Mouseflow & DSGVO: Session-Replay und Heatmaps einordnen
Mouseflow kombiniert Session-Replay mit Heatmaps: Es zeichnet auf, wie einzelne Personen mit der Seite umgehen — Mausbewegungen, Klicks, teils Formulareingaben. Der Anbieter sitzt in Dänemark, nutzt aber auch US-Infrastruktur, sodass je nach Konfiguration internationale Datenflüsse entstehen können.
Das Risiko
- Mouseflow zeichnet das Verhalten einzelner Personen auf — das löst typischerweise die Einwilligungspflicht nach § 25 TDDDG und Art. 6 DSGVO aus.
- Ohne sorgfältige Maskierung können sensible Eingaben in den Aufzeichnungen landen.
- Trotz dänischem Anbieter können über US-Infrastruktur-Anteile Drittlandtransfers entstehen, die dokumentiert sein müssen.
- Lädt Mouseflow vor der Einwilligung, ist das ein klassischer Beschwerdegrund.
Wie konfora das erkennt
konfora erkennt Mouseflow an seinen Lade-Requests und ordnet es der Kategorie Session-Recording zu. Erkannt werden:
- mouseflow.com
- cdn.mouseflow.com
Was im Report steht
- Ein Befund „Mouseflow“ mit standardmäßiger Severity kritisch.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs, die Anzahl passender Requests und das Vendor-Land (DK/US).
- Ein Soll-Ist-Hinweis, falls Mouseflow technisch erkannt, aber in der Datenschutzerklärung nicht genannt ist.
Typische Maßnahmen
- Lade Mouseflow erst nach aktiver, dokumentierter Einwilligung.
- Aktiviere die Maskierung sensibler Eingabefelder und prüfe sie anhand echter Aufzeichnungen.
- Kläre mit dem Anbieter, wo die Daten verarbeitet werden, und dokumentiere AVV und ggf. den Übermittlungsmechanismus.
- Prüfe, ob Heatmaps allein nicht genügen — sie sind in der Regel datensparsamer als vollständige Replays.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- konfora erkennt das Laden von Mouseflow, nicht die konkrete Maskierungs- oder Aufzeichnungs-Konfiguration.
- Wo die Daten im Einzelfall verarbeitet werden, hängt vom Vertrag und Setup ab — der Befund ist ein technisches Indiz.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.