Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
PerimeterX, inzwischen Teil von HUMAN Security, ist eine Plattform zur Bot-Abwehr und Betrugsprävention, die echte Nutzer von automatisiertem Datenverkehr unterscheidet. Sie setzt eigene Sicherheitscookies und führt clientseitiges JavaScript aus, das Geräte-, Browser- und Verhaltenssignale sammelt, um jeden Besuch zu bewerten. Da sie auf Geräte-Fingerprinting und dauerhafte Kennungen setzt, wirft sie trotz ihres Sicherheitszwecks konkrete Fragen nach DSGVO und ePrivacy auf. Die Signale werden in den USA im Rahmen des EU US Data Privacy Framework verarbeitet.
PerimeterX ist ein Dienst zur Bot-Abwehr und Betrugsprävention, der nach der Fusion von 2022 inzwischen zu HUMAN Security gehört. Er hilft Websites und Anwendungen dabei, echte menschliche Besucher von automatisiertem Datenverkehr wie Scrapern, Tools für Credential Stuffing und Bots zur Erstellung gefälschter Konten zu unterscheiden. Der Dienst führt clientseitiges JavaScript aus, das Geräte-, Browser- und Verhaltenssignale sammelt, und bewertet anschließend jede Anfrage serverseitig, um sie zuzulassen, herauszufordern oder zu blockieren. Er wird häufig auf Anmeldeseiten, in Bezahlvorgängen und an APIs eingesetzt, wo automatisierter Missbrauch echten finanziellen Schaden verursacht. Da der Schutz in den Anfragepfad eingebettet ist, wirkt er auf jeden Besucher und nicht nur auf jene, die eine bestimmte Funktion nutzen. Diese Kombination aus dauerhaften Kennungen und groß angelegter Bewertung erklärt sowohl den Sicherheitswert als auch die datenschutzrechtliche Sensibilität.
PerimeterX setzt eine kleine Familie eigener Cookies in der Domain des Website-Betreibers. Die Besucherkennung _pxvid bleibt bis zu einem Jahr bestehen und dient als stabile Gerätereferenz, während der Geräte-Hash _pxhd die Konsistenz des Fingerabdrucks über Sitzungen hinweg prüft und das kurzlebige Token _px3 ein signiertes Risikourteil trägt, das sich häufig erneuert. Neben diesen Cookies liest das Client-Skript Geräte- und Browsersignale wie Canvas-, WebGL- und Audiomerkmale, Navigator-Eigenschaften sowie TLS- und HTTP-Fingerabdrücke auf Verbindungsebene. Es erfasst zudem verhaltensbiometrische Daten wie Mausbewegungen, Scrollen und Tipprhythmus während der gesamten Sitzung. Zusammen bilden diese Signale einen Geräte-Fingerabdruck und ein Verhaltensprofil, das der Server nutzt, um ein Bot- oder Mensch-Urteil zu vergeben. Der genaue Cookie-Satz und die Laufzeiten können je nach Bereitstellung und Konfiguration variieren.
Die von PerimeterX verarbeiteten Signale, einschließlich Gerätekennungen und Verhaltensmustern, sind personenbezogene Daten im Sinne der DSGVO, da sie einzelne Nutzer und Geräte herausgreifen und wiedererkennen. Sicherheit und Betrugsprävention können ein berechtigtes Interesse nach Artikel 6(1)(f) sein, und die Erwägungsgründe erkennen die Betrugsprävention ausdrücklich als gültiges Interesse an, doch der Verantwortliche muss dennoch eine Abwägung durchführen und dokumentieren. Die ePrivacy-Richtlinie fügt eine eigene Ebene hinzu, da das Lesen und Speichern von Informationen auf dem Endgerät grundsätzlich eine Einwilligung erfordert, sofern dies nicht für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Behörden wie die CNIL behandeln Geräte-Fingerprinting in dieser Hinsicht wie Cookies. Ob die Ausnahme der unbedingten Erforderlichkeit greift, hängt vom Einzelfall ab und wird tendenziell eng ausgelegt, sodass viele Bereitstellungen nicht annehmen können, dass sie die gesamte Erfassung abdeckt. Dieses Spannungsfeld zwischen einem berechtigten Sicherheitszweck und der ePrivacy-Regel zu Zugriff und Speicherung ist die zentrale Compliance-Frage des Tools.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Viele Betreiber argumentieren, dass die unbedingt erforderlichen Sicherheitscookies und Signale zum Schutz einer Anmeldung oder Zahlung unter die ePrivacy-Ausnahme fallen, und ordnen sie daher einer Kategorie der unbedingten Erforderlichkeit zu, die ohne vorherige Einwilligung lädt. Diese Position ist nur dann vertretbar, wenn die Erfassung sich tatsächlich auf die Sicherheit beschränkt und nicht für Analyse, Werbung oder Profilbildung weiterverwendet wird. Jede Signalerfassung, die über den Schutz des gewünschten Dienstes hinausgeht oder zu anderen Zwecken weiterverwendet wird, sollte in Ihrer Consent-Management-Plattform an eine Einwilligung gebunden werden. Ein praktischer Ansatz besteht darin, PerimeterX als Sicherheitsmaßnahme einzustufen, zu dokumentieren, warum jedes Cookie und Signal erforderlich ist, und sicherzustellen, dass Ihre CMP diese Einstufung transparent widerspiegelt. Sie sollten das Geräte-Fingerprinting im Cookie-Hinweis klar beschreiben, damit Nutzer verstehen, dass mehr als einfache Cookies im Spiel sind.
HUMAN Security hat seinen Sitz in den USA und betreibt seine Dienste von dort, sodass Signale europäischer Besucher zur Verarbeitung in die USA übermittelt werden. HUMAN zertifiziert sich selbst unter dem EU US Data Privacy Framework sowie seinen britischen und schweizerischen Erweiterungen, was teilnehmenden Organisationen einen auf Angemessenheit gestützten Übermittlungsmechanismus bietet. Wo der Rahmen eine bestimmte Übermittlung nicht abdeckt, dienen die Standardvertragsklauseln als Rückfallgarantie. Als Verantwortlicher sollten Sie den aktuellen Zertifizierungsstatus prüfen, den gewählten Übermittlungsmechanismus in Ihrem Verzeichnis festhalten und eine Folgenabschätzung der Übermittlung durchführen, wenn Ihr Risikoansatz dies verlangt. Der Nachweis dieser Mechanismen ist wichtig, da sich der rechtliche Rahmen für transatlantische Übermittlungen mehrfach geändert hat.
Schließen Sie zunächst einen Auftragsverarbeitungsvertrag mit HUMAN Security ab und erfassen Sie genau, welche Cookies und Signale auf Ihrer Website gesammelt werden. Dokumentieren Sie Ihre Abwägung des berechtigten Interesses für die Betrugsprävention und entscheiden Sie pro Seite oder Vorgang, ob die Ausnahme der unbedingten Erforderlichkeit wirklich greift oder eine Einwilligung nötig ist. Aktualisieren Sie Ihre Datenschutzerklärung und Ihre Cookie-Richtlinie, um die Sicherheitscookies zu benennen, das Geräte-Fingerprinting und die Verhaltensanalyse zu erläutern und anzugeben, dass die Signale in den USA verarbeitet werden. Konfigurieren Sie Ihre Consent-Management-Plattform so, dass jede nicht wesentliche Erfassung bis zur Zustimmung des Nutzers blockiert wird. Legen Sie angemessene Speicherfristen fest und bestätigen Sie mit dem Anbieter, wie lange Kennungen wie das Besucher-Cookie bestehen bleiben. Überprüfen Sie schließlich die Konfiguration regelmäßig, damit Ihre Dokumentation mit der tatsächlichen Bereitstellung des Produkts übereinstimmt.
Websites using PerimeterX (HUMAN Security) must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung wird dringend empfohlen, da PerimeterX dauerhaftes Geräte-Fingerprinting, verhaltensbiometrische Daten und eine groß angelegte automatisierte Bewertung jedes Besuchers kombiniert, was eine systematische Überwachung im Sinne von Artikel 35 darstellt. Die Bewertung sollte die Erforderlichkeit und Verhältnismäßigkeit des Fingerprintings für die Betrugsprävention, die Speicherung von Besucherkennungen wie dem ein Jahr gültigen _pxvid-Cookie, die Übermittlung der Signale in die USA und die Maßnahmen dokumentieren, die eine Weiterverwendung über die Sicherheit hinaus begrenzen. Sie sollte zudem das berechtigte Sicherheitsinteresse gegen die Auswirkungen auf Nutzer abwägen, die einer Schutzmaßnahme nicht ohne Weiteres widersprechen können.
Sample consent text
Diese Website nutzt PerimeterX von HUMAN Security zum Schutz vor Bots und Betrug. Sie speichert eine Sicherheitskennung auf Ihrem Gerät und analysiert Geräte- und Verhaltenssignale, um Menschen von automatisiertem Datenverkehr zu unterscheiden. Diese Signale werden in den USA verarbeitet.
Third-party domains contacted
perimeterx.netpx-cdn.netpx-cloud.nethumansecurity.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _pxvid | first party security | Up to 12 months | Persistent visitor identifier that gives each device a stable reference so the service can recognise returning visitors and build session history for bot detection. |
| _pxhd | first party security | Up to 12 months | Device hash used to check that the device fingerprint stays consistent across sessions and to support risk scoring. |
| _px3 | first party security | Short lived (refreshes during the session) | Holds a cryptographically signed risk verdict token that confirms whether a request was assessed as human, refreshed frequently. |
| _pxde | first party security | Session | Carries encrypted diagnostic and signal data used to validate the integrity of the security check. |
PerimeterX (HUMAN Security) ist ein essenzieller Dienst, aber Transparenz ist wichtig. Verwalten Sie Ihre gesamte Einwilligung mit FlowConsent.
PerimeterX setzt eigene Sicherheitscookies in der Domain des Betreibers, in der Regel eine Besucherkennung _pxvid mit einer Laufzeit von bis zu einem Jahr, einen Geräte-Hash _pxhd und ein kurzlebiges Token _px3, das ein signiertes Risikourteil trägt. Es liest zudem Geräte- und Browsersignale sowie Verhaltensmuster und verlässt sich nicht allein auf Cookies. Die genauen Namen und Laufzeiten können je nach Bereitstellung variieren.
Das hängt vom Umfang des Tools ab. Wenn die Sicherheitscookies und Signale unbedingt erforderlich sind, um eine vom Nutzer gewünschte Anmeldung oder Zahlung zu schützen, berufen sich viele Betreiber auf die ePrivacy-Ausnahme und laden sie ohne Einwilligung. Geht die Erfassung darüber hinaus oder wird sie weiterverwendet, ist eine Einwilligung erforderlich und die Aktivität sollte im Banner gesteuert werden.
Die Verarbeitung stützt sich meist auf das berechtigte Interesse nach Artikel 6(1)(f) zur Betrugsprävention und Bot-Abwehr, gestützt auf eine dokumentierte Abwägung. Daneben regelt die ePrivacy-Richtlinie die Speicherung und den Zugriff auf dem Gerät, was selbst dann eine Einwilligung erfordern kann, wenn die Verarbeitung auf dem berechtigten Interesse beruht.
Ja. HUMAN Security wird aus den USA betrieben, daher werden Signale europäischer Besucher dorthin zur Verarbeitung übermittelt. Diese Übermittlungen stützen sich auf das EU US Data Privacy Framework und seine britischen und schweizerischen Erweiterungen, wobei bei Bedarf die Standardvertragsklauseln als Rückfalllösung dienen.
Eine Datenschutz-Folgenabschätzung wird dringend empfohlen, da das Tool dauerhaftes Geräte-Fingerprinting, verhaltensbiometrische Daten und eine automatisierte Bewertung jedes Besuchers kombiniert, was eine systematische Überwachung darstellt. Die Bewertung sollte Erforderlichkeit, Verhältnismäßigkeit, Speicherung der Kennungen und die US-Übermittlung abdecken.
Schließen Sie einen Auftragsverarbeitungsvertrag ab, erfassen Sie die gesammelten Cookies und Signale und dokumentieren Sie Ihre Abwägung des berechtigten Interesses. Aktualisieren Sie Datenschutzerklärung und Cookie-Richtlinie, um das Fingerprinting und die Verarbeitung in den USA zu beschreiben, und konfigurieren Sie Ihre Consent-Management-Plattform so, dass jede nicht wesentliche Erfassung auf die Einwilligung wartet.
Weitere Optionen zur Bot-Abwehr und Betrugsprävention sind Cloudflare Bot Management, Akamai Bot Manager, DataDome und Arkose Labs. Jede trifft andere Abwägungen bei Fingerprinting, Hosting-Region und Einwilligungslage, daher sollten Sie sie an Ihren Anforderungen zur Datenresidenz messen.
Führen Sie die Sicherheitscookies nach Möglichkeit namentlich auf, nennen Sie Zweck und Laufzeit und erläutern Sie, dass auch Geräte-Fingerprinting und Verhaltensanalyse genutzt werden. Weisen Sie darauf hin, dass Signale in den USA verarbeitet werden, benennen Sie den Übermittlungsmechanismus und überarbeiten Sie den Text bei jeder Konfigurationsänderung.