Session Replay und DSGVO: Hotjar, Clarity und FullStory richtig konfigurieren

Am 5. November 2026 veröffentlichte Frankreichs CNIL ihre finale Empfehlung zu Session-Replay- und Heatmap-Tools, die vom Gremium der CNIL am 8. Oktober verabschiedet wurde. Wenn Ihre Website Hotjar, Microsoft Clarity, FullStory oder ein beliebiges Tool nutzt, das aufzeichnet, wie sich Besucher durch eine Seite bewegen, klärt diese Empfehlung eine Frage, über die CRO- und Analytics-Teams seit Jahren diskutieren: Erfordert das Beobachten der Nutzung Ihrer Website dieselbe Einwilligung wie ein Tracking-Cookie? Die Antwort der CNIL lautet Ja, ohne Ausnahme, und sie bringt konkrete Erwartungen mit, was Sie aufzeichnen und wie lange Sie es aufbewahren dürfen.

Session Replay und DSGVO: Hotjar, Clarity und FullStory richtig konfigurieren

Was die CNIL-Empfehlung sagt

Session-Replay-Tools erfassen Mausbewegungen, Klicks, Scrollen und Formulareingaben und setzen sie zu einer videoähnlichen Wiedergabe eines einzelnen Besuchs zusammen. Heatmaps aggregieren dieselben Signale über viele Sitzungen hinweg zu einer einzigen Ansicht. Beide lesen und schreiben Daten auf dem Gerät des Besuchers, weshalb die CNIL ihre Empfehlung auf Artikel 82 des französischen Datenschutzgesetzes stützt, der Artikel 5 Absatz 3 der ePrivacy-Richtlinie umsetzt und auch gewöhnliche Tracking-Cookies regelt.

Artikel 82 befreit einen Tracker nur dann von der Einwilligungspflicht, wenn er für die vom Besucher angeforderte Dienstleistung zwingend erforderlich ist oder ausschließlich der Übermittlung einer elektronischen Kommunikation dient. Die Empfehlung der CNIL wendet diesen Test direkt auf Session Replay an: Website-Betreiber könnten ihre Seiten auch ohne das Tool betreiben, und es hat nichts mit der Übertragung einer Nachricht zu tun, also greift keine der beiden Ausnahmen. Eine vorherige Einwilligung ist erforderlich, bevor das Tool mit der Datenerfassung beginnt, genauso wie bei einem Analyse- oder Werbe-Cookie.

Da eine rekonstruierte Sitzung außerdem eine Person direkt oder indirekt identifiziert, gilt zusätzlich zur Einwilligungspflicht die DSGVO, insbesondere die Rechtsgrundlage nach Artikel 6 für jede Verarbeitung, die nach der Aufzeichnung erfolgt.

Die CNIL zieht auch eine Grenze bei den zulässigen Zwecken. Sie nennt drei: das Erkennen und Beheben technischer Fehler, das Identifizieren von Reibungspunkten zur Verbesserung der Nutzererfahrung, und die Unterstützung bei einer konkreten Kundenanfrage. Für Retargeting-Werbung sollte Session Replay laut CNIL nicht genutzt werden, da weniger eingriffsintensive Alternativen existieren, etwa Warenkorb-Erinnerungscookies, und diese Praxis dem Grundsatz der Datenminimierung widerspricht.

Warum „das ist doch nur Analytics" nicht trägt

Der Reflex vieler Teams ist es, die Einwilligung für Session Replay in den bestehenden Analytics-Schalter zu integrieren. Die Empfehlung der CNIL widerspricht diesem Reflex auf zwei Arten. Erstens braucht jeder der drei oben genannten Zwecke eine eigene kurze Bezeichnung und Beschreibung in der Einwilligungsoberfläche, statt eines einzigen, gebündelten „Analytics"-Kästchens. Zweitens, und das ist neu im diesen Monat veröffentlichten finalen Text, empfiehlt die CNIL nun zusätzlich einen kurzen, klar formulierten Hinweis auf der ersten Ebene des Banners, getrennt von diesen Zweckbezeichnungen dargestellt, der Session Replay als eingesetzte Technologie konkret benennt. Die Begründung lautet, dass das Bewusstsein für Session Replay bei Besuchern gering ist: Die meisten Menschen, die auf „Akzeptieren" in einem Cookie-Banner klicken, haben keine Ahnung, dass ein Tool anschließend ihre Mausbewegungen und Tastatureingaben rekonstruiert.

Das entspricht dem Ansatz, den die CNIL bei anderen spezifischen Tracking-Technologien verfolgt hat, die sie einzeln betrachtet hat, etwa bei E-Mail-Tracking-Pixeln, bei denen sie eine zweckbezogene Einwilligung zum Standard gemacht hat, statt ein einziges gebündeltes Kästchen zu akzeptieren. Wie dieses Prinzip in einer CMP umgesetzt wird, zeigt der Beitrag zu individuellen Zwecken jenseits von Standard-Datenschutzrahmenwerken, der session_recording bereits als Beispiel für einen Zweck außerhalb des IAB-TCF-Geltungsbereichs nennt.

Das bedeutet auch, bestehende Konfigurationen zu überprüfen, die vor dieser Empfehlung eingerichtet wurden. Wenn Hotjar, Clarity oder FullStory auf Ihrer Website derzeit in eine allgemeine Kategorie „Performance / Analytics" eingebunden ist, zusammen mit Tools wie Google Analytics, war das vor dem finalen Text der CNIL eine vertretbare Lösung. Das ist jetzt nicht mehr der Fall. Ordnen Sie Session Replay einem eigenen Zweck zu, statt es weiterhin gebündelt zu lassen.

Was sich nach der Einwilligung ändert

Die Einwilligung verschafft nur den Zugang. Der Großteil der CNIL-Empfehlung befasst sich damit, was danach passiert, gegliedert nach drei vertrauten DSGVO-Grundsätzen.

Bei der Datenminimierung möchte die CNIL, dass Betreiber die erfassten Sitzungen von vornherein begrenzen, statt jeden Besuch standardmäßig aufzuzeichnen, etwa durch Zufallsstichproben, durch Aufzeichnung nur bei einem definierten Auslöser wie einem Fehler, oder durch zügiges Löschen von Sitzungen, sobald feststeht, dass sie nicht benötigt werden. Die Maskierung kommt hinzu: Formularfelder, Kontoinformationen, Texteingaben und Bilder sollten standardmäßig maskiert werden, und der finale Text ergänzt zwei Kategorien, die im früher in diesem Jahr veröffentlichten Entwurf noch fehlten, Mausbewegungen und Klicks auf Bildschirmtastaturen, die Anmeldecodes verraten können, und Chatbot-Gesprächsinhalte, da Frage-Antwort-Austausche allein schon sensible Daten offenbaren können. Sitzungs- und Nutzerkennungen sollten standardmäßig ebenfalls vermeiden, die Aktivität eines Besuchers dauerhaft miteinander zu verknüpfen.

Bei der Speicherbegrenzung gibt die eigene Anlagetabelle der CNIL eine Orientierung, was „nicht länger als nötig" je nach Zweck bedeutet: wenige Stunden nach Sitzungsende bei Support-Fällen, und einige Monate bei Fehlererkennung und UX-Verbesserung. Betreiber müssen in der Lage sein, die Sitzungen eines einzelnen Besuchers gezielt zu löschen, statt sich auf eine pauschale Aufbewahrungsfrist zu verlassen, sowohl um einem DSGVO-Auskunfts- oder Löschersuchen nachzukommen als auch, weil der Widerruf der Einwilligung die Löschung der bereits erfassten Daten erfordert, sofern keine andere Rechtsgrundlage die Aufbewahrung rechtfertigt.

Bei der Sicherheit dürfen Passwörter und Zahlungsdaten niemals in die Aufzeichnung gelangen, maskiert oder nicht, und der Zugriff auf aufgezeichnete Daten sollte über regelmäßig überprüfte Berechtigungen laufen, dieselbe Grundlage, die die CNIL für jedes interne System erwartet, das personenbezogene Daten verarbeitet.

Hotjar, Clarity und FullStory konfigurieren

Jedes Tool geht mit Einwilligung etwas anders um, aber das Ziel ist bei allen dreien dasselbe: Nichts sollte einen Besucher erfassen, bevor er zugestimmt hat, und die Erfassung sollte wieder enden, wenn er widerruft.

Microsoft Clarity

Clarity ist von den dreien am unkompliziertesten, weil es ein integriertes, zweiseitiges Einwilligungssignal besitzt, mit dem UniConsent automatisch kommuniziert. Deaktivieren Sie „Cookies standardmäßig setzen" in Ihren Clarity-Projekteinstellungen, und UniConsent weist Clarity an, zu starten oder zu stoppen, je nachdem, welchen Zweck oder welche Kategorie Sie Session Replay zugeordnet haben. Die vollständige Einrichtung finden Sie im Tutorial zum Microsoft Clarity Consent Mode. Clarity verfügt zudem über eine eigene Maskierungsoption, um Felder wie Kontodaten aus der Aufzeichnung auszublenden.

Hotjar

Hotjar erkennt kein CMP-Signal von sich aus, weshalb die Funktion „Individuelle Zwecke" von UniConsent genutzt wird, um es explizit zu starten: Legen Sie einen eigenen Zweck für Session Replay an, formulieren Sie die von der CNIL erwartete Beschreibung auf erster Ebene, und verknüpfen Sie diesen Zweck so, dass Hotjar die Aufzeichnung startet, sobald ein Besucher zustimmt. Hotjar unterstützt außerdem die standardmäßige Maskierung bestimmter Formularfelder und Kontoinformationen, statt jedes sensible Feld einzeln blockieren zu müssen.

FullStory

FullStory funktioniert genauso wie Hotjar: Es bleibt standardmäßig inaktiv, und ein eigener Zweck für Session Replay weist es an, die Erfassung zu starten, sobald die Einwilligung erteilt wird. Die eigenen Maskierungsfunktionen von FullStory ermöglichen es, eine Seite aufzuzeichnen und gleichzeitig bestimmte Felder auszuschließen, sodass sie die Server von FullStory gar nicht erst erreichen.

Die schrittweise Einrichtung, um einen individuellen Zweck mit einem Drittanbieter-Skript zu verknüpfen, finden Sie im Tutorial zu individuellen Zwecken und im UnicScript-Tutorial.

Aufbewahrung und Löschung festlegen

Das Löschen der Sitzungen eines einzelnen Besuchers auf Anfrage läuft über die Löschfunktionen, die API oder den Support-Kanal des jeweiligen Anbieters, und Ihr Auftragsverarbeitungsvertrag mit dem Anbieter sollte festlegen, wie schnell das geschieht. Was UniConsent direkt leisten kann, ist der Nachweis, den die CNIL-Empfehlung voraussetzt: Jede Erteilung und jeder Widerruf des Session-Replay-Zwecks wird mit Zeitstempel in der Consent DB festgehalten, sodass Sie eine Antwort haben, die nicht von den eigenen Aufzeichnungen des Session-Replay-Anbieters abhängt, wenn ein Besucher fragt, was er wann zugestimmt hat.

Was das für Marketing- und CRO-Teams bedeutet

Nichts davon bedeutet, Session Replay abzuschaffen. Die CNIL akzeptiert es ausdrücklich für technisches Debugging, UX-Verbesserung und Support, was den überwiegenden Teil dessen abdeckt, wofür CRO-Teams es tatsächlich nutzen. Was sich ändert: Die Aufzeichnung darf nicht mehr der Standardzustand jedes Besuchs sein, Verhaltensprofile, die für Retargeting zweckentfremdet werden, sind ausgeschlossen, und der Einwilligungsschritt muss erfolgen, bevor das erste Bild erfasst wird, statt aus einem allgemeinen „Akzeptieren" im Cookie-Banner abgeleitet zu werden.

Teams, die bereits ein geschichtetes, zweckspezifisches Einwilligungsbanner betreiben, haben den leichteren Weg vor sich: einen eigenen Zweck für Session Replay ergänzen, die drei Tools damit verknüpfen, die Standard-Maskierung aktivieren, und der Großteil der Empfehlung ist erfüllt. Teams, die sich auf ein einziges „alle akzeptieren" verlassen, haben mehr Arbeit vor sich, angefangen damit, Session Replay von dem Zweck zu trennen, in dem es sich derzeit versteckt.

Wie UniConsent hilft

UniConsent unterstützt Session Replay sowohl als eigenständigen individuellen Zweck als auch als zugeordnete Einwilligungskategorie, mit einer Beschreibung von Session Replay auf erster Ebene, die Sie selbst formulieren, automatischer Signalweiterleitung an die native Einwilligungs-API von Microsoft Clarity, und zweckbasierter Steuerung für Hotjar und FullStory, sodass die Aufzeichnung erst startet, wenn der Besucher tatsächlich zugestimmt hat, und wieder stoppt, wenn er widerruft.

Jetzt registrieren und in wenigen Minuten einen Session-Replay-Zweck zu Ihrem Einwilligungsbanner hinzufügen.