Sitzungsaufzeichnungen können Daten umfassen, mit denen sich die Nutzung einer Website nachvollziehen lässt, und je nach Konfiguration auch Informationen, die mit einer Besucherkennung verknüpft sind. Vor der Einführung müssen deshalb ein konkreter Zweck, der erforderliche Umfang, die Rechtsgrundlage, die Art der Information, die Aufbewahrungsdauer und die Zugriffsrechte festgelegt werden. Die Maskierungsfunktion allein bestätigt noch keine DSGVO-Konformität.
Dieser Artikel dient der Information und behandelt technische sowie organisatorische Aspekte. Er ist weder eine Rechtsberatung noch eine Bewertung der Konformität einer konkreten Implementierung. Die jeweiligen Pflichten hängen von Zweck, Daten, Technologie, Empfängern und Rechtsordnung ab — besprich sie mit der für den Datenschutz verantwortlichen Person oder einer Rechtsberatung.
Was kann eine Sitzungsaufzeichnung tatsächlich umfassen?
Session Replay muss kein herkömmliches Bildschirmvideo sein. Ein Tool kann Ereignisse erfassen, die für die spätere Wiedergabe des Besuchs benötigt werden: Seitenwechsel, Klicks, Scrollbewegungen, Mausbewegungen oder Berührungen, Änderungen der Fenstergröße und die Darstellung des Dokuments. Der Umfang hängt von der jeweiligen Technologie und den Einstellungen ab.
Die französische Datenschutzbehörde CNIL weist darauf hin, dass solche Tools den vollständigen Navigationspfad durch eine Website oder Anwendung wiedergeben und — bei bestimmten Konfigurationen — auch eingegebene Daten erfassen können. Die Behörde verweist dabei auf den potenziellen Eingriff in die Privatsphäre, der sich aus der Detailtiefe der Beobachtung ergibt.
Das bedeutet nicht, dass jede Aufzeichnung all diese Informationen enthält. Es bedeutet, dass der Verantwortliche wissen sollte, was seine Konfiguration tatsächlich erfasst. Zu prüfen sind nicht nur die Darstellung im Player, sondern auch Kennungen, Gerätemetadaten, URLs, Seiteninhalte und Verknüpfungen mit dem Kundenprofil.
Aus Sicht der praktischen Nutzbarkeit sollte die Analyse mit einer konkreten Frage beginnen. Unser Leitfaden zur Analyse des Nutzerverhaltens zeigt, wie du den Umfang auf die zur Prüfung einer Hypothese erforderlichen Besuche beschränkst, anstatt Daten ohne klar definierten Zweck zu sammeln.
Der Chat erzeugt seinerseits einen eigenen, enger begrenzten Datensatz: Felder vor dem Gespräch, Nachrichteninhalte und technische Daten des Besuchs. Diese Entscheidungen solltest du separat treffen und dazu die Checkliste in unserem Artikel über Live-Chat und die DSGVO heranziehen.
Zweck und Datenminimierung sollten vor der Konfiguration stehen
„Wir möchten die Nutzer besser verstehen“ ist als operative Begründung zu weit gefasst. Ein konkreterer Zweck könnte lauten: „Wir möchten Fehler im Bestellformular auf Mobilgeräten erkennen“ oder „Wir möchten prüfen, ob das neue Layout der Preisseite die Kontaktaufnahme erschwert“. Erst eine solche Beschreibung ermöglicht es zu beurteilen, welche Seiten, Ereignisse und Aufbewahrungsfristen wirklich erforderlich sind.
- Umfang der SeitenMuss die gesamte Website aufgezeichnet werden oder nur eine ausgewählte Prozessphase?
- Umfang der ElementeWelche Formulare, Inhalte oder Komponenten sollten ausgeschlossen oder maskiert werden?
- PersonenkreisWer benötigt aus welchem beruflichen Grund Zugriff auf die Aufzeichnungen?
- ZeitraumWie lange ist das Material für den angegebenen Zweck nützlich?
Datenminimierung beschränkt sich nicht auf das Ausblenden von Passwörtern. Wenn eine Seite Gesundheits- oder Finanzdaten, private Nachrichten oder andere besonders sensible Inhalte enthält, sollte die erste Frage lauten, ob dieser Bereich überhaupt aufgezeichnet werden sollte. Manchmal besteht die richtige Konfiguration darin, eine Seite oder Komponente vollständig auszuschließen.
Gesondert zu bewerten sind die Rechtsgrundlage der Verarbeitung sowie die Regeln für das Speichern oder Auslesen von Informationen auf dem Endgerät des Nutzers. Es gibt keine einheitliche Antwort, die für jede Website passt. Die Rechtsgrundlage, die Art der Einholung einer Einwilligung — sofern sie erforderlich ist — und der Inhalt der Information sollten sich aus der konkreten Konfiguration und einer aktuellen rechtlichen Prüfung ergeben.
Maskierung begrenzt das Risiko, sorgt aber nicht automatisch für DSGVO-Konformität
Durch Maskierung werden Inhalte verändert oder ausgeblendet, die der Player nicht anzeigen sollte. Das ist eine wichtige technische Kontrolle, sie hat jedoch Grenzen. Ein Selektor kann nach einer Änderung der Website nicht mehr greifen, ein neues Formular kann von der Regel ausgenommen bleiben und Daten können auch in einer URL, einer Fehlermeldung oder gewöhnlichem Text vorkommen.
Meetlead ermöglicht es, Eingabefelder, den gesamten Text oder über Selektoren ausgewählte Elemente zu maskieren. In der Standardkonfiguration werden die Inhalte von Eingabefeldern maskiert. Du musst deine eigene Website dennoch prüfen: Führe Testbesuche durch, durchlaufe verschiedene Formularvarianten, überprüfe die mobile Version und wiederhole den Test nach Änderungen an der Website.
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Ebene | Kontrollfrage | Warum sie notwendig ist |
|---|---|---|
| Ausschluss | Muss dieser Bereich aufgezeichnet werden? | Begrenzt am wirksamsten Daten, die für den Zweck nicht erforderlich sind. |
| Maskierung | Sind Felder und Inhalte in jeder Ansichtsvariante verborgen? | Verringert die Sichtbarkeit von Daten in der Wiedergabe. |
| Zugriff | Wer darf wie lange auf Aufzeichnungen zugreifen? | Begrenzt die unnötige Nutzung innerhalb der Organisation. |
| Aufbewahrung | Wann wird das Material nicht mehr benötigt? | Verhindert, dass Besuchsverläufe unbegrenzt gesammelt werden. |
| Regelmäßiger Test | Sind die Schutzmaßnahmen nach einer Änderung der Website noch wirksam? | Erkennt Regressionen nach Releases und Änderungen an Formularen. |
Auch die Rollen sollten getrennt werden. Eine Person, die ein Formular verbessert, benötigt möglicherweise ausgewählte Aufzeichnungen zu einem Fehler, aber nicht den vollständigen Verlauf eines identifizierten Kunden. Das Prinzip der geringsten Rechte hilft, den Zugriff an die jeweilige Aufgabe anzupassen.
Maskierung von Feldern und Text, Sperren über Selektoren sowie ein Startmodus nach Einwilligung. Erfahre, wie Aufzeichnungen konfiguriert werden.
Rechtliche und organisatorische Fragen vor dem Start
- Welchem konkreten Zweck dient Session Replay, und wie beurteilen wir, ob er erreicht wurde?
- Welche Datenkategorien und Kennungen können in Ereignissen, Metadaten und der Wiedergabe enthalten sein?
- Wer ist Verantwortlicher, wer Auftragsverarbeiter, und welche Verträge werden benötigt?
- Welche Rechtsgrundlage wurde festgelegt, und ist vor dem Start eine Einwilligung oder ein anderer Mechanismus erforderlich?
- Wie erhält der Nutzer klare Informationen über Zweck, Umfang, Empfänger und seine Rechte?
- Ist wegen Größenordnung, Umfang oder Risiko eine Datenschutz-Folgenabschätzung durchzuführen?
- Wo werden die Daten gespeichert, wer erhält sie, und finden internationale Übermittlungen statt?
- Wie lange werden die Aufzeichnungen benötigt, und wie funktionieren ihre Löschung und die Bearbeitung von Betroffenenrechten?
- Wer hat Zugriff, sind die Handlungen nachvollziehbar, und wann werden Berechtigungen entzogen?
- Wie häufig werden Maskierung, Ausschlüsse und neue Versionen der Website getestet?
Die Antworten sollten sich in der Dokumentation der Verarbeitung und in den Informationen für Nutzer widerspiegeln. Eine allgemeine Beschreibung der von Meetlead angewandten Grundsätze findest du in unserer Datenschutzerklärung. Der Betreiber einer eigenen Website benötigt jedoch eine Dokumentation, die auf seine Implementierung und seine Rolle zugeschnitten ist. Verlangt ein Kunde eine Kopie seiner Daten, gehören mit seinem Kontakt verknüpfte Aufzeichnungen ebenfalls zur Prüfung; die Schritte beschreibt unser Leitfaden zum DSGVO-Auskunftsersuchen im Support.
Ein sichererer Einführungsprozess in sechs Schritten
- Beschreibe Zweck und Verantwortlichkeit.Ein Satz zum Problem, eine verantwortliche Person und der Zeitpunkt, zu dem die Analyse endet.
- Prüfe den Datenfluss.Prüfe Ereignisse, Kennungen, Empfänger, Speicherorte und Verknüpfungen mit anderen Systemen.
- Nimm eine rechtliche Bewertung vor.Bestimme Rechtsgrundlage, Informationspflichten, Regeln für Tracking-Technologien und den möglichen Bedarf einer Datenschutz-Folgenabschätzung.
- Begrenze den technischen Umfang.Schließe unnötige Seiten und Elemente aus, konfiguriere die Maskierung und wähle die kürzeste begründbare Aufbewahrungsfrist.
- Teste aus Nutzersicht.Durchlaufe die Website auf Mobilgeräten und am Desktop, gib ausschließlich Testdaten ein und sieh dir anschließend das Ergebnis an.
- Überwache Änderungen.Prüfe nach jedem wesentlichen Release Selektoren, Formulare, Berechtigungen und die Aktualität der Informationen.
Bei der Auswahl von Sitzungen für die Analyse solltest du zweckbezogene Kriterien anwenden, statt zufällige Besuche zu öffnen. Unser Leitfaden darüber, wie du Sitzungsaufzeichnungen analysierst, beschreibt dieses Vorgehen. Der Vergleich von Sitzungsaufzeichnungen und Heatmaps hilft dir wiederum, eine weniger detaillierte Quelle zu wählen, wenn eine Gesamtansicht genügt.
Die CNIL veröffentlichte am 25. Februar 2026 Informationen zur Konsultation ihres Empfehlungsentwurfs zu Session Replay. Die Seite ist derzeit als abgeschlossene Konsultation gekennzeichnet. Es handelt sich um einen konsultierten Entwurf und nicht um eine endgültige Rechtsauslegung; die CNIL hatte angekündigt, die Rückmeldungen auszuwerten und eine endgültige Fassung zu verabschieden. Vor einer Implementierung musst du den aktuellen Status des Dokuments sowie die für deine Rechtsordnung maßgeblichen Leitlinien prüfen.
Allgemeine Rechtsgrundlage: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates. Dieser Beitrag ersetzt keine individuelle rechtliche Prüfung.
