Session Replay ist das Eingriffsintensivste, was eine gewöhnliche Website ihren Besuchern antut, und die Einwilligungsfrage darum ist interessanter als die ums Zählen. Zwei getrennte Regeln greifen, die meisten Werkzeuge erfüllen von Haus aus keine davon, und die erste zu erfüllen entbindet Sie nicht von der zweiten.

So wirken die Regeln in der Praxis; dies ist keine Rechtsberatung. Wenn Ihre Seiten Gesundheits-, Finanz- oder Kinderdaten zeigen, holen Sie fachkundigen Rat ein.

Zwei Fragen, nicht eine

Wird etwas auf der Endeinrichtung des Besuchers gespeichert? Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie (in Deutschland umgesetzt als § 25 TDDDG), und es ist die Frage, die ein Cookie-Banner beantwortet. Es geht darum, ob etwas auf das Gerät eines Menschen geschrieben oder von dort gelesen wird, gleich mit welcher Technik: ein Cookie, localStorage oder ein Fingerabdruck.

Sind die erfassten Daten personenbezogen, und was ist Ihre Rechtsgrundlage? Das ist die DSGVO, und sie gilt unabhängig davon, ob etwas gespeichert wurde. Die Aufzeichnung von jemandem, der ein Formular ausfüllt, eine Maus bewegt und durch seine eigene Bestellhistorie scrollt, ist bei jeder Lesart ein personenbezogenes Datum über ihn. Ein Werkzeug kann also tatsächlich speicherfrei sein und trotzdem eine Rechtsgrundlage für die Aufzeichnung selbst brauchen.

Die meisten Erörterungen behandeln nur die erste Frage, weil an der ersten Frage ein Banner hängt.

Die erste Frage: was eine Aufzeichnung üblicherweise speichert

Um mehrere Seitenaufrufe zu einer Aufzeichnung zusammenzusetzen, muss ein Werkzeug denselben Browser über diese Seitenaufrufe hinweg wiedererkennen. Der übliche Weg ist eine Kennung in einem Cookie oder im localStorage, und das ist Speicherung auf der Endeinrichtung und braucht im EWR und im Vereinigten Königreich eine Einwilligung.

Es muss nicht so sein. Die Kennung kann auf dem Server aus dem abgeleitet werden, was die Anfrage ohnehin enthält, und so gewechselt werden, dass sie den Tag nicht übersteht: derselbe Mechanismus wie bei cookieloser Analytics. Eine so zusammengesetzte Aufzeichnung berührt das Gerät des Besuchers nie, und Artikel 5 Absatz 3 hat nichts, woran er ansetzen könnte.

Der Preis dafür ist real und sollte offen gesagt werden: Aufzeichnungen lassen sich nicht über Tage hinweg verbinden, „zeig mir alles, was diese Person letzte Woche getan hat" ist für dieses Werkzeug also keine beantwortbare Frage. Um herauszufinden, warum eine Kaufabwicklung Kunden verliert, spielt das keine Rolle. Um die ganze Geschichte eines namentlich bekannten Kunden zu verfolgen, schon.

Die zweite Frage: eine Rechtsgrundlage, was auch immer Sie gespeichert haben

Aufzeichnen verarbeitet weiterhin personenbezogene Daten, nach der DSGVO brauchen Sie also eine Grundlage dafür. In der Praxis ist das entweder eine Einwilligung oder ein berechtigtes Interesse, und berechtigtes Interesse heißt, eine Abwägung vorzunehmen und zu dokumentieren, also aufzuschreiben, warum Ihr Interesse an einer besseren Seite das Interesse des Besuchers überwiegt, bei ihrer Nutzung nicht gefilmt zu werden.

Diese Abwägung wird schwerer, je mehr die Aufzeichnung erfasst, weshalb das, was ein Werkzeug von Haus aus aufzeichnet, mehr zählt als das Banner:

  • Formularfelder. Eine Aufzeichnung, die Eingaben erfasst, erfasst Passwörter, Kartennummern, medizinische Angaben und alles andere, was jemand tippt. Keine Abwägung übersteht das. Jedes brauchbare Werkzeug maskiert Eingabeinhalte und bietet es nicht als Wahlmöglichkeit an.
  • Die Wörter auf der Seite. Getrennt von dem, was Menschen tippen, und leichter zu übersehen. Eine Kontoseite, eine Bestellbestätigung oder eine Patientenakte zeigt dem Besucher personenbezogene Daten, und eine Aufzeichnung, die sie Ihnen zeigt, ist eine Kopie dieser Daten in einem anderen System.
  • Besondere Kategorien. Gesundheit, Religion, sexuelle Orientierung, Gewerkschaftszugehörigkeit. Wenn eine Seite davon etwas anzeigen kann, verlangt ihre Aufzeichnung eine eigene Prüfung, und meist muss sie für diese Seite abgeschaltet werden.

Was in dem Werkzeug zu prüfen ist, das Sie nutzen

  1. Werden Formularfelder maskiert, und lässt sich das abschalten? Die richtige Antwort auf die zweite Hälfte ist nein.
  2. Wird Seitentext erfasst, und ist das Ihre Entscheidung? Ein Werkzeug, das sie für Sie trifft, hat an Ihrer Stelle eine rechtliche Wahl getroffen.
  3. Können Sie eine Seite oder ein Element ausnehmen? Sie werden es für mindestens eine Seite brauchen.
  4. Speichert es eine Kennung auf dem Gerät? Wenn ja, ist das Banner nicht optional.
  5. Beachtet es Global Privacy Control? GPC ist in mehreren US-Bundesstaaten ein rechtlich anerkannter Widerspruch, und es kommt als Header der Anfrage an, ob Ihr Werkzeug es liest oder nicht.
  6. Wie lange werden Aufzeichnungen aufbewahrt, und können Sie eine löschen?

Wie Skomi diese beantwortet

Inhalte von Formularfeldern werden nie aufgezeichnet, in keiner Konfiguration. Das ist in Skomis Sitzungsaufzeichnung keine Voreinstellung; es gibt dafür keine Einstellung, in keinem Modus.

Wie viel Seitentext erfasst wird, ist eine Entscheidung je Website, und es gibt drei Antworten. „Strict" erfasst gar keinen Text, eine Aufzeichnung zeigt also Layout, Struktur und Interaktion ohne Wörter. „Balanced" maskiert, was nach personenbezogenen Daten aussieht: Zahlen und alles, was einer E-Mail-Adresse ähnelt. „Relaxed" erfasst Seitentext und ist die Voreinstellung, mit der Begründung, dass eine Aufzeichnung ohne Wörter darin sehr schwer zu verwerten ist. Eine Website, deren Seiten personenbezogene Daten anzeigen, braucht eine der ersten beiden, und das ist eine Entscheidung, die nur der Betreiber treffen kann.

Alles lässt sich ausnehmen. Ein Attribut data-skomi-mask maskiert einen Bereich und data-skomi-unmask nimmt einen darin wieder aus, die Klasse skomi-block verhindert die Erfassung eines Elements ganz, und eine Website kann CSS-Selektoren aufführen, die nie aufgezeichnet werden.

Global Privacy Control wird je Website beachtet, und es ist aus, bis Sie es einschalten. Wenn es an ist, wird bei einer Anfrage mit Sec-GPC: 1 nichts aufgezeichnet. Geprüft wird auf dem Server, es funktioniert also in jedem Browser, unabhängig davon, was die Seite zwischengespeichert hat. Es gilt nur für Aufzeichnungen und Heatmaps: Die Analytics-Hälfte folgt einem Besucher nie von einer Website zur nächsten, was schlecht zu einem Signal passt, das sich gegen kontextübergreifendes Tracking richtet.

Von Haus aus wird nichts auf der Endeinrichtung des Besuchers gespeichert, in der Voreinstellung stellt sich die erste Frage oben also nicht. Die zweite schon: Sie brauchen weiterhin eine Grundlage für die Aufzeichnung, und die liegt bei Ihnen, nicht bei uns.

Aufzeichnungen laufen vor allem anderen ab. Die Frist ergibt sich aus Ihrem Tarif und ist die kürzeste der drei Aufbewahrungsfristen, die Skomi führt.

Heatmaps sind dieselbe Frage, kleiner

Eine Heatmap wird aus derselben Erfassung gebaut (Klicks, Bewegung und Scrolltiefe auf einer Seite), die Speicherfrage ist also dieselbe. Anders ist die zweite Frage: Eine Zusammenfassung dessen, wo tausend Menschen geklickt haben, ist viel leichter zu rechtfertigen als ein Video von einem von ihnen, und eine Heatmap ohne Gerätespeicherung und ohne Seitentext ist ungefähr so unaufdringlich, wie Verhaltensmessung nur sein kann.

Wenn Sie abwägen, ob Sie Replay überhaupt betreiben sollen, ist dieser Unterschied der nützliche: wann Sie Sitzungsaufzeichnungen brauchen und wann nicht.

In Skomi läuft beides in Behavior, mit Maskierung, die in jedem Modus auf Eingaben angewandt wird statt als Einstellung, an die man denken muss. Wenn Sie Werkzeuge genau an diesem Punkt abwägen: Microsoft Clarity dokumentiert für EU-Besucher eine eigene Einwilligungspflicht und was ohne sie geschieht.