Was sich geändert hat
- Die CNIL hat im November 2026 eine Empfehlung herausgegeben, die Fachleuten Orientierung für den transparenten und konformen Einsatz von Session-Replay-Tools bietet.
- Betreiber sind verpflichtet, eine vorherige Einwilligung einzuholen, eine einfache Ablehnung und den Widerruf der Einwilligung zu ermöglichen, klare, spezifische Informationen bereitzustellen und Formularfelder mit personenbezogenen Daten zu maskieren.
- Die CNIL wird Fachleute während einer ersten Umsetzungsphase unterstützen, bevor sie Überprüfungen durchführt und bei Beschwerden Korrekturmassnahmen durchsetzt.
### Hintergrund und Überblick über Session-Replay-Tools
Wenn Einzelpersonen auf Websites navigieren oder mobile Anwendungen nutzen, verwenden Betreiber und Entwickler häufig sogenannte Session-Replay-Tools (*outils de rejeu de session*). Diese Software-Tools zeichnen Nutzerinteraktionen auf digitalen Plattformen auf, einschliesslich Mausbewegungen, Touch-Interaktionen, Klicks, Seitenscrollen und in bestimmten Fällen in Formularfelder eingegebenen Text. Diese aufgezeichneten Aktionen werden zu einzelnen Sitzungen zusammengefasst, die es den Betreibern ermöglichen, die Nutzerpfade als videoähnliche Aufzeichnungen zu rekonstruieren und anzuzeigen. In erster Linie setzen Betreiber diese Technologien ein, um technische Probleme auf ihren Websites oder Anwendungen zu diagnostizieren und zu beheben sowie das digitale Nutzererlebnis zu analysieren.
Session-Replay-Tools bergen jedoch erhebliche Datenschutzrisiken. Indem sie eine kontinuierliche Nachverfolgung der Browser-Aktivitäten über Websites und mobile Anwendungen hinweg ermöglichen, können diese Tools umfangreiche Details über das Privatleben einer Person erfassen, einschliesslich sensibler personenbezogener Daten. Unkontrolliert kann die Session-Replay-Technologie zu einem aufdringlichen Tracking und einer nicht konformen Datenerhebung führen. Um diesen Risiken zu begegnen, hat die französische Datenschutzbehörde, die *Commission nationale de l'informatique et des libertés* (CNIL), im November 2026 eine spezifische Empfehlung herausgegeben, die sich an Fachleute richtet. Die Empfehlung zielt darauf ab, die Transparenz in Bezug auf Session-Replay-Praktiken zu erhöhen und klare betriebliche Regeln für Fachleute zu etablieren, um so das Verständnis und das Entscheidungsrecht von Einzelpersonen darüber zu stärken, wie ihre personenbezogenen Daten verarbeitet werden.
### Wesentliche rechtliche und praktische Anforderungen für Fachleute
Der Leitfaden der CNIL vom November 2026 legt spezifische betriebliche und technische Massnahmen fest, die Betreiber von Websites und mobilen Anwendungen beim Einsatz von Session-Replay-Tools umsetzen müssen:
1. **Vorherige und informierte Einwilligung**
- **Einwilligungserfordernis:** Betreiber müssen die Einwilligung der Nutzer einholen, bevor sie Session-Replay-Tools einsetzen.
- **Darstellung spezifischer Zwecke:** Jeder Zweck und jedes Ziel, für das das Tool eingesetzt wird, muss dem Nutzer vor Anforderung der Einwilligung dargestellt werden, damit der Nutzer den vollen Umfang seiner Entscheidung verstehen kann.
- **Einfache Ablehnung und einfacher Widerruf:** Nutzer müssen die Einwilligung ebenso einfach ablehnen oder widerrufen können, wie sie sie erteilen, und zwar über dieselben Schnittstellen zur Einwilligungsverwaltung.
- **Klare Transparenz:** Die den Nutzern bereitgestellten Informationen müssen zugänglich, verständlich und zum angemessenen Zeitpunkt dargestellt werden. Sie müssen es den Nutzern ermöglichen, die Verarbeitungszwecke zu erkennen und zu verstehen, dass Tracker auf ihren Geräten platziert werden. Die CNIL empfiehlt Betreibern ausdrücklich, spezifische Informationen zu Session-Replay-Tools bereitzustellen, um Transparenz zu gewährleisten.
2. **Datenminimierung und Nutzungsbeschränkungen**
- **Zweckbindung:** Die Tools müssen sorgfältig konfiguriert und für spezifische, vom Betreiber vorab festgelegte Zwecke verwendet werden, um eine übermässige Datenerhebung zu vermeiden.
- **Datenbeschränkung:** Die Verarbeitung muss den Grundprinzipien der Datenschutz-Grundverordnung (DSGVO / *RGPD*) entsprechen. Die Erhebung darf nicht wahllos erfolgen und muss strikt auf das für den vorgesehenen Zweck erforderliche Mass beschränkt sein.
- **Maskierung sensibler Eingaben:** Wenn ein Betreiber Session-Replay-Tools zur Verbesserung des Nutzererlebnisses einsetzt, ist er verpflichtet, Formularfelder, in die Nutzer personenbezogene Daten eingeben, zu maskieren, um eine unbeabsichtigte Datenerfassung zu verhindern.
### Praktische Auswirkungen und behördliche Aufsicht
Für Fachleute und Betreiber digitaler Plattformen erfordert die Empfehlung der CNIL eine sofortige Überprüfung der technischen Konfigurationen und der Praxis des Einwilligungsmanagements. Für die kommenden Monate hat die CNIL angekündigt, Fachleute zu begleiten, um sie bei der Integration dieser Regeln und Garantien in ihre Abläufe zu unterstützen. Nach dieser anfänglichen Unterstützungsphase wird die CNIL die Einhaltung durch formelle Überprüfungen und Untersuchungen überwachen. Werden Verstösse festgestellt, ist die CNIL befugt, angemessene Korrekturmassnahmen zu ergreifen, um die Privatsphäre wirksam zu schützen.
Für Einzelpersonen klärt der Leitfaden ihre Rechte, zu verstehen, wann ein Session-Replay-Tracking stattfindet, zu wählen, ob sie ein solches Tracking zulassen möchten, und die Einwilligung jederzeit einfach zu widerrufen.
### Häufig gestellte Fragen
**F1: Was sind Session-Replay-Tools und warum werden sie von Betreibern verwendet?**
*Antwort:* Session-Replay-Tools zeichnen Nutzerinteraktionen auf Websites und in mobilen Anwendungen auf – wie Mausbewegungen, Touch-Aktionen, Klicks, Scrollen und Formulareingaben – und rekonstruieren diese als Videodarstellungen von Nutzersitzungen. Betreiber nutzen sie in erster Linie, um technische Probleme zu beheben und Nutzerpfade zu analysieren, um die Leistung von Websites oder Anwendungen zu verbessern.
**F2: Müssen Nutzer ihre Einwilligung geben, bevor Session-Replay-Tools eingesetzt werden?**
*Antwort:* Ja. Die Einwilligung muss angefordert werden, bevor Session-Replay-Tools eingesetzt werden. Betreiber müssen jeden spezifischen Zweck für die Nutzung des Tools vor Einholung der Einwilligung darstellen, und Nutzer müssen die Einwilligung ebenso einfach ablehnen oder widerrufen können, wie sie sie erteilen.
**F3: Wie müssen in Webformulare eingegebene personenbezogene Daten gemäss dem Leitfaden der CNIL behandelt werden?**
*Antwort:* Um die Privatsphäre zu wahren und eine übermässige Datenerhebung zu verhindern, müssen Betreiber, die Session-Replay-Tools einsetzen (etwa zur Verbesserung des Nutzererlebnisses), Formularfelder maskieren, in die Nutzer personenbezogene Daten eingeben.
**F4: Welche Massnahmen können Einzelpersonen ergreifen, wenn eine Website oder Anwendung diese Regeln nicht einhält?**
*Antwort:* Benutzer, die eine Nichteinhaltung dieser Regeln feststellen, können eine Beschwerde direkt bei der CNIL einreichen. Die CNIL wird entsprechende Überprüfungen durchführen und erforderliche Korrekturmassnahmen ergreifen, um die Privatsphäre von Einzelpersonen zu schützen.
Wer betroffen sein kann
Herausgeber von Websites und mobilen Anwendungen, die Session-Replay-Tools verwenden, Softwareentwickler, Anbieter von Einwilligungsmanagement-Lösungen und Nutzer digitaler Plattformen in Frankreich und der EU.
Grenzüberschreitender Kontext
Gilt für Betreiber digitaler Plattformen, die in Frankreich tätig sind oder sich im Rahmen der DSGVO an Nutzer in Frankreich richten.
Was als Nächstes zu prüfen ist
- Konsultieren Sie den von der CNIL veröffentlichten Empfehlungstext für technische Anleitungen zur Konfiguration von Session-Replay-Tools und zur Formularmaskierung.
- Überprüfen Sie aktuelle Einwilligungsmanagement-Tools für Websites und mobile Anwendungen, um die Einhaltung der CNIL-Standards für den Widerruf von Einwilligungen und die Darstellung von Zwecken zu überprüfen.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.