Live-Chat-Cookie-Einwilligung: So prüfst du dein Widget im Onlineshop

Braucht dein Live-Chat-Widget schon vor dem Laden eine Einwilligung? Das lässt sich nicht am Wort „Chat“ entscheiden. Maßgeblich ist, was deine konkrete Einbindung auf dem Endgerät speichert oder ausliest, welche Anfragen sie auslöst und zu welchem Zweck das geschieht. Prüfe deshalb vier Zustände getrennt: vor jeder Entscheidung im Consent-Banner, nach „Ablehnen“, nach „Einwilligen“ und nach dem Öffnen des Chats. Dieser Leitfaden zeigt dir, wie du den technischen Befund erhebst und für die rechtliche Prüfung aufbereitest. Er ersetzt keine Rechtsberatung.

Wann ist für einen Live-Chat eine Einwilligung relevant?

Bei einem Chat-Widget laufen zwei Prüfungen nebeneinander. Das TDDDG betrifft das Speichern von Informationen auf dem Endgerät und den Zugriff auf dort gespeicherte Informationen. Dafür ist grundsätzlich eine Einwilligung erforderlich. Eine Ausnahme kann insbesondere greifen, wenn der konkrete Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ob das zutrifft, musst du für den jeweiligen Zugriff und seinen Zeitpunkt prüfen: Eine Gesprächskennung nach dem Start eines Chats ist anders zu beurteilen als dieselbe Kennung beim bloßen Aufruf einer Produktseite.

Die DSGVO betrifft die Verarbeitung personenbezogener Daten. Schon beim Abruf eines Skripts können Verbindungsdaten übertragen werden; beim Absenden einer Nachricht kommen möglicherweise Name, E-Mail-Adresse oder Bestellangaben hinzu. Für diese Verarbeitung sind unter anderem Rechtsgrundlage, Transparenz, Empfänger und Speicherdauer zu klären. Eine Ausnahme vom Einwilligungserfordernis nach dem TDDDG klärt nicht automatisch die DSGVO-Fragen. Umgekehrt macht eine DSGVO-Rechtsgrundlage einen Zugriff auf den Endgerätespeicher nicht automatisch zulässig.

Prüfung	Konkrete Frage	Fehlschluss, den du vermeidest
TDDDG: Endgerät	Was wird in Cookies, localStorage oder anderen Speichern geschrieben oder daraus gelesen – und wann?	„Im Cookie-Tab steht nichts, also findet kein relevanter Zugriff statt.“
DSGVO: personenbezogene Daten	Welche Daten werden an wen übertragen und wofür verarbeitet?	„Der Speicherzugriff ist erforderlich, also ist jede anschließende Verarbeitung geklärt.“
Zusätzliche Zwecke	Gibt es neben dem Support Analyse-, Werbe- oder andere Dienste?	„Alles, was das Chat-Skript startet, ist für das Gespräch notwendig.“

Prüfe nicht nur Cookies. localStorage und andere Browser-Speicher gehören ebenfalls in die technische Bestandsaufnahme. Netzwerkanfragen wiederum sind auch dann relevant, wenn kein Speichereintrag sichtbar ist: Sie helfen dir, Datenflüsse für die DSGVO-Prüfung zu erkennen. Aus einer Anfrage allein folgt aber noch nicht, dass auf Endgerätespeicher zugegriffen wurde.

Welche Vorgänge rund um das Chat-Widget musst du erfassen?

Trenne die Einbindung vom Gespräch. Ein Shop kann das Widget-Skript bereits mit der Produktseite laden, obwohl niemand den Chat angefordert hat. Das Skript kann anschließend Dateien oder Frames nachladen. Erst später öffnet jemand die Oberfläche und sendet vielleicht eine Nachricht. Halte für jeden Vorgang den Auslöser fest, statt sämtliche Anfragen unter „Chat“ zusammenzufassen.

Sieh auch auf Anfragen an deine eigene Shop-Domain. Ein über den Shop ausgelieferter Endpunkt kann zur Widget-Einbindung gehören, ohne als fremde Domain aufzufallen. Umgekehrt beweist eine fremde Domain für sich genommen weder einen Werbezweck noch einen unzulässigen Datenfluss.

Wie prüfst du das Widget mit den Browser-DevTools?

Die Entwicklerwerkzeuge zeigen dir Netzwerkverkehr und Browser-Speicher, aber nicht automatisch den Zweck jeder Anfrage. Arbeite deshalb mit getrennten Testläufen und notiere deine Beobachtungen unmittelbar. Die Bezeichnungen der DevTools-Menüs unterscheiden sich je nach Browser; suche nach den Bereichen für Netzwerk und Website-Speicher.

1. Sauber starten. Nutze ein frisches Browserprofil ohne Erweiterungen und vorhandene Shop-Daten. Öffne zunächst eine leere Seite und dann die DevTools, bevor du die Shop-URL aufrufst. Aktiviere im Netzwerkbereich die Aufzeichnung und, falls verfügbar, „Protokoll beibehalten“. Kontrolliere im Speicherbereich, dass für die Shop-Domain keine alten Website-Daten vorliegen. Ein privates Fenster ist kein sauberer Ausgangspunkt mehr, wenn darin bereits andere Shop-Tabs offen sind.
2. Ohne Klick beobachten. Rufe eine Seite auf, auf der das Widget normalerweise erscheint. Klicke weder im Banner noch im Chat. Notiere Skripte, Frames und weitere Anfragen mit Ziel-Domain, Endpunkt und Zeitpunkt. Prüfe Cookies, localStorage und angezeigte weitere Speicherbereiche für die Shop-Domain und weitere beteiligte Ursprünge. Ein leerer Cookie-Speicher schließt andere Speicherzugriffe oder Datenübertragungen nicht aus.
3. Ablehnung testen. Wähle „Ablehnen“. Notiere neue Anfragen und Speichereinträge; lade anschließend die Seite neu und prüfe erneut den Zustand vor einem Chat-Klick. Halte bei einem Banner mit getrennten Kategorien die genaue Auswahl fest. So lässt sich später nachvollziehen, welche Entscheidung deine Beobachtung ausgelöst hat.
4. Einwilligung getrennt testen. Beginne mit geleerten Website-Daten einen neuen Testlauf und wähle diesmal „Einwilligen“. Vergleiche die Anfragen und Speicherstände mit dem Ablehnungsfall. Wenn in beiden Läufen dieselbe Ressource geladen wird, dokumentiere das – ohne allein daraus auf ihre rechtliche Zulässigkeit zu schließen.
5. Chat öffnen und Nachricht senden. Halte zunächst den Stand direkt vor dem Öffnen fest. Öffne dann das Widget und erfasse neue Ressourcen und Speichereinträge. Sende anschließend eine Nachricht mit erfundenen Testangaben, nicht mit echten Kundendaten. Prüfe Ziel-Domain und Anfrageinhalt. Wird neben der Gesprächsanfrage noch ein anderer Endpunkt angesprochen, erfasse ihn als eigenen Fund.
6. Unklares gegenprüfen. Wiederhole auffällige Schritte in einem zweiten Browser oder ohne Erweiterungen. Blocker können Anfragen unterdrücken; eine gespeicherte Banner-Entscheidung kann den Ausgangszustand verändern. Erscheint das Widget nur auf bestimmten Seiten oder für angemeldete Kunden, teste auch diese Fälle.

Filtere das Netzwerkprotokoll nicht ausschließlich nach dem Namen des Chat-Anbieters. Die DevTools-Angabe zum „Initiator“ kann zeigen, welches Skript eine Anfrage ausgelöst hat; ihren Zweck bestätigt sie nicht. Wenn du das Protokoll exportierst, prüfe es vor der Weitergabe auf Testnachrichten, Kennungen und Zugangsdaten.

Wie dokumentierst und bewertest du die Funde?

Halte technische Beobachtung, Anbieterangabe und rechtliche Bewertung in getrennten Feldern fest. Ein Dateiname wie „session“ beweist nicht, dass der Zugriff unbedingt erforderlich ist. Ebenso wenig lässt sich aus einer unbekannten Domain allein auf Tracking schließen. Verwende für jeden auffälligen Speicherzugriff oder jede Anfrage einen eigenen Eintrag:

Ein brauchbarer Befund lautet beispielsweise: „Nach Ablehnung und erneutem Seitenaufruf wird eine Datei von Domain X angefordert. Im geprüften Browser ist kein neuer Cookie sichtbar. Zweck und übertragene Daten sind noch ungeklärt.“ Schreibe nicht „kein Tracking“: Eine Netzwerkanfrage kann auch ohne sichtbaren Cookie stattfinden.

Frage den Anbieter bezogen auf den konkreten Fund: „Welche Funktion benötigt diese Anfrage bereits vor dem Öffnen des Chats? Greift sie auf Endgerätespeicher zu? Welche Daten gehen an welche Empfänger? Lässt sich der Vorgang bis zur Einwilligung oder zum Chat-Klick zurückstellen?“ Halte die Antwort als Anbieterangabe fest, ohne den ursprünglichen Browserbefund umzuschreiben. Bei automatisierten Gesprächen hilft dir ergänzend der Beitrag zu Datenflüssen und DSGVO-Pflichten beim KI-Chatbot.

Wann lädst du den Chat sofort, erst nach Einwilligung oder erst nach einem Klick?

Wähle den Ladezeitpunkt anhand der dokumentierten Zugriffe und Zwecke. Ein Klick auf „Chat öffnen“ zeigt, dass jemand den Chat nutzen möchte. Er ist aber nicht automatisch eine informierte Einwilligung in zusätzliche, für das Gespräch nicht erforderliche Speicherzugriffe oder Analysezwecke.

Einbindung	Was du vorher klärst	Abnahmekriterium im Browser
Widget sofort laden	Jeder Vorgang vor dem Chat-Klick ist einzeln erfasst und bewertet; das Widget wird nicht pauschal als unbedingt erforderlich eingestuft.	Im frischen Profil stimmt das Verhalten vor jeder Banner-Auswahl mit der dokumentierten Bewertung überein.
Einwilligungspflichtige Bestandteile erst nach Zustimmung laden	Welche Speicherzugriffe oder zusätzlichen Dienste nach deiner Prüfung eine Einwilligung benötigen.	Vor Zustimmung und nach „Ablehnen“ bleiben die betreffenden Zugriffe und Ressourcen aus – auch nach einem Neuladen.
Chat-Technik erst beim Öffnen laden	Welche Technik erst für den ausdrücklich angeforderten Chat gebraucht wird und welche Bestandteile darüber hinausgehen.	Vor dem Klick lädt die zurückgestellte Technik nicht. Beim Klick bleiben zusätzlich einwilligungspflichtige Bestandteile weiterhin gesperrt, solange keine passende Einwilligung vorliegt.

Eine Klick-Lösung braucht eine ehrliche Beschriftung. „Chat öffnen“ kündigt einen Chat an, nicht das Starten von Werbe-Tracking. Wenn der Klick weitere Vorgänge auslösen soll, prüfe Informationstext, Auswahlmöglichkeit und tatsächlichen Ladezeitpunkt gesondert. Zur verwandten Frage bei automatisierten Chat-Funktionen findest du den Beitrag über die Cookie-Einwilligung beim Chatbot im Onlineshop.

Achte darauf, wo die Sperre technisch greift. Ein Banner kann „abgelehnt“ anzeigen, obwohl das Widget-Skript schon beim Seitenaufbau geladen wurde. Ebenso kann ein zunächst zurückgehaltenes Skript nach einem Seitenwechsel erscheinen. Die sichtbare Banner-Oberfläche allein ist deshalb kein Abnahmenachweis.

Was gehört in die Umsetzung im Shop und in die Abschlussprüfung?

Consent-Banner, Skript-Einbindung und Datenschutzhinweise müssen zum beobachteten Verhalten passen. Suche im Shop-Theme, in Erweiterungen und gegebenenfalls im Tag-Management nach dem Widget-Skript. Bei doppelter Einbindung steuert eine Consent-Regel möglicherweise nur eine Stelle. Das Live-Chat-Widget von askVela lässt sich per Skript-Snippet einbinden. Daraus folgt nichts über das Cookie- oder Ladeverhalten deiner konkreten Shop-Einbindung: Prüfe es im Browser.

Bewahre Prüfbogen und Stand der Shop-Konfiguration zusammen auf. So kannst du neue Anfragen später von bereits dokumentierten unterscheiden. Offene Fragen bleiben als offen markiert; bei Zweifeln über Zweck, Erforderlichkeit oder Rechtsgrundlage holst du fachlichen Rechtsrat ein, bevor du die Einbindung abnimmst. askVela nennt verschlüsselte Übertragung und Datenschutz-Kontrollen; die Datenschutz-Funktionen von askVela können Anhaltspunkte für deine Rückfragen geben. Für die Abnahme zählt weiterhin dein konkreter Test: Was lädt vor der Entscheidung, was bleibt nach Ablehnung aus und was beginnt erst bei Nutzung des Chats?