Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
ScapBot ist ein Drittanbieter JavaScript Chatbot Widget, das auf Websites zur Leadgenerierung, einfachen Konversationsanalyse und Besucherinteraktion eingebettet wird. Es erhebt IP Adresse, User Agent, Chat Inhalte, E Mail Adressen und verhaltensbezogene Sitzungsdaten, wobei die Verarbeitung primär in den USA gehostet wird.
ScapBot ist ein Nischen Drittanbieter Chatbot Widget, das als JavaScript in eine Verlagsseite geladen wird. Es spricht Besucher an, erfasst Leads (typischerweise E Mail Adressen und Kontextinformationen) und liefert dem Betreiber einfache Konversationsanalysen. Aufgrund der begrenzten öffentlichen Dokumentation ist erhöhte Sorgfalt geboten.
ScapBot erhebt IP Adresse, User Agent, Geräte und Browser Metadaten, Session IDs, den vollständigen Chat Inhalt und alle vom Besucher übermittelten Kontaktdaten. Da Chats freier Text sind, können Inhalte unter Art. 9 DSGVO fallen (Gesundheit, Religion, politische Meinung). Zusätzlich werden Verhaltenssignale wie Verweildauer und Konversationsausgang erfasst.
Nach Art. 6 DSGVO ist Einwilligung (6(1)(a)) für Analytics und Lead Capture die empfohlene Grundlage. Die reine Chat Funktion kann auf berechtigtem Interesse (6(1)(f)) basieren, wenn sie zur Erbringung eines ausdrücklich angefragten Dienstes erforderlich ist, vorbehaltlich einer Abwägung. ePrivacy Art. 5(3) fordert vorherige Einwilligung für alle nicht zwingend erforderlichen Cookies und Speicherzugriffe.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die ScapBot Infrastruktur wird in den USA betrieben. Übermittlungen aus EWR und UK erfordern SCC, ein Transfer Impact Assessment und zusätzliche technische sowie organisatorische Maßnahmen gemäß Schrems II. Stützt sich ScapBot auf das EU US Data Privacy Framework, ist die aktive DPF Zertifizierung vor Berufung darauf zu prüfen.
Freitext ist eine Hochrisiko Oberfläche: Besucher können Zugangsdaten, Symptome oder sensible Inhalte einfügen. Eingabefilterung oder Redaction implementieren, Speicherfristen minimieren und einen Prozess für Art. 9 Vorfälle sowie für Löschanfragen einzelner Konversationen dokumentieren.
ScapBot Skript bis zur Einwilligung über CMP blockieren, AVV abschließen, DSFA durchführen und dokumentieren, kurze Speicherfristen konfigurieren, Admin Zugänge beschränken, Datenschutzhinweis um ScapBot und US Transfergrundlage erweitern, jährlich oder bei jedem Versionswechsel reauditieren.
Websites using ScapBot must obtain user consent under GDPR regulations.
DPIA considerations
Eine DSFA wird vor dem Einsatz von ScapBot empfohlen, da das Widget freien Chat Text erfassen kann, der besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), E Mail Adressen und Verhaltensanalysen enthalten kann. Wesentliche Risiken: ungefilterte Eingaben mit Gesundheits , Finanz oder politischen Informationen, US Transfers, die SCC und ein Transfer Impact Assessment gemäß Schrems II erfordern, persistente Identifikatoren mit Einwilligungspflicht nach ePrivacy 5(3) sowie Profiling Risiko durch Konversationshistorie.
Sample consent text
Wir verwenden ScapBot, einen Chatbot Dienst, um Ihre Fragen zu beantworten, Leads zu erfassen und Konversationen auszuwerten. ScapBot speichert Cookies auf Ihrem Gerät und verarbeitet Ihre IP Adresse, Browser Daten, den Inhalt Ihrer Nachrichten sowie eingegebene E Mail Adressen. Bestimmte Daten können unter geeigneten Garantien in die USA übermittelt werden. Mit Klick auf 'Akzeptieren' willigen Sie ein. Sie können Ihre Einwilligung jederzeit über das Cookie Banner widerrufen.
Third-party domains contacted
scapbot.comcdn.scapbot.comapi.scapbot.comws.scapbot.comanalytics.scapbot.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _scapbot_sid | http_cookie | session | Session identifier used to maintain conversation state across page navigations during a visit. Strictly necessary when the chat is actively engaged but should be blocked until consent if loaded proactively. |
| _scapbot_vid | http_cookie | 12 months | Persistent visitor identifier used to recognise returning visitors, link chat sessions, and feed conversational analytics. Requires prior consent under ePrivacy Article 5(3). |
| _scapbot_consent | http_cookie | 6 months | Stores the visitor consent state for the ScapBot widget so the choice persists across sessions. Considered strictly necessary as it records the consent decision. |
| _scapbot_lead | http_cookie | 90 days | Records lead capture status (for example whether the visitor has already provided an email) to avoid duplicate prompts. Marketing purpose, requires consent. |
| scapbot_analytics | local_storage | 13 months | Local storage entry holding aggregated analytics signals: page context, conversation outcome, response timings. Analytics purpose, requires consent. |
| scapbot_chat_history | local_storage | until cleared | Client side cache of recent chat messages used to restore the conversation if the visitor reloads the page. Should be cleared on consent withdrawal and on session end where possible. |
| _scapbot_ab | http_cookie | 30 days | A/B testing identifier used by ScapBot to evaluate conversation flows and prompts. Optimisation purpose, requires consent. |
ScapBot erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Ja. ScapBot verwendet Cookies und vergleichbare Speichermechanismen (typischerweise Session ID und persistentes Besucher Cookie) zur Konversationskontinuität, Wiedererkennung und Analyse. Da sie für einen ausdrücklich angefragten Dienst nicht zwingend erforderlich sind, verlangt ePrivacy Art. 5(3) eine vorherige, granulare Einwilligung vor jedem Schreib oder Lesevorgang.
Ja für Analyse und Lead Capture Identifikatoren sowie in den meisten Fällen für die Chat Funktion selbst, sofern sie proaktiv ausgelöst wird oder persistente Identifikatoren nutzt. Das Skript muss bis zur Einwilligung über die CMP blockiert werden. Ein rein besucherinitiiertes Chat mit ausschließlich zwingend erforderlichem Speicher kann auf berechtigtem Interesse beruhen, vorbehaltlich einer dokumentierten Abwägung.
Für Analyse, Verhaltensprofiling und Marketing orientierte Lead Capture ist die Einwilligung (Art. 6(1)(a)) die passende Grundlage. Für die zwingend erforderliche Chat Funktion kann nach Abwägung berechtigtes Interesse (Art. 6(1)(f)) greifen. Werden besondere Datenkategorien (Art. 9) erfasst, ist zusätzlich eine Bedingung nach Art. 9 wie ausdrückliche Einwilligung notwendig.
ScapBot wird in den USA gehostet, daher liegen internationale Übermittlungen aus EWR und UK vor. Erforderlich sind SCC, ein Transfer Impact Assessment nach Schrems II und zusätzliche Maßnahmen wie Verschlüsselung und Zugriffskontrollen. Zertifiziert sich ScapBot unter dem EU US Data Privacy Framework, ist der aktive Status auf der offiziellen DPF Liste zu prüfen.
Eine DSFA wird dringend empfohlen und ist häufig verpflichtend. Auslöser: großflächige Verarbeitung von Freitext mit potenziellen Art. 9 Daten, systematische Beobachtung von Besucherverhalten, Profiling und Übermittlungen in ein Drittland ohne Angemessenheitsbeschluss. Risiken, Maßnahmen und Restrisikoentscheidung vor Go Live dokumentieren.
Skript bis zur Einwilligung blockieren, AVV mit ScapBot abschließen, DSFA durchführen, kurze Speicherfristen konfigurieren, Admin Zugriffe nach Need to Know beschränken, sensible Inhalte aus Transcripts soweit möglich filtern oder redigieren, Anbieter und US Transfergrundlage im Datenschutzhinweis nennen, jährlich oder bei Versionswechsel reauditieren.
EU gehostete Chatbot und Lead Capture Anbieter reduzieren Transferrisiko und Aufwand. Open Source Selbsthosting (z. B. Rasa, Botpress) im EWR bietet die größte Datenhoheit. Beim Vergleich vertragliche Garantien, Hostingregion, Sub Auftragsverarbeiter, Speicherkontrollen und Behandlung von Art. 9 Daten prüfen.
Eigene Einträge für jedes ScapBot Cookie oder Identifikator mit Name, Zweck, Dauer und Kategorie (funktional, analytisch, Marketing) ergänzen. Im Datenschutzhinweis ScapBot als Auftragsverarbeiter listen, Datenkategorien (auch potenzielle Art. 9 Inhalte) beschreiben, US Transfermechanismus und Betroffenenrechte erläutern und auf Privacy Policy sowie AVV von ScapBot verlinken.