Hotjar Incoming Feedback
Hotjar Incoming Feedback ist ein eingebettetes Smiley oder Emoji Widget, mit dem Besucher Seiten bewerten und Freitextkommentare hinterlassen. Da es die Hotjar Identifier mit den anderen Tools der Suite teilt, gilt es als nicht essentielles Tracking, das in der EU eine vorherige Einwilligung erfordert.
Was macht Hotjar Incoming Feedback?
Was Hotjar Incoming Feedback ist
Hotjar Incoming Feedback ist das dauerhaft eingeblendete Widget der Hotjar Insights Suite, die zur Contentsquare Gruppe gehört. Besucher können eine Seite per Smiley oder Emoji Skala bewerten, einen Kommentar verfassen, optional einen Screenshot anhängen und eine E Mail Adresse hinterlassen. Das JavaScript wird von den Hotjar Domains geladen und die Antwort in Ihrem Hotjar Workspace gespeichert. Auch wenn das Tool als leichtgewichtig vermarktet wird, teilt es den Hotjar Identifier mit Heatmaps, Recordings und Surveys, sobald diese auf derselben Seite aktiv sind.
Cookies und Identifier
Beim Initialisieren setzt das Widget mehrere First Party Cookies, darunter _hjSessionUser_* (ein Jahr), _hjSession_* (30 Minuten), _hjFirstSeen, _hjIncludedInSessionSample_* und _hjAbsoluteSessionInProgress. Diese Identifier sowie User Agent, IP Adresse und URL werden an in.hotjar.com und static.hotjar.com übermittelt. Selbst wenn der Besucher das Widget nie öffnet, lädt das Hotjar Skript bei jedem Seitenaufruf und legt Identifier an, was die Pflichten nach DSGVO und TDDDG aktiviert.
DSGVO und ePrivacy Bewertung
Der Hotjar Identifier ist ein personenbezogenes Datum, weil er ein Gerät sitzungsübergreifend wiedererkennt, und auch optionale E Mail sowie Freitext sind regelmäßig personenbezogen. Paragraph 25 TDDDG und Artikel 5(3) ePrivacy verlangen eine vorherige Einwilligung, und Artikel 6(1)(a) DSGVO bildet die zugehörige Rechtsgrundlage. Die DSK und mehrere Aufsichtsbehörden lehnen den Rückgriff auf das berechtigte Interesse für solche Tools ab.
Einwilligung und Konfiguration in der EU
Im EWR und in Großbritannien muss das Hotjar Skript blockiert bleiben, bis die Einwilligung vorliegt. Verbinden Sie das Widget in Ihrem Consent Management Tool mit dem Zweck Analyse oder Feedback, schützen Sie sensible Felder mit der Hotjar Suppress Klasse, anonymisieren Sie die IP und deaktivieren Sie User Attribute, die CRM Identifier transportieren würden. Bieten Sie einen einfachen Widerruf, der die Cookies sofort entfernt, und vermeiden Sie das Verknüpfen von Antworten mit eingeloggten Profilen ohne separate Einwilligung.
Datenübermittlungen und Schrems II
Hotjar verarbeitet EU Traffic in Dublin, aber Contentsquare und Subprozessoren können aus den USA und anderen Drittländern zugreifen. Prüfen Sie, dass Standardvertragsklauseln vorliegen, der US Empfänger nach dem EU US Data Privacy Framework zertifiziert ist und dass eine Transfer Impact Assessment vorliegt. Dokumentieren Sie zusätzliche Massnahmen wie Pseudonymisierung der Identifier und kurze Aufbewahrung der Screenshots.
Praktische Umsetzungsschritte
Führen Sie _hjSessionUser_*, _hjSession_*, _hjFirstSeen und die übrigen Identifier in der Cookie Richtlinie mit Zweck und Dauer auf, nennen Sie Hotjar und Contentsquare als Empfänger und stellen Sie die Aufbewahrung im Workspace passend ein (Default 365 Tage). Schulen Sie Produktteams im Einsatz der Suppress Klasse, prüfen Sie regelmäßig in den Browser Tools, dass das Skript nicht vor Einwilligung feuert, und holen Sie eine neue Einwilligung ein, wenn sich Subprozessoren oder Speicherdauer ändern.
Hotjar Incoming Feedback und die DSGVO
Hotjar Incoming Feedback ist als „Analyse“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Article 6(1)(a) GDPR consent, combined with ePrivacy Directive Article 5(3) which requires prior opt in for non essential cookies and similar identifiers used by the widget. Legitimate interest is generally not appropriate because of cross site identification.
- Risikostufe
- medium
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive 2002/58/EC and national transpositions, EU US Data Privacy Framework where relevant, UK GDPR and PECR for UK visitors.
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist empfehlenswert, sobald Incoming Feedback mit Heatmaps, Recordings oder Surveys kombiniert wird, da der gemeinsame Hotjar Identifier ein verhaltensbezogenes Profiling ermöglicht. Dokumentieren Sie den Datenfluss zu Contentsquare und US Subprozessoren, die Aufbewahrung der Rückmeldungen und Screenshots, die Transfergrundlage und die ergriffenen Schutzmaßnahmen. Beachten Sie die Hinweise des EDSA und die Orientierungshilfe der DSK zu Telemedien.
Beispieltext für Ihr Banner
Wir nutzen Hotjar Incoming Feedback, um optionale Bewertungen und Kommentare zu dieser Seite zu erfassen. Mit Ihrer Einwilligung setzt Hotjar Cookies und Identifier, die in die USA übertragen werden können. Sie können Ihre Auswahl jederzeit in den Cookie Einstellungen ändern.
Was Hotjar Incoming Feedback setzt und kontaktiert
- Tracking-Methode
- Client side JavaScript widget loaded from static.hotjar.com that injects a feedback button (smiley/emoji rating) on the page. Drops first party cookies (_hjSessionUser_*, _hjSession_*, _hjFirstSeen, _hjIncludedInSessionSample) and posts feedback events plus optional screenshots and visitor metadata to in.hotjar.com. No video session replay in this widget, but the same Hotjar identifier is shared across other Hotjar tools when present.
- Serverstandort
- Ireland (AWS Dublin) for EU traffic, with Contentsquare (parent company) headquartered in France and US infrastructure for support and analytics.
- Datenübermittlung außerhalb der EU
- Visitor identifiers, feedback content and optional screenshots may be processed by Contentsquare group entities and sub processors in the United States and other non EEA countries. Hotjar relies on Standard Contractual Clauses and supplementary measures, with the EU US Data Privacy Framework available for US recipients that are certified.
Gesetzte Cookies (5)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| _hjSessionUser_* | first_party | 1 year | Persistent Hotjar user identifier shared across the Hotjar suite, used to recognise the visitor between sessions and to associate feedback with a device. |
| _hjSession_* | first_party | 30 minutes | Short lived Hotjar session identifier used to group feedback events within a single browsing session. |
| _hjFirstSeen | first_party | Session | Marks the first session of a visitor on the site so the widget can distinguish new users from returning ones. |
| _hjIncludedInSessionSample_* | first_party | 2 minutes | Indicates whether the visitor is included in the daily session quota for the workspace, used by the widget to throttle data collection. |
| _hjAbsoluteSessionInProgress | first_party | 30 minutes | Tracks whether the unique page view session is in progress, used by Hotjar internal counters. |
Kontaktierte Drittanbieter-Domains (5)
static.hotjar.comscript.hotjar.comin.hotjar.comvars.hotjar.cominsights.hotjar.com
Häufige Fragen zu Hotjar Incoming Feedback
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Setzt Hotjar Incoming Feedback Cookies?
Ja. Das Widget verwendet die Hotjar Standardcookies, darunter _hjSessionUser_* mit einer Laufzeit von einem Jahr, _hjSession_* mit 30 Minuten, _hjFirstSeen, _hjIncludedInSessionSample_* und _hjAbsoluteSessionInProgress. Sie sind First Party, die Daten werden aber an Hotjar Server übertragen.
Ist eine Einwilligung in der EU erforderlich?
Ja. Da das Skript Identifier auf dem Endgerät ablegt und an Dritte sendet, gelten Paragraph 25 TDDDG und Artikel 5(3) ePrivacy. Das Widget muss blockiert bleiben, bis der Nutzer die Kategorie Analyse oder Feedback bestätigt hat.
Reicht ein berechtigtes Interesse als Rechtsgrundlage?
Nein. Die DSK und der EDSA halten ein berechtigtes Interesse für Tools mit seitenübergreifendem Identifier und Freitexten nicht für ausreichend. Notwendig ist eine Einwilligung nach Artikel 6(1)(a) DSGVO.
Werden die Daten in Drittländer übertragen?
EU Traffic läuft über Dublin, doch Contentsquare und Subprozessoren können aus den USA und anderen Ländern zugreifen. Standardvertragsklauseln und das Data Privacy Framework sind die wichtigsten Instrumente, ergänzt durch Pseudonymisierung und Zugriffsbeschränkungen.
Wann ist eine DSFA nötig?
Eine DSFA empfiehlt sich, wenn Incoming Feedback mit Recordings oder Heatmaps kombiniert wird, wenn Feedback auf sensiblen Strecken wie Gesundheit oder Finanzen erhoben wird oder wenn Screenshots personenbezogene Daten enthalten können.
Wie integriere ich das Widget rechtskonform?
Blockieren Sie den Tag in Ihrem Tag Manager nach Kategorie, koppeln Sie ihn an die Einwilligung, setzen Sie die Suppress Klasse auf sensiblen Feldern, anonymisieren Sie die IP, verkürzen Sie die Aufbewahrung und deaktivieren Sie nicht benötigte User Attribute.
Welche Alternativen vermeiden US Transfers?
Europäische Tools wie Mopinion, Survicate EU, Userback EU oder selbst gehostete Skripte reduzieren oder vermeiden Drittlandtransfers. Einfache statische Smiley Formulare, die an Ihr bestehendes Analytics gekoppelt sind, können ebenfalls genügen.
Wie wird Hotjar in der Cookie Richtlinie genannt?
Führen Sie das Widget in der Kategorie Analyse oder Feedback auf, nennen Sie Contentsquare und Hotjar als Empfänger, beschreiben Sie die Cookies samt Dauer, weisen Sie die USA als mögliches Empfängerland aus und verlinken Sie auf die Hotjar Datenschutzerklärung.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.