Hotjar und DSGVO: Was Unternehmen beachten sollten
Hotjar hilft Websitebetreibern dabei, das Verhalten ihrer Besucher besser zu verstehen. Je nach eingesetzten Funktionen können beispielsweise Klicks, Scrollbewegungen und Interaktionen auf einer Website erfasst werden. Diese Einblicke können bei der Verbesserung der Nutzerfreundlichkeit helfen. Gleichzeitig stellt sich die Frage: Lässt sich Hotjar datenschutzkonform nach der Datenschutz-Grundverordnung (DSGVO) einsetzen?
Die kurze Antwort lautet: Das kann möglich sein, erfordert aber eine sorgfältige Prüfung und passende Einstellungen. Ein Cookie-Banner allein macht die Nutzung nicht automatisch DSGVO-konform.
Welche Daten kann Hotjar erfassen?
Hotjar bietet Funktionen zur Analyse des Nutzerverhaltens, darunter Heatmaps, Sitzungsaufzeichnungen und Umfragen. Dabei können – abhängig von der Konfiguration und den besuchten Seiten – Informationen wie Seitenaufrufe, Klicks, Scrollverhalten, Geräte- und Browserdaten sowie technische Kennungen verarbeitet werden. Auch Angaben, die Nutzer in Formularen machen, können ein Risiko darstellen, wenn sie in Aufzeichnungen sichtbar werden.
Websitebetreiber sollten deshalb nicht pauschal davon ausgehen, dass die erfassten Informationen anonym sind. Sobald sich Daten einer Person zuordnen lassen oder eine Identifizierung ermöglichen, können sie personenbezogene Daten im Sinne der DSGVO sein.
Einwilligung vor dem Einsatz einholen
Für viele Analyse- und Tracking-Technologien ist in Deutschland vor dem Zugriff auf Informationen im Endgerät oder deren Speicherung eine Einwilligung erforderlich. Maßgeblich sind dabei neben der DSGVO auch die Regeln des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Ob eine Einwilligung erforderlich ist, hängt unter anderem von der konkreten Funktion und ihrer technischen Umsetzung ab.
Wenn eine Einwilligung erforderlich ist, sollte Hotjar erst aktiviert werden, nachdem die betreffende Person ausdrücklich zugestimmt hat. Die Einwilligung muss freiwillig, informiert und widerrufbar sein. Eine Ablehnung sollte genauso einfach möglich sein wie eine Zustimmung. Wird die Einwilligung widerrufen, müssen die entsprechenden Funktionen beendet werden.
Auftragsverarbeitung und internationale Datenübermittlungen
Unternehmen müssen klären, welche Rolle Hotjar bei der Verarbeitung einnimmt und ob ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich ist. Dazu gehören auch die jeweils geltenden Vertragsunterlagen, Angaben zu Unterauftragsverarbeitern und Informationen darüber, wo Daten verarbeitet werden.
Werden personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt, sind zusätzlich die Anforderungen der DSGVO für Drittlandübermittlungen zu prüfen. Dabei können etwa Angemessenheitsbeschlüsse oder geeignete Garantien wie Standardvertragsklauseln relevant sein. Die aktuelle Dokumentation des Anbieters sollte vor der Nutzung geprüft und regelmäßig erneut bewertet werden.
Datenschutzfreundliche Einstellungen
Vor dem Start sollten Unternehmen die Hotjar-Einstellungen und die eigene Website so konfigurieren, dass möglichst wenige Daten erfasst werden. Besonders wichtig sind Maßnahmen gegen die Aufzeichnung sensibler Inhalte:
- Formularfelder mit Passwörtern, Zahlungsdaten oder anderen vertraulichen Angaben von Aufzeichnungen ausschließen.
- Bereiche mit sensiblen Informationen ausblenden oder die Aufzeichnung auf den erforderlichen Umfang begrenzen.
- Nur die Funktionen aktivieren, die für einen klar definierten Zweck benötigt werden.
- Aufbewahrungsfristen festlegen und Daten nicht länger als erforderlich speichern.
- Verfügbare Optionen zur Reduzierung oder Maskierung personenbezogener Daten nutzen.
Die konkrete Bezeichnung und Verfügbarkeit einzelner Funktionen kann sich ändern. Daher sollten die technischen Einstellungen anhand der aktuellen Hotjar-Dokumentation überprüft werden.
Websitebesucher transparent informieren
Die Datenschutzerklärung sollte verständlich erklären, dass Hotjar eingesetzt wird und zu welchen Zwecken. Sie sollte außerdem die verarbeiteten Datenkategorien, die Rechtsgrundlage, die Empfänger beziehungsweise Dienstleister, mögliche Drittlandübermittlungen, die Speicherdauer und die Rechte der betroffenen Personen beschreiben.
Auch der Einwilligungsdialog sollte den Einsatz der entsprechenden Analysefunktion klar benennen. Allgemeine Formulierungen wie „Wir verwenden Cookies“ reichen häufig nicht aus, wenn damit nicht erkennbar wird, welche Art von Verarbeitung stattfindet.
Verantwortlichkeiten dokumentieren
Die Nutzung sollte in das Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden, sofern dies erforderlich ist. Unternehmen sollten außerdem dokumentieren, warum Hotjar eingesetzt wird, welche Rechtsgrundlage sie heranziehen, welche Schutzmaßnahmen gelten und wie Einwilligungen verwaltet werden. Bei umfangreicher oder besonders risikoreicher Verarbeitung kann zusätzlich eine Datenschutz-Folgenabschätzung zu prüfen sein.
Fazit: Hotjar nur nach sorgfältiger Prüfung einsetzen
Hotjar kann wertvolle Erkenntnisse zur Verbesserung einer Website liefern. Für einen datenschutzgerechten Einsatz müssen Unternehmen jedoch mehr tun, als ein Skript einzubinden: Sie sollten die Rechtsgrundlage prüfen, erforderliche Einwilligungen vor der Aktivierung einholen, sensible Inhalte schützen, Verträge und Datenübermittlungen bewerten und ihre Datenschutzhinweise anpassen.
Die passende Umsetzung hängt vom konkreten Einsatz, den Einstellungen und den verarbeiteten Daten ab. Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.
7 Vorteile von Hotjar für DSGVO-konforme Nutzeranalyse
- Ermöglicht datenschutzbewusste Analyse des Nutzerverhaltens.
- Hilft, Einwilligungen transparent einzuholen.
- Bietet Möglichkeiten zum Maskieren sensibler Inhalte.
- Unterstützt die Optimierung der Nutzerfreundlichkeit.
- Kann mit klaren Datenschutzhinweisen eingesetzt werden.
- Erleichtert die Auswertung von Website-Interaktionen.
- Lässt sich bei sorgfältiger Konfiguration in Datenschutzprozesse einbinden.
Herausforderungen der DSGVO-Konformität bei der Nutzung von Hotjar: Fünf wichtige Aspekte
- Einwilligung kann vor dem Laden erforderlich sein.
- Fehlkonfiguration kann sensible Daten offenlegen.
- Datenschutzerklärung muss angepasst werden.
- Drittlandübermittlungen müssen geprüft werden.
- Die DSGVO-Konformität erfordert laufende Kontrolle.
Ermöglicht datenschutzbewusste Analyse des Nutzerverhaltens.
Hotjar ermöglicht eine datenschutzbewusste Analyse des Nutzerverhaltens, wenn das Tool sorgfältig konfiguriert und nur im erforderlichen Umfang eingesetzt wird. Funktionen wie Heatmaps können zeigen, welche Bereiche einer Website besonders häufig angeklickt oder angesehen werden, ohne dass dafür zwangsläufig umfangreiche personenbezogene Profile erstellt werden müssen. Durch geeignete Einstellungen, das Ausblenden sensibler Inhalte und – sofern erforderlich – eine vorherige Einwilligung lassen sich wertvolle Erkenntnisse zur Verbesserung der Nutzerfreundlichkeit gewinnen und zugleich Datenschutzanforderungen berücksichtigen.
Hilft, Einwilligungen transparent einzuholen.
Ein datenschutzkonformer Einsatz von Hotjar kann dazu beitragen, Einwilligungen transparent einzuholen. Wird das Tool erst nach einer aktiven Zustimmung über ein Consent-Management-Tool geladen, können Websitebesucher klar darüber informiert werden, welche Analysefunktionen eingesetzt werden und welche Daten dabei verarbeitet werden. Eine verständliche Auswahl zwischen Zustimmung und Ablehnung stärkt die Selbstbestimmung der Nutzer und unterstützt eine nachvollziehbare Einwilligung nach DSGVO.
Bietet Möglichkeiten zum Maskieren sensibler Inhalte.
Ein wichtiger Vorteil von Hotjar im Hinblick auf den Datenschutz ist die Möglichkeit, sensible Inhalte in Sitzungsaufzeichnungen zu maskieren. So können Websitebetreiber beispielsweise Formularfelder oder andere Bereiche ausblenden, in denen Besucher persönliche oder vertrauliche Angaben machen. Dadurch lässt sich das Risiko verringern, dass solche Informationen in Analyseaufzeichnungen sichtbar werden. Die Maskierung sollte passend zur Website konfiguriert und regelmäßig überprüft werden, damit sensible Daten zuverlässig geschützt bleiben.
Unterstützt die Optimierung der Nutzerfreundlichkeit.
Hotjar kann dabei helfen, die Nutzerfreundlichkeit einer Website gezielt zu verbessern. Mithilfe von Heatmaps und – sofern datenschutzkonform eingerichtet – Sitzungsaufzeichnungen lassen sich beispielsweise schwer auffindbare Schaltflächen, unübersichtliche Seitenbereiche oder mögliche Hürden im Bestellprozess erkennen. Unternehmen können diese Erkenntnisse nutzen, um Seiten verständlicher und einfacher bedienbar zu gestalten. Voraussetzung ist, dass die Datenerfassung transparent erfolgt, erforderliche Einwilligungen eingeholt werden und sensible Informationen geschützt bleiben.
Kann mit klaren Datenschutzhinweisen eingesetzt werden.
Hotjar kann eingesetzt werden, wenn Besucher klar und verständlich über die Datenverarbeitung informiert werden. Datenschutzhinweise sollten erklären, welche Daten zu welchem Zweck erfasst werden, welche Funktionen von Hotjar zum Einsatz kommen und wie lange die Daten gespeichert bleiben. So können Nutzer eine informierte Entscheidung treffen; sofern eine Einwilligung erforderlich ist, muss diese vor dem Start der entsprechenden Analysefunktionen eingeholt werden.
Erleichtert die Auswertung von Website-Interaktionen.
Ein wesentlicher Vorteil von Hotjar ist, dass sich Website-Interaktionen leichter auswerten lassen: Heatmaps und Sitzungsaufzeichnungen zeigen beispielsweise, welche Bereiche Besucher anklicken, wie weit sie scrollen und an welchen Stellen sie die Seite verlassen. So können Unternehmen mögliche Hürden erkennen und ihre Website gezielter verbessern. Für einen DSGVO-konformen Einsatz sollten die nötigen Einwilligungen eingeholt, sensible Inhalte geschützt und nur die erforderlichen Daten verarbeitet werden.
Lässt sich bei sorgfältiger Konfiguration in Datenschutzprozesse einbinden.
Ein wesentlicher Vorteil von Hotjar: Bei sorgfältiger Konfiguration lässt sich das Tool in bestehende Datenschutzprozesse einbinden. Dazu gehören beispielsweise eine kontrollierte Aktivierung nach der erforderlichen Einwilligung, das Ausblenden sensibler Inhalte und eine transparente Information in der Datenschutzerklärung. So können Unternehmen Nutzungserkenntnisse gewinnen und zugleich ihre Datenschutzmaßnahmen berücksichtigen. Die konkrete DSGVO-Konformität hängt jedoch vom jeweiligen Einsatz und der technischen Umsetzung ab.
Einwilligung kann vor dem Laden erforderlich sein.
Ein wichtiger Nachteil beim Einsatz von Hotjar ist, dass eine Einwilligung der Nutzerinnen und Nutzer erforderlich sein kann, bevor das Tool geladen oder Daten im Endgerät gespeichert beziehungsweise ausgelesen werden. In diesem Fall darf Hotjar erst aktiviert werden, nachdem eine gültige Einwilligung über das Consent-Management eingeholt wurde. Das kann die technische Einrichtung komplexer machen und dazu führen, dass weniger Nutzungsdaten erfasst werden, wenn Besucherinnen und Besucher ablehnen. Die konkreten Anforderungen hängen von der eingesetzten Funktion und ihrer technischen Umsetzung ab.
Fehlkonfiguration kann sensible Daten offenlegen.
Eine Fehlkonfiguration von Hotjar kann dazu führen, dass sensible Informationen in Heatmaps oder Sitzungsaufzeichnungen sichtbar werden. Werden etwa Formularfelder, Kontodaten oder andere vertrauliche Bereiche nicht zuverlässig ausgeblendet, können personenbezogene Daten unbeabsichtigt erfasst und verarbeitet werden. Unternehmen sollten deshalb die Einstellungen sorgfältig prüfen, sensible Inhalte konsequent maskieren und regelmäßig testen, welche Daten tatsächlich aufgezeichnet werden.
Datenschutzerklärung muss angepasst werden.
Wenn Sie Hotjar auf Ihrer Website einsetzen, muss Ihre Datenschutzerklärung entsprechend angepasst werden. Darin sollten Sie transparent erläutern, welche Daten Hotjar erfasst, zu welchem Zweck und auf welcher Rechtsgrundlage die Verarbeitung erfolgt. Außerdem gehören Informationen zu möglichen Empfängern, Speicherfristen, Drittlandübermittlungen und den Rechten der betroffenen Personen dazu. Das erfordert zusätzlichen Aufwand und eine sorgfältige Prüfung, damit die Angaben mit der tatsächlichen Nutzung und Konfiguration von Hotjar übereinstimmen.
Drittlandübermittlungen müssen geprüft werden.
Ein möglicher Nachteil beim Einsatz von Hotjar ist, dass Unternehmen prüfen müssen, ob personenbezogene Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums übermittelt werden. In diesem Fall sind die Anforderungen der DSGVO an internationale Datentransfers zu beachten, etwa hinsichtlich eines Angemessenheitsbeschlusses oder geeigneter Garantien wie Standardvertragsklauseln. Dafür müssen Unternehmen die aktuellen Angaben des Anbieters und die eigenen Einstellungen sorgfältig überprüfen und die Bewertung dokumentieren.
Die DSGVO-Konformität erfordert laufende Kontrolle.
Die DSGVO-Konformität von Hotjar ist keine einmalige Aufgabe, sondern erfordert eine laufende Kontrolle. Unternehmen sollten regelmäßig prüfen, ob Einwilligungen korrekt eingeholt werden, die gewählten Einstellungen weiterhin datenschutzfreundlich sind und sich Funktionen, Vertragsbedingungen oder Datenverarbeitungsorte geändert haben. Auch die Datenschutzerklärung und die internen Datenschutzunterlagen müssen bei Bedarf aktualisiert werden. Ohne diese kontinuierliche Überprüfung kann eine ursprünglich passende Konfiguration mit der Zeit nicht mehr den geltenden Anforderungen oder dem tatsächlichen Einsatz entsprechen.