Microsoft Clarity und DSGVO: Einsatz sorgfältig prüfen

Microsoft Clarity lässt sich nach verbreiteter Auffassung nur mit sorgfältiger Vorbereitung im Einklang mit der DSGVO einsetzen: in der Regel mit Einwilligung über das Consent-Banner, geprüften Maskierungseinstellungen, einer angepassten Datenschutzerklärung und einer Bewertung der Vertragsgrundlagen und Drittlandtransfers. Ein pauschales Ja oder Nein gibt es nicht, weil das Ergebnis von Ihrer Konfiguration und Ihrem Einsatzzweck abhängt.

Was ist Microsoft Clarity?

Clarity ist ein kostenloses Analysewerkzeug von Microsoft. Nach eigener Darstellung bietet es Aufzeichnungen von Besuchen, Heatmaps für Klicks und Scrolltiefe sowie automatische Auswertungen. Dazu gehören Frustrationssignale wie Rage Clicks, also schnelle wiederholte Klicks, und Dead Clicks, also Klicks ohne Reaktion der Seite. Die Einrichtung erfolgt über ein Skript, das in die Website eingebunden wird, oder über gängige Tag-Manager und Shop-Systeme.

Gerade weil Clarity kostenlos und schnell eingerichtet ist, taucht es in vielen Projekten auf, manchmal ohne dass die Datenschutzseite davon weiß. Genau dort beginnen die Fragen.

Welche Daten verarbeitet Clarity?

Wie andere Session-Replay-Tools erfasst Clarity das Verhalten auf der Seite: Mausbewegungen, Klicks, Scrollen, Seitenaufrufe sowie technische Informationen zu Gerät und Browser. Zur Wiedererkennung von Besuchen werden nach Angaben von Microsoft Cookies eingesetzt. Sensible Inhalte lassen sich über Maskierungseinstellungen verbergen.

Damit sind in der Regel zwei Rechtsfragen berührt: der Zugriff auf das Endgerät nach § 25 TDDDG und die Verarbeitung personenbezogener Daten nach der DSGVO. Beide Ebenen erklären wir ausführlich im Artikel Session Replay und DSGVO.

Kann man Clarity DSGVO-konform einsetzen?

In Fachbeiträgen und Datenschutz-Leitfäden werden immer wieder dieselben Schritte genannt. Sie sind keine Garantie, zeigen aber, worauf es bei der Prüfung ankommt:

1. Nur mit Opt-in laden

   Das Skript sollte in der Regel erst nach aktiver Zustimmung im Consent-Banner geladen werden. Eine Vorauswahl oder ein Laden vor der Entscheidung wird von Aufsichtsbehörden kritisch gesehen.

2. Einwilligungssignal übergeben

   Clarity bietet eine Schnittstelle, über die Ihre Consent-Management-Plattform den Einwilligungsstatus mitteilen kann. Prüfen Sie, ob Ihre CMP das unterstützt und korrekt eingerichtet ist.

3. Maskierung prüfen

   Kontrollieren Sie die Maskierungseinstellungen und testen Sie Seiten mit Kundendaten, etwa Kundenkonto, Checkout und Kontaktformulare, anhand echter Aufzeichnungen.

4. Vertragsgrundlagen klären

   Prüfen Sie die Nutzungsbedingungen und Datenschutzregelungen von Microsoft und bewerten Sie, welche Rolle Microsoft bei der Verarbeitung einnimmt.

5. Drittlandtransfer bewerten

   Klären Sie, ob Daten außerhalb des EWR verarbeitet werden und auf welcher Grundlage, etwa Angemessenheitsbeschluss oder Standardvertragsklauseln.

6. Datenschutzerklärung anpassen

   Nennen Sie Clarity, beschreiben Sie Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und die Möglichkeit zum Widerruf.

7. Verknüpfungen bedenken

   Wenn Clarity mit anderen Diensten verbunden wird, etwa mit Werbe- oder Analyseplattformen, kann das zusätzliche Fragen aufwerfen. Beziehen Sie diese Verbindungen in die Bewertung ein.

In der Praxis scheitert es selten an einem einzelnen Punkt, sondern an Kleinigkeiten: Das Skript wird zusätzlich über einen Tag-Manager eingebunden, eine Unterseite lädt es ohne Zustimmung, oder ein Test-Setup läuft nach dem Livegang weiter. Prüfen Sie deshalb mit den Entwicklertools des Browsers, welche Anfragen vor und nach der Einwilligung tatsächlich gesendet werden.

Welche Fragen sollte die Datenschutzbeauftragte stellen?

• Wird das Skript wirklich erst nach der Einwilligung geladen, auch nach einem Widerruf und auf allen Unterseiten?
• Welche Inhalte sind in den Aufzeichnungen tatsächlich sichtbar, zum Beispiel Namen im Kundenkonto?
• Wie lange werden Aufzeichnungen gespeichert, und lässt sich das beeinflussen?
• Wer im Unternehmen hat Zugriff auf das Clarity-Projekt?
• Wofür dürfen die Daten durch den Anbieter selbst genutzt werden?
• Ist eine Datenschutz-Folgenabschätzung wegen systematischer Beobachtung erforderlich?
• Ist der Einsatz im Verzeichnis der Verarbeitungstätigkeiten dokumentiert?

Die Antworten sollten schriftlich festgehalten werden. So lässt sich später nachvollziehen, auf welcher Grundlage die Entscheidung getroffen wurde, etwa bei einer Anfrage der Aufsichtsbehörde oder einem Auskunftsersuchen.

Wann ist eine Alternative zu Clarity sinnvoll?

Clarity ist für viele Teams ein guter Einstieg in Verhaltensanalyse. Eine Alternative kann sinnvoll sein, wenn einer der folgenden Punkte für Sie schwerer wiegt als die Kostenfreiheit:

Umgekehrt gilt: Wenn Sie Heatmaps brauchen, ist AnyReplay keine Alternative, denn es bietet keine Heatmaps. AnyReplay konzentriert sich auf Session Replay im Web und in React Native, maskiert standardmäßig jede Eingabe im Browser, bevor gesendet wird — Passwörter und Zahlungsdaten immer — und zeichnet mit requireConsent: true erst nach Zustimmung auf. Die Speicherdauer stellen Sie zwischen 1 und 365 Tagen ein; AVV und eigenes Ingest beim Self-Hosting gibt es im Enterprise-Plan. Mehr zu den Schutzmechanismen lesen Sie auf der Seite Datenschutz.

Eine ausführliche Gegenüberstellung finden Sie im Vergleich mit Microsoft Clarity (auf Englisch). Einen Überblick über weitere Werkzeuge gibt der Artikel Hotjar-Alternativen.

Wie wird die Einwilligung technisch sauber umgesetzt?

Unabhängig vom Tool gilt: Die Aufzeichnung darf erst beginnen, wenn die Zustimmung vorliegt, und muss bei einem Widerruf enden. Wer mehrere Tools einsetzt, sollte alle zentral über die Consent-Management-Plattform steuern. In AnyReplay startet der Recorder mit requireConsent: true inaktiv und beginnt erst nach consent(true). Die Entscheidung speichert Ihre CMP, nicht der Recorder. Beispiele für gängige Banner finden Sie in der Dokumentation zur Einwilligung (auf Englisch).