Smartsupp

Was ist Smartsupp

Smartsupp ist eine tschechische Live-Chat- und Customer-Engagement-Plattform, gegründet 2013 in Bruenn. Sie vereint ein Echtzeit-Chat-Widget, Besucher-Video-Aufzeichnungen, einen KI-Shopping-Assistenten (Mira) und die Facebook-Messenger-Integration in einem Produkt, das primär für E-Commerce und KMU-Websites entwickelt wurde.

Das Widget wird per kleinem JavaScript-Snippet von www.smartsuppchat.com geladen. Nach Initialisierung setzt es First-Party-Cookies, öffnet einen Websocket zu Smartsupp-Servern in Tschechien und startet bei Aktivierung die Aufzeichnung der Besucherinteraktionen auf der Seite.

Welche Daten erfasst Smartsupp

Smartsupp verarbeitet die IP-Adresse, den Browser-User-Agent, die aktuelle URL, den Referrer, die persistente Besucher-ID (Cookie ssupp.vid), Sitzungszähler (ssupp.visits), eine grobe IP-Geolokalisierung (Cookie ssupp.geoip), den vollständigen Nachrichteninhalt und freiwillig angegebene Kontaktdaten.

Bei aktivierter Sitzungs-Aufzeichnung erfasst Smartsupp zusätzlich Mausbewegungen, Klicks, Scrollen und Formularinteraktionen, rekonstruiert als abspielbares Video. Diese Funktion birgt hohes Risiko: ohne explizite Maskierung sensibler Felder können Zahlungsdaten, Passwörter, Gesundheitsdaten oder andere besondere Datenkategorien in der Aufzeichnung landen.

Cookies und Tracking-Technologien

Die wichtigsten First-Party-Cookies sind ssupp.vid (Besucher-ID, 1 Jahr), ssupp.visits (Sitzungszähler, 1 Jahr), ssupp.geoip (IP-Geolokalisierung, 1 Jahr), ssupp.chatid (aktiver Chat, Session) und ssupp.utid (Nutzer-Tracking-ID, 1 Jahr). Im localStorage werden zusätzlich Transkripte und Konfiguration zwischengespeichert.

Diese Cookies sind für die Bereitstellung der Website selbst nicht unbedingt erforderlich, fallen also unter Art. 5(3) ePrivacy und §25 TTDSG: vor dem Setzen ist eine vorherige informierte Einwilligung nötig.

DSGVO, ePrivacy und Datentransfers

Smartsupp s.r.o. agiert als Auftragsverarbeiter nach Art. 28 DSGVO für Chat-Inhalte und Aufzeichnungen. Ein unterzeichneter AV-Vertrag ist verpflichtend, die Beziehung muss im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) eingetragen werden. Smartsupp speichert Chat-Daten in der EU (Tschechien) und vermarktet diese Datenresidenz aktiv als Differenzierung gegenüber US-Wettbewerbern.

Für statische Widget-Assets nutzt Smartsupp Cloudflare als CDN, dessen weltweite Edge-Knoten passiert werden können. Dies betrifft in der Regel keine personenbezogenen Chat-Inhalte, sollte aber in der Transfer-Bewertung erwähnt werden. KI-Funktionen stützen sich auf externe LLM-Backends und können zusätzliche Übermittlungen aus lösen, die gesondert zu bewerten sind.

Einwilligungsanforderungen

Da das Widget beim Laden nicht notwendige Cookies setzt, ist es empfehlenswert, das smartsuppchat.com-Skript hinter eine Consent-Management-Plattform zu legen: erst nach Zustimmung zu Funktional- und Analytik-Kategorien injizieren. Ist die Video-Aufzeichnung aktiv, sollte sie als separate Analytik- oder Marketing-Einwilligung präsentiert werden.

Das Click-to-Open-Muster eignet sich für Smartsupp weniger, da die Aufzeichnungsfunktion zur Auswertung bereits beim Seitenaufruf aktiv sein muss.

Compliance-Checkliste

Schließen Sie den AV-Vertrag mit Smartsupp. Führen Sie Smartsupp s.r.o. im Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter. Konfigurieren Sie die Aufzeichnungs-Maskierung für alle Eingabefelder und Elemente mit sensiblen Daten (CSS-Klassen data-sensitive oder data-smartsupp-ignore). Verzögern Sie das Skript bis zur Einwilligung. Dokumentieren Sie die Rechtsgrundlage für Chat-Inhalte (Vertrag für Support, berechtigtes Interesse für Vertrieb).

Bei Einsatz von Mira AI: prüfen Sie die Lokalisation des LLM-Anbieters, dokumentieren Sie diesen als Unterauftragsverarbeiter und klären Sie, ob Ihre Aufsichtsbehörde (BfDI, CNIL, AEPD, Garante) dies als Hochrisikoverarbeitung mit DSFA-Pflicht einstuft.