Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Decibel Insight, seit 2021 Teil von Medallia, ist eine Digital-Experience-Analytics-Plattform, die Session-Replays, Mausbewegungen, Scrollverhalten, Klicks, Formularinteraktionen und Rage Clicks erfasst, um einen Digital Experience Score (DXS) zu berechnen. Sie setzt persistente Tracking-Cookies und überträgt detaillierte Verhaltensdaten an die US-Cloud-Infrastruktur von Medallia. Da Session-Replay personenbezogene Daten einschließlich sensibler Formularfeldinhalte erfassen kann, stellt dies eine Hochrisikoeverarbeitung nach DSGVO Art. 35 dar. Eine explizite Einwilligung ist erforderlich, bevor das Decibel-Tag geladen werden darf, und eine DSFA ist obligatorisch.
Decibel Insight, 2021 von Medallia Inc. übernommen, ist eine Digital-Experience-Analytics-Plattform, deren JavaScript-Tag auf Publisher- oder E-Commerce-Seiten geladen wird, um einen detaillierten Datensatz jeder Nutzerinteraktion mit der Seite zu erfassen. Der Tag zeichnet Mausbewegungen, Cursorposition, Scrollgeschwindigkeit und -tiefe, Klick- und Tipp-Ereignisse, Hover-Verweilzeiten, Rage Clicks, Dead Clicks und Formularfeldinteraktionen einschließlich Fokus-, Blur- und Texteingabe-Ereignisse auf. Diese Daten werden zur Cloud-Infrastruktur von Medallia übertragen und als Session-Replay rekonstruiert.
Decibel berechnet auch einen proprietären Digital Experience Score (DXS) für jede Sitzung, der Interaktionssignale zu einer numerischen Bewertung aggregiert. DXS-Scores werden zur Segmentierung von Sitzungen, Priorisierung von UX-Korrekturen und Auslösung automatischer Warnungen verwendet. Decibel gehört aufgrund der außerordentlichen Datengranularität zu den risikoreichsten Analysetools im Web.
Decibel setzt persistente Tracking-Cookies auf decibelinsight.net, um wiederkehrende Nutzer zu identifizieren und Sitzungen demselben Browser zuzuordnen. Das primäre Sitzungs-Cookie speichert einen pseudonymen Besucher-Identifier; zusätzliche Cookies erfassen Sitzungsmetadaten einschließlich Seitensequenzen, DXS-Scores und Replay-Sitzungs-Identifier. Die an Medallias Server übertragenen Daten umfassen: vollständige DOM-Snapshots, Mauskoordinatenströme, Scroll-Positions-Zeitreihen, Klick-Ereignisdaten, Formularinteraktionsereignisse (die Eingabewerte erfassen können), Viewport-Abmessungen, Browser- und OS-Metadaten, IP-Adresse und Seiten-URL-Sequenzen.
Session-Replay wird als Hochrisikoverarbeitung nach DSGVO eingestuft. Die Erfassung detaillierter Interaktionsdaten, Formularinhalte und potenziell sensibler personenbezogener Daten löst mehrere Risikofaktoren nach Art. 35 aus. Art. 5(3) der ePrivacy-Richtlinie erfordert eine vorherige Einwilligung, bevor das Decibel-Tag auf das Endgerät des Nutzers zugreifen darf. Berechtigte Interessen können diese Datenfassung zu Analysezwecken nicht rechtfertigen, was durch nationale DSB-Sanktionen gegen Session-Replay-Einsätze bestätigt wurde.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die Einwilligung muss vor der Initialisierung des Decibel-JavaScript-Tags eingeholt werden. Die Einwilligung muss die Art des Session-Replays genau beschreiben, Medallia Inc. als US-Auftragsverarbeiter benennen, die internationale Übermittlung offenlegen und die Aufbewahrungsfrist angeben. Das CMP muss das Decibel-Tag technisch bis zur Einwilligung sperren. Die Einwilligung kann nicht mit anderen Analytics-Einwilligungen gebündelt werden: Die Session-Replay-Offenlegung muss spezifisch genug sein, damit Nutzer verstehen, dass sie der Aufzeichnung ihres Verhaltens zustimmen.
Medallia Inc. hat seinen Hauptsitz in San Francisco, Kalifornien, und alle von Decibel erfassten Session-Replay-Daten werden auf der Cloud-Infrastruktur von Medallia verarbeitet, die US-Server einschließt. Übermittlungen personenbezogener Daten aus dem EWR in die USA basieren auf Standardvertragsklauseln (SCC) und dem EU-US-Datenschutzrahmen (DPF). Die DSFA muss die Angemessenheit dieser Schutzmaßnahmen für die spezifische Sensibilität der Session-Replay-Daten bewerten. Zusätzlich gilt der CCPA für Nutzer aus Kalifornien.
Für einen DSGVO-konformen Decibel-Einsatz müssen Organisationen: (1) eine umfassende, vom DSB genehmigte DSFA vor dem Launch durchführen; (2) das Decibel-Tag technisch bis zur expliziten Einwilligung über eine klar formulierte CMP-Notice sperren, die Session-Replay beschreibt; (3) das Decibel-Masking für alle sensiblen Formularfelder konfigurieren; (4) einen AV-Vertrag mit Medallia unter SCC und DPF abschließen; (5) Datenschutzerklärung und Cookie-Hinweise für Session-Replay, DXS-Profiling, US-Transfer und Aufbewahrungsfrist aktualisieren; (6) einen funktionierenden Einwilligungsentzug-Mechanismus implementieren; (7) einen Prozess für Auskunftsersuchen zu Sitzungsaufzeichnungen etablieren; (8) jährliche DSFA-Überprüfungen durchführen.
Websites using Decibel (Medallia) Digital Experience Analytics must obtain user consent under GDPR regulations.
DPIA considerations
Eine obligatorische Datenschutz-Folgenabschätzung (DSFA) ist vor dem Einsatz von Decibel Insight erforderlich. Session-Replay wird vom EDSA und nationalen DSBs explizit als Hochrisikoverarbeitungsaktivität eingestuft, die eine DSFA nach Art. 35(3)(a) DSGVO erfordert. Die DSFA muss umfassend abdecken: (1) den vollständigen Umfang der durch Session-Replay erfassten Daten, einschließlich Mausbewegungen, Tastatureingaben, Formularfeldinhalte (einschließlich potenzieller Gesundheits- oder Finanzdaten), Klicksequenzen und Scrolltiefe; (2) den Digital Experience Score (DXS) als automatisierten Profiling-Output; (3) die Risiken fehlerhafter Masking-Konfigurationen bei sensiblen Feldern; (4) die Übermittlung aller Session-Replay-Daten an Medallia Inc. in den USA und die Angemessenheit der SCC- und DPF-Schutzmaßnahmen; (5) Aufbewahrungsfristen für Session-Aufzeichnungen; (6) Betroffenenrechte einschließlich Löschansprüche für Aufzeichnungen; (7) CCPA-Implikationen für US-Besucher. Der DSB muss die DSFA vor dem Go-live genehmigen. Jährliche Überprüfungen sind erforderlich.
Sample consent text
Wir verwenden Decibel Insight, einen Digital-Experience-Analytics-Dienst von Medallia Inc. (USA), um Ihre Sitzung auf dieser Website aufzuzeichnen und wiederzugeben, einschließlich Mausbewegungen, Klicks, Scrollverhalten und Formularinteraktionen. Diese Aufzeichnung hilft uns, die Nutzererfahrung auf unserer Website zu verstehen und zu verbessern. Sitzungsaufzeichnungen können personenbezogene Daten erfassen, die Sie auf dieser Website eingeben. Wir verwenden technische Schutzmassnahmen zum Maskieren sensibler Felder. Ihre Interaktionsdaten werden von Medallia in den USA unter Standardvertragsklauseln und dem EU-US-Datenschutzrahmen gespeichert und verarbeitet. Diese Verarbeitung basiert ausschliesslich auf Ihrer Einwilligung. Sie können Ihre Einwilligung jederzeit über unsere Datenschutzeinstellungen widerrufen, was zukünftige Sitzungsaufzeichnungen stoppt.
Third-party domains contacted
decibelinsight.netcdn.decibelinsight.netapi.decibelinsight.netCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| di_visitor_id | persistent | 90 days | Primary pseudonymous visitor identifier set by Decibel on decibelinsight.net; associates multiple page views and sessions with the same browser for session replay and DXS computation |
| di_session_id | session | Session | Session-level identifier linking page views within a single browsing session for Decibel session replay assembly and replay stitching |
| di_dxs | persistent | 30 days | Stores the most recent Digital Experience Score (DXS) computed for this visitor, used to segment users into experience quality cohorts and trigger UX alerts |
| di_consent | persistent | 365 days | Records the consent state for Decibel session replay; prevents the replay tag from reinitialising if the user has previously withdrawn consent |
| di_replay_ref | persistent | 90 days | Reference token linking browser-side interaction capture to the server-side session replay recording stored in Medallia cloud infrastructure |
| di_ab_bucket | persistent | 30 days | A/B test and sampling-rate allocation cookie used by Decibel to select which sessions are sampled for full replay recording versus summary-only capture |
Decibel (Medallia) Digital Experience Analytics erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Decibel setzt persistente Tracking-Cookies auf der Domain decibelinsight.net, um wiederkehrende Nutzer zu identifizieren und mehrere Seitenaufrufe demselben Besucher zuzuordnen. Das primäre Cookie speichert einen pseudonymen Besucher-Identifier; Begleit-Cookies speichern Sitzungsmetadaten einschließlich DXS-Score, Seitensequenz-Identifier und Replay-Sitzungsreferenzen. Diese Cookies werden nicht für seitenübergreifende Werbung genutzt, ermöglichen aber Decibel, das Verhalten über mehrere Seiten derselben Website und bei Wiederholungsbesuchen zu verknüpfen, was personenbezogene Datenverarbeitung nach DSGVO darstellt.
Ja, eine ausdrückliche Einwilligung ist obligatorisch. Decibel erfasst hochgradig detaillierte personenbezogene Daten einschließlich Mausbewegungen, Formularinteraktionen und potenziell den Inhalt von Nutzereingaben in Formulare. Art. 5(3) der ePrivacy-Richtlinie erfordert eine vorherige Einwilligung, bevor das Decibel-Tag auf das Gerät des Nutzers zugreifen oder dort Daten speichern darf. Berechtigte Interessen sind für Session-Replay-Tools dieser Reichweite nicht verfügbar, wie mehrere europäische DSBs bestätigt haben.
Die einzig zulässige Rechtsgrundlage ist die ausdrückliche Einwilligung nach Art. 6(1)(a) DSGVO in Verbindung mit Art. 5(3) der ePrivacy-Richtlinie für den Gerätezugriff. Wenn Session-Replay besondere Kategorien personenbezogener Daten erfasst (Gesundheits-, Finanz- oder andere sensible Daten, die in nicht korrekt maskierte Formulare eingegeben werden), ist auch die ausdrückliche Einwilligung nach Art. 9(2)(a) DSGVO erforderlich. Berechtigte Interessen sind für diese Reichweite der Verhaltensaufzeichnung nicht verfügbar.
Ja. Medallia Inc., die Muttergesellschaft von Decibel Insight, hat ihren Hauptsitz in San Francisco, Kalifornien. Alle Session-Replay-Daten werden auf der Cloud-Infrastruktur von Medallia verarbeitet, die US-Server einschließt. Übermittlungen aus dem EWR basieren auf Standardvertragsklauseln (SCC) und dem EU-US-Datenschutzrahmen (DPF). Die DSFA muss die Angemessenheit dieser Schutzmaßnahmen für die spezifische Sensibilität der Session-Replay-Daten bewerten. Der CCPA gilt zusätzlich für Nutzer aus Kalifornien.
Ja, eine DSFA ist vor dem Einsatz von Decibel obligatorisch. Session-Replay wird vom EDSA und nationalen DSBs explizit als Hochrisikoverarbeitung anerkannt, die eine DSFA nach Art. 35(3)(a) DSGVO erfordert. Die DSFA muss den Umfang der Sitzungsdaten, die Wirksamkeit des Maskings, US-Transfer-Schutzmaßnahmen, Aufbewahrung, Betroffenenrechte und Einwilligungsmechanismen behandeln. Der DSB muss die DSFA vor dem Go-live genehmigen und sie jährlich überprüfen.
Ein rechtskonformer Einsatz erfordert: eine obligatorische, vom DSB genehmigte DSFA; ein CMP, das das Decibel-Tag technisch bis zur ausdrücklichen, auf Session-Replay spezifischen Einwilligung sperrt; korrekte Masking-Konfiguration für alle sensiblen Formularfelder; einen AV-Vertrag mit Medallia unter SCC und DPF; Aktualisierungen der Datenschutzerklärung und Cookie-Hinweise mit genauer Session-Replay-Beschreibung; einen funktionierenden Einwilligungsentzug-Mechanismus; einen Prozess für DSGVO-Auskunfts- und Löschersuchen zu Sitzungsaufzeichnungen; und jährliche Compliance-Überprüfungen.
Aggregierte Heatmap- und Klickmap-Tools (mit anonymisierter Ereigniszählung) können viele dieselben UX-Fragen beantworten, ohne individuelle Sitzungen aufzuzeichnen. Serverseitige Analysetools, die Seitenperformance und Konversionstrichter ohne clientseitige Sitzungserfassung messen, vermeiden die ePrivacy-Einwilligungsanforderung. Wenn Session-Replay eine echte Geschäftsanforderung ist, bieten Alternativen wie Hotjar, FullStory oder Microsoft Clarity ähnliche Funktionen, erfordern aber alle eine Einwilligung und beinhalten vergleichbare DSGVO-Risiken und US-Transfer.
Die Cookie-Richtlinie muss einen dedizierten Abschnitt für Decibel enthalten mit: Cookie-Namen und Domain (decibelinsight.net), Aufbewahrungsfrist (in der Regel 90 Tage), Zweck (Session-Replay-Aufzeichnung, DXS-Berechnung und UX-Analyse), Verantwortlichem und Auftragsverarbeiter (Medallia Inc., USA), US-Transfer und SCC/DPF-Schutzmaßnahmen, dem Hinweis, dass Session-Replay Mausbewegungen und Formularinteraktionen erfasst, Masking-Maßnahmen für sensible Felder, und dem Recht der Nutzer, die Einwilligung zu widerrufen und die Löschung von Aufzeichnungen zu verlangen.