Live-Chat DSGVO-konform einbinden: 10-Punkte-Checkliste für Onlineshops (2026)

Kurz gesagt: Einen Live-Chat kannst du DSGVO-konform einbinden, aber kein Tool ist von sich aus "DSGVO-konform", es kommt auf deine Einrichtung an. Du brauchst einen Auftragsverarbeitungsvertrag (AVV) mit dem Chat-Anbieter, einen Abschnitt zum Chat in deiner Datenschutzerklärung, eine Entscheidung, wann das Chat-Skript lädt (sofort, nach Einwilligung oder erst beim Klick), eine Löschfrist für alte Gespräche und seit dem 2. August 2026 einen KI-Chat, den Besucher als KI erkennen. Die zehn Punkte unten schafft ein kleiner Shop an einem Nachmittag.

Viele Artikel zu "Live-Chat und DSGVO" stammen aus der Zeit um 2018. Seitdem hat sich einiges getan: Das TTDSG heißt seit Mai 2024 TDDDG, die Datenschutzkonferenz (DSK) hat im November 2024 klargestellt, dass eine Chatbox ein Zusatzdienst ist und nicht zur aufgerufenen Seite gehört, und seit August 2026 gilt die Transparenzpflicht der KI-Verordnung für Chatbots. Diese Checkliste berücksichtigt alles drei.

Das ist eine praktische Zusammenfassung, keine Rechtsberatung. Wenn du Gesundheitsdaten verarbeitest, an Kinder verkaufst oder einen großen Shop betreibst, sprich mit einer Fachanwältin oder einem Datenschutzbeauftragten.

Was das Recht von einem Website-Chat verlangt

Die 10-Punkte-Checkliste

1. AVV mit dem Chat-Anbieter abschließen

Der Anbieter speichert die Nachrichten deiner Kunden in deinem Auftrag und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Der Vertrag bindet ihn an deine Weisungen, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen und Löschung nach Vertragsende. Die meisten Anbieter haben einen Standard-AVV zum Online-Abschluss. Speichere ihn mit Datum ab. Bietet ein Anbieter gar keinen AVV an, nimm einen anderen.

2. Wissen, wohin die Daten gehen

Drei Fragen: In welchem Land liegen die Gespräche, welche Unterauftragsverarbeiter sehen sie (Hosting, E-Mail, KI-Modell), und auf welcher Grundlage gehen Daten aus der EU heraus?

Für US-Anbieter gilt seit Juli 2023 das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Das EU-Gericht hat es am 3. September 2025 in der Sache Latombe/Kommission (T-553/23) bestätigt, das Rechtsmittel liegt als C-703/25 P beim Gerichtshof (Amtsblatt, Dezember 2025). Zertifizierte US-Anbieter sind also heute zulässig. Bedenke aber, dass schon zwei Vorgänger-Abkommen vor Gericht gekippt sind. Ein Anbieter mit Servern in der EU erspart dir dieses Risiko.

3. Entscheiden, wann das Chat-Skript lädt

Hier hängen die meisten Shops fest. Ein Chat-Widget lädt ein Skript vom Server des Anbieters, dabei geht die IP-Adresse des Besuchers an diesen Server, und meist wird etwas im Browser gespeichert, damit das Gespräch einen Seitenwechsel übersteht.

Die DSK schreibt in ihrer Orientierungshilfe für digitale Dienste (Version 1.2, November 2024), dass Chatboxen Zusatzdienste sind. Wer eine Seite aufruft, hat den Chat noch nicht gewünscht. Speichervorgänge für den Chat können erst dann unbedingt erforderlich sein, wenn der Besucher ihn nutzt, also zum Beispiel anklickt. Außerdem gibt das Einbinden fremder Skripte regelmäßig personenbezogene Daten an den Drittanbieter weiter und braucht eine Rechtsgrundlage nach Art. 6 DSGVO (OH Digitale Dienste, Rn. 74–80 und 101).

Unsere Empfehlung für Shops in Deutschland: Lade den Chat erst nach Einwilligung oder per Klick (Zwei-Klick-Lösung). Die Klick-Lösung hält den Chat für alle Besucher offen, die Einwilligungslösung erhält proaktive Nachrichten für alle, die zugestimmt haben. Du kannst beides kombinieren: Der Chat lädt sofort, wenn die Einwilligung da ist, und sonst erst beim Klick auf "Chat starten". Wenn du den Chat über den Google Tag Manager einbindest, stellst du den Trigger von "All Pages" auf das Einwilligungs-Event deines Banners um (Live-Chat per Tag Manager einbinden).

4. Den Chat in die Datenschutzerklärung aufnehmen

Ein kurzer Abschnitt in klarer Sprache, mit dem, was Art. 13 DSGVO verlangt:

Live-Chat. Wenn du den Chat auf unserer Website nutzt, verarbeiten wir deine Nachrichten, deinen Namen und deine E-Mail-Adresse, falls du sie angibst, deine IP-Adresse und die besuchten Seiten. Wir nutzen diese Daten, um deine Fragen zu beantworten (Art. 6 Abs. 1 lit. b DSGVO) und, bei Besuchern ohne Bestellung, auf Grundlage unseres berechtigten Interesses an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Anbieter des Chats ist [Anbieter, Anschrift], der die Daten in unserem Auftrag verarbeitet. Die Daten werden in [Land] gespeichert. [Falls KI antwortet: Einige Antworten schreibt ein KI-Assistent; dafür wird deine Nachricht an [KI-Anbieter] übermittelt.] Wir löschen Gespräche [12] Monate nach der letzten Nachricht.

Ob du deine Kunden in der Datenschutzerklärung duzt oder siezt, richtet sich nach deinem Shop. Wenn dein Team sieht, was Besucher tippen, bevor sie auf Senden drücken (Tippvorschau), gehört das ebenfalls hinein.

5. Nur fragen, was du brauchst

Ein Vorab-Formular, das Name, E-Mail, Telefon und Firma vor der ersten Nachricht verlangt, erhebt mehr, als die meisten Fragen brauchen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Frag nach der E-Mail nur, wenn du außerhalb der Servicezeiten per E-Mail antworten willst. Für "Wo ist meine Bestellung?" reicht die Bestellnummer.

6. Kartennummern und Passwörter aus dem Chat heraushalten

Kunden kopieren Kartennummern und Passwörter ins Chatfenster. Bitte sie in der Begrüßung auf Zahlungsseiten, das nicht zu tun, und schalte die Maskierung ein, wenn dein Tool sie hat. In Shopxare maskiert Einstellungen → Allgemein → Kartennummern und Passwörter verbergen Kartennummern (bis auf die letzten 4 Ziffern), Sicherheitscodes und Passwörter in Kundennachrichten (Workspace-Einstellungen).

7. Löschfrist festlegen und Löschanfragen bearbeiten

Nach Art. 5 Abs. 1 lit. e DSGVO speicherst du Daten nur so lange wie nötig, und Art. 17 gibt Kunden ein Recht auf Löschung. Wähle eine Frist, die zum Zweck passt, etwa das Ende von Widerrufs- und Gewährleistungsfrist, schreib sie in die Datenschutzerklärung und lösche ältere Gespräche einmal im Quartal zu einem festen Termin. Bei einer Löschanfrage löschst du Kontakt und Gespräche zusammen und bestätigst es schriftlich.

Achtung bei Rechnungsbezug: Handels- und steuerrechtliche Aufbewahrungspflichten können für einzelne Nachrichten längere Fristen verlangen. Kläre das mit deiner Steuerberatung, bevor du pauschal löschst.

8. KI als KI erkennbar machen

Seit 2. August 2026 verlangt Art. 50 Abs. 1 der KI-Verordnung, dass Menschen erfahren, wenn sie mit einem KI-System interagieren, außer es ist offensichtlich. Die Pflicht trifft den Anbieter des KI-Systems, und der "Digital Omnibus" der EU hat sie nicht verschoben (Verordnung (EU) 2026/1744). Als Shop bestimmst du aber Namen und ersten Satz. Nenn deinen Bot nicht "Anna" mit Stockfoto, sondern "KI-Assistent", und sag in der ersten Antwort, dass ein Mensch übernehmen kann. Mehr zum Unterschied zwischen Bots und Agenten in KI-Agent vs. Chatbot.

9. Kontrollieren, was die KI an den Modellanbieter schickt

Ein KI-Agent schickt die Kundennachricht an einen Sprachmodell-Anbieter. Prüfe, wer das ist, ob er als Unterauftragsverarbeiter gelistet ist und ob personenbezogene Daten vorher entfernt werden können. In Shopxare hat Are AI die Einstellung Personenbezogene Daten vor dem KI-Anbieter verbergen, die E-Mail-Adressen, Telefon- und Kartennummern ersetzt, bevor der Text gesendet wird. Außerdem legst du fest, wem die KI antwortet: allen, nur Besuchern oder nur eingeloggten Kunden.

10. Festlegen, wer was lesen darf

Im Support-Postfach liegen Adressen, Bestellungen und Beschwerden. Gib jedem im Team nur die Rolle, die er braucht, und nutze die Identitätsprüfung, damit sich niemand als eingeloggter Kunde ausgeben und dessen Gespräche lesen kann (Rollen und Berechtigungen, Identitätsprüfung).

Beispiel: ein kleiner Teeshop arbeitet die Liste ab

Ein Zwei-Personen-Shop in Leipzig verkauft Tee über Shopify, vor allem nach Deutschland und Österreich. Der Chat lädt seit 2023 auf jeder Seite, die Datenschutzerklärung erwähnt ihn nicht, und nachts beantwortet Are AI Versandfragen.

An einem Nachmittag schließen sie den AVV ab und legen ihn ab, verschieben das Chat-Snippet in ihr Consent-Tool, sodass es erst nach "Akzeptieren" lädt, und setzen für alle anderen einen Link "Chat starten" in den Footer, der den Chat per Klick lädt. Sie ergänzen die Datenschutzerklärung um den Abschnitt oben mit 12 Monaten Löschfrist, benennen die KI von "Lena" in "KI-Assistent" um und schalten die Maskierung von Kartennummern ein. Um 23:10 Uhr fragt ein Besucher: "Gibt es den Darjeeling auch lose?" Der KI-Assistent antwortet aus den Produktseiten und schreibt dazu, dass sich bei Bedarf morgens jemand aus dem Team meldet.

Wo Shopxare hilft und was du selbst erledigst

"Keine Cookies auf deiner Domain" beantwortet die Einwilligungsfrage nicht allein: § 25 TDDDG erfasst jeden Zugriff auf das Endgerät, und beim Laden des Skripts geht die IP-Adresse an den Anbieter. Diese Entscheidung bleibt bei dir und deinem Consent-Tool.

Wann diese Checkliste nicht reicht

Wenn Kunden dir Gesundheitsdaten schicken (Apotheke, Nahrungsergänzung mit medizinischen Fragen), Ausweisdokumente oder Daten von Kindern, brauchst du mehr als zehn Punkte, eventuell eine Datenschutz-Folgenabschätzung und einen Datenschutzbeauftragten. Das gilt auch, wenn du Gespräche aufzeichnest oder den Chat für Bonitätsentscheidungen nutzt. Hol dir fachlichen Rat.

Häufige Fragen

Brauche ich für einen Live-Chat eine Einwilligung im Cookie-Banner?

Nach der Auslegung der DSK (2024) ist ein Chat erst gewünscht, wenn der Besucher ihn nutzt. Lade ihn deshalb erst nach Einwilligung oder per Klick. Für das Gespräch selbst brauchst du meist keine Einwilligung, weil Vertrag oder berechtigtes Interesse greifen.

Brauche ich einen AVV mit meinem Chat-Anbieter?

Ja. Der Anbieter speichert Kundennachrichten in deinem Auftrag und ist Auftragsverarbeiter nach Art. 28 DSGVO.

Muss ich Kunden sagen, dass sie mit einer KI chatten?

Seit 2. August 2026 müssen Menschen in der EU erfahren, dass sie mit einem KI-System interagieren, außer es ist offensichtlich (Art. 50 Abs. 1 KI-Verordnung). Am einfachsten: ein klarer Name wie "KI-Assistent" und ein erster Satz, dass ein Mensch übernehmen kann.

Darf ich ein Chat-Tool aus den USA nutzen?

Ja, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln anbietet. Das EU-Gericht hat das Framework im September 2025 bestätigt, ein Rechtsmittel ist anhängig.

Wie lange darf ich Chatverläufe speichern?

So lange, wie du sie für einen festgelegten Zweck brauchst, etwa bis zum Ende der Gewährleistung. Schreib die Frist in die Datenschutzerklärung und lösche ältere Gespräche regelmäßig.

Wenn du einen Chat suchst, der in einem isolierten Frame läuft, in Europa gehostet wird und personenbezogene Daten vor der KI verbergen kann: Shopxare hat einen kostenlosen Plan.