Session Replay ist das Eingriffsintensivste, was eine gewöhnliche Website ihren Besuchern antut, und die Einwilligungsfrage darum ist interessanter als die ums Zählen. Zwei getrennte Regeln greifen, die meisten Werkzeuge erfüllen von Haus aus keine davon, und die erste zu erfüllen bringt Sie nicht aus der zweiten heraus.

So wirken die Regeln in der Praxis; dies ist keine Rechtsberatung. Wenn Ihre Seiten Gesundheits-, Finanz- oder Kinderdaten zeigen, fragen Sie jemanden mit Zulassung.

Zwei Fragen, nicht eine

Wird etwas auf der Endeinrichtung des Besuchers gespeichert? Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie (in Deutschland umgesetzt als § 25 TDDDG), und es ist die Frage, die ein Cookie-Banner beantwortet. Es geht um den Akt des Schreibens auf oder Lesens von jemandes Maschine, gleich mit welcher Technik, ein Cookie, localStorage oder ein Fingerabdruck.

Sind die erfassten Daten personenbezogen, und was ist Ihre Rechtsgrundlage? Das ist die DSGVO, und sie gilt unabhängig davon, ob etwas gespeichert wurde. Die Aufzeichnung von jemandem, der ein Formular ausfüllt, eine Maus bewegt und durch seine eigene Bestellhistorie scrollt, ist bei jeder Lesart ein personenbezogenes Datum über ihn. Ein Werkzeug kann also echt speicherfrei sein und trotzdem eine Rechtsgrundlage für die Aufzeichnung selbst brauchen.

Die meisten Erörterungen behandeln nur die erste Frage, weil an der ersten Frage ein Banner hängt.

Die erste Frage - was eine Aufzeichnung üblicherweise speichert

Um mehrere Seitenaufrufe zu einer Aufzeichnung zusammenzunähen, muss ein Werkzeug denselben Browser über diese Seitenaufrufe hinweg wiedererkennen. Der übliche Weg ist eine Kennung in einem Cookie oder im localStorage, und das ist Speicherung auf der Endeinrichtung und braucht im EWR und im Vereinigten Königreich eine Einwilligung.

Es muss nicht so sein. Die Kennung kann auf dem Server aus dem abgeleitet werden, was die Anfrage ohnehin trägt, und so gewechselt werden, dass sie den Tag nicht übersteht: derselbe Mechanismus wie bei cookieloser Analytics. Eine so zusammengesetzte Aufzeichnung rührt die Maschine des Besuchers nie an, und Artikel 5 Absatz 3 hat nichts, woran er greifen könnte.

Was das kostet, ist echt und gehört gesagt: Aufzeichnungen lassen sich nicht über Tage hinweg verbinden, „zeig mir alles, was diese Person letzte Woche getan hat" ist für dieses Werkzeug also keine beantwortbare Frage. Um herauszufinden, warum eine Kaufabwicklung leckt, spielt das keine Rolle. Um die ganze Geschichte eines namentlich bekannten Kunden zu verfolgen, schon.

Die zweite Frage - eine Rechtsgrundlage, was auch immer Sie gespeichert haben

Aufzeichnen verarbeitet weiterhin personenbezogene Daten, nach der DSGVO brauchen Sie also eine Grundlage dafür. In der Praxis ist das entweder eine Einwilligung oder ein berechtigtes Interesse, und berechtigtes Interesse heißt, eine Abwägung vorzunehmen und aufzubewahren, also aufzuschreiben, warum Ihr Interesse an einer besseren Seite das Interesse des Besuchers überwiegt, bei ihrer Nutzung nicht gefilmt zu werden.

Diese Abwägung wird schwerer, je mehr die Aufzeichnung erfasst, weshalb das, was ein Werkzeug von Haus aus aufzeichnet, mehr zählt als das Banner:

  • Formularfelder. Eine Aufzeichnung, die Tippen erfasst, erfasst Passwörter, Kartennummern, medizinische Angaben und alles andere, was jemand tippt. Keine Abwägung übersteht das. Jedes brauchbare Werkzeug maskiert Eingabeinhalte und bietet es nicht als Wahlmöglichkeit an.
  • Die Wörter auf der Seite. Getrennt von dem, was Menschen tippen, und leichter zu übersehen. Eine Kontoseite, eine Bestellbestätigung oder eine Patientenakte zeigt dem Besucher personenbezogene Daten, und eine Aufzeichnung, die sie Ihnen zeigt, ist eine Kopie dieser Daten in einem anderen System.
  • Besondere Kategorien. Gesundheit, Religion, sexuelle Orientierung, Gewerkschaftszugehörigkeit. Wenn eine Seite davon etwas anzeigen kann, braucht ihre Aufzeichnung ein anderes Gespräch, und meist muss sie für diese Seite abgeschaltet werden.

Was in dem Werkzeug zu prüfen ist, das Sie nutzen

  1. Werden Formularfelder maskiert, und lässt sich das abschalten? Die richtige Antwort auf die zweite Hälfte ist nein.
  2. Wird Seitentext erfasst, und ist das Ihre Entscheidung? Ein Werkzeug, das sie für Sie trifft, hat an Ihrer Stelle eine rechtliche Wahl getroffen.
  3. Können Sie eine Seite oder ein Element ausnehmen? Sie werden es für mindestens eine Seite brauchen.
  4. Speichert es eine Kennung auf dem Gerät? Wenn ja, ist das Banner nicht optional.
  5. Beachtet es Global Privacy Control? GPC ist in mehreren US-Bundesstaaten ein rechtlich anerkannter Widerspruch, und es kommt als Anfrage-Kopfzeile an, ob Ihr Werkzeug es liest oder nicht.
  6. Wie lange werden Aufzeichnungen aufbewahrt, und können Sie eine löschen?

Wie Skomi diese beantwortet

Inhalte von Formularfeldern werden nie aufgezeichnet, in keiner Konfiguration. Das ist in Skomis Sitzungsaufzeichnung keine Voreinstellung; es gibt dafür keine Einstellung, in keinem Modus.

Wie viel Seitentext erfasst wird, ist eine Entscheidung je Website, und es gibt drei Antworten. „Strict" erfasst gar keinen Text, eine Aufzeichnung zeigt also Layout, Struktur und Interaktion ohne Wörter. „Balanced" maskiert, was nach personenbezogenen Daten aussieht: Zahlen und alles, was einer E-Mail-Adresse ähnelt. „Relaxed" erfasst Seitentext und ist die Voreinstellung, mit der Begründung, dass eine Aufzeichnung ohne Wörter darin sehr schwer zu verwerten ist. Eine Website, deren Seiten personenbezogene Daten anzeigen, will eine der ersten beiden, und das ist eine Entscheidung, die nur der Betreiber treffen kann.

Alles lässt sich ausnehmen. Ein Attribut data-skomi-mask maskiert einen Bereich und data-skomi-unmask nimmt einen darin wieder aus, die Klasse skomi-block verhindert die Erfassung eines Elements ganz, und eine Website kann CSS-Selektoren aufführen, die nie aufgezeichnet werden.

Global Privacy Control wird je Website beachtet, und es ist aus, bis Sie es einschalten. Wenn es an ist, wird eine Anfrage mit Sec-GPC: 1 damit beantwortet, dass nichts aufgezeichnet wird, geprüft auf dem Server, es funktioniert also für jeden Browser, unabhängig davon, was die Seite zwischengespeichert hat. Es gilt nur für Aufzeichnungen und Heatmaps: Die Analytics-Hälfte speichert keine Adresse und keine websiteübergreifende Kennung, was sie zu einem schlechten Ziel für ein Signal macht, das auf kontextübergreifendes Tracking zielt.

Von Haus aus wird nichts auf der Endeinrichtung des Besuchers gespeichert, in der Voreinstellung stellt sich die erste Frage oben also nicht. Die zweite schon: Sie brauchen weiterhin eine Grundlage für die Aufzeichnung, und die zu halten ist Ihre Sache und nicht unsere.

Aufzeichnungen laufen vor allem anderen ab. Das Fenster gehört zu Ihrem Tarif und ist die kürzeste der drei Aufbewahrungsfristen, die Skomi führt.

Heatmaps sind dieselbe Frage, kleiner

Eine Heatmap wird aus derselben Erfassung gebaut (Klicks, Bewegung und Scrolltiefe gegen eine Seite), die Speicherfrage ist also dieselbe. Anders ist die zweite Frage: Eine Zusammenfassung dessen, wo tausend Menschen geklickt haben, ist viel leichter zu rechtfertigen als ein Video von einem von ihnen, und eine Heatmap ohne Gerätespeicherung und ohne Seitentext ist ungefähr so unaufdringlich, wie Verhaltensmessung wird.

Wenn Sie abwägen, ob Sie Replay überhaupt betreiben sollen, ist dieser Unterschied der nützliche: wann Sie Sitzungsaufzeichnungen brauchen und wann nicht.

Behavior ist, wo beides in Skomi läuft, mit Maskierung, die von Haus aus auf Eingaben angewandt wird statt als Einstellung, an die man denken muss. Wenn Sie Werkzeuge genau an diesem Punkt abwägen: Microsoft Clarity dokumentiert für EU-Besucher eine eigene Einwilligungspflicht und was ohne sie geschieht.