Microsoft Clarity DSGVO-konform nutzen

Microsoft Clarity (clarity.ms) liefert Heatmaps und Session-Aufzeichnungen und überträgt Daten an Microsoft (USA).

Dass Clarity kostenlos ist, ändert nichts an der Rechtslage: Session-Recording und Heatmaps erfassen das Verhalten einzelner Besucher:innen und sind damit klar einwilligungspflichtig. Microsoft nutzt die aggregierten Daten laut eigenen Angaben auch für eigene Zwecke — das macht die Einordnung als reine Auftragsverarbeitung diskussionswürdig und den sauberen AVV plus die Prüfung der gemeinsamen Verantwortlichkeit umso wichtiger.

Der wichtigste technische Hebel ist die Maskierung. Steht sie auf „Balanced“ oder „Relaxed“, können Klartext-Eingaben und Seiteninhalte in den Aufzeichnungen landen — inklusive versehentlich sichtbarer personenbezogener Daten Dritter. „Strict“ maskiert alle Texte und Eingaben und ist die datensparsame Grundeinstellung.

Für den USA-Transfer gilt dasselbe wie bei anderen Microsoft-Diensten: Über das EU-US Data Privacy Framework ist der Transfer zu Microsoft grundsätzlich abgesichert, solange die Zertifizierung besteht. In der Datenschutzerklärung gehört das als Transfergrundlage benannt.

Clarity lässt sich mit Google Analytics und mit Microsoft Advertising verknüpfen. Diese Integrationen erweitern den Zweck: Aus dem reinen Verhaltens-Verständnis wird eine Datenbasis für Werbe-Auswertung und -Optimierung. Wer die Verknüpfung aktiviert, muss den erweiterten Zweck in der Einwilligung und der Datenschutzerklärung abbilden — eine als „Statistik“ eingeholte Zustimmung deckt Werbe-Zwecke nicht ab.

Praktisch begrenzen lässt sich Clarity über die Projekteinstellungen: Aufzeichnungen können per URL-Regel auf bestimmte Bereiche beschränkt oder von sensiblen Seiten (Login, Konto, Kasse) ausgeschlossen werden, und einzelne Elemente lassen sich per data-clarity-mask / data-clarity-unmask gezielt steuern. Je weniger aufgezeichnet wird, desto einfacher die Rechtfertigung.

Ist das ein Risiko?

Wie bei anderem Session-Recording greift § 25 Abs. 1 TDDDG: Einsatz nur nach vorheriger Einwilligung. Zusätzlich ist ein Auftragsverarbeitungsvertrag mit Microsoft nötig und der Drittlandtransfer zu begründen.

Was du tun kannst

• Clarity in die einwilligungspflichtige Kategorie einordnen und erst danach laden.
• Maskierung auf „Strict“ stellen, sodass Text und Eingaben nicht aufgezeichnet werden.
• AVV abschließen, in der Datenschutzerklärung Microsoft als Empfänger und den USA-Transfer nennen.

Häufige Fragen

Ist Microsoft Clarity ohne Cookie-Banner nutzbar?

Nein. Clarity setzt Cookies und zeichnet Verhalten auf — das ist nach § 25 Abs. 1 TDDDG einwilligungspflichtig. Ohne aktive Zustimmung darf das Skript nicht laden.

Brauche ich einen Auftragsverarbeitungsvertrag für Clarity?

Ja. Microsoft stellt die Vertragsbedingungen bereit; sie sollten dokumentiert und im Verarbeitungsverzeichnis vermerkt sein. Da Microsoft Daten teilweise für eigene Zwecke nutzt, ist zusätzlich zu prüfen, ob eine gemeinsame Verantwortlichkeit vorliegt.

Welche Maskierungsstufe sollte ich wählen?

„Strict“. Damit werden alle Texte und Formulareingaben in den Aufzeichnungen maskiert, was das Risiko unbeabsichtigt erfasster personenbezogener Daten deutlich senkt.

Wie unterscheidet sich Clarity von Google Analytics bei der DSGVO?

Beide sind einwilligungspflichtig. Clarity erfasst zusätzlich konkrete Sitzungsverläufe (Mausbewegung, Klicks, Scrollen), was tiefer in die Privatsphäre eingreift als die aggregierte Reichweitenmessung von GA4.

Wie lange speichert Microsoft Clarity die Daten?

Microsoft gibt eine Aufbewahrung der Aufzeichnungen und Heatmap-Daten von rund 30 Tagen an, danach werden sie gelöscht bzw. aggregiert. Die konkrete Frist und die verarbeiteten Datenkategorien gehören trotzdem in die Datenschutzerklärung.

Darf Clarity nur auf bestimmten Seiten laden?

Ja, und das ist empfehlenswert. Über URL-Regeln im Clarity-Projekt lässt sich die Aufzeichnung auf unkritische Seiten beschränken und von Login-, Konto- und Kassenseiten ausschließen. Das reduziert das Risiko unbeabsichtigt erfasster personenbezogener Daten deutlich.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.