Datenschutz bei der Datenerhebung im Online-Shop

Kreditkartennummern lesbar in der Aufzeichnung

Jede Ziffer einer Kreditkartennummer, lesbar im Session-Recording. Deine Teamleiterin Kasia ruft dich Dienstag um 13:45 Uhr an ihren Bildschirm. Im Playback des neuen Analysetools läuft eine Checkout-Aufzeichnung, und jede Eingabe der Kundin ist sichtbar. Das Tool ist seit drei Tagen live. Niemand hat die Feldmaskierung konfiguriert.

Aufgezeichnete Zahlungsdaten sind eine meldepflichtige Datenpanne. Die Aufsichtsbehörde muss innerhalb von 72 Stunden informiert werden. Mögliches Bußgeld nach Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Vorjahresumsatzes (der höhere Betrag gilt). Kasia stoppt die Aufzeichnung sofort und informiert die Datenschutzbeauftragte.

Die rechtskonforme Konfiguration deines Cookie-Banners ist die Grundlage für jede Datenerhebung im Shop. Aber selbst mit sauberer Einwilligung: Was passiert mit den Daten, die danach tatsächlich aufgezeichnet werden? Session-Recordings und Heatmaps liefern wertvolle UX-Einblicke, doch ohne korrekte Maskierung sensibler Felder wird jedes dieser Tools zum Compliance-Risiko.

Vier Feldtypen plus zwei Einstellungen

Vor dem Go-live eines Session-Recording- oder Heatmap-Tools müssen mindestens diese vier Feldtypen maskiert sein:

1. Passwortfelder - Login, Registrierung, Passwort-Änderung
2. Kreditkarten- und IBAN-Felder - Zahlungsinformationen jeder Art
3. CVV/CVC-Felder - die dreistellige Prüfziffer auf der Kartenrückseite
4. Freitextfelder - Supportnachrichten, Bestellnotizen, Adresszusätze

Zwei weitere Pflichteinstellungen: IP-Anonymisierung aktivieren (letztes Oktett wird auf null gesetzt). Die Aufbewahrungsfrist für Recordings auf das nötige Minimum begrenzen - in der Praxis oft 30 bis 90 Tage.

⚖️ Vergleich im Kopf: Ein Session-Recording ohne Maskierung zeigt jede Tastatureingabe im Checkout. Eines mit Maskierung zeigt Klickpfade und Scrollverhalten, aber sensible Felder erscheinen als graue Flächen. Welche UX-Erkenntnisse gehen durch die Maskierung tatsächlich verloren?

Fünf Prüfpunkte für die Konformität

Kasias Fall zeigt: Maskierung allein reicht nicht. Die gesamte Datenerhebungspraxis muss fünf Kriterien erfüllen:

1. Rechtsgrundlage - Gibt es für jede erhobene Datenkategorie eine Grundlage nach Art. 6 DSGVO (Einwilligung, Vertrag oder berechtigtes Interesse)?
2. Einwilligung - Wird die Zustimmung vor dem Setzen nicht-essentieller Cookies eingeholt, wie § 25 TDDDG verlangt?
3. Datenminimierung - Werden nur die Daten erhoben, die für den konkreten Analysezweck nötig sind?
4. Zweckbindung - Werden die Daten ausschließlich für den angegebenen Zweck verwendet?
5. Auftragsverarbeitung - Liegt mit dem Tool-Anbieter ein Vertrag nach Art. 28 DSGVO vor?

Fehlt auch nur ein Punkt, drohen Abmahnungen oder Bußgelder.

Warum fehlen nach dem neuen Banner 40 % der Daten?

Ein häufiges Folgeproblem: Nach Einführung eines rechtskonformen Cookie-Banners brechen die Analytics-Zahlen ein. Drei Ursachen erklären den Großteil:

1. Opt-in-Quote gesunken - ein gleichwertiger "Ablehnen"-Button senkt die Zustimmungsrate oft auf 40-60 %. Vorher lag sie bei manipulativen Bannern über 90 %.
2. Banner-Design beeinflusst die Klickrate. Ein schlecht platzierter oder unklarer Banner wird ignoriert oder reflexartig abgelehnt.
3. Tag-Reihenfolge falsch konfiguriert - Analytics-Tags feuern vor der Consent-Abfrage oder werden nach einem "Ablehnen" nicht gestoppt.

Den Rückgang prüfst du mit Vorher-Nachher-Vergleichen: erfasste Sessions, Opt-in-Rate in Prozent, Differenz zwischen Analytics-Daten und Serverlog-Daten.

🧑‍🏫 Erkläre es im Kopf: Stell dir vor, du erklärst einer neuen Kollegin, warum der Datenrückgang nach einem rechtskonformen Cookie-Banner kein Fehler ist, sondern das erwartbare Ergebnis - und welche drei Stellschrauben sie prüfen sollte, um die Datenqualität zu verbessern, ohne die Compliance zu verletzen.