Symbolbild Tastatureingaben, keine Aufnahme eines betroffenen Systems. Bild: Pexels Foto 5082563, Pexels-Lizenz (keine CC0-Lizenz; keine C00 Lizenz).

Die französische Datenschutzaufsicht CNIL hat am 5. November ihre endgültige Empfehlung zu Session-Replay-Werkzeugen veröffentlicht. Solche Programme zeichnen auf, wie Menschen eine Website oder App bedienen. Betreiber können die Abläufe anschließend wie ein Video nachvollziehen. Das hilft etwa bei der Suche nach einem Fehler im Bestellformular. Je nach Einstellung können allerdings auch Eingaben, Mausbewegungen und Inhalte erfasst werden, die für die Fehlersuche gar nicht gebraucht werden.

Die CNIL erläutert in ihrer Veröffentlichung, welche Anforderungen sie an Anbieter dieser Programme und an die Betreiber von Websites und Apps stellt. Beschlossen wurde die Empfehlung bereits am 8. Oktober; der heutige Anlass ist ihre Veröffentlichung samt Erläuterungen. Es geht um den zulässigen Einsatz einer verbreiteten Analysetechnik, nicht um eine neu gemeldete Datenpanne bei einem bestimmten Unternehmen.

Besucher müssen die Aufzeichnung erkennen können

Nach der von der CNIL erläuterten französischen Rechtslage brauchen Session-Replay-Werkzeuge eine vorherige Einwilligung. Die Behörde verweist auf Artikel 82 des französischen Datenschutzgesetzes, der den Zugriff auf Informationen im Endgerät regelt. Die dort vorgesehenen Ausnahmen greifen aus ihrer Sicht für diese Werkzeuge nicht. Wer ein solches Programm zur Verbesserung seiner Website einsetzt, kann sich deshalb nach dieser Einordnung nicht allein auf den technischen Nutzen berufen.

Auch die Gestaltung der Einwilligung ist Teil der Empfehlung. Die CNIL rät zu einem eigenen Hinweis auf Session Replay bereits auf der ersten Ebene der Einwilligungsoberfläche. Besucher sollen verstehen, dass ihre Bedienung aufgezeichnet oder rekonstruiert wird. Ein unspezifischer Verweis auf Analysefunktionen macht diesen Vorgang für sie noch nicht unbedingt erkennbar. Die Zwecke müssen feststehen, bevor das Werkzeug eingesetzt wird. Erst Daten zu sammeln und danach nach interessanten Auswertungen zu suchen, passt dazu nicht.

In ihrer ergänzenden Erläuterung für Nutzerinnen und Nutzer betont die CNIL, dass sich eine Einwilligung ebenso einfach ablehnen und zurücknehmen lassen muss, wie sie erteilt werden kann. Für Betreiber folgt daraus eine konkrete technische Aufgabe: Ein Widerruf muss auch die Aufzeichnung erreichen. Eine geänderte Anzeige im Cookie-Banner allein sagt noch nichts darüber aus, ob das eingebundene Programm tatsächlich aufgehört hat zu erfassen.

Auch Mausbewegungen können vertrauliche Eingaben verraten

Die endgültige Fassung enthält eine leicht übersehbare Ergänzung. Die CNIL empfiehlt, in bestimmten Bereichen auch Mausbewegungen zu maskieren, damit darüber nicht nebenbei Authentifizierungscodes erfasst werden. Es reicht also nicht in jedem Fall, lediglich den sichtbaren Inhalt eines Passwortfeldes auszublenden. Welche Bedienhandlungen Rückschlüsse auf eine Eingabe erlauben, hängt von der jeweiligen Oberfläche ab.

Ausdrücklich behandelt die Empfehlung außerdem Session Replay in Chatbots. Fragen und Antworten können sensible Informationen enthalten. Die Werkzeuge sollten deshalb erlauben, den Inhalt dieser Gespräche zu maskieren. Für ein Unternehmen ist das besonders relevant, wenn ein Supportchat im selben Fenster liegt wie ein Bestellvorgang: Die technische Einbindung einer Analysefunktion kann mehr Bereiche erfassen, als das Team bei der Einrichtung beabsichtigt hat.

Die vollständige Empfehlung verlangt eine am Zweck ausgerichtete Datensparsamkeit. Wenn ein weniger eingriffsintensives Werkzeug dasselbe Ziel erreicht, soll dieses bevorzugt werden. Auch die Menge aufgezeichneter Sitzungen, verwendete Kennungen und die Aufbewahrungsdauer gehören auf den Prüfstand. Eine möglichst lückenlose Sammlung aller Besuche ist damit kein selbstverständlicher Ausgangspunkt für die Analyse.

Was Website-Verantwortliche jetzt prüfen sollten

Für deutsche Unternehmen ist die Veröffentlichung eine konkrete Orientierung der französischen Aufsicht, kein neues deutsches Gesetz. Die Empfehlung selbst bezeichnet sich als nicht rechtsverbindliche Hilfestellung. Sie erläutert bestehende Anforderungen und unterscheidet sich damit von einer Bußgeldentscheidung gegen einen einzelnen Anbieter. Die anwendbaren deutschen Vorgaben und die DSGVO müssen Unternehmen für ihren eigenen Einsatz gesondert prüfen.

Praktisch lässt sich die Prüfung an einem Testbesuch beginnen. Verantwortliche sollten nachvollziehen, welche Daten vor einer Zustimmung übertragen werden, was nach einem Widerruf geschieht und welche Inhalte in einer aufgezeichneten Sitzung tatsächlich sichtbar bleiben. Dafür gehören auch Freitextfelder und Supportgespräche in den Test. Wenn das Team lediglich wissen will, an welcher Stelle ein Formular abbricht, muss es begründen können, warum es dafür einzelne Nutzereingaben benötigt.

Zusätzlich lohnt sich ein Blick in die Vereinbarung mit dem Werkzeuganbieter. Nach der CNIL-Empfehlung hängt dessen datenschutzrechtliche Rolle auch davon ab, ob er die erfassten Daten für eigene Zwecke weiterverwendet. Eine pauschale Bezeichnung als Auftragsverarbeiter beantwortet diese Frage noch nicht. Website-Verantwortliche sollten sich die tatsächlichen Verwendungen und Einstellungen erklären lassen und ihre Freigabe daran ausrichten.

Stand: 05.11.2026