Was Session Replay DSGVO-Konformität tatsächlich von Ihnen verlangt

Ist Session Replay DSGVO-konform?

Die ehrliche Antwort auf eine Session Replay DSGVO-Frage lautet, dass das Werkzeug für sich genommen weder konform noch unzulässig ist, denn Konformität ist eine Eigenschaft eines konkreten Einsatzes, und darüber entscheiden vier getrennte Prüfungen. Ein Replay-Skript filmt keinen Bildschirm. Es serialisiert das DOM im Browser des Besuchers, streamt Mutationen und rekonstruiert die Sitzung später, es greift also auf das Endgerät zu, erzeugt in den meisten Konfigurationen Daten über eine identifizierbare Person und kann Kategorien einsammeln, die die DSGVO im Grundsatz für verboten erklärt.

Die vier Prüfungen in der Reihenfolge, in der sie greifen:

1. Artikel 5(3) der ePrivacy-Richtlinie, zum Speichern von Informationen auf dem Endgerät des Besuchers oder zum Zugriff darauf.
2. Artikel 6 der DSGVO, zur Rechtsgrundlage für die anschließende Verarbeitung.
3. Artikel 9 der DSGVO, zu besonderen Kategorien personenbezogener Daten.
4. Artikel 35 der DSGVO, zur Frage, ob eine Datenschutz-Folgenabschätzung zwingend ist.

Welches Recht greift zuerst, die DSGVO oder ePrivacy?

ePrivacy greift zuerst, weil es den Zugriff auf das Endgerät regelt und nicht die anschließende Verarbeitung. Der konsolidierte Text von Artikel 5(3) der Richtlinie 2002/58/EG in der Fassung von 2009 lautet:

"Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann."

Zwei Wörter in diesem Text tragen die Last. Er spricht von "Informationen", nicht von personenbezogenen Daten. Und er erfasst den "Zugriff auf Informationen, die bereits gespeichert sind", nicht bloß das Schreiben eines Cookies.

Der EDSA hat die üblichen Fluchtwege in den Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Fassung 2.0, angenommen am 16. Oktober 2024, geschlossen. Randnummer 10 zitiert den Gerichtshof in Planet49 (Rechtssache C-673/17, Randnummer 70): "That protection applies to any information stored in such terminal equipment, regardless of whether or not it is personal data". Randnummer 12 kommt zu dem Schluss, der Begriff "includes both non-personal data and personal data, regardless of how this data was stored and by whom".

Randnummer 33 benennt genau den Mechanismus, den ein Replay-Recorder nutzt: "Additional examples would include JavaScript code, where the accessing entity instructs the browser of the user to send asynchronous requests with the targeted information. Such access clearly falls within the scope of Article 5(3) ePD."

Randnummer 53, in einem Abschnitt mit dem Titel Local processing, erledigt das Argument, ein Recorder sei sicher, weil er seine Nutzlast im Browser zusammenbaut: "If at any point and for example in the client-side code, the processed information is made available to a third-party, for example sent back over the network to a server, such an operation ... would constitute a 'gaining of access to information already stored'. The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD."

Randnummer 56 ergänzt die entscheidende Nuance: Anwendbarkeit ist nicht dasselbe wie Einwilligungspflicht, und "in each case it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply". Die beiden verfügbaren Ausnahmen sind Übertragung und unbedingte Erforderlichkeit, und ein Recorder, den ein Produktteam betreibt, um Sitzungen später anzusehen, ist für die Auslieferung der angeforderten Seite nicht unbedingt erforderlich.

Welche Rechtsgrundlage können Sie für Session Replay nutzen?

Artikel 6(1) der DSGVO sagt, die Verarbeitung "ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist", und die beiden Kandidaten für Replay sind:

"a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben."

"f) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt."

Die ePrivacy-Antwort begrenzt die DSGVO-Antwort. Wenn Artikel 5(3) eine Einwilligung verlangt, um das Skript überhaupt auszuführen, rettet Sie das Abstellen der späteren Verarbeitung auf berechtigte Interessen nicht, denn die Erhebung war schon unrechtmäßig, bevor die Abwägung begann. Auch die Einwilligung hat eine festgelegte Gestalt: Artikel 4(11) verlangt "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung ... in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung", und Artikel 7(3) ergänzt: "Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein." Für Replay heißt das ein sofort wirksamer Abschalter im Skript und keine E-Mail-Adresse in einer Richtlinie. Dieselbe Logik ist für Messwerkzeuge in DSGVO-Einwilligungspflichten für Webanalyse durchgespielt.

Wann erfasst eine Aufzeichnung besondere Kategorien von Daten?

Immer dann, wenn ein Besucher sie in ein Feld tippt, das Sie nicht maskiert haben. Artikel 9(1) ist ein Verbot und kein Risikofaktor:

"Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt."

Artikel 9(2)(a) hebt das Verbot nur bei "ausdrücklicher Einwilligung" auf, einer höheren Hürde als die Einwilligung nach Artikel 6(1)(a), die gewöhnliche Daten abdeckt. Ein Symptomcheck, ein Versicherungsrechner oder die Verlängerung einer Gewerkschaftsmitgliedschaft erzeugt Daten nach Artikel 9 in dem Moment, in dem der Tastendruck serialisiert wird, und Maskierung als Standard ist die einzige Konfiguration, die sie aus Ihrem Speicher heraushält. Dieser Standard schwankt zwischen Bibliotheken enorm, worum es in PII-Schwärzung im Session Replay geht. Ob eine IP-Adresse allein eine Aufzeichnung zu personenbezogenen Daten macht, ist eine eigene Frage, behandelt in ist eine IP-Adresse ein personenbezogenes Datum.

Löst Session Replay eine DSFA aus?

Oft, und der Test steht in Artikel 35(1): Eine DSFA ist erforderlich, wenn eine Form der Verarbeitung, "insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge" hat.

Artikel 35(3) listet dann drei Fälle auf, in denen sie "insbesondere" erforderlich ist:

Jeden Besucher standardmäßig auf einer Site aufzuzeichnen, die Eingaben nach Artikel 9 verarbeitet, landet ohne viel Diskussion auf b). Eine maskierte Stichprobe zur Fehlerreproduktion erreicht die Schwelle von Artikel 35(1) womöglich gar nicht, aber dieses Ergebnis dokumentieren Sie, statt es vorauszusetzen.

Was haben die Aufsichtsbehörden tatsächlich gesagt?

Weniger, als Sie erwarten würden, und die klarste Aussage kommt nicht aus der EU.

Die britische ICO stellt in ihren Leitlinien zur Nutzung von Speicher- und Zugriffstechnologien, veröffentlicht am 20. Dezember 2024 und finalisiert am 29. April 2026, fest, dass "Regulation 6 of PECR applies whenever the use of scripts and tags accesses or stores information on a user's device". Anschließend nimmt sie Replay von der Analytics-Ausnahme aus, die der Data (Use and Access) Act ins britische Recht eingefügt hat: "The statistical purposes exception does not allow you to monitor or track individual visitors to your service. You must obtain consent for: logs or recordings of individual visitors to your website and the actions they took (if not obtained for the purposes of security)". Da benennt eine Aufsichtsbehörde die Praxis und stellt sie auf die Einwilligungsseite der Linie, mit einer eng gefassten Sicherheitsausnahme.

Der Vorbehalt ist jurisdiktioneller Art. Diese Ausnahme für statistische Zwecke existiert im britischen PECR und hat kein Gegenstück in der EU-ePrivacy-Richtlinie, das Vereinigte Königreich ist bei gewöhnlicher Analyse also großzügiger und verlangt für Aufzeichnungen trotzdem eine Einwilligung.

In der EU veröffentlicht die CNIL Bedingungen, unter denen Reichweitenmessung ohne Einwilligung auskommt, und sie sind eng genug gefasst, um Replay schon konstruktiv auszuschließen. Die Tracker müssen "utilisés pour une finalité strictement limitée à la seule mesure de l'audience du site ou de l'application" sein, müssen "servir à produire des données statistiques anonymes uniquement" und dürfen nicht "permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web". Die CNIL ergänzt eine Obergrenze von dreizehn Monaten für die Lebensdauer des Trackers und von fünfundzwanzig Monaten für die daraus entstehenden Daten. Eine Aufzeichnung pro Besucher ist keine anonyme Statistik, sie fällt also schon an der zweiten Bedingung durch, bevor die Aufbewahrungsgrenzen überhaupt zählen.

Was fehlt, ist eine Vollzugsentscheidung. Eine Suche auf der Website der CNIL nach der Wendung "session replay" lieferte am 13. September 2026 null Treffer, und in dieser Recherche tauchte weder eine EDSA-Leitlinie noch eine Entscheidung einer EU-Behörde auf, die die Praxis benennt. Der vorhandene Vollzugsbestand sitzt bei US-Gerichten unter Abhörgesetzen, ein eigener Rechtsbereich, behandelt in Wiretapping-Klagen zu Session Replay. Behandeln Sie das Fehlen einer EU-Entscheidung als ungeklärte Rechtslage, nicht als Erlaubnis.

Häufig gestellte Fragen

Braucht Session Replay in der EU immer eine Einwilligung?

Fast immer, weil Artikel 5(3) der ePrivacy-Richtlinie das Skript erwischt, bevor die DSGVO überhaupt etwas fragt. Die einzigen Auswege sind die Übertragungsausnahme und die Ausnahme der unbedingten Erforderlichkeit, und ein Recorder für spätere Auswertung ist für die vom Besucher angeforderte Leistung nicht unbedingt erforderlich.

Erübrigt das Maskieren aller Eingaben die Einwilligung?

Nein. Artikel 5(3) erfasst "Informationen" und nicht personenbezogene Daten, und der EDSA hat in Randnummer 12 der Guidelines 2/2023 bestätigt, dass der Begriff "includes both non-personal data and personal data". Maskierung senkt Ihre Exponierung nach Artikel 9 und den Radius eines Datenlecks. Sie holt das Skript nicht aus ePrivacy heraus.

Kann ich mich für Session Replay auf berechtigte Interessen stützen?

Nur für eine Verarbeitung, die auf eine rechtmäßige Erhebung folgt. Artikel 6(1)(f) ist eine Abwägung zwischen Ihren Interessen und den "Interessen oder Grundrechten und Grundfreiheiten" des Besuchers, und er kann einen Gerätezugriff nicht heilen, für den Artikel 5(3) von Anfang an eine Einwilligung verlangt hat.

Brauche ich eine DSFA, bevor ich Session Replay einschalte?

Wenn Sie in großem Umfang auf Seiten aufzeichnen, auf denen Besucher Daten nach Artikel 9 eingeben, macht Artikel 35(3)(b) sie zwingend. Außerhalb dieses Falls führen Sie den Test nach Artikel 35(1) zu Art, Umfang, Umständen und Zwecken durch und schreiben das Ergebnis in beiden Richtungen auf, damit Sie die Begründung später zeigen können.

Hat eine EU-Aufsichtsbehörde je ein Bußgeld wegen Session Replay verhängt?

In dieser Recherche tauchte keine solche Entscheidung auf, und die Suche auf der Website der CNIL liefert zu der Wendung nichts. Die nächstliegende Behördenaussage ist die der britischen ICO, die eine Einwilligung für "logs or recordings of individual visitors to your website and the actions they took" verlangt.

Hält clientseitige Verarbeitung einen Recorder außerhalb von ePrivacy?

Nein. Randnummer 53 der EDSA-Guidelines 2/2023 behandelt genau dieses Argument und antwortet, dass "The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD", sobald das Ergebnis über das Netz zurückgeschickt wird.

Kann sich die Ausnahme der unbedingten Erforderlichkeit auf Session Replay stützen?

Nein. Diese Ausnahme gilt für Zugriffe, die nötig sind, um den vom Besucher angeforderten Dienst zu erbringen, und ein Recorder, der für spätere Auswertungen durch das Produktteam läuft, erreicht diese Schwelle nicht. Der britische ICO lässt eine enge Ausnahme für Protokolle zu, die ausschließlich der Sicherheit dienen, doch eine gewöhnliche Produktanalyse-Aufzeichnung fällt nicht darunter.

Deckt die Ausnahme der CNIL für Reichweitenmessung Session Replay ab?

Nein. Diese Ausnahme setzt voraus, dass die Tracker ausschließlich für anonyme statistische Messungen genutzt werden, und eine Aufzeichnung pro einzelnem Besucher scheitert an dieser Bedingung, noch bevor die Speicherfristen überhaupt relevant werden. Die eigenen Bedingungen der CNIL schließen alles aus, was die Nachverfolgung eines identifizierten Besuchers erlaubt, und genau das tut Session Replay.

Wird Session Replay in den USA genauso reguliert wie in der EU?

Nicht durch dasselbe Regelwerk. In der EU und im Vereinigten Königreich greifen ePrivacy, PECR und die DSGVO, während die bisherige Durchsetzung in den USA auf Gerichtsurteilen zu bundesstaatlichen Abhörgesetzen beruht statt auf einer Datenschutzbehörde. Behandeln Sie beide als getrennte Rechtsgebiete mit getrennten Risiken, nicht als ein Compliance-Programm, das beide abdeckt.

Was unterscheidet die ausdrückliche Einwilligung von der gewöhnlichen Einwilligung bei Session Replay?

Die gewöhnliche Einwilligung nach Artikel 6(1)(a) muss freiwillig, spezifisch, informiert und eindeutig sein, wie es bei den meisten personenbezogenen Daten verlangt wird. Die ausdrückliche Einwilligung nach Artikel 9(2)(a) ist die höhere Schwelle, die gilt, sobald eine Aufzeichnung besondere Kategorien von Daten erfasst, etwa Gesundheitsangaben in einem unmaskierten Feld, und sie ist der einzige Weg, das Verbot aus Artikel 9(1) aufzuheben.