Plerdy

Was ist Plerdy

Plerdy ist eine Verhaltensanalyse-Suite, die Heatmaps, Click-Maps, Session-Video-Aufzeichnungen, Formularanalytik, On-Page-SEO-Checks und Feedback-Widgets in einem Tool bündelt. 2017 in Kiew gegründet, betreibt Plerdy heute regionale Rechenzentren in der EU und in den USA, wodurch EU-Kunden ihre Daten in Frankfurt halten können.

Das Tracking erfolgt über einen einzigen JavaScript-Snippet von plerdy.com. Nach dem Laden schreibt das Skript Identifikations-Cookies, erfasst DOM-Interaktionen und streamt sie an die Plerdy-Backend-Server.

Welche Daten erfasst Plerdy

Auf jeder getrackten Seite erfasst Plerdy die IP-Adresse, den User-Agent, die Bildschirmauflösung, die aktuelle URL, den Referrer, Klickkoordinaten, Scrolltiefe, Hover-Events und Formularinteraktionen. Bei Session-Aufzeichnungen werden sämtliche DOM-Mutationen erfasst, um ein abspielbares Video zu rekonstruieren.

Die Besucheridentifikation stützt sich auf persistente Cookies (_plerdyVisitorId, plerdy_uid), typischerweise 1 Jahr gültig, sowie localStorage-Einträge für Queue-Events und Sitzungszustand. Plerdy unterstützt automatisches Eingabe-Masking und CSS-Klassen (plerdy-mask, plerdy-ignore) zum Ausschluss bestimmter Elemente.

DSGVO, ePrivacy und Datenresidenz

Plerdy LLC agiert als Auftragsverarbeiter nach Art. 28 DSGVO. EU-Kunden müssen bei der Kontoerstellung die Region Frankfurt explizit wählen, andernfalls können Daten in die USA unter SCC transferiert werden. Ein unterzeichneter AV-Vertrag ist erforderlich und im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) zu führen.

Da Plerdy-Cookies und -Aufzeichnungen für den Betrieb der Website nicht zwingend notwendig sind, fallen sie unter Art. 5(3) ePrivacy und §25 TTDSG: vorherige informierte Einwilligung erforderlich. Berechtigtes Interesse kommt nur für aggregierte, nicht identifizierende Heatmaps in Frage, mit dokumentierter Interessenabwägung. Für Session-Aufzeichnungen ist Einwilligung in der Praxis verpflichtend.

Einwilligung und Maskierung

Injizieren Sie das Plerdy-Skript erst nach Einwilligung in die Kategorie Analytik oder Marketing. Konfigurieren Sie das Plerdy-Konto so, dass alle Eingabefelder automatisch maskiert werden, und ergänzen Sie die Klasse plerdy-ignore an Elementen mit potenziell sensiblen Daten (Gesundheit, Zahlung, amtliche IDs).

Auf Seiten mit besonderen Datenkategorien (Art. 9 DSGVO) Session-Aufzeichnungen vollständig deaktivieren und nur aggregierte Heatmaps mit maximaler Maskierung belassen. Die Konfiguration in der DSFA dokumentieren.

Unterauftragsverarbeiter und Transfers

Plerdy nutzt AWS für den primären Speicher (Region je nach Konto) und Cloudflare für CDN und DDoS-Schutz. Cloudflare terminiert TLS auf weltweit verteilten Edge-Knoten, sodass auch für EU-Konten Verkehr durch Drittland-Infrastruktur laufen kann. Dies ist in der Transfer Impact Assessment zu dokumentieren.

Halten Sie die Liste der Plerdy-Unterauftragsverarbeiter in Ihrer Datenschutzerklärung aktuell. Plerdy veröffentlicht die Liste und informiert Kunden über Änderungen; geben Sie diese Information an die Betroffenen weiter, sofern relevant.

Praktische Compliance-Checkliste

Wählen Sie die Region Frankfurt für EU-Traffic. Schließen Sie den AV-Vertrag. Tragen Sie Plerdy ins Verzeichnis ein. Aktivieren Sie das Eingabe-Auto-Masking und versehen Sie sensible Elemente mit plerdy-ignore. Laden Sie das Skript erst nach Einwilligung. Dokumentieren Sie Rechtsgrundlage (Einwilligung) und Residenz in der Datenschutzerklärung.

Setzen Sie eine explizite Aufbewahrungsdauer für Aufzeichnungen (typischerweise 30 bis 90 Tage) und konfigurieren Sie die automatische Löschung. Bei Multi-Country-Deployments dokumentieren Sie die regionale Nutzung und überprüfen die TIA mindestens jährlich.