Smartlook

Smartlook setzt First Party Cookies SL_C_<key>_VID (Besucher ID), SL_C_<key>_SID (Sitzungs ID) und SL_C_<key>_KEY (Konfiguration) sowie ein Third Party Cookie auf smartlook.com für das Dashboard. Alle Cookies sind in der Smartlook Dokumentation beschrieben und in die Cookie Richtlinie des Betreibers aufzunehmen.

First Party Cookies SL_C_{key}_KEY, SL_C_{key}_SID und SL_GWPT_Show_Hide_tmp speichern Besucher ID, Session und Dashboard Präferenzen.

Smartlook setzt bis zu drei First Party Cookies auf der Betreiberdomain: SL_C_..._KEY (Besucherschlüssel, 1 Jahr), SL_C_..._VID (Besucher Identifikator, 1 Jahr) und SL_C_..._SID (Sitzungs Identifikator, Session). Sie sind pseudonym und dienen dem Zusammenfügen der Aufzeichnungs Fragmente.

Ja. Session Replay ist nicht unbedingt erforderlich, eine Einwilligung nach Artikel 5(3) ePrivacy ist Pflicht.

Ja. Session Replay, Heatmaps und Klickkarten sind systematische Beobachtung im Sinne der DSGVO und benötigen vorherige, granulare und widerrufbare Einwilligung nach § 25 TDDDG und Art. 6(1)(a) DSGVO. CNIL, Garante und BfDI haben dies bestätigt.

Ja. Smartlook nutzt Session Replay, das von EDSA und Aufsichtsbehörden als systematische Verhaltensüberwachung gilt. Das SDK liest und schreibt auf dem Endgerät und muss daher bis zur Annahme der Analyse Cookies im CMP blockiert sein.

Einwilligung nach Artikel 6(1)(a) DSGVO und Artikel 5(3) ePrivacy.

Rechtsgrundlage ist Artikel 6(1)(a) DSGVO (Einwilligung). Berechtigtes Interesse ist nicht ausreichend, da Session Replay DOM Mutationen aufzeichnet und unbeabsichtigt personenbezogene Daten verarbeiten kann. EU Aufsichtsbehörden verlangen für diese Analytics Kategorie ausdrückliche Einwilligung.

Einwilligung (Art. 6(1)(a) DSGVO + § 25 TDDDG). Berechtigtes Interesse ist für Session Replay ungeeignet: Die systematische Erfassung des Verhaltens schafft ein hohes Risiko für die Rechte der Betroffenen, und die EDSA Leitlinien 8/2020 empfehlen Einwilligung für jede Verfolgung über die strikte Aggregatmessung hinaus.

Smartlook speichert die Replays auf AWS Frankfurt im EWR. Als Cisco Tochter kann Smartlook der Muttergesellschaft Zugriff aus den USA oder Indien gewähren, geregelt durch die Cisco Master Data Protection Terms. Prüfen Sie die aktuelle Subunternehmer Liste und schließen Sie passende Standardvertragsklauseln ab.

Nicht für EU Kunden. Smartlook hostet EU Kundendaten in Brno (Tschechien) und AWS Irland und der DPA stellt keine Übermittlung außerhalb des EWR fest. Cisco ist die US Muttergesellschaft, der EU Betrieb läuft jedoch eigenständig. Nordamerikanische Kunden haben ein separates US Rechenzentrum.

Im Standardbetrieb nein. Smartlook wird in AWS EU gehostet.

Ja. Session Replay zählt zu den Kriterien für eine zwingende DSFA gemäß den EDSA Leitlinien zu DSFAs (systematische Beobachtung, Verarbeitung im großen Maßstab). Behandeln Sie Maskierungsstrategie, Aufbewahrungsdauer, Sampling, Empfänger und Betroffenenrechte.

Ja, eine DSFA ist dringend empfohlen. Session Replay wird vom EDSA als systematische Verhaltensüberwachung eingestuft, ein Kriterium für Hochrisiko Verarbeitung. Führen Sie die DSFA durch und dokumentieren Sie sie vor dem Produktivstart.

Empfohlen angesichts der Granularität der Replays. Maskieren Sie sensible Elemente.

Schließen Sie den DPA aus dem Smartlook Dashboard ab, wählen Sie EU Residenz bei der Registrierung, maskieren Sie jedes Feld mit personenbezogenen Daten, aktivieren Sie IP Anonymisierung, steuern Sie das SDK über die Kategorie Analyse oder Session Replay Ihrer CMP und reagieren Sie mit smartlook.consent oder smartlook.disable auf die Entscheidung des Besuchers.

Schließen Sie den Smartlook AVV ab, aktivieren Sie IP Anonymisierung, binden Sie das SDK an Ihr CMP, markieren Sie alle Formulare und persönlichen Felder mit smartlook hide, schließen Sie Zahlungs und Gesundheitsseiten aus, setzen Sie kurze Speicherfristen und dokumentieren Sie alles im Verzeichnis.

Skript vor der Einwilligung blockieren, smartlook.consentAPI nutzen, Formularfelder standardmäßig maskieren und Aufzeichnungen auf bestimmte Seiten beschränken.

Weitere Session Replay Tools: Hotjar (übernommen von Contentsquare), Microsoft Clarity (kostenfrei, US gehostet), FullStory (US gehostet), LogRocket, Mouseflow (Dänemark, EU gehostet) sowie das Open Source OpenReplay zum Selbsthosting auf EU Infrastruktur.

EU basierte oder selbst gehostete Alternativen sind Matomo Heatmaps und Session Recording, Mouseflow EU, Contentsquare mit EU Hosting, PostHog Self Hosted und Plausible (ohne Replay). Jede Lösung bringt eigene Kompromisse bei Funktionen, Speicherfristen und Datenstandort.

Hotjar, Microsoft Clarity, PostHog Session Replay, Mouseflow, FullStory. EU Lösungen vereinfachen die Compliance.

Listen Sie SL_C_<key>_VID, SL_C_<key>_SID und SL_C_<key>_KEY mit Zweck und Laufzeit auf, weisen Sie das Third Party Cookie auf smartlook.com aus, geben Sie an, dass Smartlook Sitzungen aufzeichnet, und verlinken Sie die Smartlook Datenschutzerklärung und Ihr CMP Präferenzcenter.

Listen Sie alle drei SL_C_... Cookies mit Laufzeit und Zweck auf. Erneuern Sie den Scan nach jedem Smartlook SDK Update, da sich die Cookie Namenskonvention ändern kann. Aktualisieren Sie die Richtlinie, wenn Sie Maskierung, Aufbewahrungsdauer oder Sampling ändern.

Dokumentieren Sie SL_C_* und SL_S_* Cookies, Zweck, Laufzeit und EU Hosting.