Intercom vs Chatwoot 2026: Wohin wandert eine Supportanfrage wirklich?
Seit 2023 verkauft Intercom mit Fin einen KI-Agenten, der Kundengespräche eigenständig abschließt und dafür 0,99 US-Dollar pro erfolgreicher Lösung berechnet. Was hinter diesem Preis technisch geschieht, prüfen nur wenige Kunden. Die Nachricht, die eine Käuferin in das Chatfenster eines Onlineshops in Köln oder Leipzig tippt, gelangt zunächst auf die Server von Intercom und wird von dort an die Sprachmodelle von OpenAI in den Vereinigten Staaten weitergeleitet, damit eine Antwort entsteht. Ob der Shopbetreiber seinen Sitz in München, Wien oder Zürich hat, spielt dabei keine Rolle. Der Inhalt des Gesprächs, der häufig eine Bestellnummer, eine Lieferadresse und manchmal Teile von Zahlungsdaten enthält, überquert den Atlantik. Intercom gibt an, dass Fin bei Kunden, die den Agenten vollständig aktivieren, im Durchschnitt rund die Hälfte aller Supportanfragen ohne menschliches Zutun beantwortet. Aus Sicht von Democratic Market ist diese Quote zugleich der Mindestanteil an Gesprächen, der über die Infrastruktur eines US-Unterauftragsverarbeiters läuft.
Dieser Vergleich fragt deshalb nicht, welche Plattform Tickets schneller schließt. Er fragt, was Produkttests regelmäßig auslassen: In welchem Land wurde das Unternehmen gegründet, wo liegen die Daten der Endkunden tatsächlich, und wie viel rechtliche Kontrolle behält ein europäisches Unternehmen, wenn es Intercom oder Chatwoot auf seiner Website einbindet? Gerade für den deutschsprachigen Mittelstand, der Kundenservice zunehmend über Chat statt Telefon abwickelt, ist das keine akademische Frage, sondern eine der Haftung.
Warum der demokratische Ursprung bei Kundensupport-Software zählt
Ein Supportgespräch ist kein belangloser Datensatz. Ein einziges Ticket kann den vollständigen Namen einer Kundin, ihre Lieferadresse, die letzten vier Ziffern einer Kreditkarte, Screenshots von Rechnungen und in Branchen wie Gesundheit oder Finanzdienstleistung noch weit sensiblere Angaben enthalten. Die Datenschutz-Grundverordnung behandelt den Großteil dieser Inhalte als personenbezogene Daten, und die Artikel 44 ff. beschränken ihre Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums ausdrücklich auf Fälle, in denen ein anerkannter Schutzmechanismus greift. Die Wahl eines Support-Tools ist daher nie nur eine Produktentscheidung, sondern eine Compliance-Entscheidung mit spürbaren Folgen für das Unternehmen, das den Vertrag unterschreibt.
Hinzu kommt eine Besonderheit dieser Kategorie: Kundinnen und Kunden entscheiden nicht selbst, welches Werkzeug sie benutzen. Wer auf einer Shopseite auf das Chat-Symbol klickt, sieht weder den Anbieter im Hintergrund noch dessen Unterauftragsverarbeiter. Die demokratische Verantwortung liegt also vollständig beim Betreiber der Website. In Deutschland haben die Datenschutzaufsichtsbehörden der Länder, etwa der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit oder das Bayerische Landesamt für Datenschutzaufsicht, in den vergangenen Jahren mehrfach betont, dass Unternehmen die gesamte Kette ihrer Dienstleister dokumentieren müssen. Ein Chat-Widget, das Inhalte ungeprüft an eine KI in den USA weiterreicht, ist genau die Art von Konstellation, die bei einer Prüfung Fragen aufwirft.
Intercom: von Dublin nach San Francisco, mit einer KI, die die EU verlässt
Intercom wurde 2011 in Dublin von Eoghan McCabe, Des Traynor, Ciaran Lee und David Barrett gegründet, vier ehemaligen Kollegen der Beratungsfirma Contrast. Noch im selben Jahr durchlief das Start-up den Accelerator Y Combinator im Silicon Valley und verlagerte seinen operativen Schwerpunkt bald nach San Francisco, behielt aber einen großen Engineering- und Betriebsstandort in Dublin, der bis heute besteht. Irland erreicht im EIU Democracy Index einen Wert von 8,28 und gilt als vollständige Demokratie, deren Datenschutzstandards das Land seit über einem Jahrzehnt zum bevorzugten europäischen Standort großer Technologiekonzerne gemacht haben. Intercom bietet europäischen Kunden an, die Kontodaten in seiner EU-Region zu speichern, mit Infrastruktur in Dublin und Frankfurt.
Intercom wurde zu einem der am höchsten bewerteten SaaS-Unternehmen seiner Generation. Es sammelte über mehrere Finanzierungsrunden mehr als 240 Millionen US-Dollar ein und erreichte 2018 eine Bewertung von über 1,275 Milliarden US-Dollar, getragen von Investoren wie Bessemer Venture Partners, Index Ventures und Kleiner Perkins. Diese Größe erlaubte den Aufbau eines Produkts mit mehreren Modulen, darunter ein gemeinsamer Posteingang, Produkttouren, Umfragen und eine Wissensdatenbank. Nach eigenen Angaben setzen mehr als 25.000 Unternehmen weltweit Intercom ein, vom Start-up bis zum Fortune-500-Konzern. Die Oberfläche gilt seit Jahren als Branchenmaßstab, und viele Konkurrenten haben ihre Designsprache sichtbar an Intercom angelehnt.
Der blinde Fleck entsteht mit Fin. Das generative KI-Produkt läuft nicht auf einem Modell, das Intercom selbst trainiert hat, sondern auf den GPT-Modellen von OpenAI, einem Unternehmen mit Sitz in San Francisco, das dem US-amerikanischen Überwachungsrecht und dem CLOUD Act unterliegt. Selbst wenn ein europäischer Kunde für den Rest der Plattform das EU-Hosting aktiviert, wird der Inhalt jedes Gesprächs, das über Fin läuft, zur Generierung der Antwort an die Infrastruktur von OpenAI geschickt. Intercom dokumentiert diese Architektur in seiner Liste der Unterauftragsverarbeiter, doch viele Kunden, die Fin aus Bequemlichkeit einschalten, lesen diese Klausel nie, bevor sie den Agenten auf sämtliche Supportgespräche loslassen. Das Problem ist also nicht das Herkunftsland Irland, sondern eine einzelne, besonders stark vermarktete Funktion.
Chatwoot: Open Source aus Indien, betreibbar, wo Sie es wollen
Chatwoot wurde 2017 in Bangalore von Pranav Raj T S und Sojan Jose gegründet und später ebenfalls von Y Combinator unterstützt. Anders als Intercom steht Chatwoot unter der quelloffenen MIT-Lizenz: Jedes Unternehmen kann den vollständigen Quellcode herunterladen, prüfen, verändern und auf einem Server seiner Wahl betreiben, ohne von der Infrastruktur des Gründerunternehmens abhängig zu sein. Indien erreicht in den jüngsten Ausgaben des EIU Democracy Index rund 7,04 Punkte. Das liegt über der Schwelle von 6,0, die Democratic Market anlegt, auch wenn das Land wegen Schwächen bei Bürgerrechten und Regierungsführung als unvollständige Demokratie eingestuft wird.
Bei der Finanzierung ist Chatwoot den umgekehrten Weg gegangen. Statt neunstelliger Runden setzte das Unternehmen auf Seed-Kapital und eine überschaubare Series A und wuchs vor allem über die eigene Community. Das GitHub-Repository hat die Marke von 20.000 Sternen überschritten, und Hunderte externe Beitragende liefern Integrationen, Übersetzungen und Sicherheitskorrekturen, ohne dass das Projekt ausschließlich vom Gründerteam abhinge. Dieser offene Code ist auch der Grund, warum Organisationen mit besonders strengen Vorgaben, etwa Dienstleister der öffentlichen Verwaltung, Sparkassen und Genossenschaftsbanken oder Krankenhausträger, jede Zeile prüfen können, bevor sie entscheiden, wo und wie sie die Software betreiben. Für deutsche Behörden, die sich an den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik zu Open-Source-Software orientieren, ist das ein greifbarer Vorteil.
Der eigentliche demokratische Vorteil von Chatwoot liegt aber nicht im Herkunftsland seiner Gründer, sondern in der jurisdiktionellen Freiheit, die es dem Kunden überlässt. Ein europäisches Unternehmen kann Chatwoot in einem Rechenzentrum in Island betreiben (EIU 9,45, mit einem der saubersten Strommixe Europas), in der Schweiz (9,14, wo das revidierte Datenschutzgesetz zusätzlich zur DSGVO-Äquivalenz gilt) oder in Deutschland (8,80) bei Anbietern wie Hetzner in Falkenstein und Nürnberg oder IONOS in Karlsruhe. So verlässt kein einziges Supportgespräch den Rechtsrahmen, den das Unternehmen selbst gewählt hat. Chatwoot erlaubt außerdem die Anbindung selbst gehosteter Sprachmodelle über Werkzeuge wie Ollama oder vLLM, sodass Gesprächsinhalte auf Wunsch gar nicht an Dritte wie OpenAI gelangen.
Funktionen, Preise und demokratisches Profil im direkten Vergleich
Beim reinen Funktionsumfang liegt Intercom weiterhin vorn. Produkttouren, ein gemeinsamer Posteingang mit ausgefeilter Automatisierung, Segmentierung nach Nutzerverhalten und eine sehr polierte Oberfläche setzen seit Jahren den Standard. Der Preis spiegelt das wider: Die kostenpflichtigen Tarife beginnen bei etwa 39 US-Dollar pro Arbeitsplatz und Monat und steigen schnell, sobald KI-Funktionen wie Fin hinzukommen, die pro Lösung abgerechnet werden. Ein Team mit zehn Agentinnen und Agenten, das monatlich 3.000 Gespräche über Fin abschließen lässt, zahlt allein dafür rund 3.000 US-Dollar zusätzlich, also deutlich mehr als für die Arbeitsplätze selbst.
Chatwoot ist in der selbst gehosteten Variante abgesehen von den Serverkosten kostenlos. Ein solider virtueller Server bei einem deutschen Hoster mit vier virtuellen Kernen und 16 GB Arbeitsspeicher kostet im Jahr 2026 weniger als 30 Euro im Monat und genügt für mittelgroße Supportteams. Die verwaltete Cloud-Version beginnt bei rund 19 US-Dollar pro Agent und Monat. Die Oberfläche ist schlichter, einige native Integrationen hinken Intercom hinterher, doch die wesentlichen Abläufe sind abgedeckt: gemeinsamer Posteingang für E-Mail, Webchat, WhatsApp, Telegram und soziale Netzwerke, regelbasierte Chatbots, Makros, Berichte und inzwischen optionale KI-generierte Antwortvorschläge. Wer die KI-Funktionen mit einem lokalen Modell betreibt, braucht dafür allerdings eine Grafikkarte oder einen GPU-Server, was die Rechnung verändert.
Beim demokratischen Profil fällt die Bewertung differenzierter aus, als es die Herkunftsländer vermuten lassen. Irland (8,28) schneidet besser ab als Indien (7,04), doch bei Intercom entscheidet nicht der Firmensitz, sondern die Kette der Unterauftragsverarbeiter. Chatwoot verlagert diese Entscheidung vollständig zum Kunden. Wer es auf einem Server in Deutschland, Österreich (EIU 8,28) oder den Niederlanden (9,00) betreibt, kontrolliert die gesamte Datenkette selbst. In der Matrix von Democratic Market ergibt das für selbst gehostetes Chatwoot die höhere Souveränitätsbewertung, für Intercom mit EU-Hosting und eingeschränktem Fin eine akzeptable Bewertung.
Das demokratische Risiko liegt in der Kette der Unterauftragsverarbeiter
Eine Nuance, die oberflächliche Vergleiche übersehen: Weder Irland noch Indien liegen unter der Risikoschwelle, die Democratic Market anwendet. Das eigentliche Risiko dieser Kategorie steckt nicht im Firmensitz, sondern in den Unterauftragsverarbeitern, die den tatsächlichen Gesprächsinhalt bearbeiten. Intercom wurde in einer vollständigen Demokratie gegründet und entwickelt dort noch heute, führt aber für seine prominenteste KI-Funktion eine strukturelle Abhängigkeit von einem US-Unterauftragsverarbeiter ein. Chatwoot gibt diese Entscheidung dank seines offenen Codes an den Kunden zurück: Die gesamte Kette kann innerhalb der EU bleiben, und das Sprachmodell kann sogar auf dem eigenen Server laufen, ohne einen einzigen Aufruf an Dritte.
Wirklich problematisch wird die Kategorie dort, wo Support-Software aus Ländern unterhalb der Schwelle stammt oder ihre Eigentümerstruktur verschleiert. Chat-Widgets chinesischer Anbieter, die in Onlineshops mit Asien-Geschäft verbreitet sind, unterliegen dem Nationalen Nachrichtendienstgesetz von 2017, das Unternehmen zur Zusammenarbeit mit den Geheimdiensten verpflichtet; China erreicht im EIU-Index lediglich 2,12. Ebenso kritisch sind kostenlose Live-Chat-Plug-ins für WordPress oder Shopware, deren Betreiber im Impressum nicht eindeutig zu identifizieren sind. Democratic Market schließt solche Werkzeuge aus, unabhängig davon, wo sie ihre Server zu haben behaupten, weil Supportgespräche Rückschlüsse auf Kundenbeziehungen, Umsätze und Schwachstellen eines Unternehmens erlauben.
EU-Recht 2026 für Kundensupport-Plattformen
Die KI-Verordnung der EU, seit August 2024 in Kraft, entfaltet ab August 2026 ihre Transparenzpflichten für KI-Systeme, die direkt mit Menschen interagieren, darunter Support-Chatbots. Endnutzer müssen erkennen können, dass sie mit einem automatisierten System sprechen, sofern das nicht ohnehin aus dem Kontext offensichtlich ist. Darüber liegt das EU-US Data Privacy Framework von 2023, das Übermittlungen an zertifizierte US-Anbieter wie OpenAI rechtlich ermöglicht, aber bereits vor dem Gerichtshof der Europäischen Union angefochten wird, und zwar mit denselben Argumenten, die zum Ende seiner beiden Vorgänger Safe Harbor und Privacy Shield führten. Jedes europäische Unternehmen, das sich auf Fin verlässt, sollte einen Plan für den Fall haben, dass dieser Rahmen ein drittes Mal fällt.
Unabhängig von der KI-Verordnung verlangt die DSGVO eine Bewertung der Übermittlungsrisiken, sobald ein Unternehmen einen Unterauftragsverarbeiter außerhalb des EWR einsetzt. Mehrere nationale Datenschutzbehörden, darunter die österreichische Datenschutzbehörde und die französische CNIL, haben seit 2022 Entscheidungen veröffentlicht, die den Einsatz US-amerikanischer Dienste für Daten europäischer Bürger infrage stellen. In Deutschland kommt das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz hinzu, das die Einbindung von Chat-Widgets mit Cookies und Trackern an eine wirksame Einwilligung knüpft. Wer Fin ohne dokumentierte Folgenabschätzung aktiviert, riskiert Bußgelder, sobald eine Aufsichtsbehörde prüft. Für Unternehmen, die unter die NIS2-Richtlinie fallen, ist außerdem das Risikomanagement der digitalen Lieferkette Pflicht, und ein Support-Tool mit Zugriff auf Kundendaten gehört eindeutig dazu.
So bewertet Democratic Market diese Kategorie
Für Software-as-a-Service-Plattformen wendet Democratic Market nicht denselben Herstellungslandtest an wie bei physischen Produkten. Stattdessen prüfen wir drei Ebenen. Erstens das Land, in dem die Muttergesellschaft rechtlich eingetragen ist, samt EIU-Wert, und die juristische Person, die den Vertrag mit dem europäischen Kunden unterzeichnet. Zweitens die Region, in der Daten standardmäßig gespeichert werden, und ob eine EU-Hosting-Option existiert, die auch Backups, Kontrollebene und technischen Support umfasst. Drittens die vollständige Kette der KI-Unterauftragsverarbeiter laut Datenschutzerklärung, mit besonderem Augenmerk darauf, ob der Kunde sie abschalten oder durch selbst gehostete Alternativen ersetzen kann.
Eine vierte, zunehmend wichtige Ebene ist die Umkehrbarkeit. Wir bewerten positiv, wenn Gesprächsverläufe vollständig in offenen Formaten exportiert werden können und eine selbst gehostete Variante existiert. Nach diesen Kriterien erhält selbst gehostetes Chatwoot auf europäischer Infrastruktur die höchste Souveränitätsnote dieser Kategorie. Intercom erhält eine akzeptable Bewertung unter der Bedingung, dass die EU-Region genutzt und Fin entweder deaktiviert oder auf Gespräche ohne sensible Daten beschränkt wird. Anbieter mit Sitz in Ländern unter 6,0 oder mit nicht nachvollziehbarer Eigentümerstruktur schließen wir aus.
Kaufberatung Schritt für Schritt
Erstens: Klären Sie, welche Daten in Ihren Supportgesprächen tatsächlich vorkommen. Ziehen Sie eine Stichprobe von hundert Tickets und markieren Sie Gesundheitsdaten, Bankverbindungen, Ausweisnummern und Daten von Minderjährigen. Je höher dieser Anteil, desto stärker spricht alles für eine selbst gehostete Lösung. Zweitens: Prüfen Sie, ob der Anbieter eine EU-Region standardmäßig oder nur gegen Aufpreis anbietet, und ob sie auch Backups und Support-Zugriffe umfasst. Drittens: Fordern Sie den unterzeichneten Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO und die aktuelle Liste der Unterauftragsverarbeiter an, nicht nur die allgemeine Sicherheitsseite aus dem Marketing.
Viertens: Prüfen Sie, ob sich generative KI-Funktionen selektiv nach Gesprächstyp abschalten lassen, etwa nur für Rückfragen zum Lieferstatus aktivieren und für Reklamationen mit Zahlungsdaten deaktivieren. Fünftens: Achten Sie auf Zertifizierungen wie ISO 27001 oder SOC 2 Type II. Intercom besitzt beide; ein Open-Source-Projekt wie Chatwoot hat sie naturgemäß nicht, sodass die Verantwortung für die Zertifizierung auf denjenigen übergeht, der es betreibt. Ein deutscher Hoster mit ISO-27001-zertifiziertem Rechenzentrum oder einem BSI-C5-Testat schließt diese Lücke teilweise. Sechstens: Kalkulieren Sie die Wechselkosten ein. Intercom erlaubt den Export von Gesprächen per API, ein offizielles Migrationswerkzeug zu Chatwoot gibt es jedoch nicht, sodass die vollständige Übertragung historischer Gespräche meist individuelle Entwicklungsarbeit erfordert.
Ausblick und Fazit: Was Democratic Market empfiehlt
Mit Blick auf 2027 prüft die Europäische Kommission, ob Anforderungen an die Datenresidenz auch auf Infrastrukturanbieter aus Drittstaaten ausgeweitet werden. Das würde Unternehmen wie Intercom zwingen, ihre KI-Unterauftragsverarbeiter wesentlich genauer offenzulegen oder erstmals Sprachmodelle anzubieten, die vollständig auf europäischem Boden laufen, etwa von Anbietern wie Mistral AI aus Frankreich (EIU 8,07) oder Aleph Alpha aus Heidelberg. Bis dieser Vorschlag konkret wird, liegt die Verantwortung dafür, wo jedes Gespräch verarbeitet wird, beim Unternehmen, das die Software einkauft, und nicht beim Anbieter.
Keine der beiden Plattformen stammt aus einem Land mit schwacher Demokratie; beide bestehen den Grundfilter von Democratic Market. Die Empfehlung hängt von der Risikobereitschaft ab. Wer volle Datensouveränität will, insbesondere bei Gesundheits-, Finanz- oder Behördendaten, sollte Chatwoot selbst hosten, idealerweise in einem deutschen oder schweizerischen Rechenzentrum und mit einem lokalen Sprachmodell. Wer Wert auf ein ausgereiftes Produkt und schnelle Einführung legt und OpenAI als Unterauftragsverarbeiter akzeptiert, sollte bei Intercom zumindest darauf bestehen, dass das EU-Hosting für alles aktiv bleibt, was nicht über Fin läuft, und Fin auf unkritische Gesprächstypen begrenzen. In beiden Fällen gilt: Die Seite mit den Unterauftragsverarbeitern ist wichtiger als jede Werbeaussage zur DSGVO-Konformität.