Braucht das Support-Widget eine Einwilligung? § 25 TDDDG
Braucht ein Support-Widget die Einwilligung der Nutzer? Erfahre, was § 25 TDDDG verlangt, welche Positionen es gibt und welcher Weg am sichersten ist.
Martin Semmele
Wichtige Erkenntnisse
- § 25 Absatz 1 TDDDG verlangt grundsätzlich eine Einwilligung für das Setzen und Auslesen von Endgeräte-Informationen.
- Es existieren zwei ungeklärte Positionen: Das Widget als notwendiges Kontaktformular oder als einwilligungspflichtiger Dienst.
- Die Datenschutzkonferenz legt Ausnahmen eng aus und sieht automatisch ladende Skripte oft als einwilligungspflichtig an.
- Ein Verstoß gegen das Einwilligungserfordernis ist eine Ordnungswidrigkeit und kann nach § 28 TDDDG mit einem Bußgeld geahndet werden.
- Der risikoärmste Weg ist das Laden des Chat-Skripts erst nach einer aktiven Zustimmung der Besucherin.
Keine Rechtsberatung, aber ein klarer rechtlicher Rahmen
Dieser Beitrag stellt keine Rechtsberatung dar. Er ordnet die Rechtslage rund um Support-Widgets pragmatisch ein und zeigt auf, welche technischen Entscheidungen du als Support-Lead oder Website-Verantwortlicher treffen musst. Wer ein Chat-Widget in die eigene Website einbindet, steht früher oder später vor der Frage der Rechtsabteilung oder des Datenschutzbeauftragten: Gehört das Widget in den Einwilligungsbanner oder darf es direkt laden?
Der rechtliche Dreh- und Angelpunkt ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Dieser Paragraf regelt den Schutz der Privatsphäre bei Endeinrichtungen und unterscheidet präzise zwischen einwilligungspflichtigen Vorgängen und gesetzlichen Ausnahmen.
Der Grundsatz nach Absatz 1. Die Ausnahme nach Absatz 2.
Nach § 25 Absatz 1 Satz 1 TDDDG ist das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen nur zulässig, wenn zuvor auf der Grundlage klarer und umfassender Informationen eingewilligt wurde1. Die Vorschrift ist nach Lesart der Aufsichtsbehörden technikneutral formuliert, sodass alle Techniken und Verfahren erfasst werden, mittels derer das Speichern und Auslesen von Informationen erfolgen kann, etwa Local Storage, Session Storage oder IndexedDB2.
Von diesem Grundsatz gibt es in § 25 Absatz 2 Nummer 2 TDDDG eine enge Ausnahme: Eine Einwilligung ist dann nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann1.
Wichtig ist hierbei die saubere Trennung zwischen dem TDDDG und der Datenschutz-Grundverordnung (DSGVO): Das TDDDG schützt die Integrität des Endgeräts völlig unabhängig davon, ob es sich bei den ausgelesenen oder gesetzten Daten um personenbezogene Informationen handelt. Die DSGVO greift zusätzlich, sobald personenbezogene Daten wie IP-Adressen oder Chat-Inhalte verarbeitet werden.
| Rechtsnorm | Tatbestand | Praxis-Relevanz für Widgets |
|---|---|---|
| § 25 Abs. 1 TDDDG | Speichern oder Auslesen von Informationen im Endgerät bedarf der Einwilligung. | Gilt für Cookies, Local Storage und Session-IDs des Support-Chats. |
| § 25 Abs. 2 Nr. 2 TDDDG | Ausnahme: Unbedingt erforderlich für einen ausdrücklich gewünschten digitalen Dienst | Entscheidende Frage: Ist der Support-Chat auf jeder Seite ausdrücklich gewünscht? |
| Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse an der Datenverarbeitung bei der Kommunikation. | Regelt die serverseitige Verarbeitung der Nachrichten, löst aber nicht die TDDDG-Pflicht. |
Position 1: Das Widget als notwendiges Kontaktformular
Die erste Rechtsauffassung behandelt das Support-Widget im Wesentlichen wie ein modernes, mitlaufendes Kontaktformular. Befürworter dieser Ansicht argumentieren, dass Kundensupport eine fundamentale Kernfunktion eines jeden digitalen Angebots ist. Wer eine Website oder Web-App besucht, erwartet eine Möglichkeit zur direkten Kontaktaufnahme.
Session-Erhalt als technische Notwendigkeit.
Aus technischer Sicht benötigt ein interaktives Support-Widget eine Kennung im Session Storage oder Local Storage des Browsers. Ohne diese Kennung würde der Chat-Verlauf bei jedem Seitenwechsel oder Neuladen des Tabs sofort abbrechen. Die Argumentation von Position 1 lautet daher: Wenn Support bereitgestellt wird, ist das Setzen dieser rein funktionalen Sitzungskennung technisch zwingend notwendig, um die Konversation über mehrere Unterseiten hinweg aufrechtzuerhalten.
Unter dieser Prämisse stützen Unternehmen den Betrieb auf die Ausnahme in § 25 Absatz 2 Nummer 2 TDDDG, die eine Einwilligung entbehrlich macht, wenn der Zugriff unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst zur Verfügung zu stellen1. Das Skript wird in die Kategorie Notwendig oder Essenziell im Consent-Management-Tool eingeordnet und lädt sofort beim initialen Seitenaufruf, ohne dass die Besucherin vorab einen Haken im Banner setzen muss.
- Der Support-Kanal wird als Standard-Kontaktweg analog zu E-Mail-Links oder Kontaktformularen gewertet.
- Das Speichern der Session-ID dient ausschließlich der Bereitstellung des Dialogs und verfolgt kein Tracking.
- Die Handoff- und Hilfefunktion steht Kundinnen ohne jede Barriere oder vorherigen Consent-Klick sofort zur Verfügung.
- Das Skript wird im Einwilligungsbanner als essenzieller Dienst geführt und lädt automatisch mit der Seite.
Position 2: Die strenge Sicht der Datenschutzkonferenz
Die Datenschutzkonferenz (DSK), das Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, vertritt eine deutlich strengere Auslegung. In ihrer Orientierungshilfe für Anbieter von Telemedien hält sie fest, dass § 25 Absatz 1 den Grundsatz der Einwilligungsbedürftigkeit normiert und davon nur die zwei eng gefassten Ausnahmen des Absatzes 2 abweichen2. Der Gesetzgeber hat sich dabei bewusst sehr eng am Wortlaut der europäischen Vorgabe orientiert und keine weiteren Ausnahmen aufgenommen, sodass nur wenige Dienste ohne Einwilligung eingebunden werden können2.
Automatisches Laden ohne Interaktion ist kein ausdrücklicher Wunsch.
Nach Ansicht der Aufsichtsbehörden liegt bei einem automatisch ladenden Chat-Widget genau darin der Knackpunkt: Die Besucherin ruft eine Website auf, um sich über ein Produkt zu informieren oder einen Artikel zu lesen. Zu diesem Zeitpunkt hat sie den Support-Dienst noch gar nicht ausdrücklich angefordert. Die Ausnahme greift nach dem Gesetzeswortlaut nur, wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst zur Verfügung gestellt werden kann1. Die Datenschutzkonferenz betont, dass diese beiden Tatbestandsmerkmale in einem untrennbaren Zusammenhang stehen und die unbedingte Erforderlichkeit stets in Bezug auf den konkret gewünschten Dienst zu prüfen ist, wobei eine granulare Betrachtung einzelner Funktionen einer Website geboten ist2. Lädt das Skript bereits im Hintergrund und setzt eine Gerätekennung, bevor die Nutzerin aktiv auf das Chat-Symbol geklickt hat, fehlt es nach dieser Lesart am Kriterium des ausdrücklichen Wunsches.
Zudem verweisen Aufsichtsbehörden darauf, dass viele gängige Widget-Skripte bereits beim Initialisieren Geräte- und Browserdaten erfassen, IP-Adressen an Drittserver übertragen oder Schriftarten und Drittanbieter-Ressourcen nachladen. Das Einwilligungserfordernis greift dabei unabhängig davon, ob die gespeicherten oder ausgelesenen Informationen einen Personenbezug haben2. Hinzu kommt der Zeitpunkt: Die Einwilligung muss vorliegen, bevor der Zugriff auf die Endeinrichtung erfolgt. Nach dieser strengen Lesart ist das pauschale Laden eines Widgets auf jeder Unterseite einwilligungspflichtig.
| Kriterium | Klassisches Kontaktformular | Automatisch ladendes Chat-Widget |
|---|---|---|
| Aufruf der Funktion | Aktiv durch Navigation auf die /kontakt-Seite | Passiv durch automatisches Skript-Laden auf allen Seiten |
| Endgeräte-Zugriff | Kein clientseitiger Speicher vor dem Absenden nötig | Setzt Session-Kennungen oder Local Storage beim Seitenaufruf |
| Ausdrücklicher Wunsch | Durch gezielten Aufruf der Seite eindeutig gegeben | Beim reinen Besuch der Startseite nicht zwingend gegeben |
| Bewertung nach enger Auslegung | Regulär ohne TDDDG-Einwilligung zulässig | Einwilligungspflichtig, weil der Zugriff vor dem ausdrücklichen Wunsch erfolgt |
Praktische Folgen: Laden nach Klick oder Banner-Kategorie?
Die rechtliche Einordnung ist keine theoretische Übung. Sie diktiert exakt, wie dein Widget technisch implementiert und in dein Consent-Management-System eingebunden werden muss. Wer sich für eine der beiden Rechtsauffassungen entscheidet, muss die passende technische Architektur wählen.
Option A: Sofortiges Laden als essenzieller Dienst.
Stuft dein Unternehmen das Widget als technisch unbedingt erforderlich ein, trägst du das Skript in deinem Consent-Tool in die Gruppe Essenziell oder Notwendig ein. Das Widget lädt asynchron beim Seitenaufruf. Die Besucherin sieht die Support-Schaltfläche sofort in der Bildschirmecke. Der Vorteil: Maximale Verfügbarkeit und keine Einstiegshürden für Support-Suchende.
Option B: Steuerung über den Einwilligungsbanner.
Folgt dein Unternehmen der Auffassung der Datenschutzbehörden, gehört das Widget in die Kategorie Funktional oder Externe Medien. Das bedeutet in der Praxis: Das Skript wird vom Consent-Banner blockiert und erst injiziert, wenn die Nutzerin im Banner aktiv auf Alle akzeptieren oder Funktional auswählen klickt. Lehnt die Besucherin ab, bleibt das Widget für sie komplett unsichtbar. In diesem Fall empfiehlt es sich, statische Kontaktmöglichkeiten im Footer oder ein öffentliches Hilfe-Center als Rückfallebene bereitzustellen.
Option C: Die 2-Klick-Lösung mit Platzhalter.
Eine elegante Alternative zur Banner-Blockade ist das Laden nach Klick. Hierbei wird zunächst kein externes Skript und kein Cookie geladen. Auf der Seite liegt lediglich ein lokales Platzhalter-Icon. Klickt die Besucherin aktiv auf dieses Chat-Symbol, bestätigt sie damit den ausdrücklichen Wunsch nach dem Support-Dienst. Erst dieser Klick löst das dynamische Nachladen des Widget-Skripts aus. Das passt zum Wortlaut der Ausnahme in § 25 Absatz 2 Nummer 2 TDDDG, die den Zugriff nur für einen ausdrücklich gewünschten digitalen Dienst freistellt1.
- 01Variante 1 (Essenziell): Skript lädt direkt. Hohe Erreichbarkeit, erfordert fundierte Dokumentation im Unternehmen.
- 02Variante 2 (Banner-Opt-in): Skript lädt nur bei Zustimmung im Banner. Führt bei Banner-Ablehnung zum Verlust des Chat-Kanals.
- 03Variante 3 (2-Klick-Nachladen): Platzhalter lädt Skript erst bei aktiver Interaktion. Hohe Rechtssicherheit bei erhaltener Sichtbarkeit.
Dokumentation: Warum ein bloßer Beschluss nicht reicht
Egal welchen Weg dein Team wählt: Eine informelle Entscheidung im Support-Slack oder ein mündliches Einverständnis reichen bei einer behördlichen Prüfung nicht aus. Nach Art. 5 Absatz 2 DSGVO gilt die Rechenschaftspflicht. Du musst jederzeit nachweisen und begründen können, warum ein Tool wie eingesetzt wird.
Eintragung im Verzeichnis von Verarbeitungstätigkeiten.
Jedes eingesetzte Support-System gehört gemäß Art. 30 DSGVO zwingend in das Verzeichnis von Verarbeitungstätigkeiten (VVT). Dort müssen Zwecke der Verarbeitung, Kategorien betroffener Personen, Empfänger der Daten, Speicherdauern und die genutzten Rechtsgrundlagen nach TDDDG und DSGVO transparent hinterlegt werden.
Zusätzlich muss die Datenschutzerklärung deiner Website den Einsatz des Widgets detailliert aufschlüsseln. Werden dort Kennungen gesetzt, müssen Speicherdauer, Funktionsweise und beteiligte Dienstleister präzise benannt werden. Dies ist auch die Basis, um bei späteren Nutzeranfragen oder formellen DSGVO-Auskunftsersuchen souverän und fristgerecht Auskunft geben zu können.
- Dokumentierte Begründung der Einstufung nach § 25 TDDDG (Essenziell, Banner-Opt-in oder 2-Klick).
- Pflege des Eintrags im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.
- Vollständige Klausel in der Datenschutzerklärung mit Nennung von Dienstleister, Speicherfristen und Datenzweck.
- Abschluss eines Vertrags zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO mit dem Widget-Anbieter.
Der risikoärmste Weg für Website-Verantwortliche
Wer die Rechtsrisiken minimieren will, muss die möglichen Konsequenzen nüchtern abwägen. Verstöße gegen die Vorgaben des § 25 Absatz 1 TDDDG sind keine Bagatellen. Gemäß § 28 Absatz 1 Nummer 13 in Verbindung mit Absatz 2 TDDDG kann das Speichern von oder der Zugriff auf Informationen ohne Einwilligung mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden4.
Abmahnrisiko durch Verbände und Mitbewerber.
Neben behördlichen Bußgeldern besteht bei intransparent eingebundenen Skripten stets das Risiko von wettbewerbsrechtlichen Abmahnungen durch Verbraucherzentralen oder Konkurrenten. Skripte, die ohne Banner-Einwilligung Tracking-Cookies setzen oder Daten in Drittstaaten ohne angemessenes Schutzniveau übertragen, stehen im Fokus automatisierter Crawler.
Der mit Abstand risikoärmste Weg ist daher zweigeteilt: Entweder bindest du das Widget über eine echte 2-Klick-Logik ein, sodass Daten erst bei Klick auf den Chat fließen, oder du ordnest das Widget im Consent-Banner der einwilligungspflichtigen Kategorie zu. Wer das Widget hingegen direkt als essenziell laden möchte, sollte sicherstellen, dass der Anbieter keinerlei Drittanbieter-Tracking betreibt, die Daten vollständig in der EU verarbeitet werden und die Begründung im Verzeichnis von Verarbeitungstätigkeiten lückenlos dokumentiert ist.
| Implementierung | Rechtliches Risiko | Praktische Auswirkung auf UX |
|---|---|---|
| Sofortiges Laden als essenziell | Mittel bis erhöht, da die Ausnahme des § 25 Absatz 2 TDDDG von den Aufsichtsbehörden eng verstanden wird | Beste Nutzererfahrung: Chat sofort sichtbar. |
| Einbindung im Banner (Opt-in) | Sehr gering | Chat bleibt für Nutzerinnen ohne Zustimmung unsichtbar. |
| 2-Klick-Lösung (Laden bei Klick) | Sehr gering | Optimaler Kompromiss: Chat-Icon sichtbar, Skript lädt nach Bedarf. |
DSGVO-konformer KI-Support mit Comlayer
Wenn du modernen Kundensupport automatisieren willst, ohne rechtliche Grauzonen zu riskieren, kommt es auf die richtige technische Basis an. Entscheidend ist eine Lösung, die die Oberfläche sauber von der Datenverarbeitung trennt und dir volle Flexibilität bei der Einbindung lässt.
Schlankes Skript und flexible Lade-Modi.
Das Widget von Comlayer wird über ein asynchrones JavaScript-Snippet eingebunden. Du kannst selbst entscheiden, ob das Snippet direkt im Quelltext lädt, über dein Consent-Management-System nach Einwilligung freigeschaltet wird oder erst über einen Klick-Event auf deiner Seite dynamisch initialisiert wird. Die Domain-Allowlist stellt sicher, dass dein Widget-Schlüssel nicht auf fremden Domains missbraucht werden kann.
Wie so eine Entscheidung aussieht, wenn sie einmal getroffen ist, lässt sich bei Comlayer selbst nachlesen. Im eigenen Einwilligungsverzeichnis ist der Support-Chat als notwendig nach § 25 Absatz 2 Nummer 2 TDDDG eingestuft, mit der Begründung, dass er der einzige Support-Kanal dieser Seite ist und deshalb wie ein Kontaktformular behandelt wird. Die Gegenposition steht ausdrücklich daneben: Die Datenschutzkonferenz zählt automatisch ladende Chat-Widgets zu den einwilligungspflichtigen Diensten, weil das Skript ohne Zutun der Besucherin lädt und eine Kennung setzt. Wer das anders bewertet, verschiebt den Eintrag in die Kategorie funktional, koppelt das Laden an die Einwilligung und erhöht die Version des Banners, damit erneut gefragt wird. Auch das ist keine geklärte Rechtsfrage, sondern eine begründete und dokumentierte Entscheidung — genau die, die dieser Beitrag beschreibt.
Verarbeitung in der EU und kein Modell-Training.
Hinter dem Widget arbeitet eine saubere europäische Infrastruktur für Sicherheit und Datenschutz: Konversationen, Dateianhänge und die KI-Verarbeitung laufen in europäischen Rechenzentren. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird direkt bereitgestellt. Ein essenzieller Punkt für Unternehmen: Deine Kundendaten und Support-Gespräche werden nicht genutzt, um KI-Modelle zu trainieren. Die Antworten basieren auf RAG (Retrieval-Augmented Generation) und liefern immer den Link zur Quelle.
Die Tarife sind transparent strukturiert: Der Free-Tarif ermöglicht den kostenlosen Einstieg mit Support-Widget, Hilfe-Center und zwei Teamplätzen. Der Pro-Tarif richtet sich an Teams, die KI-Support produktiv einsetzen, und bringt 500 inklusive KI-Antworten sowie eine eigene Hilfe-Center-Domain mit. Für höheres Volumen steht der Scale-Tarif mit 5.000 inklusive KI-Antworten bereit.
- Flexible Einbindung: Direktes Laden, Banner-Koppelung oder 2-Klick-Trigger per JavaScript.
- Hosting und KI-Verarbeitung in europäischen Regionen mit AVV.
- Kein Training öffentlicher KI-Modelle mit deinen Kundengesprächen.
- Transparente Preismodelle vom kostenlosen Free-Tarif über Pro bis Scale, mit Grundpreis pro Monat, Preis pro Platz und KI-Antworten nach Verbrauch.
Häufig gestellte Fragen
Was regelt § 25 TDDDG für Websites?
Das TDDDG setzt europäische Vorgaben in deutsches Recht um. § 25 regelt, dass für das Speichern und Auslesen von Informationen auf dem Endgerät - etwa durch Cookies oder Skripte - grundsätzlich eine informierte Einwilligung nötig ist, sofern keine strikte Ausnahme greift.
Ist ein Support-Widget nach TDDDG unbedingt erforderlich?
Das ist juristisch umstritten. Eine Position sieht das Widget analog zu einem Kontaktformular als zwingend notwendigen Dienst an. Die Gegenposition und viele Aufsichtsbehörden werten es als Zusatzfunktion, die nicht ohne explizite Anfrage der Besucherin starten darf.
Was sagt die Datenschutzkonferenz zu Chat-Widgets?
Die Datenschutzkonferenz (DSK) legt die Ausnahmen der Einwilligungspflicht sehr eng aus. Sie argumentiert meist, dass ein automatisch ladendes Widget, das sofort Kennungen setzt, nicht vom Nutzer ausdrücklich gewünscht wurde und daher zustimmungspflichtig ist.
Muss das Chat-Widget in den Einwilligungsbanner?
Wenn du der strengen Auslegung folgst, ja. Dann darf das Skript erst laden, wenn die Besucherin im Banner zugestimmt hat, oder wenn sie direkt auf einen Platzhalter klickt, der das Laden des Skripts auslöst.
Welche Bußgelder drohen bei einem Verstoß gegen das TDDDG?
Werden Informationen ohne die nötige Einwilligung auf einem Endgerät gespeichert oder ausgelesen, stellt das eine Ordnungswidrigkeit dar, die nach § 28 TDDDG mit einer Geldbuße geahndet werden kann. Den genauen Bußgeldrahmen für diesen Tatbestand nennt § 28 Absatz 2 TDDDG.
Reicht es, wenn ich keine personenbezogenen Daten speichere?
Nein. § 25 TDDDG greift bereits beim rein technischen Vorgang des Speicherns oder Auslesens von Informationen auf dem Endgerät, unabhängig davon, ob diese Daten einen direkten Personenbezug haben. Die DSGVO regelt erst die anschließende Datenverarbeitung.