn die Funktion tatsächlich genutzt wird. Session-Cookies sind eher erforderlich als langlebige; eindeutige Kennungen sind es nur selten. Auslesen soll grundsätzlich nur der Betreiber der Website; ein eingebundener Drittdienst darf die Informationen nur für die aufgerufene Website verwenden (Rz. 79 bis 81, 95).
• Ein Cookie, mehrere Zwecke. Ein solcher Cookie ist nur ausgenommen, wenn jeder einzelne Zweck die Ausnahme erfüllt (Rz. 86).

Auf europäischer Ebene passt dazu die Stellungnahme 04/2012 der Artikel-29-Datenschutzgruppe (WP 194), auf die sich die DSK selbst stützt. Sie nimmt sogenannte User-Input-Cookies von der Einwilligung aus: Sitzungscookies, die Eingaben des Nutzers „bei einer Reihe von Nachrichtenaustauschvorgängen mit einem Dienstleister“ zusammenhalten und spätestens mit der Sitzung ablaufen. Einen Chat nennt die Stellungnahme nicht, nach dem Wortlaut passt er aber auf diese Beschreibung. Dieselbe Stellungnahme verlangt zugleich, die Erforderlichkeit aus Sicht des Nutzers zu prüfen, nicht aus Sicht des Anbieters. Bleiben erhebliche Zweifel, sollen Websitebetreiber prüfen, ob sich die Einwilligung nicht einfach und unaufdringlich einholen lässt.

Hinweis. Die französische Aufsichtsbehörde CNIL zieht für Chatbots dieselbe Linie. Auf ihrer Seite vom 19. Februar 2021 unterscheidet sie zwei Wege: Ein Cookie vor der Aktivierung des Chatbots braucht eine vorherige Einwilligung; ein Cookie, der erst beim Öffnen gesetzt wird und nur dem Chatbot dient, braucht keine. Jeder weitere Zweck braucht sie wieder.

Entscheidungstabelle: Wann der Chat eine Einwilligung braucht#

Die Tabelle gibt die übliche Lesart von § 25 TDDDG nach den Kriterien der DSK wieder. Sie ersetzt nicht den Blick auf Ihr konkretes Widget; dafür ist der Test im nächsten Abschnitt da. Wo viel davon abhängt, lassen Sie Ihre Einschätzung von Ihrer Datenschutzberatung oder Ihrem Datenschutzbeauftragten prüfen.

Ein Unterschied zu Frankreich betrifft die Statistik. Die CNIL nimmt Reichweitenmessung unter engen Bedingungen von der Einwilligung aus: nur für den Betreiber selbst, nur anonyme Statistik, kein Verfolgen über andere Websites hinweg, keine Weitergabe an Dritte. Die DSK legt sich dazu bewusst nicht pauschal fest, weil es auf die genaue Konfiguration und den Zweck ankomme. Die Chat-Statistik eines Anbieters ist auf einer deutschen Website deshalb kein Fall, den Sie ungeprüft als notwendig einstufen können.

Jedes Chat-Widget in fünf Minuten prüfen#

Was ein Anbieter über sein Widget sagt, können Sie mit den Entwicklertools Ihres Browsers nachprüfen. In Chrome öffnen Sie sie mit F12 oder Strg+Umschalt+I, auf dem Mac mit Cmd+Option+I. Die Bereiche heißen in einer englischen Oberfläche „Application“ und „Network“ (Chrome) beziehungsweise „Storage“ und „Network“ (Firefox); in einer deutschen Oberfläche können sie übersetzt sein.

1. Privates Fenster öffnen. So verfälschen keine alten Cookies das Ergebnis. Öffnen Sie die Entwicklertools, bevor Sie die Seite laden, damit der Netzwerkbereich von Anfang an mitschreibt. Im Cookie-Banner klicken Sie nichts an.
2. Speicher ansehen. Unter „Application“ oder „Storage“ finden Sie Cookies, Local Storage und Session Storage, geordnet nach Adresse. Sehen Sie sich jede Adresse an, auch die des Chat-Anbieters: Läuft der Chat in einem eigenen Frame, steht dessen Speicher unter der Adresse des Anbieters.
3. Verbindungen ansehen. Im Bereich „Network“ sehen Sie, welche fremden Hosts schon vor jedem Klick angefragt werden. Filtern Sie nach dem Namen des Anbieters.
4. Chat öffnen, dann schreiben. Öffnen Sie den Chat, ohne zu schreiben, und sehen Sie wieder nach. Schicken Sie dann eine erste Nachricht und sehen Sie ein drittes Mal nach.
5. Neuer Tab. Schließen Sie den Tab, öffnen Sie im selben privaten Fenster einen neuen und rufen Sie die Seite erneut auf. Was jetzt noch da ist, hat den Tab überlebt. Ein Wert im Local Storage oder ein Cookie, der erst in Monaten abläuft, überdauert den Besuch.
6. Ablehnen und wiederholen. Lehnen Sie im Banner alles ab und wiederholen Sie die Schritte 2 bis 4. Was trotzdem erscheint, muss die Ausnahme tragen.
7. Im normalen Fenster gegenprüfen. Chrome blockiert im Inkognitomodus Drittanbieter-Cookies standardmäßig. Ein Chat, der im Frame eines anderen Anbieters läuft, kann dort sauberer aussehen als bei Ihren Besuchern. Wiederholen Sie den Test in einem normalen Fenster, nachdem Sie die gespeicherten Daten der Website gelöscht haben.

Halten Sie das Ergebnis so fest, dass Sie es dem Anbieter vorlegen können:

Seite:        Adresse der geprüften Seite
Geprüft am:   Datum, Browser, privates Fenster
Banner:       nicht angeklickt / abgelehnt / akzeptiert

Zeitpunkt           Host        Art              Name oder Schlüssel   Laufzeit     Zweck laut Anbieter
nach Seitenaufruf
nach Chat öffnen
nach 1. Nachricht
neuer Tab

Jeder Eintrag vor dem ersten Klick braucht eine Begründung, die die Kriterien der DSK trägt, oder er gehört hinter die Einwilligung. Fragen Sie den Anbieter nach dem Zweck jedes Eintrags, den Sie nicht zuordnen können.

So verhält sich das Widget von ChatterLab#

Bei ChatterLab haben wir das Widget so gebaut, dass es nichts im Browser speichert, solange der Besucher im Chat nichts weiter getan hat, als ihn zu öffnen, und Ihre Website keine Einwilligung übergibt. Die Angaben beschreiben, was der Code des Widgets am 25. Oktober 2026 tut, und lassen sich mit dem Test oben prüfen. Verlassen Sie sich nicht auf unser Wort, auch nicht auf das eines anderen Anbieters.

• Keine Cookies. Das Widget setzt keine.
• Beim Seitenaufruf zeichnet das Skript den Button und holt dessen Einstellungen (Farbe, Symbol, Beschriftung) von unserem Server, ohne Cookies mitzuschicken, dazu Ihr Button-Bild, falls Sie eines hochgeladen haben. Steht auf dem Tag kein data-locale, hängt es an die Anfrage die bevorzugten Sprachen des Browsers an, beschränkt auf die Sprachen, die das Widget selbst spricht (im Netzwerkbereich als hl= in der Adresse zu sehen), damit der Button die passende Sprache spricht. Nach der weiten Lesart des EDSA kann schon das als Zugriff gelten; mit data-locale="de" entfällt es.
• Das Chatfenster wird erst geladen, wenn der Besucher es zum ersten Mal öffnet, und das Öffnen speichert noch nichts. Mit dem Iframe-Snippet, das den Chat direkt in die Seite setzt, lädt er mit der Seite, speichert aber ebenfalls nichts, bevor der Besucher etwas tut.
• Die Begrüßung erscheint ohne Einwilligung nur auf einer Seite, die der Besucher von einer anderen Website aus erreicht hat. Das prüft das Skript im Browser anhand der Herkunftsangabe; dafür wird nichts gesendet oder gespeichert.
• Die zweite Nachricht zählt Seiten oder Zeit über mehrere Seiten und braucht dafür das Einwilligungssignal Ihrer Website. Mit dem Signal, und solange die Begrüßung oder die zweite Nachricht eingeschaltet ist, hält der Button einen einzigen Wert im Session Storage unter der Adresse Ihrer Website, chatterlab-visit- und die ID Ihres Agenten: Beginn des Besuchs, Zahl der Seiten, ob eine Nachricht gezeigt oder geschlossen wurde. Nichts davon identifiziert den Besucher, nichts davon wird an uns gesendet. Ohne Signal erscheint die zweite Nachricht nie.
• IP-Adressen speichern wir nicht. Für das Nachrichtenlimit bleibt 24 Stunden lang ein Fingerabdruck davon, mit einem täglich wechselnden Schlüssel erzeugt.
• Eine Buchungsseite von Calendly, falls Sie eine verbinden, öffnet sich erst im Chat, wenn der Besucher zum Buchen klickt. Es ist Calendlys eigene Seite; nehmen Sie sie in Ihren Test auf.

Sobald der Besucher mehr tut, als den Chat zu öffnen, legt der Chat Werte im Session Storage unter seiner eigenen Adresse ab (der, von der er geladen wird, nicht der Ihrer Website). <id> steht für die ID Ihres Agenten:

Alle verschwinden, wenn der Tab geschlossen wird. Wer am nächsten Tag wiederkommt, beginnt deshalb ein neues Gespräch; das ist Absicht. Blockiert ein Browser diesen Speicher, funktioniert der Chat trotzdem; nur das Gedächtnis zwischen den Seiten fehlt.

Unsere Dokumentation begründet die Zurückhaltung so: Schon ein Wert für einen einzigen Besuch gilt als Speicherung, die eine Einwilligung braucht, solange der Besucher den Dienst nicht angefordert hat. Für die zweite Nachricht folgt daraus: Sie lädt zum Gespräch ein, das liegt näher an Marketing als an einer angeforderten Leistung. Welcher Kategorie Ihres Banners Sie sie zuordnen, entscheiden Sie mit der Person, die Ihren Cookie-Hinweis betreut.

Was das Widget nicht für Sie erledigt: Es bringt keinen Cookie-Banner mit, wählt keine Kategorie und ersetzt nicht Ihre Datenschutzerklärung. Einen AVV schicken wir auf Anfrage an management@sri-group.eu. Mehr zu gespeicherten Daten, zum Tag und zum Einwilligungssignal steht unter Daten und Datenschutz, Widget einbinden und Begrüßung und zweite Nachricht; einen Überblick gibt unsere Seite zur DSGVO. Wo die Gespräche gespeichert werden, ist eine eigene Frage: Checkliste zum EU-Hosting eines Chatbots.

Das Widget erst nach Einwilligung laden#

Manche Betreiber legen den Chat ganz hinter die Einwilligung, etwa weil ihr Anbieter schon beim Seitenaufruf Cookies setzt oder weil sie vor der Einwilligung keine fremde Verbindung zulassen wollen. Zwei Wege sind üblich:

1. Über die Einwilligungsverwaltung. In Ihrer Consent-Management-Plattform (CMP) oder Ihrem Tag-Manager ordnen Sie das Skript des Chat-Anbieters einer Kategorie zu und lassen es erst ausspielen, wenn der Besucher dieser Kategorie zugestimmt hat. Die DSK verlangt genau diese Reihenfolge: Solange der Banner angezeigt wird, laden keine Skripte, die eine Einwilligung brauchen; erst nach der aktiven Zustimmung darf gespeichert oder ausgelesen werden (Rz. 121, 122).
2. Per Klick. Statt des Widgets zeigt Ihre Seite einen eigenen Platzhalter-Button, und erst der Klick lädt das Skript. Der Klick ist der ausdrückliche Wunsch, auf den die DSK abstellt. Er deckt aber nur, was der Chat technisch braucht: Setzt das Widget danach zusätzlich Statistik- oder Marketing-Cookies, brauchen diese weiterhin eine Einwilligung.

Der Preis des ersten Wegs: Wer ablehnt oder den Banner ignoriert, sieht keinen Chat. Der zweite Weg hält den Chat für alle erreichbar. Fragen Sie eine Einwilligung ab, nennen Sie, wie lange jeder Eintrag bleibt und ob Dritte darauf zugreifen können: Beides verlangt der EuGH im Urteil Planet49.

Bei ChatterLab sagen Sie dem Widget, ob eingewilligt wurde. Lädt Ihre Website Skripte erst nach der Einwilligung, setzen Sie data-consent="true" auf den Tag. Das hält allerdings auch den Button fern, bis der Besucher zugestimmt hat. Lädt das Skript immer, meldet Ihr Banner die Entscheidung:

ChatterLab("consent", true);  // zugestimmt
ChatterLab("consent", false); // abgelehnt oder widerrufen: löscht den gespeicherten Wert

Weil ein Banner oft antwortet, bevor das Skript geladen ist, gibt es eine Zeile, die frühe Aufrufe aufbewahrt, bis das Skript da ist; sie steht mit einem Beispiel für Cookiebot unter Begrüßung und zweite Nachricht.

Häufige Fehler#

1. „Wir setzen keine Cookies“ als Schlusspunkt. Local Storage und Session Storage sind ebenfalls Speicherung, und wer Geräteeigenschaften per JavaScript ausliest und an einen Server schickt, greift auf das Gerät zu. Auch ganz ohne Speicherung bleibt die IP-Adresse, die beim Laden eines fremden Skripts beim Anbieter ankommt, eine Frage der DSGVO.
2. Das Widget lädt vor dem Banner. Einwilligungsbedürftige Cookies beim ersten Seitenaufruf zu setzen und erst danach zu fragen, ist nach der DSK unzulässig (Rz. 36). Steht das Chat-Skript fest im Seitenfuß, an der CMP vorbei, lädt es vor jeder Entscheidung des Besuchers.
3. Ein Chat-Cookie, der nebenbei zählt. Dient derselbe Cookie dem Gespräch und der Statistik des Anbieters, ist er nur ausgenommen, wenn beide Zwecke es sind (Rz. 86). Für Statistik nimmt die DSK das nicht pauschal an.
4. Dauerhafte Besucher-IDs „für den Verlauf“. Eine Kennung in Local Storage, die Wochen überdauert, ist für ein einzelnes Gespräch nicht unbedingt erforderlich (Rz. 80, 81).
5. Proaktive Einladungen ohne Einwilligung. Ein Zähler für Seitenaufrufe oder Verweildauer wird gespeichert, bevor der Besucher irgendetwas angefordert hat.
6. Notwendiges als Wahl anbieten. Was keine Einwilligung braucht, gehört nicht als Schalter in den Banner; die DSK warnt, das erwecke den falschen Eindruck einer Wahl (Rz. 116). Es gehört in die Datenschutzerklärung.
7. Die Datenschutzerklärung vergessen. Auch wenn der Chat ohne Einwilligung auskommt, müssen Sie über den Chat, den Anbieter und die gespeicherten Gespräche informieren. Eine Vorlage: Datenschutzerklärung für den Chatbot.

Häufige Fragen zu Chat und Einwilligung#

Brauche ich nur wegen eines Chatbots einen Cookie-Banner?#

Nicht unbedingt. Speichert das Widget vor dem ersten Klick nichts und danach nur, was das Gespräch technisch braucht, für die Dauer der Sitzung, kommt nach den Kriterien der DSK die Ausnahme in § 25 Abs. 2 Nr. 2 TDDDG in Frage. Setzt es dagegen schon beim Seitenaufruf Cookies oder dient es auch Statistik oder Werbung, brauchen Sie in der Regel eine Einwilligung und damit eine Abfrage. Prüfen Sie das Widget, bevor Sie entscheiden.

Fällt Session Storage auch unter § 25 TDDDG?#

Ja. Die Vorschrift ist technikneutral, und die Datenschutzkonferenz nennt Local Storage und Session Storage ausdrücklich als Speicherung im Sinne von § 25. Dass ein Wert mit dem Schließen des Tabs verschwindet, ändert daran nichts, denn eine Mindestdauer gibt es nicht. Die kurze Laufzeit hilft aber bei der Ausnahme: Ein Wert, der erst nach dem Klick auf den Chat entsteht und mit der Sitzung endet, ist eher unbedingt erforderlich als ein dauerhafter.

Was gilt für Besucher, die den Chat nie öffnen?#

Für sie darf das Widget nichts speichern oder auslesen, was eine Einwilligung braucht, solange sie keine erteilt haben. Ein Chat ist nach der DSK erst gewünscht, wenn jemand ihn anklickt. Den Button anzuzeigen verlangt nach § 25 keine Einwilligung, solange dafür nichts auf dem Gerät gespeichert oder ausgelesen wird. Beim Laden des Skripts erhält der Anbieter aber die IP-Adresse: Dafür braucht es eine Rechtsgrundlage nach der DSGVO und einen Eintrag in Ihrer Datenschutzerklärung. Ob schon dieser Abruf unter § 25 fällt, ist nicht abschließend geklärt.

Braucht der KI-Hinweis im Chat eine Einwilligung?#

Nein. Der Hinweis, dass der Besucher mit einer KI chattet, ist Text im Chatfenster; er speichert nichts auf dem Gerät und liest nichts aus, also betrifft ihn § 25 TDDDG nicht. Er erfüllt eine Transparenzpflicht aus Art. 50 Abs. 1 der KI-Verordnung: Menschen sollen erfahren, dass sie mit einem KI-System interagieren. Das ist eine Information, keine Einwilligung. Formulierungen dafür finden Sie unter Text für den KI-Hinweis.

Darf das Chat-Widget vor der Einwilligung geladen werden?#

In der Regel ja, wenn es dabei nichts speichert oder ausliest, das eine Einwilligung braucht. Viele Widgets setzen aber schon beim Laden Cookies oder schreiben in den Browserspeicher. Dann muss das Skript warten, bis der Besucher zugestimmt hat oder auf einen Platzhalter klickt, der den Chat lädt. Prüfen Sie in einem privaten Fenster mit den Entwicklertools, was vor dem ersten Klick geschieht, und schließen Sie mit dem Anbieter einen AVV.

Darf ein Chatbot Besucher über mehrere Besuche hinweg wiedererkennen?#

Ohne Einwilligung in der Regel nicht. Eine dauerhafte Kennung oder ein Gesprächsverlauf, der Wochen überdauert, ist für ein einzelnes Gespräch nicht unbedingt erforderlich; eine regelmäßige Nutzung unterstellt die Datenschutzkonferenz nur bei Diensten mit Anmeldung. Wer Besucher wiedererkennen will, holt vorher eine Einwilligung ein, zum Beispiel mit einem Kästchen „Gespräch merken“ und einem Hinweis, was wie lange gespeichert wird. Ohne sie endet das Gespräch mit der Sitzung.

Quellen#

• § 25 TDDDG - Einzelnorm, Bundesministerium der Justiz (gesetze-im-internet.de), gelesen am 25. Oktober 2026.
• TDDDG - Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten, Bundesministerium der Justiz (gesetze-im-internet.de), gelesen am 25. Oktober 2026.
• Richtlinie 2009/136/EG vom 25. November 2009, Art. 2 Nr. 5, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Datenschutzkonferenz, gelesen am 25. Oktober 2026.
• Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0, Europäischer Datenschutzausschuss, gelesen am 25. Oktober 2026.
• Stellungnahme 04/2012 zur Ausnahme von Cookies von der Einwilligungspflicht (WP 194), Artikel-29-Datenschutzgruppe, gelesen am 25. Oktober 2026.
• Urteil des Gerichtshofs (Große Kammer) vom 1. Oktober 2019, Rechtssache C-673/17, Planet49, Gerichtshof der Europäischen Union, gelesen am 25. Oktober 2026.
• Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 50, Amt für Veröffentlichungen der Europäischen Union, gelesen am 25. Oktober 2026.
• Chatbots : les conseils de la CNIL pour respecter les droits des personnes, CNIL (auf Französisch), gelesen am 25. Oktober 2026.
• Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL, CNIL (auf Französisch), gelesen am 25. Oktober 2026.
• Vorschlag für eine Digital-Omnibus-Verordnung, COM(2025) 837 final, Art. 88a und 88b DSGVO-E, Europäische Kommission, gelesen am 25. Oktober 2026.
• Procedure File: 2025/0360(COD), Legislative Observatory, Europäisches Parlament (auf Englisch), gelesen am 25. Oktober 2026.
• Im Inkognitomodus surfen, Google Chrome-Hilfe, gelesen am 25. Oktober 2026.
• Open Chrome DevTools, Chrome for Developers (auf Englisch), gelesen am 25. Oktober 2026.
• Inspect network activity, Chrome for Developers (auf Englisch), gelesen am 25. Oktober 2026.
• Storage Inspector, Mozilla (auf Englisch), gelesen am 25. Oktober 2026.

So ist dieser Beitrag entstanden: mit KI-Unterstützung verfasst und anschließend mit der tatsächlichen Funktionsweise von ChatterLab und den im Beitrag genannten Quellen abgeglichen. Fehler entdeckt? Schreiben Sie an management@sri-group.eu.