Hotjar heißt für neue Konten Contentsquare
Beobachtet am 30. Oktober 2026: Die Anmeldeseite von Hotjar (insights.hotjar.com/login) sagt, Hotjar gehöre
nun zu Contentsquare, und verweist für die Registrierung auf "Contentsquare Free" (bis 200.000 Sitzungen pro
Monat). Ein dort neu angelegtes Konto erhielt als Einbindung <script defer
src="https://t.contentsquare.net/uxa/<ID>.js">, also den Contentsquare-Tag, und nicht den
klassischen Hotjar-Tag (static.hotjar.com/c/hotjar-<hjid>.js). Das Contentsquare-Skript
enthält eine Weiche für die Auslieferung von static.hotjar.com und
static-integration.hotjar.com; die Tag-Technik ist also verwandt. Das ist eine Beobachtung an einem
Konto, keine Aussage über alle Konten oder über Altkonten.
Für Agenturen heißt das: Auf Kundenseiten kann derselbe Dienst in zwei Gestalten stecken. Alte Einbindungen
laden von static.hotjar.com, neue von t.contentsquare.net. Wer nur nach "hotjar" im
Quelltext oder im Tag-Manager sucht, übersieht den neuen Tag. Zur Erkennung im Scanner: Unser Fingerprint-Katalog
führt hotjar.com und hotjar.io als Hotjar und contentsquare.net als
Contentsquare. Der Host t.contentsquare.net wird also als Contentsquare erkannt, nicht als Hotjar.
Eine Quote "Hotjar vor der Einwilligung" zählt den neuen Tag deshalb nicht mit.
Was der Prüfstand gesehen hat
Zwei verschiedene Messungen, nicht vermischen. Der Prüfstand lief in einem frischen Chromium 153, ohne Banner, drei Läufe je Konfiguration, de-DE. Als Befund gilt, was in allen drei Läufen gleich auftrat. Die Kontoeinstellungen des Testprojekts (Replay, Sampling) kennen wir nicht.
Contentsquare-Tag, nicht der klassische Hotjar-Tag (echte Test-ID, 12 Sekunden, mit Mausbewegung, Scrollen und Klick)
| Konfiguration | Anfragen vor der Entscheidung | Cookies | Speicher |
|---|---|---|---|
Standard (script defer) | Tag-Skript (ca. 50 ms), Folgeskript (ca. 400 ms), POST /pageview (ca. 600 ms) | _cs_id und _cs_c (je 395 Tage), _cs_s (Session) | keine Einträge |
Opt-out vor dem Laden (_uxa.push(["optout"])) | Tag-Skript und Folgeskript, kein /pageview | nur _cs_optout (395 Tage) | keine Einträge |
| Skript erst nach Klick nachladen | vor dem Klick 0; nach dem Klick wie Standard | erst nach dem Klick | keine Einträge |
Drei Dinge lassen sich daraus belegen. Erstens geht schon vor einer Entscheidung ein Seitenaufruf-Beacon hinaus
(Parameter unter anderem url, dr, dt, sw, sh,
pid), und drei Cookies stehen. Zweitens wirkt das dokumentierte Opt-out vor dem Laden: kein Beacon,
kein _cs_id. Es speichert aber selbst ein Cookie, und die beiden Skripte werden weiter abgerufen,
die IP-Adresse geht also an den Hersteller. Drittens bleibt ein Skript, das erst nach dem Klick geladen wird,
vorher still. Das gilt für jedes Skript und ist kein Befund über Contentsquare.
Was nicht gesehen wurde: Replay- und Zonendaten gab es in 12 Sekunden nicht, nur den Pageview-Beacon. Was nach
dem Konfigurationsabruf später geschieht, hängt von den Projekteinstellungen ab. Die Cookie-Doku führt
_cs_c als Replay-Einwilligungszustand (Wert 1: nicht ausgedrückt, Sitzung vollständig maskiert). In
je einem von drei Läufen ging zusätzlich ein POST an einen Installationsprüf-Endpunkt hinaus (mit
sessionStorage-Eintrag cs_verify_install_auto); er trat nicht stabil auf und zählt nicht als Befund.
Klassischer Tag: nur Skriptabruf mit Dummy-ID
Den klassischen Hotjar-Tag haben wir nur mit dem offiziellen Snippet und der Dummy-Projekt-ID 1 geladen (acht Sekunden, ohne Klick, drei Läufe, Stand 29. Oktober 2026). Für diese ID liefert der Hersteller ein leeres Skript. Eine echte Hotjar-Projekt-ID hatten wir nicht.
| Konfiguration (klassischer Tag, Dummy-ID) | Anfragen an Dritte | Cookies | Speicher |
|---|---|---|---|
| Standard-Snippet (hjid 1, hjsv 6) | 1: static.hotjar.com/c/hotjar-1.js?sv=6, Status 200, 0 Bytes | keine | keine Einträge |
| Skript erst nach Einwilligung nachladen | 0 | keine | keine Einträge |
Belegt ist hier nur, dass schon der Abruf des Skripts beim Seitenaufruf hinausgeht. Folgeanfragen, Cookies und Speichereinträge einer Einbindung des klassischen Tags mit echter ID haben wir nicht gemessen. Für Cookies liefert der Korpus ein Muster (übernächster Abschnitt).
Wie oft der klassische Hotjar-Tag vor der Einwilligung lädt
Die Zahlen stammen aus unserem Korpus und gelten für Seiten, auf denen unsere Erkennung Hotjar findet (Hosts hotjar.com und hotjar.io); den Contentsquare-Tag zählt sie nicht mit. Stand B enthält nur Scans ab dem 1. Oktober 2026 (2.188.885 Websites, davon 1.049.885 mit und 1.139.000 ohne erkanntes Cookie-Banner), also einen einheitlichen Scanner-Stand. Die Seiten sind zu 91 % .de-Seiten.
| Kennzahl, Stand B | Anteil | Seiten |
|---|---|---|
| Hotjar erkannt (Anfrage vor oder nach Einwilligung) | 0,55 % | 12.066 |
| Hotjar lädt vor der Einwilligung, alle Seiten | 0,24 % | 5.199 |
| davon Seiten mit erkanntem Banner | 0,39 % der Banner-Seiten | 4.123 |
| davon Seiten ohne erkanntes Banner | 0,09 % der Seiten ohne Banner | 1.076 |
| Von den Banner-Seiten mit Hotjar: davon vor der Einwilligung | 37,5 % | nicht ausgewiesen |
Drei Aussagen lassen sich daraus ableiten, und sie sind nicht selbstverständlich.
- Das Banner steht, der Blocker fehlt. Von den 5.199 Seiten mit Hotjar vor der Einwilligung haben 4.123 (79 %) ein erkanntes Banner. Das Tool ist dort also nicht vergessen worden, es wird vom Banner nicht zurückgehalten. Mögliche Ursachen (Vermutung, nicht gemessen) sind ein fest im Theme eingebautes Snippet, ein Container, in dem Hotjar nicht an die Einwilligung gekoppelt ist, oder ein Plugin, das den Code unabhängig vom Consent-Tool einfügt. Welche dieser Ursachen im Einzelfall vorliegt, sieht der Scanner nicht.
- Banner-Seiten halten Hotjar bei knapp zwei Dritteln zurück. Rechnerisch lädt es bei 37,5 % der Banner-Seiten mit Hotjar vor der Einwilligung, bei 62,5 % erst danach. Ein Banner wirkt also, aber nicht verlässlich.
- Ohne erkanntes Banner ist jeder Treffer ein Laden ohne jede Abfrage. Das sind 1.076 Seiten. Die Zahl ist mit der Banner-Spalte nicht gleich gemessen, weil ohne Banner keine Phase nach der Einwilligung existiert. Außerdem heißt "ohne erkanntes Banner" nicht zwingend, dass keines da ist.
Zur Einordnung der Größe: Hotjar ist damit deutlich seltener als Google Analytics 4, das in Stand B auf 6,85 % der Seiten vor der Einwilligung lädt, und seltener als Microsoft Clarity mit 0,51 %. Nachfrage und Verbreitung sind klein. Das ändert nichts an der Eingriffstiefe pro Besucher, wenn das Tool läuft.
Welche Cookies dabei im Korpus auftauchen (klassischer Hotjar-Tag)
Die Cookie-Auswertung gibt es nur für Stand A (Gesamtkorpus, 4.920.998 Websites, Scans vom 8. August bis 24. Oktober 2026, gemischte Scanner-Stände). Wir mischen sie nicht mit Stand B. Gemessen wurde bei den 13.103 Seiten, auf denen Hotjar nach der strengen Zählung vor der Einwilligung lädt, welche Cookies der Browser vor dem Klick schon hält.
| Stand A, 13.103 Seiten mit Hotjar vor der Einwilligung | Anteil |
|---|---|
| mindestens ein Cookie vor der Einwilligung | 99,0 % |
mindestens ein Hotjar-Cookie (_hjSession*, _hjSessionUser* und weitere _hj*) | 87,4 % |
_hjSession* | 87,3 % |
_hjSessionUser* | 87,1 % |
Google-Analytics-Cookie _ga auf derselben Seite | 43,6 % |
Meta-Cookie _fbp auf derselben Seite | 33,7 % |
Das Muster: Wo Hotjar vor der Einwilligung lädt, bleibt es in sieben von acht Fällen nicht beim Laden. Es entstehen auch schon die Hotjar-Cookies, die eine wiederkehrende Person und die laufende Sitzung kennzeichnen. Das ist ein Zugriff auf das Endgerät im Sinne von § 25 TDDDG, und er liegt vor der Entscheidung des Besuchers. Außerdem steht Hotjar selten allein: Bei rund 44 % der Seiten kommt ein Google-Analytics-Cookie dazu. Wer nur Hotjar ausbaut, hat die Lage deshalb oft nicht bereinigt.
Zwei Einschränkungen der Zahl. Erstens ist die Liste der Hotjar-Cookie-Namen eine Annahme unserer Auswertung. Zweitens liegt der Anteil der Seiten, auf denen allein ein Cookie ohne erkannte Anfrage gemessen wurde, bei Hotjar bei 0,00 %: Wir sehen das Cookie praktisch nie ohne das Skript.
Was der Hersteller selbst sagt (Herstellerangabe)
Die folgenden Punkte stammen aus Hotjars Hilfeseiten und den Unterlagen von Contentsquare, zu dem Hotjar gehört. Cookie-Namen und Laufzeiten gelten für den klassischen Hotjar-Tag; für den Contentsquare-Tag gilt unsere Messung oben. Wir haben die Seiten am 29. Oktober 2026 im Browser gelesen und nennen sie in den Quellen. Im Versuch bestätigt haben wir die Angaben nicht. Hersteller ändern ihre Seiten, prüfen Sie sie vor einer Entscheidung im Original.
| Thema | Herstellerangabe | Unsere Einordnung |
|---|---|---|
| Speicherort | Nutzer- und Nutzungsdaten liegen bei AWS in Irland (eu-west-1). Hotjar nennt designierte Unterauftragnehmer, einige außerhalb der EU. Die Liste führt Contentsquare: Dort stehen Konzerngesellschaften unter anderem in den USA, Israel, Singapur, Ägypten und Japan (Support, Wartung, Beratung; Datenart "Visitor, Usage") mit SCCs oder EU-US Data Privacy Framework als Übermittlungsmechanismus. Hotjar Ltd. ist laut Hersteller-FAQ in Malta ansässig. | Der Speicherort ist EU. Ob und wann Konzerngesellschaften in Drittländern tatsächlich auf Besucherdaten zugreifen, steht nicht auf der Liste. Die Einstufung "eu" im Complianty-Katalog bezieht sich auf Sitz und Hosting, nicht auf diese Liste. Tragen Sie den Drittlandbezug im Verarbeitungsverzeichnis ein. |
| Sitzungsbegriff (klassischer Tag) | Eine Sitzung endet nach 30 Minuten ohne Aktivität, die maximale Länge beträgt vier Stunden. Laut Cookie-Seite gilt für _hjSession_{site_id} 30 Minuten (bei Aktivität verlängert), für _hjSessionUser_{site_id} 365 Tage. Beide sind First-Party-Cookies, die auf die Hauptdomain gesetzt werden. |
Relevant für die Beschreibung in der Datenschutzerklärung, nicht für die Rechtsfrage. Die 365 Tage zeigen, dass der Besucher über Monate wiedererkannt werden kann. |
| Maskierung von Eingaben | Bei Aufzeichnungen unterdrückt Hotjar Tastatureingaben in allen Eingabefeldern automatisch, clientseitig im Browser. Weitere Texte, Elemente und Bilder lassen sich per Einstellung ausblenden. Ohne diese Einstellung wird Text auf der Seite laut FAQ nur teilweise unterdrückt, etwa lange Zahlenfolgen. | Sichtbarer Seiteninhalt (Namen, Adressen, Kontostände) ist damit nicht automatisch maskiert. Behandeln Sie die Maskierung als Konfigurationsaufgabe, die Sie an einer Testaufzeichnung selbst prüfen müssen. |
Rechtliche Einordnung
Die folgenden Punkte sind unsere Einordnung der Rechtsquellen, keine Rechtsberatung.
Zugriff auf das Endgerät: § 25 TDDDG
Das gilt für beide Tags. Setzt Hotjar bzw. Contentsquare Cookies oder legt Daten im Speicher des Browsers ab, greift § 25 Abs. 1 TDDDG: Dafür ist eine Einwilligung nötig, es sei denn, der Zugriff ist unbedingt erforderlich, um einen vom Besucher ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Aufzeichnung von Bewegungen und Klicks dient dem Betreiber zur Verbesserung der Seite. Der Besucher hat sie nicht angefordert. Unsere Einordnung: Die Ausnahme greift deshalb in der Regel nicht. Eine Entscheidung einer Aufsicht oder eines Gerichts zu Hotjar nennen wir hier nicht.
Die Orientierungshilfe Digitale Dienste der Datenschutzkonferenz (Version 1.2, November 2024) trifft zur verwandten Reichweitenmessung bewusst keine Aussage, ob sie grundsätzlich ohne Einwilligung zulässig ist (Rn. 87). Eine Festlegung sei allenfalls für eine genau definierte Konfiguration und Zweckbestimmung möglich und gelte nicht mehr, sobald weitere Informationen über Nutzende hinzukommen (Rn. 89). Selbst die einfache Messung von Besucherzahlen sei nicht per se Teil des Basisdienstes, sondern hänge vom konkret verfolgten Zweck ab (Rn. 90). Wenn schon das gilt, trägt eine Sitzungsaufzeichnung den Maßstab erst recht. Das ist unsere Schlussfolgerung aus dem Wortlaut. Die Orientierungshilfe nennt Hotjar, Contentsquare oder Sitzungsaufzeichnungen dort nicht. Sie ist kein Gesetz, Gerichte sind nicht daran gebunden, Aufsichten prüfen in der Praxis an ihr.
Verarbeitung der Daten: DSGVO
Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist die übliche Rechtsgrundlage. Die Anforderungen
(aktiv, informiert, freiwillig) hat der EuGH im Urteil Planet49 (C-673/17) festgelegt. Hotjar verarbeitet
die Daten laut Hersteller als Auftragsverarbeiter des Seitenbetreibers. Dann braucht es einen
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Hersteller stellt ein Data Processing Agreement
bereit, der Link hotjar.com/legal/support/dpa/ führt inzwischen zur Vorlage von Contentsquare
(Stand Oktober 2026, v2026.3). Darin behält sich Contentsquare vor, Kundendaten für Benchmarking und interne
Entwicklung auch als eigener Verantwortlicher zu verarbeiten (Ziff. 2.1). Lesen Sie diesen Punkt vor der
Unterschrift und halten Sie fest, wie Sie damit umgehen.
Drittland
Hotjar Ltd. hat laut Hersteller-FAQ ihren Sitz in Malta, die Daten liegen laut Hersteller in Irland. Die Contentsquare-Liste nennt Konzerngesellschaften in Drittländern (Tabelle oben). Wir können nicht beurteilen, in welchem Umfang diese auf Besucherdaten zugreifen. Dokumentieren Sie den Drittlandbezug deshalb im Verarbeitungsverzeichnis und in der Auftragsverarbeitungsvereinbarung.
Was daraus für die Einbindung folgt
Suchen Sie auf Kundenseiten nach beiden Hosts, static.hotjar.com und t.contentsquare.net.
Gemessen ist: Beim Contentsquare-Tag gehen Beacon und Cookies vor der Entscheidung hinaus, das Opt-out vor dem
Laden verhindert beides, aber nicht den Skriptabruf, und nur ein Nachladen nach dem Klick hält vorher alles
zurück. Aus dem Korpus folgt für den klassischen Tag: Bei 79 % der Seiten mit Hotjar vor der Einwilligung steht
ein erkanntes Banner. Prüfen Sie deshalb jede Stelle, an der der Tag eingebunden sein kann, etwa Theme, Plugin
oder Tag-Manager-Container. Welche Stelle im Einzelfall verantwortlich ist, sieht der Scanner nicht. In
Complianty erscheint Hotjar und Contentsquare je als Tool in der Kategorie Analyse; lädt es vor der
Einwilligung, entsteht ein To-Do "Tool vor Einwilligung" mit den gemessenen Anfragen als Beweis. Den Vertrag
legen Sie je Mandant im AVV-Tracker an.