Hotjar — consent fix
Hotjar (static.hotjar.com/c/hotjar-XXXXX.js) lädt vor der Einwilligung und beginnt sofort mit der Session-Aufzeichnung. _hjid (1 Jahr) und _hjSessionUser Tracking-Cookies werden vor der Einwilligung gesetzt. Session-Aufzeichnungen können personenbezogene Daten enthalten (Formulareingaben, Scroll-Muster).
Domains
hotjar.comstatic.hotjar.comscript.hotjar.comvc.hotjar.iovars.hotjar.com
Cookies
Hotjar beginnt sofort mit der Aufzeichnung von Besuchersitzungen und setzt Tracking-Cookies (wie _hjid, 1 Jahr gültig), sobald Ihre Website geladen wird. Da diese Sitzungsaufzeichnungen (Session Recordings) Details darüber erfassen, wie ein Besucher auf Ihrer Website navigiert, klickt und Formulare ausfüllt, verarbeiten Sie personenbezogene Daten. Geschieht dies, bevor der Besucher Statistik-Cookies zugestimmt hat, verstoßen Sie gegen die DSGVO.
Warum Hotjar zu früh geladen wird
Hotjar wird in der Regel über den Google Tag Manager (GTM) oder als direktes Skript im <head> der Website geladen. Das Problem ist, dass das Skript von Natur aus nicht "wartet". Wenn Sie den GTM-Trigger einfach auf All Pages belassen, beginnt Hotjar sofort mit der Aufzeichnung der Sitzung, noch bevor der Besucher überhaupt die Chance hatte, den Cookie-Banner zu sehen.
Die Lösung: Hotjar erst nach Einwilligung starten
Um Hotjar DSGVO-konform zu machen, müssen Sie das Laden des Skripts verhindern, solange keine Einwilligung für Statistiken (analytics_storage) vorliegt. Die robusteste Methode führt über den Google Tag Manager.
1. Einen Ausnahme-Trigger im GTM verwenden (Empfohlen)
Befolgen Sie diese genauen Schritte in Ihrem GTM-Workspace, um eine harte Blockade einzurichten:
- Öffnen Sie Ihr Hotjar Tracking Code Tag.
- Scrollen Sie zum Abschnitt Trigger.
- Klicken Sie auf Ausnahme hinzufügen.
- Klicken Sie auf das +-Symbol, um einen neuen Trigger zu erstellen.
- Wählen Sie den Triggertyp Benutzerdefiniertes Ereignis.
- Geben Sie als Ereignisname
.*ein und aktivieren Sie Übereinstimmung mit regulärem Ausdruck verwenden. - Wählen Sie Einige benutzerdefinierte Ereignisse.
- Legen Sie die Bedingung fest:
Consent State — analytics_storageist nicht gleichgranted. - Speichern Sie den Trigger als "Exception - No Analytics Consent" und veröffentlichen Sie Ihren GTM-Container.
2. Die Hotjar Consent API (Zusätzliche Sicherheit)
Ist Ihr Hotjar-Skript fest im HTML codiert (hardcoded) und verwenden Sie keinen GTM? Dann können Sie die native Consent API von Hotjar nutzen. Sie müssen jedoch sicherstellen, dass Ihre spezifische Consent Management Platform (CMP) diese API korrekt aufruft.
Sie können den Status von Hotjar mit den folgenden Codezeilen steuern (die Sie mit den Events Ihrer CMP verknüpfen):
// Keine Einwilligung:
hj('consent', false);
// Einwilligung erteilt:
hj('consent', true);
Überprüfung
Verwenden Sie den Network-Tab Ihres Browsers, um zu überprüfen, ob Hotjar die Aufzeichnung tatsächlich stoppt.
- Öffnen Sie Ihre Website in einem Inkognito-Fenster.
- Ignorieren Sie den Cookie-Banner (klicken Sie nichts an).
- Öffnen Sie die Entwicklertools (F12) und navigieren Sie zum Network-Tab.
- Suchen Sie nach
hotjar. Es dürfen keine Skripte vonstatic.hotjar.comgeladen werden, und vor allem: Es dürfen keine Datenverbindungen zuvc.hotjar.io(dem Aufzeichnungs-Endpoint) sichtbar sein.
Sind Sie unsicher, ob die Anpassung funktioniert hat, oder möchten Sie ausschließen, dass andere Skripte noch Daten leaken? Führen Sie einen kostenlosen Scan mit ConsentChecker.eu durch, um sofortige Gewissheit zu erhalten.
Quellen
Noch kein CMP?
Eine Cookie-Management-Plattform (CMP) verwaltet die Einwilligung automatisch für Hotjar und andere Tracker — inklusive der korrekten GTM-Integration.
Eigene Website prüfen
Scannen Sie Ihre Website kostenlos, um zu sehen, ob Hotjar (oder andere Tracker) vor der Einwilligung lädt.
Kostenlosen Scan starten →