FullStory & DSGVO: Was die Session-Aufzeichnung für deine Website bedeutet
FullStory zeichnet vollständige User-Sessions auf — Klicks, Scrollbewegungen und Eingaben lassen sich später als Wiedergabe ansehen. Damit gehört das Tool zu den eingriffsintensivsten Tracking-Werkzeugen: Es beobachtet das konkrete Verhalten einzelner Personen, nicht nur aggregierte Statistiken. Ohne saubere Maskierung können dabei auch sensible Eingaben in den Aufzeichnungen landen.
Das Risiko
- FullStory zeichnet das Verhalten einzelner Personen detailliert auf — das löst typischerweise die Einwilligungspflicht nach § 25 TDDDG und Art. 6 DSGVO aus.
- Ohne aktivierte und getestete Maskierung können Formularinhalte und andere sensible Eingaben in den Session-Aufzeichnungen landen.
- Als US-Dienst kann FullStory einen Drittlandtransfer auslösen, der einen tragfähigen Übermittlungsmechanismus voraussetzt.
- Lädt FullStory bereits vor einer Einwilligung, ist das ein klassischer Beschwerdegrund.
Wie konfora das erkennt
konfora erkennt FullStory an seinen Lade-Requests und ordnet es der Kategorie Session-Recording zu. Erkannt werden:
- fullstory.com
- edge.fullstory.com
- rs.fullstory.com
Was im Report steht
- Ein Befund „FullStory“ mit standardmäßiger Severity kritisch.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs, die Anzahl passender Requests und das Vendor-Land (US).
- Ein Soll-Ist-Hinweis, falls FullStory technisch erkannt, aber in der Datenschutzerklärung nicht genannt ist.
Typische Maßnahmen
- Lade FullStory erst nach aktiver, dokumentierter Einwilligung.
- Aktiviere die Maskierung aller sensiblen Eingabefelder und teste sie anhand echter Aufzeichnungen.
- Prüfe, ob der Erkenntnisgewinn den Eingriff trägt — oft genügen datensparsamere Analysen.
- Schließe den Auftragsverarbeitungsvertrag ab und dokumentiere den Übermittlungsmechanismus für den US-Transfer.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- konfora erkennt das Laden von FullStory, nicht die konkrete Maskierungs- oder Aufzeichnungs-Konfiguration.
- Ob eine Einwilligung im Einzelfall zwingend ist, bleibt eine rechtliche Bewertung.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.