Ein Chatgespräch enthält personenbezogene Daten, selbst wenn niemand seinen Namen nennt. Schon die IP-Adresse, eine Besucherkennung und der Nachrichtentext, in dem der Kunde sein Anliegen beschreibt, können dafür genügen. Hinzu kommen Pre-Chat-Felder, der Besuchsverlauf und Anhänge. Bevor du das Widget startest, solltest du wissen, welche Daten genau entstehen, wohin sie gelangen und wie lange sie gespeichert werden.
Dieser Artikel beschreibt die praktische Umsetzung und typische organisatorische Entscheidungen. Er ist weder eine Rechtsberatung noch eine Prüfung deiner konkreten Website — lass die Rechtsgrundlagen der Verarbeitung und den Wortlaut deiner Hinweise von einem Rechtsanwalt oder Datenschutzbeauftragten prüfen.
Welche Daten entstehen tatsächlich im Chat?
Der häufigste Fehler besteht darin, den Chat als einen einzigen Datenbestand aus „Nachrichten“ zu betrachten. Tatsächlich entstehen mehrere Datenkategorien mit unterschiedlicher Sensibilität und unterschiedlichen Rechtfertigungsgründen. Werden sie getrennt betrachtet, vereinfacht das jede weitere Entscheidung: Aufbewahrung, Zugriff, Beschreibung in der Datenschutzerklärung und die Bearbeitung eines Antrags der betroffenen Person.
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Kategorie | Beispiele | Worauf du achten solltest |
|---|---|---|
| Direkt angegebene Daten | Name, E-Mail-Adresse und Telefonnummer aus dem Pre-Chat oder Offline-Formular | Jedes Pflichtfeld muss durch seinen Zweck begründet sein, nicht durch Bequemlichkeit |
| Gesprächsinhalte | Nachrichten, Anhänge, interne Notizen | Der Kunde gibt selbst Daten ein, deren Erhebung du nicht vorgesehen hattest |
| Technische Daten | IP-Adresse, Gerät, Browser, Besucherkennung | Entstehen automatisch, auch ohne Formular |
| Besuchskontext | Besuchte URLs, Zugriffsquelle, Verweildauer auf der Website | Die Verknüpfung dieser Daten mit einer Person ist eine eigene Entscheidung, kein bloßer Nebeneffekt |
| Bewertung des Kundenservice | Umfrage nach dem Gespräch, Kundenkommentar | Ein Kommentar ist oft ausführlicher, als das Formular vermuten lässt |
Ein Kunde wird im Chat mehr angeben, als du erheben wolltest. Eine Bestellnummer mag unproblematisch sein, die Beschreibung des Gesundheitszustands oder das Foto eines Ausweises sind es nicht. Das Team muss wissen, wie es in einer solchen Situation vorgeht, bevor sie eintritt.
Wenn du neben dem Chat auch Sitzungsaufzeichnungen einsetzt, behandle sie als eigenen Datenumfang und separate Entscheidung. Die Konfigurationsfragen für diese Funktion erläutern wir im Artikel über Sitzungsaufzeichnungen und DSGVO.
Ein Sonderfall liegt vor, wenn ein Kunde eine Kartennummer oder den Scan eines Dokuments in das Chatfenster einfügt. Das unmittelbare Vorgehen und die anschließenden Schritte erklären wir im Artikel über sensible Daten im Chat.
Wer ist Verantwortlicher und wer Auftragsverarbeiter?
In der üblichen Konstellation bist du als Betreiber der Website der Verantwortliche: Du entscheidest über Zwecke und Mittel der Verarbeitung. Der Anbieter des Chat-Tools verarbeitet die Daten in deinem Auftrag und ist damit Auftragsverarbeiter. Aus dieser Rollenverteilung ergeben sich konkrete Pflichten für beide Seiten.
- AuftragsverarbeitungsvertragDie Beziehung zum Anbieter erfordert eine schriftliche Grundlage, die Umfang, Zweck und Dauer der Verarbeitung sowie die Pflichten nach Ende der Zusammenarbeit festlegt.
- Liste der UnterauftragsverarbeiterDer Anbieter nutzt üblicherweise Hosting-, E-Mail- oder Zusatzdienste. Du solltest wissen, wer die Daten außerdem verarbeitet.
- Ort der VerarbeitungPrüfe, wo die Daten physisch gespeichert werden und ob eine Übermittlung außerhalb des Europäischen Wirtschaftsraums stattfindet.
- Verzeichnis der VerarbeitungstätigkeitenDer Chat ist eine weitere Verarbeitungstätigkeit. Wenn du ein Verzeichnis führst, nimm ihn gesondert auf, statt ihn unter einem allgemeinen Eintrag zur Website zu verbergen.
Stell dem Anbieter noch vor der Einführung drei Fragen: Wo werden die Gespräche gespeichert, wie lange und was genau bleibt nach Ende der Zusammenarbeit erhalten? Die Antworten sollten konkret und schriftlich festgehalten sein, nicht nur mündlich. In Meetlead werden Gesprächsdaten nach Website getrennt, die Aufbewahrungsdauer von Nachrichten ist konfigurierbar und beim Trennen einer Integration wird transparent angezeigt, was gelöscht und was aufbewahrt wird. Sollen Gesprächsinhalte auch an ein KI-Modell gehen, stellst du dieselben Fragen zum Modellanbieter; sie stehen in unserer Checkliste zu KI im Kundenservice und DSGVO.
Informationspflicht — wann und wo?
Die Informationen zur Verarbeitung müssen bei der Erhebung der Daten bereitgestellt werden, nicht erst danach. Beim Chat bedeutet das einen konkreten Ort: das Chatfenster oder das Formular vor dem Gespräch. Ein Verweis auf die Datenschutzerklärung in der Fußzeile reicht nicht aus, wenn eine Person sie vor ihrer ersten Nachricht nie aufruft.
- Wer für die Datenverarbeitung verantwortlich ist und wie diese Stelle erreichbar ist.
- Zu welchem Zweck und auf welcher Rechtsgrundlage du die Gesprächsdaten verarbeitest.
- Wie lange du Gesprächsinhalte und Kontaktdaten aufbewahrst.
- An wen die Daten weitergegeben werden können, einschließlich des Tool-Anbieters.
- Welche Rechte die betroffene Person hat und wie sie diese ausüben kann.
- Ob das Gespräch für andere Zwecke als die Bearbeitung des Anliegens genutzt wird.
In der Praxis bewährt sich ein kurzer Hinweis am Feld zum Starten des Gesprächs mit einem Link zum vollständigen Abschnitt der Datenschutzerklärung. Der kurze Hinweis soll verständlich, nicht vollständig sein — für die Vollständigkeit sorgt das verlinkte Dokument.
Eine Einwilligung ist keine universelle Rechtsgrundlage für alles. Die Bearbeitung einer Anfrage beruht in der Regel auf einer anderen Grundlage als der Versand eines Marketingangebots. Beides in einem Kontrollkästchen zu verbinden, schafft ein Problem, statt es zu lösen.
Aufbewahrung und Zugriff: zwei Entscheidungen, die den Unterschied machen
Chatdaten bleiben häufig unbegrenzt gespeichert, weil niemand einen Löschzeitpunkt festlegt. Dabei ist eine begrenzte Aufbewahrung der einfachste Weg, Risiken zu reduzieren: Je weniger alte Gespräche du speicherst, desto weniger musst du schützen, suchen und auf Anfrage herausgeben.
- Lege eine Frist für Gesprächsinhalte fest.Sie unterscheidet sich meist von der Frist für Servicefälle oder Vertriebsunterlagen. Halte neben der Dauer auch die Begründung fest.
- Trenne Kontaktdaten vom Transkript.Ein Kontakt im CRM kann länger bestehen bleiben als das Protokoll eines zwei Jahre alten Gesprächs.
- Begrenze den Zugriff im Team.Nicht jeder Operator benötigt Einblick in sämtliche historischen Gespräche aller Websites.
- Plane die Bearbeitung von Anträgen.Prüfe, ob du die Gespräche einer Person innerhalb angemessener Zeit finden, exportieren und löschen kannst.
- Beschreibe, was beim Trennen einer Verbindung geschieht.Am Ende der Zusammenarbeit mit einem Anbieter musst du wissen, was gelöscht wird und was erhalten bleibt.
- Überprüfe dies einmal jährlich.Der Datenumfang verändert sich mit dem Produkt. Eine Einstellung von vor zwei Jahren passt nur selten noch.
Exporte solltest du gesondert betrachten. Eine CSV-Datei mit Gesprächen, die an ein privates Postfach gesendet wurde, entzieht sich jeder Aufbewahrungseinstellung im Tool. Wenn Exporte erforderlich sind, sollten sie kontrolliert und protokolliert werden, statt ad hoc zu erfolgen.
Datentrennung nach Website, konfigurierbare Aufbewahrung von Nachrichten und eine transparente Übersicht darüber, was beim Trennen einer Verbindung gelöscht wird. Datenschutzerklärung von Meetlead ansehen.
Checkliste vor dem Start des Chats
- Die im Gespräch entstehenden Datenkategorien sind aufgeführt — getrennt nach Pre-Chat, Gesprächsinhalten und technischen Daten.
- Die Rechtsgrundlage für die Bearbeitung der Anfrage und gegebenenfalls eine separate Grundlage für Marketing sind festgelegt.
- Ein Auftragsverarbeitungsvertrag mit dem Tool-Anbieter ist geschlossen und die Liste der Unterauftragsverarbeiter ist bekannt.
- Es ist bekannt, wo die Daten gespeichert werden und ob eine Übermittlung außerhalb des EWR stattfindet.
- Am Chatfenster steht ein kurzer Hinweis mit Link zur Datenschutzerklärung.
- Die Datenschutzerklärung enthält einen eigenen Abschnitt zum Chat, statt ihn in einem allgemeinen Absatz zu verstecken.
- Aufbewahrungsfristen für Gespräche und Kontaktdaten sind festgelegt.
- Der Zugriff der Operatoren ist auf den tatsächlichen Bedarf begrenzt.
- Das Team weiß, was zu tun ist, wenn ein Kunde sensible Daten in den Chat einfügt.
- Für Auskunfts- und Löschanträge besteht ein klarer Ablauf.
Wenn du gerade ein Tool auswählst, eignen sich diese Punkte zugleich als Fragen an den Anbieter — die Antworten sind oft aufschlussreicher als eine Funktionsliste. Praktische Auswahl- und Einführungskriterien erklären wir im Leitfaden zum Live-Chat auf der Website; die technische Installation im meistgenutzten System behandeln wir im Leitfaden zum Chat auf einer WordPress-Website.
