Was Clarity von anderen Analyse-Tools unterscheidet
Google Analytics zählt und gruppiert. Clarity zeichnet zusätzlich auf, wie sich die Seite im Browser des Besuchers verändert, und baut daraus Wiedergaben („Recordings“) und Heatmaps. Laut Herstellerdokumentation überträgt das Skript Ereignisse (Klicks, Scrollen, Mausbewegung, Eingaben, Fehler), den Aufbau der Seite (jeder DOM-Knoten mit Position, Attributen und Inhalt) und eine Kennung für Besucher und Sitzung. Maskierter Inhalt wird nach Herstellerangabe nicht hochgeladen.
Die französische Aufsicht CNIL beschreibt Sitzungsaufzeichnungen in ihrem Empfehlungsentwurf als Werkzeuge, die den Weg einer Person durch die Seite von Anfang bis Ende erfassen, und nennt als Risiken dauerhafte Nachverfolgung und übermäßige Datenerhebung (Randnummern 1 bis 3). Das ist die Einordnung einer Behörde in einem nicht verbindlichen Entwurf, kein deutsches Gesetz. Unsere Einordnung: Sie erklärt, warum „kostenlos und harmlos“ als Begründung nicht trägt.
Was wir gemessen haben und was nicht
| Quelle | Was sie zeigt | Was sie nicht zeigt |
|---|---|---|
| Korpus-Messung (2.188.885 Websites, Stand Oktober 2026) | Ob und wann auf einer echten Startseite eine Anfrage an Clarity geht, und welche Cookies dabei vor der Einwilligung auf dem Gerät liegen | Ob die Anfrage nur das Skript holt oder Aufzeichnungsdaten überträgt; wie das Konto des Betreibers eingestellt ist |
| Prüfstand Vorversuch (eigene Testseite, 29. Oktober 2026, 3 Läufe) | Dummy-Projekt-ID: nur der Tag-Abruf (HTTP 204), sonst nichts | Nur der Abruf, nicht das Verhalten der Aufzeichnung (Vorversuch) |
| Prüfstand mit echter Projekt-ID (eigene Testseite, bestehendes Projekt eines eigenen Kontos, 30. Oktober 2026, 3 Läufe) | Welche Anfragen, Cookies und Speichereinträge vor und nach der Einwilligung entstehen | Inhalt der Anfragen, Aufzeichnung über 12 Sekunden hinaus, Verhalten auf echten Seiten mit Verkehr |
Ehrliche Lücke: Gemessen sind Netz- und Cookie-Verhalten mit echter Projekt-ID in 12 Sekunden. Nicht gemessen sind die Inhalte der Anfragen und der Aufzeichnung (Replay-Daten kamen in 12 Sekunden nicht), die Maskierung in der Praxis und die Kontoeinstellungen jenseits des Cookie-Schalters. Der Cookie-Schalter des Projekts stand auf An; eine Einstellung „Cookie-Einwilligung erforderlich“ haben wir in der Oberfläche nicht gefunden. Offene Variable: Dass in Standard und „denied“ keine Cookies entstanden, erklärt der Schalter nicht; naheliegend ist die Durchsetzung des Einwilligungssignals durch den Hersteller ab 31. Oktober 2025 (Vermutung, nicht belegt). Alles andere zum Verhalten auf dieser Seite ist eine Angabe des Herstellers und als solche gekennzeichnet.
Was Clarity im Test vor der Einwilligung sendet
Aufbau: eigene Testseite ohne Banner, Chromium 153 (headless), bestehendes Projekt eines eigenen Kontos mit echter Projekt-ID (Messung von einer lokalen Testseite ohne Besucher), je Konfiguration 3 frische Läufe, 12 Sekunden Messzeit mit Mausbewegung, Scrollen und Klick. Die Einwilligung ist simuliert: Ein Klick auf einen Button ruft die Consent API oder den Lader auf. Als Befund gilt, was in allen 3 Läufen gleich auftrat. Die Projekt-ID nennen wir nicht.
| Konfiguration | Anfragen vor Einwilligung | Hosts | Cookies | Speicher |
|---|---|---|---|---|
| Standard (Snippet, keine Consent API) | 5: Tag-Abruf, Skript, 3 POSTs /collect (zusammen ca. 1,3 KB, ab ca. 400 ms) | Clarity-Tag-, Skript- und Sammel-Hosts | keine | keiner |
| Consent API v2 „denied“ vor dem Snippet | wie Standard: 5, 3 POSTs (ca. 1,35 KB) | wie Standard | keine | keiner |
| Consent API v2 „granted“ (Zusatzlauf) | zusätzlich 3 Pixelabrufe (/c.gif), 3 POSTs (ca. 1,38 KB) | zusätzlich ein Bing-Host | _clck (365 Tage), _clsk (1 Tag), MUID (390 Tage), MR, SRM_B, SM, ANONCHK | _cltk (sessionStorage) |
| Nachladen: Skript erst nach Klick | vor dem Klick: 0; danach dasselbe Bild wie Standard (ca. 1,38 KB) | wie Standard | keine, auch vor dem Klick | keiner |
| Zum Vergleich: Dummy-ID (Vorversuch) | nur Tag-Abruf, HTTP 204 | ein Host | keine | keiner |
Befund: Mit „denied“ ist das Netzbild nicht kleiner als im Standard, Skript und Sitzungsanfragen laufen weiter, was zur Herstellerangabe zum No-Consent-Modus passt (siehe unten). Cookies entstehen erst bei „granted“. Nur das Nachladen nach dem Klick ließ die Phase davor leer. Gesehen haben wir die Größe der Anfragen und ihre Parameter, nicht ihren Inhalt, und keine Replay-Datenpakete; ob sie bei längerer Sitzung folgen, wissen wir nicht. Die Besuche kamen aus Deutschland. Warum Standard und „denied“ keine Cookies setzten, ist nicht belegt: naheliegend ist die Durchsetzung des Einwilligungssignals durch den Hersteller für Besuche aus dem EWR. Der Cookie-Schalter des Projekts stand auf An und erklärt es nicht; eine Einstellung „Cookie-Einwilligung erforderlich“ haben wir in der Oberfläche nicht gefunden. Das ist eine Vermutung, belegt ist sie nicht.
Wie oft Clarity vor der Einwilligung lädt
Stand dieses Abschnitts: Websites, deren letzter erfolgreicher Scan zwischen dem 1. und 24. Oktober 2026 liegt (n = 2.188.885, davon 1.049.885 mit erkanntem Banner und 1.139.000 ohne). Startseiten, einmal im frischen Browser geladen. „Vor der Einwilligung“ heißt bei Seiten mit Banner: vor dem Klick des Scanners auf „Alle akzeptieren“.
| Kennzahl | Anteil | Seiten |
|---|---|---|
| Clarity erkannt (vor oder nach dem Klick) | 1,03 % | 22.517 |
| Clarity vor der Einwilligung, alle Seiten | 0,51 % | 11.221 |
| davon Seiten mit erkanntem Banner (Basis: alle Banner-Seiten) | 0,87 % | 9.142 |
| davon Seiten ohne erkanntes Banner (Basis: alle Seiten ohne Banner) | 0,18 % | 2.079 |
| Banner-Seiten mit Clarity: davon schon vor dem Klick | 44,7 % | 9.142 von rechnerisch 20.438 |
Auf Seiten mit erkanntem Banner lädt Clarity bei 44,7 % der Seiten, die es einsetzen, schon vor dem Klick. Bei den übrigen 55,3 % (rechnerisch 11.296 Seiten) erscheint es erst danach. Das Banner hält Clarity also öfter zurück, als es versagt, aber es versagt bei fast jeder zweiten Einbindung. Bei Seiten ohne erkanntes Banner heißt „erkannt“ dagegen „lädt ohne jede Abfrage“, denn ohne Banner gibt es keinen Klick und keine Nach-Phase. Die Quote 0,18 % ist deshalb mit der Banner-Quote nicht als gleich gemessene Verbreitung vergleichbar.
Zur Größenordnung im selben Stand und derselben Zählweise: Google Analytics 4 lädt auf 6,85 % der Seiten vor der Einwilligung, Matomo auf 3,73 %, Hotjar auf 0,24 % (Hotjar im Vergleich). Ein Treffer bedeutet nur: Es ging eine Anfrage an einen Clarity-Host. Ob Skript oder Aufzeichnung, trennt die Auswertung nicht, und Clarity-Daten über einen eigenen Proxy der Website sieht die Messung nicht.
Cookie-Muster: Der Loader ist da, das Cookie meist nicht
Die folgenden Zahlen stammen aus einem anderen, größeren Stand (Gesamtkorpus mit gemischten Scandaten zwischen 8. August und 24. Oktober 2026, n = 4.920.998). Sie werden nicht mit den Zahlen oben verrechnet. Betrachtet werden die 30.583 Seiten dieses Standes, auf denen Clarity vor der Einwilligung lädt.
| Befund auf diesen 30.583 Seiten | Anteil |
|---|---|
| mindestens ein Cookie vor der Einwilligung (irgendeines) | 93,9 % |
mindestens ein bekanntes Clarity-Cookie (_clck, _clsk, CLID, ANONCHK) | 12,7 % |
Cookie _ga zusätzlich auf der Seite | 35,7 % |
Cookie _fbp (Meta) zusätzlich auf der Seite | 28,4 % |
Cookie _gcl_au (Google Ads) zusätzlich auf der Seite | 28,3 % |
Das erste Muster: Auf 87 von 100 Seiten, auf denen Clarity vor der Einwilligung geladen wird, liegt vor der Einwilligung kein eigenes Clarity-Cookie auf dem Gerät. Über alle Seiten des Standes gerechnet haben nur 0,06 % einen von Clarity stammenden Cookie oder Speichereintrag vor der Einwilligung, und ein Cookie ohne zugehörige Anfrage kam nie vor. Das passt zur Herstellerangabe, dass der Consent Mode im EWR, Großbritannien und der Schweiz standardmäßig aktiv ist und Clarity vor einem gültigen Einwilligungssignal keine Cookies setzt. Ob das die Ursache der Zahl ist, haben wir nicht geprüft; der Zusammenhang ist eine Vermutung, kein Befund. Und ein fehlendes Cookie sagt nichts darüber, ob Daten fließen.
Das zweite Muster: Clarity kommt selten allein. Auf mehr als jeder dritten dieser Seiten liegt vor der Einwilligung auch ein Google-Analytics-Cookie, auf mehr als jeder vierten ein Meta-Cookie. Das heißt nicht, dass Clarity diese Cookies setzt, sondern dass Seiten, die Clarity ohne Abfrage laden, meist mehrere Werkzeuge ohne Abfrage laden. Wer bei einem Mandanten Clarity vor der Einwilligung findet, sollte den ganzen Stack prüfen.
Zählweise: Als eigenes Clarity-Cookie gelten die Namen aus der Herstellerdokumentation. MUID, laut
Hersteller ein Microsoft-weiter Browser-Identifikator, ist nicht in der Liste. Der Anteil mit Clarity-Cookie
ist deshalb eine Untergrenze.
Was der Hersteller zusagt
Die Angaben stammen aus der Dokumentation von Microsoft (von uns abgerufen am 29. Oktober 2026). Es sind Herstellerangaben, keine Messungen von uns.
| Thema | Angabe von Microsoft |
|---|---|
| Consent Mode | Ab dem 31. Oktober 2025 setzt Clarity die Pflicht zu einem gültigen Einwilligungssignal für Besuche aus dem EWR, Großbritannien und der Schweiz durch („begins enforcing“). Für diese Regionen ist der Consent Mode standardmäßig aktiv. |
| Ohne Einwilligung | Clarity läuft in einem „No-Consent-Modus“ mit begrenzter Erfassung und ohne Cookies weiter, mit einer eindeutigen Kennung je Seitenaufruf. Die Prüfanleitung des Herstellers erwartet dabei weiterhin /collect-Aufrufe. |
| Rolle | Laut FAQ „GDPR ready“ und handelnd als „data controller“ (Verantwortlicher). Für Nutzung und Bedingungen verweist die FAQ auf die Clarity-Nutzungsbedingungen und die Microsoft-Datenschutzerklärung. |
| Aufbewahrung | Der Betreiber sieht Daten bis zu 30 Tage ab der Aufzeichnung. Favoriten und eine zufällige Stichprobe bleiben laut FAQ bis zu 9 Monate erhalten. |
Zum No-Consent-Modus. Das ist für Agenturen der wichtigste Satz der Herstellerdoku: Wer im Banner „ablehnen“ wählt und Clarity per Consent API „denied“ meldet, hat damit nach Herstellerangabe nicht abgeschaltet, was Clarity überträgt, sondern nur die Cookies. Unser Test passt dazu: Skript und Sitzungsanfragen liefen mit „denied“ unverändert. Ob eine solche Übertragung ohne Cookie und ohne Einwilligung zulässig ist, beurteilen wir nicht. Eine Aussage einer Aufsichtsbehörde oder eines Gerichts dazu haben wir nicht gefunden.
Zur Rolle. Nach dem CNIL-Entwurf ist ein Anbieter von Sitzungsaufzeichnungen Auftragsverarbeiter, solange er die Daten nicht für eigene Zwecke nutzt. Nutzt er sie mit Zustimmung des Betreibers für eigene Zwecke, ist er für diese Nachverarbeitung allein verantwortlich (Randnummer 10). Welche Konstellation bei Clarity vorliegt, hängt an den Nutzungsbedingungen, die der Betreiber akzeptiert. Wir haben sie nicht ausgewertet und treffen dazu keine Aussage. Ein Auftragsverarbeitungsvertrag von Microsoft für Clarity ist uns nicht bekannt; belegt oder widerlegt haben wir das nicht. Prüfen Sie die Bedingungen, bevor Sie in der Datenschutzerklärung „Auftragsverarbeiter“ schreiben.
Rechtliche Einordnung nach deutscher Aufsichtslinie
Gesetz. Nach § 25 Abs. 1 TDDDG ist die Speicherung von Informationen auf dem Endgerät oder der Zugriff darauf nur mit Einwilligung zulässig. Ausnahmen gelten nach Absatz 2 Nr. 2, wenn der Vorgang unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Für die anschließende Verarbeitung gilt zusätzlich die DSGVO, bei Einwilligung regelmäßig Art. 6 Abs. 1 lit. a.
Aufsichtsauffassung. Die Orientierungshilfe der deutschen Aufsichtsbehörden für digitale Dienste (Version 1.2, November 2024) nennt Sitzungsaufzeichnungen nicht ausdrücklich. Zur Reichweitenmessung sagt sie: Eine Festlegung, ob diese ohne Einwilligung rechtmäßig sei, könne allenfalls für eine genau definierte Konfiguration und Zweckbestimmung getroffen werden und gelte nicht mehr, wenn weitere Informationen über Nutzende hinzukommen (Randnummer 89). Selbst die einfache Besucherzählung sei nicht per se Teil des Basisdienstes, sondern zweckabhängig (Randnummer 90; in Version 1.1 die Randnummern 87 und 88). Unsere Schlussfolgerung, keine Aussage der Behörden zu Clarity: Wenn schon die einfache Zählung diese Hürde hat, ist es schwer, Aufzeichnungen von Mausbewegungen und Seitenaufbau in die Ausnahme zu zählen.
Ausland als Indikator. Die CNIL hat am 25. Februar 2026 einen Empfehlungsentwurf zu Sitzungsaufzeichnungen zur Konsultation gestellt (bis 22. April 2026). Er stützt sich auf französisches Recht, bindet deutsche Betreiber nicht, und eine angenommene Endfassung haben wir am 29. Oktober 2026 nicht gefunden. Wir zitieren die englische Arbeitsübersetzung. Der Entwurf sagt: Das Lesen und Schreiben auf dem Gerät sei nicht unbedingt erforderlich, und die Zwecke einer Sitzungsaufzeichnung unterlägen der vorherigen Einwilligung (Randnummer 19). Für die deutsche Praxis ist das ein Hinweis auf die Richtung der europäischen Aufsicht, keine Regel.
Drittland. Complianty führt Clarity als Anbieter mit Sitz in den USA. Als Grundlage nennt der Hersteller Standardvertragsklauseln zwischen Microsoft Ireland Operations Limited und Microsoft Corporation und gibt auf seiner Datenschutzseite an, die Datenschutzrahmen EU-USA, UK-Erweiterung und Schweiz-USA einzuhalten. Die Listung auf dataprivacyframework.gov haben wir nicht geprüft und behaupten sie deshalb nicht. Zum Rahmen: Das Gericht der EU hat die Klage gegen den Angemessenheitsbeschluss am 3. September 2025 abgewiesen (T-553/23, Pressemitteilung Nr. 106/25). Das Rechtsmittel C-703/25 P (eingereicht am 31. Oktober 2025) führt InfoCuria am 29. Oktober 2026 als anhängig.
Maskierung: Was die Voreinstellung verdeckt
Laut Hersteller maskiert Strict den gesamten Inhalt, Balanced (Voreinstellung) nur sensible Inhalte, wozu der Hersteller Zahlen und E-Mail-Adressen zählt, und Relaxed keinen Inhalt. Eingabefelder und Auswahllisten sind in jedem Modus maskiert. Drei Punkte sind für die Entscheidung relevant:
- Freitext bleibt in Balanced sichtbar. Ein Name in einer Überschrift, ein Ort in einer Bestellübersicht oder eine Kundennummer in Textform sind kein „Zahl oder E-Mail“. Das ist unsere Folgerung aus der Herstellerdefinition. Für Shops, Formulare und Kundenbereiche ist Strict das stimmige Ziel.
- Änderungen wirken nicht rückwirkend. Eine neue Maskierung gilt für neue Aufzeichnungen und kann bis zu einer Stunde dauern. Frühere Aufzeichnungen bleiben unverändert.
- URL-Parameter, Referrer und Stylesheets sind Lücken. Die URL-Maskierung deckt nur die Seiten-URL ab, Parameter müssen über den Support angefragt werden, Referrer- und Klick-URLs sind laut FAQ nicht erfasst, Stylesheets werden nicht maskiert.
Der CNIL-Entwurf empfiehlt, ohne Konfiguration standardmäßig alle betrachteten Kategorien zu maskieren, darunter Bilder, Formulare, Textfelder und dynamisch befüllte Felder (Randnummer 43). Wir vergleichen hier eine Herstellerangabe mit einem nicht verbindlichen Entwurf einer ausländischen Behörde. Das ist keine Feststellung, dass Clarity etwas falsch macht, aber ein Grund, die Voreinstellung bei sensiblen Inhalten nicht als Endpunkt zu behandeln.
Was daraus für den Einsatz folgt
Erst nach der Einwilligung laden. Im Test ging bei nachgeladenem Skript vor dem Klick keine
einzige Anfrage an Clarity hinaus. Mit eingebundenem Standard-Snippet und „denied“ dagegen schon (Tabelle oben).
Wer vor der Einwilligung nichts senden will, lädt das Skript deshalb erst danach. Wer die Consent API (Version 2)
nutzt, meldet beide Signale (ad_Storage, analytics_Storage). Bei „denied“ löscht
Clarity laut Doku vorhandene Cookies und läuft im No-Consent-Modus weiter, was nicht „aus“ bedeutet.
Einbindungsweg prüfen. Der Hersteller nennt neben dem Skript im Theme auch Tag-Manager, Plugins und die Verknüpfung mit Microsoft Advertising (UET-Tag). Wo Clarity im Mandantenbestand trotz funktionierendem Banner vor dem Klick lädt, ist der Einbindungsweg der erste Verdacht; wie häufig welcher Weg die Ursache ist, haben wir nicht gemessen.
Selbst prüfen. Im Netzwerk-Reiter nach clarity.ms filtern, ohne das Banner zu
bedienen, und notieren, ob außer dem Skript (/tag/) auch /collect-Aufrufe vor dem Klick
gehen. Danach ablehnen, neu laden und erneut filtern. Prüfen Sie auch Kasse und Kundenbereich; dort sitzt die
Maskierung am häufigsten schief (unsere Erwartung, nicht gemessen).
Dokumentieren. Zweck, Rechtsgrundlage (bei Einwilligung Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG), Empfänger Microsoft, Drittlandgrundlage, Aufbewahrung und Cookie-Namen gehören in Datenschutzerklärung und Verarbeitungsverzeichnis. Die Rolle tragen Sie erst ein, wenn Sie die Bedingungen geprüft haben. Complianty meldet eine Anfrage an Clarity vor der Einwilligung als Pre-Consent-Befund mit Beweis der Anfrage (Zeitpunkt relativ zum Klick, geschwärzte URL); die Rollenfrage bleibt Sache des Betreibers, nicht des Scanners.
Weiterführend
Die Messmethode steht in der Dokumentation zum Scanner. Zu Cookies vor der Einwilligung insgesamt gibt es die Studie zu Tracking-Cookies, zu US-Übermittlungen die Auswertung zum Drittland-Transfer. Wie man Tracking vor der Einwilligung selbst findet, zeigt dieser Beitrag.