Session Replay und Datenschutz: Mausvideos richtig einsetzen

Ein Mausvideo, in Fachkreisen Session Replay, ist kein Film vom Bildschirm. Im Browser des Besuchers wird mitgeschrieben, wie sich die Seite aufbaut und verändert, wohin die Maus wandert, wann gescrollt und wo geklickt wird. Auf Ihrem Server wird daraus eine Wiedergabe gebaut, die aussieht wie ein Video. Sie sehen, was der Besucher gesehen und getan hat.

Das ist mächtig. Genau deshalb ist es heikel. Dieser Artikel zeigt, wofür Mausvideos taugen, wo die Risiken liegen, welche Schutzmaßnahmen Sie setzen sollten und wann Sie besser darauf verzichten. Er ersetzt keine Rechtsberatung.

Wofür es nützt

Zahlen sagen Ihnen, dass eine Seite verlassen wird. Ein Mausvideo kann zeigen, warum. Typische Fälle:

• Bedienprobleme. Besucher klicken mehrfach auf etwas, das gar kein Link ist. Oder sie suchen erkennbar nach einem Menüpunkt, den es nicht gibt.
• Formularabbrüche. Sie sehen, an welchem Feld jemand aufgibt, auch ohne dass Sie den Inhalt kennen.
• Wege durch die Seite. Welche Seiten werden nacheinander besucht, wo wird lange gelesen, wo wird übersprungen?
• Darstellungsfehler. Ein Layout, das nur auf einer bestimmten Bildschirmgröße kaputtgeht, fällt im Video sofort auf.

Der Nutzen steht und fällt mit der Menge. Wer ein Video am Stück anschaut, lernt etwas über einen Besucher. Ein Muster erkennen Sie erst bei vielen. Fragen Sie sich vorher, welche konkrete Frage Sie beantworten wollen. Ohne Frage wird aus Mausvideos nur Neugier.

Wo die Risiken liegen

Die Aufzeichnung ist vollständig, solange Sie nichts ausschließen. Das heißt:

• Sichtbarer Seitentext. Alles, was auf der Seite steht, steckt im Video. Auf einer öffentlichen Produktseite ist das harmlos. Auf einer Seite mit Namen, Adressen oder Bestellungen nicht.
• Eingaben. Was jemand in ein Feld tippt, kann mitgeschrieben werden. Passwörter, Kontonummern, Gesundheitsangaben, Freitext in Kontaktformularen: Das gehört nie in ein Video.
• Eingeloggte Bereiche. Kundenkonten, Kassen und interne Tools zeigen persönliche Daten, auch ohne dass jemand etwas tippt.
• Eingebettete Inhalte. Fremde Inhalte in Iframes, etwa Zahlungsfenster, Karten, Videos oder Chat-Widgets, haben eigene Regeln und sollten nicht in Ihr Video geraten.
• Wiedererkennung. Wer mitliest, kann einen Besuch mit anderen Daten verknüpfen, etwa mit einer Mail, die gerade offen ist. Das Video selbst liefert den Anlass, Ihre Systeme den Rest.

Schutzmaßnahmen als Checkliste

Diese Punkte sollten Sie abhaken, bevor Sie Mausvideos einschalten:

1. Eingaben maskieren. Alle Eingabefelder werden schon im Browser unkenntlich gemacht, bevor etwas den Besucher verlässt. Eine Schwärzung erst auf dem Server ist zu spät.
2. Bereiche ausblenden. Cookie-Banner, Chat-Fenster, Zahlungsfenster und alles, was personenbezogene Inhalte zeigt, wird per Selektor ausgeschlossen.
3. Pfade sperren. Kasse, Warenkorb, Konto und Bestellseiten werden gar nicht erst aufgezeichnet.
4. Kurze Löschfrist. Videos sind kein Archiv. Je kürzer die Frist, desto kleiner das Risiko. Legen Sie sie fest und löschen Sie wirklich.
5. Getrennt informieren. Erwähnen Sie Mausvideos in der Datenschutzerklärung ausdrücklich und nennen Sie Zweck, Rechtsgrundlage und Löschfrist. Ein Satz zu „Statistik“ reicht nicht.
6. Nur nach Entscheidung einschalten. Das Werkzeug sollte nicht überall mitlaufen, sondern nur dort, wo Sie eine Frage haben. Testen Sie auf einer Seite, nicht auf der ganzen Website.
7. Datenschutz-Folgenabschätzung prüfen. Ob eine nötig ist (Art. 35 DSGVO), hängt von Umfang, Art der Daten und Besuchergruppe ab. Lassen Sie das bei einer systematischen Aufzeichnung bewusst prüfen und dokumentieren Sie das Ergebnis.
8. Verträge klären. Betreibt ein Dienstleister die Aufzeichnung für Sie, brauchen Sie einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Zwei Dinge gehören auch zur Praxis. Erstens: Prüfen Sie die Wiedergabe selbst, indem Sie sich als Testbesucher durchklicken und im Video nachsiehst, was sichtbar wird. Zweitens: Wer Zugriff auf die Videos hat, sollte eine Rolle haben, die Sie benennen können. Nicht jeder im Haus muss alles sehen.

Einordnung für Deutschland, Österreich und die Schweiz

Zwei Fragen sind getrennt zu beantworten. Die Antworten hängen vom Einzelfall ab, die folgende Einordnung ist ein Überblick.

Zugriff auf das Endgerät. Ein Skript, das Informationen auf dem Gerät des Besuchers speichert oder ausliest, braucht in Deutschland nach § 25 TDDDG grundsätzlich eine Einwilligung, sofern keine Ausnahme greift. Die Ausnahme für unbedingt erforderliche Dienste ist eng ausgelegt. Ob ein Aufzeichnungsskript darunter fällt, sollten Sie nicht optimistisch beantworten. In Österreich regelt das § 165 Abs. 3 TKG 2021 in ähnlicher Weise.

Verarbeitung personenbezogener Daten. Ein Mausvideo kann personenbezogene Daten enthalten, selbst wenn kein Name im Bild steht. Dann gilt die DSGVO und Sie brauchen eine Rechtsgrundlage nach Art. 6. Mehr dazu und zur Wahl zwischen Einwilligung und berechtigtem Interesse: Einwilligung oder berechtigtes Interesse: so entscheiden Sie. Den Gesamtüberblick finden Sie in Besuchererkennung und DSGVO: eine nüchterne Einordnung.

Schweiz. Das revidierte Datenschutzgesetz setzt weniger auf Einwilligung als auf Transparenz. Sie müssen informieren, welche Daten Sie zu welchem Zweck bearbeiten. Besucher können der Bearbeitung widersprechen. Eine Aufzeichnung mit sichtbaren Inhalten und Eingaben ohne klare Information ist auch dort kaum zu rechtfertigen. Für Cookies und ähnliche Techniken gelten zusätzlich die Informationspflichten im Fernmelderecht.

Alle Quellen wurden am 06.11.2026 abgerufen. Gesetze ändern sich, prüfen Sie vor einer Entscheidung den aktuellen Stand und sprechen Sie bei Unsicherheit mit Ihrer Rechtsberatung.

Wann Sie darauf verzichten sollten

Es gibt Bereiche, in denen der Nutzen die Risiken nicht aufwiegt:

• Gesundheit. Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO). Schon die Tatsache, welche Seite jemand liest, kann etwas verraten.
• Finanzen. Anträge, Kontostände, Kreditvergleiche: zu viel Information in zu wenig Kontrolle.
• Kinder und Jugendliche. Wenn Ihre Seite sich an Minderjährige richtet, sollte keine Aufzeichnung laufen.
• Eingeloggte Bereiche. Wer sich angemeldet hat, erwartet, dass niemand zusieht.

Wo Sie darauf verzichten, bleiben Ihnen andere Wege: Befragungen, Tests mit echten Personen, die einwilligen, oder Zahlen ohne Einzelbezug.

Wie ein Werkzeug damit umgehen kann

Ein Beispiel dafür, wie sich die Schutzmaßnahmen umsetzen lassen: Bei Whovisit zeichnen Sie Mausvideos nur für Besuche erkannter Firmen auf und schalten sie je Website ein oder aus. Alle Eingabefelder werden schon im Browser maskiert. Iframes und eingebettete Videos bleiben draußen. Weitere Bereiche blenden Sie selbst aus. Sensible Pfade wie die Kasse sperren Sie. Videos werden standardmäßig nach 30 Tagen gelöscht. Wie Sie das einstellen, steht in der Hilfe unter Mausvideos einschalten, einschränken und ansehen. Das macht Mausvideos nicht harmlos: Auch maskierte Aufzeichnungen zeigen Seiteninhalt und Verhalten. Die rechtliche Prüfung bleibt bei Ihnen.

Kurz zusammengefasst

Mausvideos beantworten konkrete Fragen zur Bedienung, wenn Sie sie gezielt und zeitlich begrenzt einsetzen. Maskieren Sie Eingaben im Browser, sperren Sie sensible Bereiche, löschen Sie früh und informieren Sie getrennt. Prüfen Sie die Einwilligung für den Gerätezugriff und eine Rechtsgrundlage für die Verarbeitung. Verzichten Sie dort, wo Gesundheit, Finanzen oder Kinder betroffen sind.