Ist tawk.to DSGVO-konform? Was der Anbieter angibt — und was Sie selbst regeln müssen
Laut eigener Angabe verarbeitet tawk.to alle Daten in den USA, ist nach dem EU-U.S. Data Privacy Framework zertifiziert und stellt einen Auftragsverarbeitungsvertrag bereit. Ein Einsatz im Einklang mit der DSGVO ist damit nicht ausgeschlossen — die Pflichten liegen aber bei Ihnen als Betreiber: Datenschutzerklärung, Einwilligung für Speicher im Browser, Prüfung der Unterauftragsverarbeiter.
Wir sind der Anbieter von SilentChat, also ein Wettbewerber von tawk.to. Deshalb steht hier nur, was tawk.to selbst öffentlich angibt, jeweils mit Quelle. Dieser Artikel ist keine Rechtsberatung.
Was tawk.to selbst angibt
- Verarbeitungsort: „We are located in the United States and we do all processing in the United States.“ (Datenschutzerklärung, Stand 09.04.2025)
- Data Privacy Framework: tawk.to ist nach dem EU-U.S. Data Privacy Framework zertifiziert, samt UK- und Schweizer Erweiterung.
- Auftragsverarbeitung: Es gibt ein öffentliches Data Processing Addendum nach Art. 28 DSGVO zwischen tawk.to Inc. (Las Vegas) samt der britischen tawk.to Ltd. und dem Kunden. Es gilt mit der Nutzung des Dienstes; Übermittlungen stützt es auf Standardvertragsklauseln.
- Unterauftragsverarbeiter: 15 Dienste, fast alle mit Standort USA — darunter DigitalOcean, Amazon Web Services, Google Cloud, Cloudflare, Twilio, Microsoft Clarity, PostHog und OpenAI für den KI-Assistenten.
Was das rechtlich bedeutet
Übermittlung in die USA
Seit Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum Data Privacy Framework. Übermittlungen an zertifizierte US-Unternehmen sind damit ohne zusätzliche Garantien zulässig — tawk.to nennt zudem Standardvertragsklauseln. Beide Vorgänger des Rahmens hat der Europäische Gerichtshof allerdings gekippt: Safe Harbor 2015, den Privacy Shield 2020. Wer auf eine Übermittlung in die USA baut, sollte beobachten, ob das so bleibt.
Speicher im Browser des Besuchers
Die Datenschutzerklärung von tawk.to nennt Cookies und Web Beacons, schlüsselt aber nicht auf, was das Chat-Widget selbst auf dem Gerät des Besuchers ablegt. Nach § 25 TDDDG braucht jedes Speichern von Informationen auf dem Endgerät und jeder Zugriff darauf eine Einwilligung, es sei denn, es ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich. Prüfen Sie im Browser (Entwicklerwerkzeuge → Speicher), was nach dem Laden Ihrer Seite tatsächlich gesetzt wird, und entscheiden Sie danach, ob das Widget hinter Ihr Consent-Tool gehört.
KI-Antworten
Wer den KI-Assistenten von tawk.to nutzt, sollte davon ausgehen, dass Chat-Inhalte an OpenAI gehen: Die Liste der Unterauftragsverarbeiter nennt OpenAI für „AI Assist“ mit Standort USA. Das gehört in Ihre Datenschutzerklärung. Außerdem müssen Besucher erkennen können, dass sie mit einer KI sprechen (Art. 50 KI-Verordnung).
Checkliste für Ihre Website
- Den Auftragsverarbeitungsvertrag von tawk.to lesen und ablegen — er gilt mit der Nutzung, dokumentieren müssen Sie ihn trotzdem.
- In der Datenschutzerklärung nennen: Anbieter, Zweck, Rechtsgrundlage, Übermittlung in die USA mit Data Privacy Framework, Speicherdauer und bei KI-Nutzung den KI-Anbieter.
- Prüfen, was das Widget im Browser speichert, und es bei Bedarf erst nach Einwilligung laden.
- Die Liste der Unterauftragsverarbeiter gegenlesen: Passen Dienste wie Analyse-Werkzeuge zu dem, was Sie Ihren Besuchern zusagen?
- Löschfristen für Chats festlegen.
Was genau in die Datenschutzerklärung gehört, beschreibt unser Ratgeber Chatbot auf der Website: Was muss in die Datenschutzerklärung?.
Wann eine Alternative aus Deutschland sinnvoll ist
Manche Betreiber dürfen oder wollen keine Chat-Daten in die USA geben — etwa, weil ihre eigenen Kunden das vertraglich ausschließen. Dann hilft auch ein gültiger Angemessenheitsbeschluss nicht.
SilentChat läuft bei Hetzner in Falkenstein, die KI rechnet IONOS in Deutschland, und das Widget setzt keine Cookies. Sobald ein Besucher den Chat nutzt, legt es eine zufällige Besucherkennung im Speicher des Browsers ab — prüfen Sie das wie oben beschrieben. Eine Einwilligung vor dem Chat können Sie im Dashboard einschalten (Vorgabe: aus); auf Wunsch spricht das Widget unseren Server erst nach einem Klick an. Den Faktenvergleich mit Preisen und Quellen finden Sie unter SilentChat vs. Tawk.to.
Quellen
- tawk.to: Privacy Policy (abgerufen am 05.10.2026)
- tawk.to: Data Processing Addendum (abgerufen am 05.10.2026)
- tawk.to: Sub-processors (abgerufen am 05.10.2026)
- tawk.to: GDPR (abgerufen am 05.10.2026)