Crisp Chat DSGVO-konform einbinden

Crisp (crisp.chat, Crisp IM SARL, Frankreich) ist ein verbreitetes Live-Chat- und Helpdesk-Widget. Der Anbieter sitzt in der EU und bietet EU-Datenhosting — das Chat-Widget lädt trotzdem beim Seitenaufruf ein Skript und setzt Speichereinträge.

Live-Chat-Widgets sind datenschutzrechtlich ein Grenzfall: Solange niemand den Chat nutzt, erfüllt das im Hintergrund geladene Skript keinen vom Besucher gewünschten Zweck — es bereitet nur die mögliche spätere Nutzung vor. Genau diese Vorab-Ladung ist das Problem. Crisp legt beim Seitenaufruf einen Session-Identifier im Local Storage ab und baut eine Verbindung zu den Crisp-Servern auf, noch bevor der Besucher etwas anklickt.

Crisp hat gegenüber vielen US-Wettbewerbern einen Vorteil: Das Unternehmen sitzt in Frankreich und bietet je nach Tarif ein Hosting der Chat-Daten in der EU. Das entschärft die Drittlandfrage. Es ersetzt aber nicht die Einwilligung für den Zugriff auf das Endgerät — Local-Storage-Einträge und Skript-Nachladung sind unabhängig vom Serverstandort einwilligungspflichtig, wenn sie nicht technisch notwendig sind.

Die saubere Lösung ist ein „On-Demand“-Laden: Statt das Crisp-Snippet direkt einzubinden, zeigt die Seite zunächst nur einen eigenen Button. Erst beim Klick wird das Crisp-Skript per JavaScript eingefügt und der Chat geöffnet. So findet der Zugriff auf das Endgerät erst statt, wenn der Besucher den Dienst aktiv anfordert — dann greift § 25 Abs. 2 TDDDG (unbedingt erforderlich für den gewünschten Dienst).

Är detta en risk?

Das Crisp-Widget lädt beim Seitenaufruf JavaScript von client.crisp.chat und legt im Browser einen Identifier ab, um Chatverläufe einem Besucher zuzuordnen. Dieser Zugriff auf das Endgerät ist nicht „unbedingt erforderlich“, solange der Besucher den Chat nicht aktiv nutzt — nach § 25 Abs. 1 TDDDG ist er damit einwilligungspflichtig, wenn das Widget schon vor dem ersten Klick lädt.

Vad du kan göra

• Das Crisp-Skript erst nach aktiver Interaktion laden — z. B. ein eigener „Chat öffnen“-Button, der das Widget per JavaScript nachlädt.
• EU-Datenregion im Crisp-Dashboard aktivieren, sofern verfügbar, und einen AVV mit Crisp IM SARL abschließen.
• Wenn das Widget global lädt: in den Consent-Layer aufnehmen und bis zur Zustimmung blockieren.
• Crisp in der Datenschutzerklärung nennen — Anbieter, Zweck (Kundenkommunikation), gespeicherte Daten (Chatverlauf, IP, ggf. E-Mail), Speicherdauer.

Vanliga frågor

Braucht Crisp ein Consent-Banner?

Wenn das Widget beim Seitenaufruf lädt: ja. Es setzt Local-Storage-Einträge und lädt Skripte, bevor der Besucher den Chat nutzt. Lädt das Widget erst nach einem aktiven Klick, lässt sich der Einsatz auf § 25 Abs. 2 TDDDG stützen.

Wo werden die Chat-Daten gespeichert?

Crisp IM SARL sitzt in Frankreich. Je nach Tarif kann das Daten-Hosting in der EU gewählt werden. Der genaue Speicherort sollte im Dashboard geprüft und in der Datenschutzerklärung genannt werden.

Wie lade ich Crisp erst nach Klick?

Das Standard-Snippet nicht direkt einbinden, sondern einen eigenen Button anzeigen. Beim Klick per JavaScript das Crisp-Skript (client.crisp.chat) in den DOM einfügen und $crisp.push(['do', 'chat:open']) aufrufen.

Reicht ein AVV mit Crisp?

Der AVV ist Pflicht, aber allein nicht ausreichend. Er regelt die Auftragsverarbeitung; die Frage der Einwilligung für den Endgeräte-Zugriff nach TDDDG ist davon unabhängig.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.