Chatbot im Onlineshop: Wann ist eine Cookie-Einwilligung nötig?

Ein Chatbot im Onlineshop braucht nicht automatisch eine Cookie-Einwilligung. Entscheidend ist, ob seine Einbindung Informationen auf dem Endgerät speichert oder darauf zugreift, wann das geschieht und wofür. „Cookie-Einwilligung“ ist dabei nur der geläufige Kurzbegriff: § 25 TDDDG betrifft auch andere Speichertechniken und Endgerätezugriffe.

Die kurze Antwort: Es kommt auf den konkreten Zugriff an

Prüfe nicht das Produktetikett „Chatbot“, sondern jeden technischen Vorgang. Ein Skript kann schon beim Seitenaufruf aktiv werden, obwohl niemand den Chat geöffnet hat. Ein anderer Zugriff erfolgt vielleicht erst, nachdem jemand den Chat bewusst gestartet hat. Ob der Dienst EU-gehostet ist, beantwortet die Einwilligungsfrage nicht.

Halte zwei Prüfungen auseinander: § 25 TDDDG betrifft das Speichern von Informationen im Endgerät und den Zugriff darauf. Werden anschließend personenbezogene Daten verarbeitet, brauchst du dafür gesondert eine DSGVO-Rechtsgrundlage und musst weitere Pflichten prüfen. Der übergeordnete Artikel erklärt, wie du Datenfluss, Rollen und DSGVO-Pflichten beim KI-Chatbot einordnest.

Ein Ausgangspunkt ist das Einbindungsskript: Die Einbindung des Live-Chat-Widgets von askVela erfolgt per Skript-Snippet. Daraus lässt sich weder ein bestimmter Speicherzugriff noch dessen Zeitpunkt ableiten. Beides musst du für deine konkrete Einbindung prüfen.

Welche Chatbot-Technologien musst du prüfen?

Lege eine Liste pro Vorgang an, nicht nur pro Anbieter. Ein Skript kann beispielsweise eine Kennung speichern, einen vorhandenen Chat-Zustand auslesen und zusätzlich einen weiteren Dienst anfragen. Notiere jeweils Inhalt, Zweck, Auslöser und Zeitpunkt. Unterscheide vor allem zwischen „beim Seitenaufruf“, „beim Öffnen des Chats“ und „nach einer Nachricht“.

Was du prüfst	Was du festhältst	Worauf du beim Zeitpunkt achtest
Cookies	Name, Domain, erkennbaren Inhalt, Ablaufzeit und Zweck	Wird das Cookie schon beim Shop-Besuch gesetzt oder erst nach einer Chat-Aktion?
Local Storage	Schlüssel, Wert, Herkunft und Zweck; auch Änderungen vorhandener Werte	Entsteht oder ändert sich der Eintrag vor dem Öffnen des Chats?
Session Storage	Schlüssel, Wert, Herkunft und Zweck	Wird ein Zustand erst für die laufende Chat-Nutzung gespeichert oder schon vorher?
Weitere Endgerätezugriffe	Welche Informationen ein Skript aus dem Browser ausliest und wozu	Passiert das beim Seitenaufruf, beim Anzeigen des Chat-Symbols oder nach einer Eingabe?
Netzwerkanfragen	Ziel-Domain, auslösendes Skript, Zeitpunkt und erkennbare Daten	Welche Anfragen laufen ohne Chat-Aktion, welche erst danach?

Eine Netzwerkanfrage ist nicht allein deshalb ein einwilligungspflichtiger Endgerätezugriff. Sie kann aber auf eingebundene Dienste oder eine Datenübermittlung hinweisen. Prüfe, was die Anfrage auslöst und ob damit Informationen im Endgerät gespeichert oder ausgelesen werden. Die Verarbeitung übermittelter personenbezogener Daten bewertest du zusätzlich nach der DSGVO.

Beachte auch Bestandteile neben dem eigentlichen Chat, etwa Analysefunktionen oder weitere eingebundene Dienste. Ob sie im Anbieter-Dashboard zum „Chatbot“ zählen, ist weniger wichtig als ihr tatsächliches Verhalten in deinem Shop.

So prüfst du deinen Shop vor und nach dem Öffnen des Chats

Ein Browser-Test liefert zunächst Beobachtungen, keine fertige rechtliche Bewertung. Nutze ein frisches Profil und halte fest, welche Einwilligungsauswahl während des Tests gilt. So kannst du denselben Ablauf später nach einer Änderung wiederholen.

1. Sauber starten: Öffne ein neues Browserprofil ohne frühere Shop- oder Chat-Sitzung. Rufe den Shop auf, ohne eine Einwilligung zu erteilen. Dokumentiere den Zustand eines möglichen Banners; öffne den Chat noch nicht.
2. Seitenaufruf festhalten: Öffne die Entwicklerwerkzeuge und prüfe Cookies, Local Storage und Session Storage. Erfasse in der Netzwerkansicht geladene Skripte und Anfragen. Wenn eine Anfrage früh im Ladevorgang erfolgt, kann sie vor dem Öffnen der Entwicklerwerkzeuge liegen: Wiederhole den Aufruf deshalb mit bereits geöffneter Netzwerkansicht.
3. Chat öffnen: Klicke auf das Chat-Symbol, ohne eine Nachricht zu schreiben. Vergleiche Speicher und Netzwerkanfragen mit dem Zustand davor. Notiere neue sowie geänderte Einträge.
4. Testnachricht senden: Verwende keine echten Kundendaten. Prüfe erneut, was erst durch die Nachricht hinzukommt. So trennst du das Öffnen des Chats von der Gesprächsführung.
5. Ablehnung testen: Starte mit einem weiteren frischen Profil, lehne eine angebotene Einwilligung ab und wiederhole den Seitenaufruf. Kontrolliere, ob Zugriffe, die eine Einwilligung benötigen würden, trotzdem stattfinden.

Notiere jeden Befund in einer Zeile: „Speicherort oder Anfrage – Domain – beobachteter Inhalt – Auslöser – Zeitpunkt – vermuteter Zweck – Quelle für den Zweck“. Beispiel: „Local-Storage-Eintrag auf der Shop-Domain; beim ersten Seitenaufruf vorhanden; Zeichenfolge; Zweck unbekannt; Anbieterantwort ausstehend.“ Ob der Eintrag vom Chat-Skript stammt, ist damit noch nicht belegt. Prüfe den Auslöser und frage bei Unklarheiten nach.

Wann kann eine Ausnahme vom Einwilligungserfordernis greifen?

§ 25 TDDDG sieht Ausnahmen vom Einwilligungserfordernis vor. Bei einem Chat stellt sich insbesondere die Frage, ob ein konkreter Speicher- oder Zugriffsvorgang für einen von der nutzenden Person ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Prüfe jeden Vorgang einzeln: Welche gewünschte Funktion braucht genau diesen Zugriff, und was würde ohne ihn nicht funktionieren?

Beobachteter Fall	Prüffrage	Vorläufiger Umgang
Eine Kennung wird beim Seitenaufruf gesetzt, bevor jemand den Chat öffnet.	Welcher ausdrücklich gewünschte Dienst benötigt sie bereits zu diesem Zeitpunkt unbedingt?	Ausnahme nicht unterstellen. Zweck und Erforderlichkeit klären; Einwilligungserfordernis prüfen.
Nach bewusstem Öffnen des Chats wird der Gesprächszustand gespeichert.	Ist der Eintrag für den angeforderten Chat unbedingt erforderlich und auf diesen Zweck begrenzt?	Eine Ausnahme kann in Betracht kommen. Inhalt, Dauer und Nutzung prüfen.
Zusätzlich wird ein Eintrag für Analysezwecke gesetzt oder ausgelesen.	Ist diese Analyse für den gewünschten Chat unbedingt erforderlich?	Getrennt vom Chat-Zustand bewerten und bei Einwilligungspflicht bis zur Einwilligung zurückhalten.

„Technisch notwendig“ in einer Anbieterbeschreibung ist noch keine Begründung für die gesetzliche Ausnahme. Auch ein „berechtigtes Interesse“ als mögliche DSGVO-Rechtsgrundlage, EU-Hosting oder ein Auftragsverarbeitungsvertrag ersetzen die Prüfung nach § 25 TDDDG nicht. Der Klick auf das Chat-Symbol ist ebenso wenig pauschal eine Einwilligung in zusätzliche Analyse- oder Werbezwecke. Er zeigt zunächst nur, dass die Person den Chat nutzen möchte. Lass rechtliche Grenzfälle anhand der dokumentierten Technik prüfen.

Welche Fragen solltest du deinem Chat-Anbieter stellen?

Die Frage „Ist euer Chatbot cookie-frei?“ greift zu kurz: Sie lässt andere Speichertechniken und unterschiedliche Auslöser offen. Bitte um Angaben je Vorgang und gleiche die Antwort mit deinem Browser-Test ab.

Lege die Antwort neben deine Befundliste. Bleibt etwa eine Domain ungeklärt, die vor dem Chat-Klick angefragt wird, ist die Prüfung für diesen Vorgang noch offen. Angaben zu Sicherheit und Datenschutz bei askVela können bei der Anbieterprüfung helfen; sie belegen keine Einwilligungsfreiheit deiner konkreten Einbindung.

Was tust du mit dem Prüfergebnis?

Vergib den Status für jede Zeile deiner Befundliste, nicht für „den Chatbot insgesamt“. Ein für den Chat erforderlicher Vorgang und ein zusätzlicher Analysezugriff können unterschiedlich zu behandeln sein.

Für jeden Vorgang solltest du schließlich belegen können, was auf dem Endgerät geschieht, wann es geschieht und warum. Erst dann lässt sich beurteilen, ob vor diesem Vorgang eine Einwilligung nötig ist oder eine Ausnahme nach § 25 TDDDG in Betracht kommt. Die DSGVO-Prüfung der anschließenden Datenverarbeitung bleibt davon getrennt.