Microsoft Clarity ist gratis — aber was passiert mit den Daten?

Microsoft beantwortet das selbst — in der offiziell empfohlenen Datenschutz-Formulierung, die Clarity-Nutzer laut Microsofts Setup-Doku in ihre eigene Privacy Policy übernehmen sollen. Dort heißt es, man arbeite mit „Microsoft Clarity and Microsoft Advertising“ zusammen, Nutzungsdaten würden „using first and third-party cookies“ erfasst und verwendet „for site optimization, fraud/security purposes, and advertising“ — also ausdrücklich auch für Werbung (learn.microsoft.com, Privacy-Disclosure-Doku, Stand: Juli 2026).

Der von Microsoft empfohlene Kurz-Hinweis für die eigene Website geht noch einen Schritt weiter: „We improve our products and advertising by using Microsoft Clarity […] By using our site, you agree that we and Microsoft can collect and use this data.“ Die Besucherdaten fließen also nicht nur an den Website-Betreiber, sondern erklärtermaßen auch an Microsoft selbst.

Zur Fairness gehört die Abgrenzung: Microsoft verkauft diese Daten nach eigener Darstellung nicht an Dritte. Das Modell ist ein Tausch — ein sehr gutes Gratis-Tool gegen Nutzungsdaten, die Microsofts Produkte und Werbe-Ökosystem verbessern. Das ist legitim. Es sollte nur niemand überrascht sein.

Clarity erkennt wiederkehrende Besucher laut FAQ über eine eindeutige Kennung in einem First-Party-Cookie — laut eRecht24 mit zwölf Monaten Laufzeit. Zusätzlich sagt die FAQ ausdrücklich: „Any third-party cookies used by Clarity are to support operational purposes like advertising“ (Stand: Juli 2026).

Für den Einsatz in Europa heißt das: Einwilligung ist Pflicht — und das sagt Microsoft inzwischen selbst. Die FAQ erklärt, dass im EWR, in Großbritannien und der Schweiz „explicit user consent is required before placing cookies“, und Microsoft erzwingt seit der Consent-Signal-Umstellung, dass Webmaster den Consent-Status per Consent-API oder CMP übermitteln.

Die Konsequenz ohne Einwilligung dokumentiert Microsoft ebenfalls offen: Ohne Consent können Clarity-Cookies nicht gesetzt werden, „funnel tracking and session recordings might be impacted“, und Clarity kann keine zusammenhängende User-Journey mehr abbilden — aus einem Besucher werden fragmentierte Einzel-Sessions. Clarity ist im Kern ein Cookie-basiertes Tool; ohne Cookie-Consent verliert es einen Teil seiner Substanz.

Zum Speicherort sagt Microsofts FAQ nur: „Your data is stored in the Microsoft Azure cloud service.“ Eine konkrete Region nennt Microsoft nicht. Was dokumentiert ist: EU-Kunden schließen ihren Vertrag mit Microsoft Ireland Operations Limited, die per Standardvertragsklauseln (SCCs) Datenübermittlungen an die Microsoft Corporation in den USA erlaubt — der US-Transfer ist also offiziell Teil der Konstruktion (Stand: Juli 2026). Microsoft ist zudem unter dem EU-US Data Privacy Framework zertifiziert (laut eRecht24 und avalex).

Juristisch bemerkenswert ist die Rollenfrage: Microsofts eigene FAQ bezeichnet Clarity als DSGVO-konform „as a data controller“ — also als eigenständig Verantwortlicher. Deutsche Rechts-Blogs wie eRecht24 und avalex ordnen Microsoft dagegen als Auftragsverarbeiter ein und fordern einen Abschluss eines AVV. Diese Unklarheit ist selbst der Befund: Ein Dienst, der Daten laut eigener Disclosure-Empfehlung auch für eigene Zwecke wie Advertising nutzt, sitzt zwischen den Stühlen — ein reiner Auftragsverarbeiter hätte dieses Problem nicht.

Wer Clarity einsetzt, sollte diese Punkte mit Datenschutzbeauftragten klären — pauschal „unproblematisch“ ist die Konstruktion nicht, pauschal „verboten“ aber auch nicht.

Zwei Grenzen stehen klar in Microsofts Doku. Erstens die Aufbewahrung: Recording-Playback-Daten sind nur 30 Tage verfügbar, Klick- und Heatmap-Daten 9 Monate — danach werden sie laut Retention-Doku unwiederbringlich gelöscht, inklusive Backups (Doku-Stand 2026-06-30). Für langfristige Vorher-Nachher-Vergleiche ist das eng.

Zweitens die Löschung einzelner Nutzer: Auf die Frage, wie man die Daten eines einzelnen Besuchers löscht — etwa bei einem Löschersuchen nach Art. 17 DSGVO — antwortet die FAQ, man müsse dafür das gesamte Projekt löschen. Ein granulares Lösch-Werkzeug pro Betroffenem gibt es nicht. Operativ ist das für DSGVO-Prozesse ein echter Nachteil.

Ein nüchterner Blick verlangt auch die andere Seite — und die ist stark. Clarity hat Punkte, die kaum ein anderes Tool in dieser Absolutheit bietet:

Das Geschäftsmodell hinter dem Preisschild steht bei Clarity in der eigenen Doku: Nutzungsdaten fließen an Microsoft und werden dort auch für Advertising und Produktverbesserung genutzt. Wer damit leben kann — etwa weil die Zielgruppe außerhalb der EU sitzt oder das Consent-Setup sauber steht — bekommt ein außergewöhnlich mächtiges Gratis-Tool.

Wer Behavior-Analytics dagegen ohne Advertising-Verwertung, ohne US-Transfer-Konstruktion und mit granularer Löschung will, braucht ein Werkzeug, dessen Geschäftsmodell nicht auf den Daten der eigenen Besucher aufbaut.

Der ehrliche visz.ai-Winkel: visz.ai ist ebenfalls kostenlos — und wir nutzen die Daten deiner Besucher für nichts außer deiner Analyse. EU-Hosting bei Hetzner in Deutschland, keine Advertising-Partnerschaft, das Snippet setzt keine Cookies. Aber auch bei uns gilt: Für Session Recordings brauchst du eine Einwilligung, und einen AI-Copilot wie Clarity haben wir nicht. Beide Tools sind gratis — sie bezahlen sich nur unterschiedlich.