Hotjar

Hotjar ist eine Verhaltensanalyse- und Nutzerfeedback-Plattform. Sie bietet Heatmaps (zeigen, wo Besucher klicken, die Maus bewegen und scrollen), Sitzungsaufzeichnungen (anonymisierte Video-Wiedergaben einzelner Besuche), Umfragen und On-Page-Feedback-Widgets. Sie wird von Produkt- und UX-Teams eingesetzt, um echte Besucherinteraktionen zu verstehen, nicht für Werbezwecke. Hotjar hat keine Werbe-Targeting-Funktion und gibt keine Daten an Werbenetzwerke weiter.

Hotjar ist mit Blick auf DSGVO-Konformität entwickelt. EU-Kundendaten werden in der EU gespeichert (AWS Irland), Hotjar agiert als Auftragsverarbeiter im Rahmen eines AVV und bietet Werkzeuge zur Maskierung sensibler Daten in Aufzeichnungen. Die Konformität hängt jedoch von der Betreiberkonfiguration ab: Sie müssen vor dem Laden des Hotjar-Skripts eine gültige Einwilligung einholen, alle sensiblen Formularfelder aus Aufzeichnungen ausschließen und einen aktuellen AVV mit Hotjar pflegen.

Ja, in der Standardkonfiguration. Hotjar setzt persistente Identifikations-Cookies (_hjid, _hjSessionUser), die zur sitzungsübergreifenden Verfolgung einzelner Besucher verwendet werden. Gemäß ePrivacy-Richtlinie und DSGVO ist eine vorherige informierte Einwilligung über eine konforme CMP erforderlich. Hotjar v3+ bietet jedoch einen cookielosen Modus, bei dem keine persistenten Cookies gesetzt werden. In diesem Modus sind die Einwilligungsanforderungen erheblich reduziert.

Für EU-Kunden speichert Hotjar alle Verhaltensdaten (Heatmaps, Sitzungsaufzeichnungen, Umfrageantworten) in der EU auf AWS eu-west-1 (Irland). Diese Umstellung wurde 2022 abgeschlossen, um EU-US-Datentransferbedenken zu beseitigen. Dies ist ein wesentlicher Compliance-Vorteil gegenüber Tools wie Google Analytics oder Meta Pixel, die Daten in die USA übertragen. Einige operative Sub-Auftragsverarbeiter können in den USA ansässig sein, verarbeiten jedoch keine Sitzungs- oder Heatmap-Daten.

Hotjar setzt vier Haupt-Cookies: _hjid (365 Tage) weist eine eindeutige Besucher-ID zu; _hjSessionUser_[site_id] (365 Tage) speichert den Sitzungsbenutzerkenner; _hjSession_[site_id] (30 Minuten) speichert aktuelle Sitzungsdaten einschließlich Sitzungsnummer und Zeitstempel; _hjAbsoluteSessionInProgress (30 Minuten) erkennt den ersten Seitenaufruf einer Sitzung. Alle Cookies sind Erstanbieter-Cookies und werden in der EU gespeichert.

Standardmäßig unterdrückt Hotjar automatisch alle HTML-Eingabefelder in Sitzungsaufzeichnungen und ersetzt deren Inhalt durch Sternchen. Diese Unterdrückung setzt korrekte HTML-Auszeichnung voraus; nicht standardmäßige oder dynamisch gerenderte Felder werden möglicherweise nicht automatisch erfasst. Betreiber müssen ihre Aufzeichnungen überprüfen und die Suppress-Klasse (data-hj-suppress) oder Element-Unterdrückungseinstellungen verwenden, um sensible Felder explizit auszuschließen. Besondere Aufmerksamkeit ist bei Checkout-Seiten und Registrierungsformularen erforderlich.

Hotjar v3+ hat einen cookielosen Tracking-Modus eingeführt, bei dem keine persistenten Cookies im Browser des Besuchers gesetzt werden. Hotjar erfasst nur aggregierte, nicht identifizierbare Sitzungsdaten und kann mehrere Besuche nicht mit derselben Person verknüpfen. Dies reduziert das Datenschutzrisiko erheblich und kann berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage ermöglichen. Sitzungsaufzeichnungen sind im cookielosen Modus weiterhin verfügbar, jedoch ohne sitzungsübergreifende Identifikation.

Google Analytics und Hotjar verfolgen komplementäre, aber unterschiedliche Zwecke. Google Analytics konzentriert sich auf quantitative Metriken: Besucherzahlen, Herkunft, Seiten und Konversionsraten. Es überträgt Daten an Google-Server in den USA und erfordert eine Einwilligung. Hotjar konzentriert sich auf qualitatives Verhalten: warum Besucher sich so verhalten, wie sie es tun, visualisiert durch Heatmaps und Sitzungsaufzeichnungen. Hotjar speichert EU-Daten in der EU, hat keine Werbenutzung und agiert ausschließlich als Auftragsverarbeiter.