Von allen Diensten, die ich regelmässig finde, ist dieser der eingriffsintensivste, und gleichzeitig der am seltensten deklarierte. Auf Schweizer KMU-Websites ist er selten: in meiner Erhebung über 206 Seiten fand ich Microsoft Clarity und Hotjar je drei Mal. Wo sie liefen, standen sie kein einziges Mal in der Erklärung.
Was diese Werkzeuge aufzeichnen
Anders als Analytics, das Ereignisse zählt, zeichnen Session-Recording-Tools den Ablauf auf: Mausbewegungen, Scrollverhalten, Klicks, Verweildauer pro Abschnitt, oft auch Tastatureingaben. Das Ergebnis lässt sich wie ein Video abspielen.
Damit siehst du, wie eine konkrete Person deine Seite bedient hat. Auch dann, wenn sie im Bestellformular zögert, etwas korrigiert oder abbricht.
Die Anbieter filtern Eingabefelder standardmässig heraus, damit keine Passwörter und Kartennummern in den Aufzeichnungen landen. Diese Filter sind konfigurierbar, und sie greifen nur, wenn die Felder korrekt ausgezeichnet sind. Bei individuell gebauten Formularen geht das erfahrungsgemäss schief.
Das ist der Dienst, bei dem ich am ehesten empfehle, ihn zu hinterfragen. Nicht weil er verboten wäre, sondern weil der Nutzen für einen kleinen Betriep selten im Verhältnis zur Eingriffstiefe steht.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Was in deine Erklärung gehört
- Der Dienst namentlich, mit Anbieter
- Der Zweck: Analyse der Nutzung zur Verbesserung der Bedienbarkeit
- Ausdrücklich die Art der Erhebung: Aufzeichnung von Mausbewegungen, Klicks und Scrollverhalten
- Welche Felder ausgenommen sind, wenn du eine Maskierung eingerichtet hast
- Die Auslandbekanntgabe
- Die Aufbewahrungsdauer der Aufzeichnungen
Der Satz, der fehlt
In fast allen Erklärungen, die diese Tools überhaupt erwähnen, steht etwas wie „zur Verbesserung unseres Angebots“. Was fehlt, ist der ehrliche Teil: dass eine Sitzung aufgezeichnet und später angeschaut werden kann.
Wer das offen hinschreibt, wirkt nicht schlechter, sondern glaubwürdiger. Und wem der Satz unangenehm ist, der hat damit vielleicht die eigentliche Antwort gefunden.