Die französische CNIL veröffentlicht ihre Empfehlung zu Session-Replay-Tools

Was die CNIL zu Session Replay veröffentlicht hat

Am 5. November 2026 veröffentlichte die CNIL, die französische Datenschutzbehörde, ihre endgültige Empfehlung zu Session-Replay-Tools. Formell verabschiedet wurde sie am 8. Oktober 2026.

Diese Tools nutzen Tracker, um den Weg eines Besuchers durch eine Website oder mobile App aufzuzeichnen oder zu rekonstruieren: Mausbewegungen, Taps, Klicks, Scrollen und in manchen Fällen auch Eingaben in Formulare. Das Ergebnis wird als Video abgespielt. Unternehmen setzen sie typischerweise ein, um Fehler zu finden und Seitenaufbau und Bedienbarkeit zu verbessern.

Die Empfehlung richtet sich an zwei Gruppen: an die Anbieter, die Session-Replay-Tools entwickeln, und an die Unternehmen, die sie auf ihren eigenen Websites und in ihren Apps einsetzen. Ihr ging eine öffentliche Konsultation von Februar bis Mai 2026 voraus.

Warum Einwilligung und Maskierung jetzt für Replay-Tools gelten

Nach Auffassung der CNIL fällt Session Replay unter Artikel 82 des französischen Datenschutzgesetzes, der Tracker wie Cookies regelt, und keine der Ausnahmen dieses Artikels greift. In der Praxis bedeutet das: Ein Replay-Tool sollte niemanden aufzeichnen, bevor die Person zugestimmt hat – nach denselben Einwilligungsregeln, die die CNIL bereits auf Cookies anwendet.

Die wichtigsten Punkte der Empfehlung, einige davon nach der Konsultation ergänzt:

• die erste Ebene des Consent-Banners sollte ausdrücklich darauf hinweisen, dass Session Replay eingesetzt wird, und die CNIL schlägt dafür Formulierungen vor;
• die Zwecke der Aufzeichnung müssen festgelegt sein, bevor das Tool eingeschaltet wird, nicht erst nach der Datenerhebung;
• nicht relevante Daten sollten maskiert werden, auch Mausbewegungen in Bereichen, in denen Authentifizierungscodes eingegeben werden;
• läuft Replay innerhalb eines Chatbots, sollte das Tool die Unterhaltung maskieren können, da Fragen und Antworten sensible Daten preisgeben können;
• die Zahl der aufgezeichneten Sitzungen und die Verwendung von Identifikatoren sollten auf das beschränkt sein, was der Zweck erfordert.

Das ist relevant, wenn Ihre Website, Ihr Onlineshop oder Ihre App Session Replay nutzt und Besucher aus Frankreich hat. Die Empfehlung beruht auf französischem Recht, und die Mitteilung der CNIL sagt nichts über die Regeln im Vereinigten Königreich. Wenn Sie Session Replay gar nicht nutzen, ändert sich für Sie nichts.

Was Sie auf Ihrer Website oder in Ihrer App prüfen sollten

Die Mitteilung der CNIL nennt weder eine Frist für die Umsetzung noch einen Termin für das Webinar, das sie für Unternehmen plant. Wenn Sie Session Replay einsetzen, lohnt es sich, jetzt zu prüfen:

• fragen Sie die Verantwortlichen für Ihre Website oder App, ob ein Tool zur Sitzungsaufzeichnung installiert ist, auch innerhalb von Analytics- oder Chatbot-Erweiterungen;
• stellen Sie sicher, dass es erst nach der Einwilligung eines Besuchers aufzeichnet und dass Ihr Banner es in der ersten Ebene nennt;
• halten Sie schriftlich fest, warum Sie Sitzungen aufzeichnen, bevor Sie weitere aufzeichnen;
• aktivieren Sie die Maskierung für Formularfelder, Login- und Bestätigungscode-Bereiche sowie Chatbot-Unterhaltungen;
• zeichnen Sie nur so viele Sitzungen auf, wie dieser Zweck erfordert.

Achten Sie auf den Termin des CNIL-Webinars, wenn Sie die Maßnahmen von der Behörde selbst erklärt bekommen möchten. Cognivise bietet Laufenden Support und Wartung für Websites und Apps, deren Tracking-Einstellungen geprüft und aktuell gehalten werden müssen.