Session Recordings DSGVO-konform einsetzen: Maskierung, Consent, Löschfristen
6 Min. Lesezeit
Session Recordings gelten als Datenschutz-Minenfeld — zu Unrecht. Richtig konfiguriert sind sie DSGVO-konform einsetzbar; falsch konfiguriert sind sie ein reales Risiko. Der Unterschied liegt in einer Handvoll Entscheidungen, die du einmal sauber treffen und dokumentieren musst.
Diese Anleitung geht die Entscheidungen praktisch durch: Rechtsgrundlage, Consent-Implementierung, Maskierung, IP-Anonymisierung, Löschfristen, AVV und DSFA — mit dem, was deutsche Fachquellen und die Aufsichtsbehörden dazu sagen (Stand: Juli 2026).
Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Für verbindliche Auskünfte wende dich an eine Anwältin, einen Anwalt oder Datenschutzbeauftragte. Stand: Juli 2026.
Schritt 1: Rechtsgrundlage klären — Einwilligung ist der Regelfall
Session Recordings werden auf zwei Ebenen geprüft: § 25 TDDDG regelt den technischen Zugriff auf das Endgerät (Cookies, localStorage und Co.), die DSGVO (Art. 6) die anschließende Verarbeitung personenbezogener Daten. Du brauchst auf beiden Ebenen eine Antwort.
Die deutschen Fachquellen sind sich einig: Berechtigtes Interesse trägt für Verhaltensaufzeichnung nicht. eRecht24 und avalex ordnen Recording-Tools als einwilligungspflichtig ein — Einwilligung vor Ausführung, per Consent-Banner (Stand: Juli 2026). Die Orientierungshilfe der Datenschutzkonferenz geht noch weiter: Sie stuft nicht einmal einfache Reichweitenmessung pauschal als einwilligungsfrei ein. Für detaillierte Verhaltensaufzeichnung gilt das erst recht — das ist unsere redaktionelle Einordnung, kein DSK-Zitat.
Die praktische Konsequenz: Einwilligung nach § 25 Abs. 1 TDDDG plus Art. 6 Abs. 1 lit. a DSGVO, bevor irgendetwas aufgezeichnet wird. Alles andere ist juristisches Glatteis.
Schritt 2: Consent technisch sauber umsetzen
Zwischen »wir haben ein Cookie-Banner« und einer wirksamen Einwilligung liegt Technik. Diese fünf Punkte entscheiden:
- Ladefolge: Das Recording startet erst nach dem Opt-in — nicht »lädt schon, sendet später«. Vor der Einwilligung darf es null Events, Aufnahmen oder Fingerprints geben.
- Aktive Einwilligung: keine vorangekreuzten Checkboxen — das haben EuGH (Planet49) und BGH (Cookie-Einwilligung II) entschieden.
- Eigene Consent-Kategorie: Recording und Heatmaps nicht unter »Statistik« verstecken. Die DSK verlangt eine granulare Prüfung pro Funktion, nicht für die Website als Ganzes.
- Widerruf so einfach wie die Erteilung: ein dauerhaft erreichbarer Link, etwa »Cookie-Einstellungen ändern« im Footer.
- »Do Not Track« respektieren: Ein gesetztes DNT-Signal sollte das Tracking komplett stoppen.
Schritt 3: Maskierung — client-seitig, bevor Daten den Browser verlassen
Das Kernprinzip: Maskierung, die erst auf dem Server passiert, ist keine — die Daten waren dann schon unterwegs. Maskiert werden muss im Browser des Besuchers, vor dem Senden. Ein gutes Setup deckt fünf Flächen ab:
- Sensible Felder immer: Passwort-, E-Mail-, Telefon-, Karten- und IBAN-Felder dürfen in keinem Modus im Klartext auftauchen.
- PII-Muster in erfassten Texten: E-Mail-Adressen, Kreditkartennummern (Luhn-geprüft), Telefonnummern, IBANs und Tokens werden client-seitig ersetzt, bevor sie gesendet werden.
- Formulare ohne Feldwerte: erfasst werden Beschriftung, Reihenfolge und Timing (Fokus, Verweildauer, Abbruch) — nie der eingegebene Wert.
- URLs entschlacken: Query-Parameter können PII enthalten. visz.ai behält in Seiten-URLs nur utm_-Parameter, jeder andere Query-Wert wird verworfen.
- identify() nur pseudonymisiert: nie Roh-PII übertragen, sondern einen client-seitig gebildeten, nicht umkehrbaren Hash.
Schritt 4: IP-Anonymisierung und Datenstandort
Die IP-Adresse ist ein personenbezogenes Datum — Branchenstandard ist die Kürzung vor der Speicherung. visz.ai nullt bei IPv4 das letzte Oktett (/24) und kürzt IPv6 auf /48; der GeoIP-Lookup läuft offline und vor der Kürzung, die volle Adresse wird nie persistiert, und die Geo-Auflösung bleibt bei Land und Region — keine Stadt.
Beim Datenstandort entscheidet sich, wie viele Baustellen du zusätzlich hast: EU-only-Verarbeitung inklusive aller Subprozessoren eliminiert die Drittland-Kette komplett — kein Transfer Impact Assessment, keine Abhängigkeit vom EU-US Data Privacy Framework, keine CLOUD-Act-Exposition. Ehrlich bleibt: EU-Hosting ersetzt die Einwilligung nicht. § 25 TDDDG gilt unabhängig vom Serverstandort — auch für visz.ai.
Schritt 5: Löschfristen definieren — und automatisch durchsetzen
Die DSGVO verlangt Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Daten nur so lange, wie der Zweck es erfordert. Die ehrliche Frage ist, wie lange du Roh-Replays wirklich brauchst — für UX-Analyse sind das meist Wochen, nicht Jahre.
Als Anker: Microsoft Clarity löscht Recordings nach 30 Tagen (laut datenrein.de, Stand: Juli 2026); visz.ai löscht Replay-Rohdaten ebenfalls automatisch nach 30 Tagen — Datenminimierung als Systemverhalten statt als Vorsatz. Wichtig ist außerdem die Einzellöschung: Aufnahmen müssen sich pro Session löschen lassen, sonst kannst du Betroffenenanfragen nach Art. 17 DSGVO nicht bedienen.
Dokumentiere die Frist in der Datenschutzerklärung und im Verzeichnis der Verarbeitungstätigkeiten — eine Frist, die nirgends steht, existiert für die Aufsicht nicht.
Schritt 6: AVV, Datenschutzerklärung, DSFA
Zum Schluss der Papierkram — der bei einer Prüfung zuerst angefragt wird:
- AVV abschließen: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter ist Pflicht, nicht Kür.
- Datenschutzerklärung ergänzen: Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer, Widerrufsrecht und Beschwerderecht für das Recording-Tool beschreiben.
- DSFA einplanen: Umfangreiches Tracking des Nutzerverhaltens steht auf der Muss-Liste der DSK — für Session Recordings solltest du eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen und dokumentieren.
- Verantwortlichkeiten festhalten: Wer im Team darf Replays sehen, wer beantwortet Betroffenenanfragen, wer pflegt die Consent-Texte?
Die Kurz-Checkliste
Zum Abhaken — wenn alle acht Punkte stehen, bist du deutlich besser aufgestellt als der Durchschnitt:
- Einwilligung VOR dem Laden des Scripts (§ 25 Abs. 1 TDDDG + Art. 6 Abs. 1 lit. a DSGVO).
- Eigene Consent-Kategorie für Recording/Heatmaps + einfacher Widerruf im Footer.
- Client-seitige Maskierung; sensible Felder (Passwort, Karte, IBAN) in jedem Modus maskiert.
- Formular-Analyse ohne Feldwerte — nur Beschriftung, Reihenfolge, Timing.
- IP-Kürzung vor der Speicherung; volle IP wird nie persistiert.
- EU-only-Verarbeitung inklusive Subprozessoren — oder Drittland-Transfer sauber abgesichert.
- AVV geschlossen + Datenschutzerklärungs-Abschnitt + dokumentierte, kurze Löschfrist mit Einzellöschung.
- DSFA durchgeführt und dokumentiert (DSK-Muss-Liste).
Sieh es dir auf deiner eigenen Website an
Session Replay, Funnels, Heatmaps und Frustrations-Signale. DSGVO-first, EU-gehostet in Deutschland, und visz.ai ist 100 % kostenlos.
Kostenlos starten