So prüfen Sie Iframe-, Cookie- und Datenschutzanforderungen vor der Einbindung von WebChat auf Ihrer Website
Ein praxisnaher Launch-Check für eingebetteten WebChat: Daten und Browserspeicher erfassen, Einwilligungen und Hinweise prüfen, Fehlerzustände testen und verantwortliche Personen benennen.
Warum eingebetteter WebChat eine Launch-Prüfung braucht – nicht nur einen Code-Schnipsel
Das Hinzufügen eines WebChat-Widgets verändert mehr als das Seitenlayout. Es kann einen neuen Kontaktweg für Besucher schaffen, Nachrichteninhalte und Kontaktdaten erfassen, clientseitigen Browserspeicher verwenden, Daten an Dienstleister übermitteln und Gesprächsaufzeichnungen erzeugen, die Support-Teams nutzen. Das sind neben Implementierungsentscheidungen auch operative, datenschutzrechtliche und sicherheitsrelevante Entscheidungen.
Beginnen Sie mit einer Datenflussanalyse. Ermitteln Sie, welche Informationen in den Chat gelangen, wohin sie übertragen werden, wer darauf zugreifen kann, was geschieht, wenn ein automatisierter Ablauf Informationen anfordert oder eine Datei sendet, und wie lange Aufzeichnungen verfügbar bleiben. Ein Code-Schnipsel kann weder Ihre Verarbeitungszwecke, Rechtsgrundlage, Aufbewahrungsfrist, Empfängerliste noch die Wege für die Ausübung von Betroffenenrechten bestimmen, die Sie Besuchern anbieten.
Bei webchat.vip konfiguriert der Website-Betreiber ein installierbares, anpassbares und mehrsprachiges WebChat-Widget. Gespräche werden in einem gemeinsamen Posteingang bearbeitet, der auch WhatsApp unterstützt, und der Funktionen für Operatoren, Abteilungen, Routing, Zeitpläne, Service Levels, Vorlagen und Tags bietet. Der Website-Betreiber muss entscheiden, wie diese Funktionen konfiguriert und gesteuert werden.
- Benennen Sie einen verantwortlichen Implementierungsverantwortlichen, einen Datenschutzprüfer, einen Sicherheitsprüfer und einen Verantwortlichen für den Supportbetrieb.
- Gehen Sie erst live, wenn jede verantwortliche Person die Entscheidungen in ihrem Zuständigkeitsbereich akzeptiert hat.
- Behandeln Sie Änderungen in der Produktion an Widget-Konfiguration, automatisierten Abläufen, Routing, Dateien, Analysezugriff und Aufbewahrung als prüfpflichtige Änderungen, nicht als routinemäßige Designanpassungen.
Beteiligte und Datenflüsse erfassen, bevor Sie entscheiden, was offengelegt werden muss
Dokumentieren Sie die tatsächliche Reise statt einer allgemeinen Widget-Reise. Ein Besucher kann das Widget öffnen, ohne eine Nachricht zu senden, einen Namen oder Kontaktdaten eingeben, eine Supportanfrage übermitteln, eine Datei hochladen, eine automatisierte Antwort erhalten, an eine Abteilung weitergeleitet oder an eine Person übergeben werden. Jeder Pfad kann sich auf das Dateninventar und die Datenschutzhinweise auswirken.
Unterscheiden Sie mindestens zwischen dem Besucher, Ihrer Organisation als Website-Betreiber, webchat.vip als Anbieter der WebChat-Plattform, autorisierten Support-Nutzern sowie jedem verbundenen Kanal oder Dienstleister, der an Ihrer gewählten Konfiguration beteiligt ist. Gehen Sie nicht davon aus, dass sich die Rolle eines Anbieters, Empfänger, Standorte oder Unterauftragsverarbeiter aus dem sichtbaren Widget ableiten lassen.
webchat.vip zeichnet operative Analysen, Gesprächsprotokolle, Bewertungen und exportierbare Berichte auf. Die Plattform unterstützt außerdem automatisierte Abläufe, die Nachrichten und Dateien senden, validierte Antworten erfassen, verzweigen, weiterleiten und an Personen übergeben können. Entscheiden Sie, welche dieser Funktionen Sie aktivieren, welche Daten sie benötigen und ob sie für den jeweiligen Anfragetyp geeignet sind.
- Halten Sie für jeden Datenpunkt fest: Quelle, Zweck, empfangendes System oder Rolle, Zugriffsgruppe, Aufbewahrungsregel sowie Lösch- oder Rückgabeprozess.
- Trennen Sie von Besuchern bereitgestellte Inhalte von technischen Daten, die durch den Browser oder den Servicebetrieb erzeugt werden.
- Ermitteln Sie, ob eine Nachricht besondere Kategorien personenbezogener Daten, Finanz-, Gesundheits-, Authentifizierungs- oder andere sensible Informationen enthalten könnte. Holen Sie in diesem Fall vor dem Launch eine spezialisierte Datenschutz- und Sicherheitsprüfung ein.
- Halten Sie für Dateien die zulässigen Dateitypen, den Prozess zur Inhaltsverarbeitung und die Personen fest, die sie herunterladen dürfen. webchat.vip speichert Dateien in einem isolierten Apification-Cloud-Unterkonto für jeden Omnichannel-Service.
Iframe oder direkte Einbindung: Die Grenze verstehen, ohne sie zu überschätzen
Ein Iframe und ein direkt eingebundenes Drittanbieter-Skript sind nicht gleichwertig. Ein Cross-Origin-Iframe schafft eine Browsergrenze: Skripte unterliegen der Same-Origin-Policy, während kontrollierte Cross-Origin-Kommunikation über Mechanismen wie Window.postMessage() stattfinden kann. Auch Browserspeicher ist im Allgemeinen nach Ursprung getrennt.
Ein Drittanbieter-Skript, das direkt in die Seite eingebunden wird, nimmt technisch eine andere Position ein. Es kann auf andere Skripte und Daten der Seite zugreifen und arbeitet faktisch als First-Party-Code. Das macht Quellenfreigabe, Änderungskontrolle und die Prüfung der Content Security Policy besonders wichtig.
Keines der beiden Modelle beantwortet die vollständige Datenschutzfrage. Ein Iframe begründet keine rechtmäßigen Zwecke, minimiert nicht die erhobenen Daten, bestimmt keine Aufbewahrungsfrist und sorgt nicht dafür, dass sich alle Browser-Datenschutzeinstellungen einheitlich verhalten. Prüfen Sie die tatsächliche Integration für Ihren konfigurierten Kanal, einschließlich Frame-Attributen, zulässigen Ursprüngen, mit der Hostseite ausgetauschten Nachrichten und externen Netzwerkanfragen.
- Bitten Sie das Engineering-Team festzustellen, ob die Bereitstellung ein direktes Skript, einen Iframe oder beides nutzt.
- Wenn ein Iframe verwendet wird, dokumentieren Sie seinen Quellursprung, Sandbox-Attribute, Berechtigungen und Kommunikationswege mit der Hostseite.
- Beachten Sie, dass das Weglassen von allow-same-origin aus einer Iframe-Sandbox dem eingebetteten Inhalt einen speziellen Ursprung gibt und den Zugriff auf Cookies, Datenspeicher und einige JavaScript-APIs verhindern kann.
- Fügen Sie keine weitreichenden Iframe-Berechtigungen hinzu, nur um ein Testproblem zu lösen. Ermitteln Sie die Funktion, die diese Berechtigung benötigt, und genehmigen Sie die engste praktikable Konfiguration.
Entscheiden, ob eine Einwilligung nach Zweck und Rechtsraum erforderlich ist
Treffen Sie keine pauschale Entscheidung, dass jede Chat-Speicherung ausgenommen ist oder jede technische Interaktion dieselbe Einwilligungsbehandlung benötigt. Nach der EDPB-Zusammenfassung der EU-Regeln erfordert das Speichern von oder der Zugriff auf Cookies in der Regel angemessene Informationen und eine Einwilligung, mit einer Ausnahme für technisch notwendige Cookies. Die Bewertung hängt von den anwendbaren Vorschriften und dem konkreten Zweck ab.
Unterscheiden Sie Speicher, der tatsächlich notwendig ist, um einen vom Besucher ausdrücklich angeforderten Dienst bereitzustellen, von optionalem Tracking, Messungen oder anderen nicht wesentlichen Zwecken. Bequemlichkeit für die Implementierung ist nicht der Maßstab für technische Notwendigkeit. Bitten Sie den Datenschutzrechtsbeistand, die Zwecke in den Rechtsräumen zu bewerten, in denen Sie tätig sind.
Trennen Sie außerdem die Bewertung des Browserspeichers von der Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Wenn die Einwilligung Ihre gewählte Rechtsgrundlage für die Verarbeitung ist, erläutern Sie, dass sie widerrufen werden kann und wie der Widerruf erfolgt. Der Widerruf sollte genauso einfach sein wie die Erteilung der Einwilligung.
- Definieren Sie, was vor der Einwilligung, nach der Zustimmung, nach der Ablehnung und nach dem Widerruf geschieht.
- Stellen Sie sicher, dass der Einwilligungsmechanismus optionale Aktivitäten vor der erforderlichen Auswahl verhindern kann, sofern dies anwendbar ist.
- Machen Sie die Zustimmung zu optionalem Tracking nicht zur Bedingung für gewöhnlichen Support, es sei denn, Ihre rechtliche Prüfung unterstützt diesen Ansatz.
- Testen Sie erneut, nachdem ein Besucher seine Einwilligungseinstellungen ändert, Browserdaten löscht oder privates Surfen verwendet.
Die Datenschutzerklärung auf Ihren tatsächlichen Service zuschneiden
Eine Datenschutzerklärung für WebChat muss die Verarbeitung durch Ihre Organisation beschreiben und nicht lediglich eine Widget-Beschreibung wiederholen. Nach Transparenzanforderungen der DSGVO und des UK GDPR können die Informationen die Identität und Kontaktdaten des Verantwortlichen, gegebenenfalls Kontaktdaten des Datenschutzbeauftragten, Zwecke, Rechtsgrundlage, Empfänger oder Empfängerkategorien, Aufbewahrungsfristen oder -kriterien, Rechte und gegebenenfalls einen Weg zur Beschwerde bei der zuständigen Aufsichtsbehörde umfassen.
Klären Sie, ob Datenübermittlungen an ein Drittland oder eine internationale Organisation für Ihre Konfiguration relevant sind und, falls ja, welcher Übermittlungsmechanismus oder welche Garantien gelten. Bestätigen Sie dies anhand aktueller Anbieterdokumentation und Vertragsunterlagen statt anhand von Annahmen über Hosting oder die Sprache einer Benutzeroberfläche.
Machen Sie die Informationen leicht auffindbar, bevor oder wenn Personen Chat-Informationen bereitstellen. Verwenden Sie klare Sprache, erklären Sie, was ein Operator sehen kann, und vermeiden Sie Zusagen zur Vertraulichkeit oder zu Antwortergebnissen, die Ihr Supportprozess nicht zuverlässig einhalten kann.
- Verlinken Sie die Erklärung im Widget oder in einem Hinweis in der Nähe sowie in den allgemeinen Datenschutzinformationen der Website.
- Nennen Sie einen praktikablen Kontaktweg für Datenschutzanfragen und einen weiteren Weg für dringende Support- oder Sicherheitsfragen.
- Beschreiben Sie die Aufbewahrung als festgelegten Zeitraum oder anhand der Kriterien zu ihrer Festlegung; verlassen Sie sich nicht auf einen undokumentierten Plattformstandard.
- Prüfen Sie Hinweise erneut, sobald sich Zwecke, Empfänger, Automatisierung, Dateien, Zugriffsrollen oder Aufbewahrungsregeln ändern.
Implementierungsfragen stellen, die keine Standardvorgaben des Anbieters voraussetzen
Senden Sie dem Anbieter einen schriftlichen Fragebogen und bewahren Sie die Antwort zusammen mit Ihren Launch-Nachweisen auf. Das Ziel besteht nicht darin, eine allgemeine Zusicherung einzuholen, sondern das aktuelle Verhalten Ihrer ausgewählten Integration und die dafür geltenden vertraglichen Regelungen zu bestätigen.
Wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, verweist Artikel 28 DSGVO auf praktische Themen wie dokumentierte Weisungen, Vertraulichkeitsverpflichtungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen, Löschung oder Rückgabe von Daten sowie Informationen für Audits. Ihr Rechtsteam sollte bestimmen, welche Vereinbarung und Nachweise unter Ihren Umständen erforderlich sind.
Fragen Sie webchat.vip, wie sich Ihre gewählte Widget-Konfiguration verhält, behalten Sie aber die Verantwortlichkeiten klar: Ihre Organisation entscheidet, welche Daten abgefragt werden, welche Automatisierungen und Abteilungen aktiviert werden, wer Gespräche erhält und wie Aufzeichnungen verwendet und aufbewahrt werden.
- Welche Domains, Skripte, Frames und Netzwerkendpunkte sind für das konfigurierte Widget erforderlich?
- Welche Cookies oder sonstigen Browserspeicher können unter welchen Ursprüngen und zu welchen Zwecken erstellt oder abgerufen werden?
- Welche Datenfelder können automatisierte Abläufe erfassen, und wie kann der Website-Betreiber die Erhebung begrenzen und die Übergabe an eine Person sicherstellen?
- Wer kann auf den gemeinsamen Posteingang, Berichte, Exporte und Dateien zugreifen, und welches Zugriffssteuerungsmodell gilt für diese Bereiche jeweils?
- Welche aktuellen Regelungen zu Unterauftragsverarbeitern, internationalen Übermittlungen, Sicherheit, Löschung/Rückgabe und Benachrichtigung bei Vorfällen gelten nach der anwendbaren Vereinbarung?
- Welche Änderungen an der Integration oder am Anbieterservice erfordern erneute Tests oder eine Benachrichtigung?
Sicherheitskontrollen anwenden und Wahlmöglichkeiten für Kunden gestalten
Setzen Sie HTTPS für die Host-Website voraus und prüfen Sie die konfigurierte Integration anhand Ihrer Content Security Policy. Die Sicherheit sollte erforderliche Skript- und Frame-Quellen, Verbindungsziele und alle benötigten Direktiven vor der Veröffentlichung freigeben. Lösen Sie ein Bereitstellungsproblem nicht, indem Sie ungeprüfte Quellen pauschal zulassen oder Richtlinien für die gesamte Website abschwächen.
Wenden Sie das Prinzip der geringsten Rechte als operative Anforderung auf die Administration an. webchat.vip ermöglicht es Teams, Operatoren, Abteilungen, Routing, Zeitpläne, Service Levels, Vorlagen und Tags zu organisieren. Nutzen Sie diese Kontrollen zur angemessenen operativen Zuweisung, prüfen Sie Zugriffe bei Rollenwechseln von Mitarbeitenden und stellen Sie sicher, dass das Routing sensible Anfragen nicht an eine ungeeignete Warteschlange sendet. Bestätigen Sie das tatsächliche Zugriffssteuerungsmodell der Plattform, bevor Sie sich darauf verlassen, den Zugriff auf Gespräche, Berichte, Exporte oder Dateien einzuschränken.
Ein Besucher, der den Chat nicht nutzen kann oder nicht nutzen möchte, benötigt weiterhin einen funktionierenden Supportweg. Bieten Sie eine Alternative an, etwa ein Kontaktformular, eine E-Mail-Adresse, einen Telefonweg oder einen anderen geeigneten Kanal. Stellen Sie sicher, dass Widget-Hinweis, Einwilligungsweg und alternativer Weg für Tastaturnutzer nutzbar und auf kleinen Bildschirmen verständlich sind.
- Sicherheitsprüfung: freigegebene HTTPS-Endpunkte, CSP-Kompatibilität, geprüfte Iframe-Berechtigungen und keine nicht genehmigten direkten Drittanbieter-Skripte.
- Supportprüfung: sichtbare Erwartungen zur Verfügbarkeit, Verhalten außerhalb der Geschäftszeiten, Eigentümerschaft der Abteilungen und Kriterien für die Übergabe an Menschen.
- Barrierefreiheitsprüfung: Bedienung nur per Tastatur, Fokusreihenfolge, sichtbarer Fokus, verständliche Fehlermeldungen, mobiles Layout und ein Weg ohne Chat.
- Datenschutzprüfung: keine unnötigen Felder, klarer Zugriff auf Hinweise und ein alternativer Weg, der keine Einwilligung in optionales Tracking verlangt.
Häufig gestellte Fragen
Entfallen durch die Nutzung eines Iframes die Datenschutzpflichten für WebChat?
Nein. Ein Cross-Origin-Iframe kann eine Browsergrenze schaffen und Speicher nach Ursprung trennen, entscheidet jedoch nicht über Ihre Zwecke, Rechtsgrundlage, Empfänger, Aufbewahrung, Inhalte der Hinweise oder Einwilligungspflichten. Prüfen Sie die konkrete Integration und die Verarbeitung durch Ihre Organisation.
Sind WebChat-Cookies immer essenziell?
Nein. Nach der EDPB-Zusammenfassung der EU-Regeln erfordern das Speichern von oder der Zugriff auf Cookies grundsätzlich Informationen und eine Einwilligung, es sei denn, sie sind technisch notwendig. Bewerten Sie jedes Speicherelement anhand seines tatsächlichen Zwecks und des anwendbaren Rechtsraums; stufen Sie es nicht allein als essenziell ein, weil es für den Chat nützlich ist.
Welchen Browserspeicher sollte eine WebChat-Prüfung abdecken?
Beziehen Sie mindestens Cookies, localStorage und sessionStorage ein. Dokumentieren Sie Ursprung, Zweck, Erstellungszeitpunkt, Persistenz und relevante Cookie-Attribute. Testen Sie tatsächliche Besucherwege, da die Konfiguration beeinflussen kann, was gespeichert oder abgerufen wird.
Was sollte geschehen, wenn Cookies blockiert sind oder Speicher nicht verfügbar ist?
Testen Sie das konfigurierte Widget vor dem Launch bei blockierten Cookies und im privaten Browsermodus. Definieren Sie ein verständliches Fehlerverhalten und bieten Sie einen klaren alternativen Kontaktweg an. Eskalieren Sie ungelöste Fehler beim Speicherzugriff vor der Produktionsfreigabe an den Implementierungsverantwortlichen und den Anbieter-Support.
Wer sollte einen WebChat-Launch freigeben?
Der Website- oder Implementierungsverantwortliche sollte die Freigabe durch Datenschutz, Sicherheit, Supportbetrieb und Web-Engineering koordinieren. Der Datenschutz genehmigt Entscheidungen zu Daten, Hinweisen, Aufbewahrung und Einwilligung; die Sicherheit genehmigt Integrationskontrollen; der Support verantwortet Routing, Besetzung und menschliche Eskalation; das Engineering verantwortet getestete Bereitstellung und Rückabwicklung.
Wann muss ein automatisierter WebChat-Ablauf an eine Person übergeben?
Definieren Sie Übergaberegeln vor dem Launch. Eskalieren Sie, wenn die Anfrage Beurteilungsvermögen erfordert, eine Beschwerde oder Betroffenenanfrage betrifft, sensible Informationen umfasst, durch den Ablauf nicht gelöst werden kann oder auf ein dringendes Sicherheits- oder Kontosicherheitsproblem hinweist. Bieten Sie Besuchern einen klaren Weg zum menschlichen Kontakt, statt den Eindruck zu erwecken, Automatisierung könne jeden Fall lösen.
Quellen und weiterführende Literatur
Primäre und maßgebliche Referenzen zur Prüfung der faktischen Grundlage dieses Leitfadens.
- General Data Protection Regulation (GDPR), Regulation (EU) 2016/679 — EUR-Lex / Publications Office of the European Union
- EDPB FAQ: Cookies and consent — European Data Protection Board
- EDPB Guidelines 2/2023 on the technical scope of Article 5(3) of the ePrivacy Directive — European Data Protection Board
- What privacy information should we provide? — Information Commissioner's Office
- Storage limitation — Information Commissioner's Office
- Iframe element reference — MDN Web Docs
- Privacy on the web — MDN Web Docs
- Web Storage API — MDN Web Docs
- Using HTTP cookies — MDN Web Docs
- Storage Access API — MDN Web Docs