Session Replay und DSGVO: Was Sie beachten müssen

Session Replay lässt sich im Rahmen der DSGVO einsetzen, aber nicht ohne Vorarbeit. Aufzeichnungen enthalten in der Regel personenbezogene Daten, und nach verbreiteter Auffassung der Aufsichtsbehörden brauchen Sie für solche Werkzeuge meist eine Einwilligung. Dazu kommen Auftragsverarbeitungsvertrag, Datenminimierung, klare Speicherfristen und transparente Informationen für Ihre Besucher.

Sind Session-Aufzeichnungen personenbezogene Daten?

In den meisten Fällen ja. Personenbezogen sind nach Art. 4 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Schon die Kombination aus IP-Adresse, Gerätedaten und Verhalten kann eine Person identifizierbar machen. Hinzu kommt, dass auf vielen Seiten Namen, Bestelldaten oder Kundennummern sichtbar sind, etwa im Kundenkonto oder in der Bestellbestätigung.

Wenn Sie zusätzlich eine Nutzer-ID zuordnen, zum Beispiel mit identify(), ist der Personenbezug eindeutig. Gehen Sie deshalb davon aus, dass die DSGVO anwendbar ist, und gestalten Sie den Einsatz entsprechend.

Brauche ich eine Einwilligung oder reicht berechtigtes Interesse?

Hier sind zwei Ebenen zu unterscheiden. Die erste ist der Zugriff auf das Endgerät: Nach § 25 TDDDG (bis Mai 2024 TTDSG) ist das Speichern oder Auslesen von Informationen auf dem Gerät grundsätzlich einwilligungspflichtig, es sei denn, es ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich. Session-Recording-Skripte nutzen typischerweise Cookies oder den lokalen Speicher des Browsers und sind für den Seitenbesuch selbst nicht zwingend nötig.

Die zweite Ebene ist die Rechtsgrundlage für die Verarbeitung nach Art. 6 DSGVO. Manche argumentieren mit berechtigtem Interesse (Art. 6 Abs. 1 lit. f), etwa zur Fehleranalyse. Die Aufsichtsbehörden sehen die umfassende Aufzeichnung von Nutzerverhalten allerdings kritisch und erwarten bei Tracking-Werkzeugen in der Regel eine Einwilligung (Art. 6 Abs. 1 lit. a). Weil für den Endgerätezugriff ohnehin meist eine Einwilligung eingeholt werden muss, entscheiden sich viele Unternehmen für eine einheitliche Lösung über das Consent-Banner.

Mehr zur Frage, ob ein Verzicht auf Cookies etwas daran ändert, lesen Sie im Artikel Tracking ohne Cookies.

Wie binde ich Session Replay an die Einwilligung?

Technisch muss sichergestellt sein, dass vor der Einwilligung nichts aufgezeichnet wird und ein Widerruf sofort wirkt. Bei AnyReplay setzen Sie dafür requireConsent: true. Der Recorder bleibt dann inaktiv, bis Ihr Consent-Banner consent(true) aufruft. Der Recorder merkt sich die Entscheidung nicht selbst; diese Aufgabe übernimmt Ihre Consent-Management-Plattform, die bei jedem Seitenaufruf den gespeicherten Status weitergibt.

import { createRecorder } from '@anyreplay/browser';

export const recorder = createRecorder({
  projectKey: 'IHR_PROJEKTSCHLUESSEL',
  requireConsent: true, // nichts aufzeichnen bis zur Zustimmung
});

// Aufruf aus dem Callback Ihres Consent-Banners
recorder.consent(true);

Die genauen Optionen beschreibt die Dokumentation zur Einwilligung (auf Englisch).

Welche Verträge sind nötig: AVV und Drittlandtransfer

Wenn ein externer Anbieter die Aufzeichnungen für Sie speichert, handelt er in der Regel als Auftragsverarbeiter. Dann ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Prüfen Sie außerdem, ob Daten in Länder außerhalb der EU oder des EWR übermittelt werden und auf welcher Grundlage das geschieht, etwa über einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Das gilt auch für Unterauftragsverarbeiter wie Hosting-Anbieter.

Wer die Daten gar nicht an Dritte geben möchte, kann Self-Hosting in Betracht ziehen. AnyReplay bietet eine Referenzbereitstellung auf einem eigenen Server mit PostgreSQL; eigenes Ingest ist im Enterprise-Plan verfügbar, ebenso AVV und Sicherheitsfragebogen. Einzelheiten stehen in der Übersicht zum Self-Hosting (auf Englisch).

Wie setze ich Datenminimierung und Maskierung um?

Art. 5 DSGVO verlangt, nur die Daten zu verarbeiten, die für den Zweck nötig sind. Für Session Replay heißt das: Entscheiden Sie bewusst, welche Eingaben und Inhalte überhaupt erfasst werden. Als Verantwortlicher treffen Sie diese Entscheidung, und sensible oder besonders geschützte Daten zu maskieren, ist Ihre Aufgabe. Entscheidend ist außerdem, wo maskiert wird. Wird erst auf dem Server geschwärzt, haben die Daten Ihr System bereits verlassen.

• AnyReplay maskiert Eingaben standardmäßig: Der Browser ersetzt jeden Wert in input, textarea und select durch Sternchen, bevor gesendet wird. maskAllInputs: false zeichnet die Werte auf; maskAllTyping: true umfasst zusätzlich contenteditable-Bereiche. Übergeben Sie einen echten Boolean, denn die Zeichenkette 'false' wird ignoriert, die Felder bleiben maskiert, und die Konsole bemängelt es.
• Passwörter und Einmalcodes, Kartendaten samt Prüfziffer und Karteninhaber sowie IBAN und Bankleitzahl sind in jeder Konfiguration maskiert; das lässt sich nicht abschalten. type="email"- und type="tel"-Felder gehören nicht dazu: Sie sind gewöhnliche Felder und werden aufgezeichnet, solange Sie sie nicht maskieren.
• Mit der Klasse ar-mask verbergen Sie Texte und einzelne Feldwerte auf der Seite, etwa Namen und Adressen im Kundenkonto.
• Mit ar-block wird ein Element komplett ausgelassen und nur als Platzhalter dargestellt.
• Mit sampleRate zeichnen Sie nur einen Teil der Besucher auf, wenn Ihnen das für Ihre Auswertung genügt.

Wie Sie die Maskierung prüfen, erklärt die Dokumentation zur Maskierung (auf Englisch). Einen Überblick über die Schutzmechanismen finden Sie auf der Seite Datenschutz.

Wie lange darf ich Aufzeichnungen speichern?

Eine feste Frist nennt die DSGVO nicht. Maßgeblich ist der Zweck: Wer Aufzeichnungen zur Fehleranalyse nutzt, braucht sie selten viele Monate. Legen Sie eine Frist fest, dokumentieren Sie sie und sorgen Sie dafür, dass sie technisch durchgesetzt wird. In AnyReplay stellen Sie die Speicherdauer pro Organisation zwischen 1 und 365 Tagen ein; abgelaufene Sessions werden alle sechs Stunden entfernt, Löschungen landen im Audit-Log. Berechtigte Personen können eine Session außerdem sofort löschen, etwa nach einem Auskunfts- oder Löschersuchen.

Was gehört in die Datenschutzerklärung, und brauche ich eine DSFA?

Nach Art. 13 DSGVO informieren Sie Besucher über Zweck, Rechtsgrundlage, Empfänger, mögliche Drittlandtransfers und Speicherdauer. Nennen Sie das eingesetzte Tool konkret und beschreiben Sie, was aufgezeichnet wird und was nicht.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist möglicherweise erforderlich, wenn die Verarbeitung ein hohes Risiko birgt, etwa bei umfangreicher, systematischer Beobachtung von Verhalten oder bei sensiblen Inhalten wie Gesundheitsdaten. Ob das bei Ihnen zutrifft, sollte Ihre Datenschutzbeauftragte bewerten.

Checkliste: Session Replay datenschutzbewusst einführen

Kein Tool ist für sich allein DSGVO-konform. Ob der Einsatz zulässig ist, hängt von Konfiguration, Verträgen und Dokumentation ab. Wenn Sie Fragen zu AVV oder Self-Hosting haben, kontaktieren Sie uns.