FlowConsent
So funktioniert’sPreiseVergleicheBlogDokumentationAnmeldenFlowConsent testen
FlowConsent testen
Analyse

Glassbox

Analyse

Glassbox ist eine Enterprise-Plattform für Digital Experience Analytics, die jede Nutzerinteraktion auf Web- und Mobile-Apps erfasst, vollständige Sessions wiedergibt und Friktions- sowie Conversion-Probleme aufdeckt. Sie wird breit von Banken, Versicherern, Telkos und Airlines für Customer Experience und Beschwerde-Forensik genutzt. Da Glassbox systematisch sensible Kundenreisen aufzeichnet, erfordert der Einsatz in der EU eine ausdrückliche Einwilligung nach DSGVO und ePrivacy sowie eine DSFA und striktes Eingabe-Masking.

Glassbox bis zur Einwilligung blockierenMeine Website scannen
Überblick

Was macht Glassbox?

Was ist Glassbox

Glassbox ist eine Enterprise-Plattform für Digital Experience Analytics. 2010 in Petach Tikva (Israel) gegründet, mit Büro in London, New York und Singapur, erfasst sie sämtliche Interaktionen auf Web- und Mobile-Apps für Replay, Friktionsanalyse und Beschwerde-Untersuchung. Hauptkunden in regulierten Branchen: Banken, Versicherer, Telkos, Gesundheits- und Luftfahrtanbieter.

Das Tracking erfolgt über ein JavaScript-SDK im Web sowie native SDKs auf iOS und Android. Das SDK erfasst das vollständige DOM, jede Maus- und Tastatureingabe, Netzwerkanfragen und JavaScript-Fehler und streamt sie an einen Glassbox-Cloud-Tenant.

Welche Daten werden erfasst

Standardmäßig erfasst Glassbox alles Sichtbare und Interaktive: IP, Geraetemerkmale, Geolokalisierung, Seiten-URL, Referrer, Scrolltiefe, Klickpositionen, Tastatureingaben (wenn konfiguriert), Formulardaten, Upload-Metadaten und Netzwerkanfrage-Metadaten. Ohne Masking können besondere Datenkategorien (Gesundheit, Finanzen, Ausweisdaten) in den Aufzeichnungen landen.

Glassbox bietet drei Masking-Ebenen: automatisches Masking aller Eingabefelder, manuelles Masking über CSS-Attribute (gb-mask, data-gb-sensitive) und serverseitige Redaktion nach der Erfassung. Alle drei müssen kombiniert werden, um die Datenminimierung der DSGVO zu erfüllen.

DSGVO, ePrivacy und Schrems II

Glassbox agiert als Auftragsverarbeiter nach Art. 28 DSGVO. EU-Kunden wählen beim Onboarding die Region Irland. Israel verfügt über eine erneuerte Angemessenheitsentscheidung (2024), doch US-Unterauftragsverarbeiter (AWS US, Support-Tooling) können in der Kette auftauchen und erfordern SCC und TIA.

Da Cookies und SDK nicht unbedingt erforderlich sind, verlangen Art. 5(3) ePrivacy und §25 TTDSG eine vorherige informierte Einwilligung. Berechtigtes Interesse ist für vollständigen Session Replay auf EU-Nutzer nicht haltbar.

DSFA, regulierte Branchen und DORA

Eine DSFA nach Art. 35 DSGVO ist für jede Glassbox-Einbindung auf EU-Traffic faktisch verpflichtend. Sie muss Masking-Strategie, Aufbewahrung, Unterauftragsverarbeiter, Residenz, Mitarbeiter-Monitoring-Nebenwirkungen und Art. 22-Risiken bei Friktions-Scoring oder Betrugserkennung adressieren.

Im Finanzbereich kommen DORA, PSD2 und PCI DSS hinzu. Aufzeichnungen von Authentifizierungsablaeufen müssen Credentials, OTP-Codes und Kartennummern maskieren, der Glassbox-Tenant ist in Resilienztests einzubeziehen.

Einwilligungs-Umsetzung

Laden Sie das Glassbox-SDK erst nach Einwilligung in Analytik oder Marketing. Der Banner muss Glassbox namentlich nennen, den Session-Replay-Zweck beschreiben und auf die Datenschutzerklärung verlinken. Bei TCF v2.2 ist Glassbox unter dem passenden IAB-Zweck zu registrieren.

In B2B-Kundenportalen kann berechtigtes Interesse mit striktem Masking vertreten werden; der Nutzer muss dennoch klar informiert werden und einen Opt-out erhalten. Interessenabwägung und Schutzmaßnahmen in der DSFA dokumentieren.

Praktische Compliance-Checkliste

Tenant Irland für EU-Traffic wählen. AV-Vertrag und SCC für Israel sowie US-Unterauftragsverarbeiter prüfen. Globales Auto-Masking aktivieren, gb-mask an alle Elemente mit personenbezogenen Daten setzen. Aufbewahrungsdauer auf das Notwendige reduzieren (Replay oft 30 Tage, Aggregate länger).

DSFA durchführen, im Verzeichnis eintragen, Produkt- und Engineering-Teams in den Masking-Helfern schulen und Consent-Akzeptanz quartalsweise prüfen. Bei Multi-Country-Marken jede regionale Bereitstellung dokumentieren und Betriebsratspflichten bei Mitarbeiteruewachung berücksichtigen.

Datenschutz

Glassbox und die DSGVO

Glassbox ist als „Analyse“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.

Rechtsgrundlage
Consent (Art. 6(1)(a) GDPR) given the breadth of session capture and the high risk processing; legitimate interest under Art. 6(1)(f) is generally not defensible for full session replay on EU traffic
Risikostufe
high
Anwendbare Vorschriften
GDPR, ePrivacy Directive, TTDSG (Germany), DORA (financial services), CCPA/CPRA, GLBA (US financial)

Datenschutz-Folgenabschätzung (DSFA)

Glassbox ist ein Hochrisikoverarbeiter. Wesentliche DSFA-Aspekte: (1) erfasst das gesamte DOM, Maus- und Tastaturinteraktionen sowie Formulareingaben; ohne durchgaengiges Masking werden besondere Datenkategorien nach Art. 9 DSGVO (Gesundheit, Finanzen, Ausweisdaten) aufgezeichnet; (2) Einsatzfaelle in Finanzdienstleistungen betreffen zusätzlich DORA, PSD2 (starke Kundenauthentifizierung) und PCI DSS; (3) Glassbox hat Sitz in Israel und Support-Personal weltweit, Transfers sind anhand der Israel-Angemessenheit und SCC für nicht angemessene Jurisdiktionen zu prüfen; (4) die Plattform ist auf cross-device Customer-Journey-Rekonstruktion ausgelegt und bildet reichhaltige Verhaltensprofile, die hinsichtlich Art. 22 DSGVO (automatisierte Entscheidungen) bewertet werden müssen, wenn sie Friction-Scoring oder Betrugserkennung speisen; (5) Standard-Aufbewahrungsfristen von 90 Tagen oder mehr sind zu prüfen; (6) Mitarbeiter-Monitoring entsteht als Nebeneffekt bei Einsatz auf Support-Portalen und löst Betriebsratspflichten in Deutschland, Frankreich und Italien aus.

Beispieltext für Ihr Banner

Wir nutzen Glassbox, um anonymisierte Sitzungen auf unserer Website aufzuzeichnen und wiederzugeben, um technische Probleme zu erkennen und die Nutzererfahrung zu verbessern. Mit Ihrer Einwilligung setzt Glassbox Cookies und erfasst Ihre Interaktionen mit der Seite (Klicks, Scrollen, Seitenuebergaenge, Formularinteraktionen, sensible Felder werden automatisch maskiert). Die Aufzeichnungen werden auf Glassbox-Servern in der Europäischen Union unter AV-Vertrag gespeichert. Sie können diese Aufzeichnung jederzeit ablehnen.
Cookies und Tracker

Was Glassbox setzt und kontaktiert

Tracking-Methode
JavaScript SDK and mobile SDK
Serverstandort
European Union (Ireland) or United States, customer-configurable; corporate headquarters in Petach Tikva, Israel and US/UK offices
Datenübermittlung außerhalb der EU
Glassbox runs regional cloud instances on AWS. EU customers can be hosted in Ireland with data residency restricted to the EU. However, Glassbox is headquartered in Israel and has access to data for support and product operations purposes, with onward transfer flows governed by Standard Contractual Clauses and the EU UK adequacy decision. Israel benefits from a 2024 renewed EU adequacy decision, but US sub processors may also be involved depending on the deployment.

Gesetzte Cookies (4)

NameTypLaufzeitZweck
_gbsessionAnalyticsSessionIdentifies the current Glassbox session and links subsequent events to the same replay sequence.
_gbvisitorAnalytics1 yearPersistent visitor identifier. Used to stitch sessions to the same Glassbox profile across visits.
_gbconfigFunctional1 yearStores the SDK configuration (sampling rate, masking flags) so it can be applied consistently across page views.
_gbtsFunctionalSessionTimestamp helper used to synchronise client and server clocks for event ordering in replays.

Kontaktierte Drittanbieter-Domains (5)

  • glassbox.com
  • glassboxdigital.io
  • cdn.glassboxdigital.io
  • api.glassboxdigital.io
  • sdk.glassbox.com
Fragen

Häufige Fragen zu Glassbox

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

Welche Cookies setzt Glassbox?

Glassbox setzt First-Party-Cookies auf Ihrer Domain, vor allem _gbsession (Sitzungs-ID, Session) und _gbvisitor (persistente Besucher-ID, ~1 Jahr) sowie mehrere Konfigurations-Cookies. Das SDK schreibt zudem in localStorage und IndexedDB, um erfasste Events in eine Warteschlange zu legen. Keiner davon ist für die Website unbedingt erforderlich, alle benötigen Einwilligung.

Ist eine Einwilligung erforderlich?

Ja, in jedem EU-Deployment. SDK und Cookies sind nach Art. 5(3) ePrivacy und §25 TTDSG nicht unbedingt erforderlich, eine vorherige informierte Einwilligung ist Pflicht. Da Glassbox umfangreiche personenbezogene Daten (potenziell auch besondere Kategorien) erfasst, ist Einwilligung auch die sicherste Art. 6 DSGVO-Grundlage. Berechtigtes Interesse ist für vollständigen Session Replay auf EU-Endkunden nicht haltbar.

Welche Rechtsgrundlage gilt?

Einwilligung (Art. 6(1)(a) DSGVO) ist die sichere Standardgrundlage. Bei Mitarbeiter-Portalen oder B2B-Anwendungen kommt berechtigtes Interesse (Art. 6(1)(f)) in Betracht, sofern Masking umfassend ist, die Aufbewahrung begrenzt und eine dokumentierte Interessenabwägung erfolgt. Die gewählte Grundlage muss in Datenschutzerklärung und DSFA erscheinen.

Überträgt Glassbox Daten außerhalb der EU?

EU-Kunden können Irland als Speicherort wählen. Glassbox hat jedoch den Hauptsitz in Israel und weltweit Support-Personal; Israel verfügt über eine erneuerte EU-Angemessenheit (2024), aber US-Unterauftragsverarbeiter können weiterhin in der Kette stehen (AWS US, Support-Tooling). SCC plus TIA sind für jede nicht angemessene Destination erforderlich.

Brauche ich eine DSFA für Glassbox?

In der Praxis immer ja. Glassbox führt eine systematische, grossangelegte Überwachung von Personen auf regulierten Diensten durch, was die Art. 35-Kriterien erfüllt. Die DSFA muss Masking, Aufbewahrung, Unterauftragsverarbeiter, Residenz, Mitarbeiter-Monitoring-Effekte und automatisierte Entscheidungen abdecken.

Wie binde ich Glassbox rechtskonform ein?

Tenant EU (Irland) wählen. AV-Vertrag und SCC prüfen. Automatisches Feld-Masking aktivieren, gb-mask und data-gb-sensitive an Elemente mit personenbezogenen oder finanziellen Daten setzen. SDK erst nach Einwilligung laden. Kurze Aufbewahrung (oft 30 Tage Replay). Produktteams im Masking-Testing vor jedem Release schulen.

Welche Alternativen zu Glassbox?

Enterprise-Alternativen: Contentsquare (Frankreich), Quantum Metric (USA mit EU-Regionen), FullStory (USA mit EU-Residenz), Dynatrace Real User Monitoring. Open Source / self-hosted: OpenReplay, PostHog. Glassbox unterscheidet sich durch Erfassungstiefe für regulierte Finanz- und Versicherungsfaelle mit starken Forensik- und Reklamationsfunktionen.

Wie aktualisiere ich meine Cookie-Erklärung?

Listen Sie Glassbox-Cookies (_gbsession, _gbvisitor) mit Anbieter (Glassbox Digital Ltd, Israel; Glassbox Digital UK Ltd), Zweck (Sitzungserfassung für Digital Experience Analytics), Laufzeit und Kategorie (Analytik). Beschreiben Sie Session-Replay, Masking, Aufbewahrungsdauer und Residenz. Verlinken Sie die Glassbox-Datenschutzerklärung und bieten Sie einen klaren Opt-out.

Gleiche Kategorie

Weitere Dienste: Analyse

Ganze Kategorie ansehen

Marfeel

Analyse

Panelbear

Analyse

GrowingIO

Analyse

Monitus

Analyse

Splunkd

Analyse

Adobe Experience Platform Identity Service

Analyse

Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.

Mein Banner erstellenMeine Website scannen