# CNIL veröffentlicht endgültige Regeln für Session-Replay-Tools

Am 5. November 2026 hat die französische Datenschutzbehörde CNIL ihre endgültige Empfehlung zu Session-Replay-Tools veröffentlicht. Diese Tools zeichnen auf, wie Besucher eine Website oder App nutzen: Mausbewegungen, Klicks, Scrollen und in manchen Fällen auch Eingaben in Formularen. Die Empfehlung wurde am 8. Oktober 2026 verabschiedet, nach einer öffentlichen Konsultation von Februar bis Mai 2026.

- Seite: https://www.cognivise.co.uk/de/news/cnil-veroeffentlicht-endgueltige-regeln-session-replay-tools
- Original (Englisch): https://www.cognivise.co.uk/news/cnil-publishes-final-rules-for-session-replay-tools
- Thema: Software betreiben
- Veröffentlicht: 2026-11-11
- Aktualisiert: 2026-11-11
- Autor: Cognivise
- Quelle: CNIL, Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs (https://www.cnil.fr/fr/rejeu-de-session-recommandation)
- Quelle: CNIL, Rejeu de session : ces outils qui enregistrent votre activité en ligne (https://www.cnil.fr/fr/rejeu-de-session-vos-droits)

## Das Wichtigste in Kürze

- Laut CNIL brauchen Session-Replay-Tools eine vorherige Einwilligung, ohne Ausnahme.
- Formularfelder sollten maskiert sein, und Chatbot-Gespräche sollten sich maskieren lassen.
- Die Einwilligung abzulehnen muss so einfach sein wie zuzustimmen.

## Was die CNIL sagt

Die CNIL behandelt diese Tools als Tracker im Sinne von Artikel 82 des französischen Datenschutzgesetzes. Keine der Ausnahmen in diesem Artikel greift nach ihrer Auffassung, daher ist **eine vorherige Einwilligung erforderlich**. Die wichtigsten Punkte:

- **Ablehnen muss so einfach sein wie Zustimmen.** Nutzer müssen ihre Einwilligung ebenso einfach verweigern und widerrufen können, wie sie sie erteilt haben.
- **Auf der ersten Ebene des Banners informieren.** Die endgültige Fassung empfiehlt, auf dem ersten Bildschirm der Einwilligungsoberfläche gezielt über Session Replay zu informieren.
- **Den Zweck vor der Erhebung festlegen.** Die Zwecke müssen feststehen, bevor das Tool eingesetzt wird.
- **Weniger erheben.** Verwenden Sie ein Maskierungstool, begrenzen Sie die Zahl der aufgezeichneten Sitzungen und die Nutzung von Kennungen, und speichern Sie Aufzeichnungen nur sehr kurz.
- **Eingaben maskieren.** Geht es um die Verbesserung der Nutzererfahrung, sollten Felder, in die personenbezogene Daten eingegeben werden, maskiert sein.
- **Authentifizierungscodes schützen.** Die endgültige Fassung ergänzt die Maskierung von Mausbewegungen in bestimmten Bereichen, damit Codes nicht versehentlich erfasst werden.
- **Chatbot-Gespräche maskieren.** Replay-Tools, die bei Chatbots eingesetzt werden, sollten den Inhalt des Chats ausblenden können, denn Fragen und Antworten können sensible Daten offenlegen.

Die Empfehlung richtet sich an zwei Gruppen: die Anbieter dieser Tools und die Betreiber der Websites oder Apps, die sie nutzen. Die CNIL kündigt an, Fachleute in den kommenden Monaten zu unterstützen, unter anderem mit einem Webinar, und weist darauf hin, dass Betroffene sich bei ihr beschweren können, wenn die Regeln nicht eingehalten werden.

## Welche Websites betroffen sind

Jede Website, die ein Session-Replay- oder Heatmap-Tool nutzt, etwa Microsoft Clarity oder Hotjar. Diese beiden sind unsere Beispiele; die Seiten der CNIL nennen keine Produkte. Es handelt sich um französische Leitlinien, die andere Länder nicht unmittelbar binden. Die DSGVO gilt jedoch EU-weit, daher lohnen sich diese Fragen für jede Website.

## Was Sie auf Ihrer Website prüfen sollten

1. Wird das Tool geladen, bevor der Besucher zustimmt? Falls ja, ändern Sie das zuerst.
2. Erwähnt Ihr Consent-Banner Session Replay klar, und ist Ablehnen so einfach wie Zustimmen?
3. Sind Formularfelder maskiert, auch in Kontakt-, Checkout- und Login-Formularen?
4. Falls Sie ein Chat-Widget haben: Ist der Gesprächstext in den Aufzeichnungen ausgeblendet?
5. Können Sie begründen, warum Sie Sitzungen aufzeichnen, und angeben, wie lange Sie die Aufzeichnungen aufbewahren?

Dies sind allgemeine Informationen, keine Rechtsberatung. Für eine konkrete Website wenden Sie sich an qualifizierte Datenschutzfachleute.