Transparenz am KI-Chat: Warum Cookie-Banner und Hinweis zwei Aufgaben haben

Dieser Beitrag wurde mit KI-Unterstützung erstellt, fachlich geprüft und redaktionell freigegeben.

Ein KI-Chat auf der Website wird oft in zwei getrennten Gesprächen geplant: Das Marketing möchte schneller antworten, die Technik baut das Widget ein. Genau zwischen diesen Schritten entsteht aber eine Lücke. Seit die Transparenzpflichten des AI Act Anfang August anwendbar sind, reicht es nicht, den Chat lediglich hübsch in den Cookie-Banner einzusortieren. Besucherinnen und Besucher sollen beim ersten Kontakt erkennen können, dass sie mit einem KI-System interagieren. Ob und welche Daten zusätzlich verarbeitet werden dürfen, ist eine andere Frage.

Für österreichische KMU ist diese Trennung entlastend. Sie verhindert den Reflex, einen allgemeinen Zustimmungssatz als Lösung für alles zu verwenden. Ein klarer KI-Hinweis, ein nachvollziehbarer Datenfluss und ein sauber konfigurierter Consent-Prozess haben unterschiedliche Aufgaben – und funktionieren zusammen besser als ein überladener Layer.

Zwei Signale, zwei Zwecke

Die Leitlinien der Europäischen Kommission zu Artikel 50 des AI Act rücken interaktive KI-Systeme ausdrücklich in den Fokus. Wer mit einem Chatbot, Avatar oder vergleichbaren System direkt kommuniziert, soll darüber informiert werden, dass das Gegenüber ein KI-System ist, sofern das nicht ohnehin offensichtlich ist. Die Information soll klar, unterscheidbar und spätestens beim ersten Kontakt wahrnehmbar sein. Ein kleines, gut lesbares Label am Einstieg des Chats ist daher meist nützlicher als ein Hinweis, der nur tief in einer Datenschutzerklärung steht.

Der Cookie-Banner beziehungsweise Consent Manager beantwortet dagegen eine andere operative Frage: Welche nicht zwingend erforderlichen Technologien dürfen auf dem Endgerät oder für daran anknüpfende Zwecke erst nach einer Einwilligung aktiviert werden? Das kann Analyse, Marketing oder externe Inhalte betreffen. Er ersetzt weder die Erklärung, dass ein Dialog KI-gestützt ist, noch die fachliche Prüfung des konkreten Datenflusses.

Diese Unterscheidung ist keine juristische Spitzfindigkeit. Wer beides vermischt, riskiert ein verwirrendes Erlebnis: Erst fragt ein Banner pauschal nach Zustimmung, danach beginnt ein Chat ohne erkennbare Einordnung. Besser ist ein kurzer, eigenständiger KI-Hinweis im Chat und eine Consent-Konfiguration, die nur die tatsächlich einwilligungsabhängigen Komponenten steuert. Der AdSimple Consent Manager kann dabei die Einwilligungsentscheidung nachvollziehbar am Website-Setup ausrichten, ohne die Transparenz am Dialog zu verstecken.

Warum der Zeitpunkt entscheidend ist

Artikel 50 verlangt die Information bei der ersten Interaktion oder Exposition. Praktisch bedeutet das: Nicht erst dann informieren, wenn eine Besucherin bereits eine lange Anfrage abgeschickt hat. Ein Hinweis gehört an den Einstieg des Chatfensters – etwa oberhalb des Eingabefelds oder in die erste Begrüßung. Er sollte nicht so gestaltet sein, dass er hinter einem Menüpunkt, einem Cookie-Layer oder einem allgemeinen Hilfe-Link verschwindet.

Ein gutes Label beantwortet in einfacher Sprache die Erwartungsfrage: „Sie chatten mit einem KI-Assistenten.“ Je nach Einsatz kann ein ergänzender Satz helfen, etwa dass Antworten automatisiert erstellt werden und wo menschliche Unterstützung erreichbar ist. Das ist keine Einladung zu großen Werbeversprechen. Im Gegenteil: Ein Hinweis sollte keine Fähigkeiten behaupten, die der Chat nicht zuverlässig leisten kann. Besonders bei Beratung, Gesundheit, Recht, Finanzierung oder Vertragsfragen braucht es eine klare Grenze zwischen Orientierung und verbindlicher Auskunft.

Die Kommissions-FAQ beschreibt die Pflicht als Teil eines Transparenzrahmens für direkt interaktive Systeme. Ob ein konkreter Einbau darunter fällt, hängt vom Kontext ab. Deshalb lohnt eine kurze fachliche Einordnung vor dem Go-live, statt aus einem einzelnen Wort im Gesetz eine pauschale Regel für jedes Kontaktformular abzuleiten.

Der Datenfluss bleibt der praktische Prüfpunkt

Ein KI-Hinweis beantwortet nicht automatisch, wohin eine Nachricht geht. Für die Website-Praxis ist genau das die wichtigste Arbeitsfrage: Welche Eingaben können im Chat landen, welcher Dienst verarbeitet sie, werden Inhalte gespeichert, und welche weiteren Skripte oder Schnittstellen laufen mit? Kundennummern, Freitext aus Supportfällen oder Informationen aus einer Bestellung können einen Dialog schnell von einer allgemeinen Produktfrage zu einem datenschutzrelevanten Vorgang machen.

Starten Sie mit einer kompakten Datenflusskarte. Sie muss nicht wie ein Architekturdiagramm aussehen. Für jeden Chat reicht zunächst eine Tabelle mit fünf Spalten: Auslöser auf der Website, mögliche Eingaben, Empfänger beziehungsweise Anbieter, Speicher- oder Protokollierungsschritt und verantwortliche Person. Damit wird sichtbar, ob der Chat rein serverseitig eingebunden ist, zusätzliche Analyse lädt oder ein externes Widget bereits beim Seitenaufruf Verbindung aufnimmt.

Danach trennt das Team die Maßnahmen:

Transparenz am Dialog: sichtbarer KI-Hinweis, erreichbare Kontaktalternative und realistische Erklärung des Zwecks.
Datenschutzdokumentation: Datenflüsse, Rollen, Aufbewahrung und Rechtsgrundlagen fachlich prüfen und in die Website-Unterlagen überführen.
Consent-Steuerung: nur jene optionalen Technologien blockieren oder nach Einwilligung aktivieren, bei denen das Website-Setup dies erfordert.
Betrieb: Änderungen am Anbieter, Modell, Prompt, Tracking oder an Schnittstellen wieder durch diesen kurzen Check schicken.

Wer seine Datenschutzhinweise aktualisiert, kann den Datenfluss gemeinsam mit dem Datenschutz Generator strukturiert aufbereiten. Das ersetzt keine individuelle Rechtsberatung; es verhindert aber, dass ein neues KI-Widget in der Produktplanung auftaucht und in der Website-Dokumentation fehlt.

Consent nicht als Universal-Schalter verwenden

Bei einem KI-Chat sind drei technische Situationen besonders häufig. Erstens kann ein Chat vollständig erst nach einer freiwilligen Aktivierung geladen werden. Zweitens kann ein notwendiger Service-Chat vorhanden sein, während optionale Messung oder Remarketing davon getrennt bleiben müssen. Drittens kann ein Anbieter Skripte, Fonts, Analyse oder weitere Dienste nachladen. Für jede Variante ist die Einwilligungslogik anders – der KI-Hinweis bleibt jedoch als Besucherinformation ein eigener Baustein.

Prüfen Sie deshalb nicht nur den sichtbaren Button. Öffnen Sie eine Testseite im privaten Browserfenster, ohne Auswahl im Banner, und beobachten Sie, welche externen Ressourcen geladen werden. Wiederholen Sie den Test nach Annahme und nach Ablehnung. Dokumentieren Sie die Ergebnisse zusammen mit Version und Datum des Chat-Plugins. Ein Consent-Tool ist nur so gut wie seine Kategorien, Blocker und die tatsächlich eingebundenen Dienste.

Gerade nach einem Plugin-Update wird diese Prüfung oft vergessen. Ein neuer Anbieter-Endpunkt oder ein zusätzliches Statistikmodul kann das Verhalten ändern, obwohl der Chat für Besucher gleich aussieht. Der Consent Manager gehört deshalb in die Abnahme: Nicht als einmalige Formalie, sondern als wiederkehrender Teil des Website-Checks.

Eine schlanke Abnahme vor dem Go-live

Ein praxistauglicher Ablauf lässt sich in einer halben Stunde vorbereiten und später wiederholen. Zuerst formuliert das Team den Zweck des Assistenten in einem Satz: Beispielsweise „Der Chat beantwortet allgemeine Fragen zu Öffnungszeiten und Leistungen.“ Danach legt es fest, welche Fragen der Bot nicht beantworten soll und wohin komplexe Fälle weitergeleitet werden. Das schützt die Qualität genauso wie die Transparenz.

Im zweiten Schritt wird die Einstiegsansicht geprüft. Ist der KI-Charakter bereits vor oder beim ersten Senden erkennbar? Ist der Hinweis kontrastreich, auf Mobilgeräten lesbar und nicht von einem Cookie-Dialog verdeckt? Ein guter Test ist, die Website einer Person zu zeigen, die den Chat nicht kennt. Wenn sie nach wenigen Sekunden davon ausgeht, mit einer Mitarbeiterin zu schreiben, ist die Darstellung zu unklar.

Drittens folgt der technische Test der Consent-Zustände. Dokumentieren Sie für „keine Auswahl“, „ablehnen“ und „zustimmen“, welche Chat-Dateien, Analyseaufrufe und Drittverbindungen erscheinen. Viertens lesen zwei Personen die Datenschutzhinweise und den Chattext gegen die Datenflusskarte: Stimmen Anbieter, Zweck und Kontaktweg noch? Fünftens wird das Ergebnis mit einem kurzen Freigabevermerk festgehalten. So bleibt nachvollziehbar, wer die Änderung geprüft hat und welcher Stand live ging.

Typische Fehler – und die bessere Alternative

Fehler 1: Der Chat wird nur in der Datenschutzerklärung erwähnt. Das hilft bei der Dokumentation, informiert aber nicht zwangsläufig beim ersten Dialog. Die bessere Alternative ist ein kurzer Hinweis direkt am Einstieg plus die ausführlichere Einordnung in den Website-Informationen.

Fehler 2: „Mit Cookie-Zustimmung ist alles erledigt.“ Eine Einwilligung kann keine fehlende Erklärung ersetzen. Prüfen Sie den KI-Hinweis, die Datenflüsse und die technisch passenden Kategorien separat.

Fehler 3: Der Assistent wirkt menschlich, obwohl er keiner ist. Namen, Avatare und Formulierungen sollten nicht absichtlich einen menschlichen Live-Chat vortäuschen. Klare Sprache schafft mehr Vertrauen als eine künstliche Rollenfigur.

Fehler 4: Nach dem Launch gibt es keinen Owner. Wenn niemand für Modellwechsel, neue Integrationen und Beschwerden zuständig ist, veraltet die Dokumentation schnell. Benennen Sie eine Person für den nächsten Check und einen Eskalationsweg für sensible Anfragen.

Was österreichische Website-Betreiber jetzt konkret tun können

Beginnen Sie nicht mit einem Redesign. Listen Sie zuerst alle KI-gestützten Dialoge auf: Website-Chat, Terminassistent, Support-Widget, Avatar oder automatisierte Antwortstrecke. Prüfen Sie bei jedem Eintrag, ob der KI-Charakter beim ersten Kontakt sichtbar ist und ob eine menschliche Alternative erreichbar bleibt. Dann gleichen Sie die technische Einbindung mit dem Consent-Setup und den Datenschutzhinweisen ab.

Wenn mehrere Agenturen, Plugins oder Fachabteilungen beteiligt sind, hilft ein gemeinsamer Freigabepunkt vor dem Livegang. Der Hinweis am Chat, die Datenflusskarte und die Consent-Konfiguration werden dort gemeinsam abgenommen. Das ist wirksamer als ein späteres Sammeln von Screenshots, weil Änderungen noch einfach korrigiert werden können.

Die neuen Leitlinien geben einen aktuellen Anlass, diese Grundlagen nachzuziehen. Sie machen aus dem Cookie-Banner keinen KI-Hinweis und aus einem KI-Label keine Datenschutzprüfung. Wer beide Aufgaben sauber trennt, gestaltet den Dialog verständlicher, reduziert Überraschungen im Betrieb und schafft eine belastbare Grundlage für den nächsten Ausbau der Website.

Ein Beispiel aus dem Website-Alltag

Ein regionaler Dienstleistungsbetrieb möchte häufige Fragen zu Terminen, Preisen und Anfahrt automatisiert beantworten. Das Team entscheidet sich für einen KI-Chat, der nur auf freigegebene Leistungsseiten und eine kurze Wissensbasis zugreift. Vor dem Start wird am Chatfenster deutlich erklärt, dass Antworten von einem KI-Assistenten kommen. Für komplexe Anliegen führt ein Link direkt zum Kontaktformular und zur Telefonnummer. Das ist die Transparenzschicht für den Dialog.

Parallel prüft das Team, was technisch auf der Website passiert. Das Chat-Widget wird erst nach einer bewussten Aktivierung geladen; die Reichweitenmessung des Anbieters bleibt in einer getrennten Kategorie. In der Datenschutzhinweis-Prüfung wird festgehalten, welche Eingaben nicht in den Chat gehören, wer die Integration betreut und wann der Anbieterwechsel oder ein Modellupdate erneut geprüft wird. In diesem Beispiel sind Hinweis, Datenfluss und Consent weder drei Versionen desselben Satzes noch drei Hürden für Besucher. Sie bilden eine verständliche Abfolge.

Das Beispiel zeigt auch, wann ein Stopp sinnvoll ist: Wenn noch nicht klar ist, ob der Chat Gesprächsverläufe für Training nutzt, welche Subdienstleister beteiligt sind oder ob der Anbieter nachgelagerte Analyse nachlädt, sollte der Livegang warten. Ein sauberer Start ist weniger aufwendig als eine spätere Korrektur an Banner, Texten und Supportprozess.

Fazit: Klarer Dialog statt überladener Hinweis

Ein KI-Chat muss nicht kompliziert wirken, um transparent zu sein. Ein eindeutiger Hinweis beim ersten Kontakt, eine realistische Erwartung an die Antworten und ein abgestimmtes Consent-Setup reichen als solider Anfang. Danach entscheidet die regelmäßige Prüfung, ob diese Zusagen bei neuen Plugins, Kampagnen und Modellversionen noch stimmen. So wird KI auf der Website nicht zum blinden Zusatz, sondern zu einem verständlich betriebenen Service.