Was sich geändert hat
- Die CNIL hat nach einer öffentlichen Konsultation zwischen Februar und Mai 2026 die endgültige Empfehlung Délibération n° 2026-114 verabschiedet.
- Die Behörde bestätigte, dass Session-Replay-Tools gemäss Artikel 82 des französischen Datenschutzgesetzes der vorherigen Zustimmung der Nutzer bedürfen, ohne dass gesetzliche Ausnahmen bestehen.
- Die CNIL ordnete betriebliche Schutzmassnahmen an, darunter Transparenz auf erster Ebene, die Maskierung von Mausbewegungen in Authentifizierungsbereichen sowie die Maskierung von Unterhaltungen bei Chatbots.
Am 5. November 2026 veröffentlichte die französische Datenschutzbehörde (CNIL) ihre endgültige Empfehlung (Délibération n° 2026-114 vom 8. Oktober 2026) zu Session-Replay-Tools. Diese Tools stützen sich auf Tracker, um Navigationssitzungen von Nutzern auf Websites und in mobilen Anwendungen visuell aufzuzeichnen oder zu rekonstruieren. Obwohl sie eingesetzt werden, um technische Störungen zu erkennen und die Nutzererfahrung zu optimieren, hob die CNIL hervor, dass Session-Replay-Tools erhöhte Datenschutzrisiken bergen, einschliesslich der unbefugten Erhebung nicht erforderlicher personenbezogener Daten.
**Anwendungsbereich und betroffene Akteure**
Die Orientierungshilfe richtet sich an zwei wesentliche operative Gruppen:
1. **Tool-Anbieter:** Stellen, welche die technischen Lösungen, Funktionen und Standardkonfigurationen entwickeln.
2. **Herausgeber von Websites und mobilen Anwendungen:** Organisationen, die diese Tools einsetzen, um das Nutzerverhalten zu überwachen und zu analysieren.
**Rechtlicher Rahmen und Regeln zur vorherigen Einwilligung**
Die CNIL stellte klar, dass Session-Replay-Tools über Tracker funktionieren, die unter Artikel 82 des französischen Datenschutzgesetzes (loi Informatique et Libertés) fallen. Da für diese Tools keine gesetzlichen Ausnahmen gelten, müssen Herausgeber vor deren Aktivierung eine vorherige, informierte und ausdrückliche Einwilligung der Nutzer gemäss den allgemeinen Cookie-Regeln einholen. Darüber hinaus müssen die Zwecke der Nutzung von Session-Replay-Tools vor der Datenerhebung festgelegt und dokumentiert werden.
**Technische Anforderungen und Transparenzanforderungen**
Nach einer öffentlichen Konsultation zwischen Februar und Mai 2026 führte die CNIL konkrete Massnahmen zur Einhaltung der Vorschriften ein:
- **Informationen auf erster Ebene:** Spezifische Details zu Session-Replay-Tools müssen auf der primären Ebene der Einwilligungsschnittstellen offengelegt werden, um eine informierte Einwilligung zu gewährleisten.
- **Datenmaskierungsmechanismen:** Anwender müssen Instrumente zur Maskierung nicht relevanter Daten implementieren. Dazu gehört die Maskierung von Mausbewegungen in bestimmten Schnittstellenbereichen, um die versehentliche Erfassung von Authentifizierungscodes zu verhindern.
- **Schutz von Chatbots:** Bei Tools, die in interaktiven Chatbots eingesetzt werden, müssen die Textinhalte der Unterhaltungen (Fragen und Antworten) maskiert werden, um die Preisgabe sensibler personenbezogener Daten zu verhindern.
- **Datenminimierung:** Stellen müssen den Umfang der aufgezeichneten Nutzersitzungen auf das für den festgelegten Zweck erforderliche Mass beschränken und die Verwendung dauerhafter Identifikatoren minimieren.
Die CNIL kündigte an, Fachleute bei der Umsetzung der Compliance durch kommende Webinare zu unterstützen.
Wer betroffen sein kann
Anbieter von Session-Replay-Softwaretools und Herausgeber von Websites/mobilen Anwendungen, die Session-Replay-Technologien einsetzen, die sich an Nutzer in Frankreich richten.
Grenzüberschreitender Kontext
Gilt für ausländische und inländische Unternehmen, die Sitzungsüberwachungstechnologien auf digitalen Plattformen nutzen, die für Nutzer im französischen Zuständigkeitsbereich unter dem EU-Datenschutzrecht zugänglich sind.
Was als Nächstes zu prüfen ist
- Konsultieren Sie Délibération n° 2026-114 vom 8. Oktober 2026 auf Légifrance für den genauen Verordnungstext.
- Beobachten Sie die Website der CNIL bezüglich der Termine für kommende Schulungswebinare zur beruflichen Compliance.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.