Heatmap-Tools 2026: Was eine einzige Sitzungsaufzeichnung über Ihre Besucher verrät
Eine einzige Sitzungsaufzeichnung kann mehr über einen Menschen erfassen als ein Dutzend Cookies. Jede Mausbewegung, jedes Zögern, jeder wütende Klick und jedes Scrollen wird protokolliert, mit Zeitstempel versehen und gespeichert, oft zusammen mit einem aus der IP-Adresse abgeleiteten Standort und einem Gerätefingerabdruck. Hotjar, das Werkzeug, das Heatmaps für kleine Unternehmen massentauglich gemacht hat, gibt an, im Laufe seiner Geschichte auf mehr als einer Million Websites eingesetzt worden zu sein. Jede dieser Websites trifft stillschweigend eine Lieferkettenentscheidung im Namen ihrer Besucher: wohin deren Verhaltensdaten fließen, welches Unternehmen sie speichert und welche staatlichen Gerichte darauf zugreifen können. Die meisten Seitenbetreiber stellen diese Frage nie. Für ein europäisches Unternehmen ist das 2026, nach einem Jahrzehnt von Rechtsstreitigkeiten über Datenübermittlungen und nach zahlreichen Prüfungen von Analyse-Skripten durch Aufsichtsbehörden, nicht mehr nur ein ethisches, sondern auch ein Compliance-Risiko. Dieser Vergleich betrachtet Hotjar und Heatmap, das jüngere, umsatzorientierte Tool, das in unserem Katalog als Heatmap.ai geführt wird, durch die Brille, die Democratic Market an jedes Produkt anlegt: Wer stellt es her, wohin gehen die Daten, und welches politische System steht hinter beidem?
Warum die demokratische Herkunft bei Heatmap- und Session-Recording-Tools zählt
Heatmap-Tools nehmen in der digitalen Lieferkette eine besondere Stellung ein. Installiert werden sie vom Websitebetreiber, die Daten aber stammen von den Besucherinnen und Besuchern, die von der Existenz des Tools meist nichts wissen. Diese Asymmetrie macht die Rechtsordnung des Anbieters entscheidend. Werden Verhaltensdaten in einer vollständigen Demokratie verarbeitet, behalten Besucher durchsetzbare Rechte: Auskunft, Löschung, Widerspruch und eine Aufsichtsbehörde, bei der sie sich beschweren können. Werden sie in einem autoritären Staat verarbeitet, existieren diese Rechte nur auf dem Papier, und Sicherheitsdienste können gesetzlichen Zugriff ohne nennenswerte Kontrolle haben. Democratic Market bewertet Analyseanbieter deshalb vorrangig nach dem EIU-Demokratieindex des Landes, in dem das beherrschende Unternehmen sitzt und die Daten gespeichert werden. Frankreich, dessen Contentsquare-Gruppe heute Eigentümerin von Hotjar ist, erreicht 7,99. Die Vereinigten Staaten, Heimat von Heatmap und von Microsoft Clarity, kommen auf 7,85. Dänemark, wo das Konkurrenzprodukt Mouseflow entwickelt wird, erzielt 9,28. Russland, Heimat von Yandex Metrica mit seiner Webvisor-Sitzungswiedergabe, liegt bei 2,22. Die Heatmap, die Sie aus diesen Tools erhalten, mag identisch aussehen. Der rechtliche Schutz der Rohdaten dahinter ist es nicht. Gerade in Deutschland, wo Datenschutzbehörden und Gerichte Tracking-Technologien traditionell streng prüfen, ist diese Unterscheidung keine akademische Übung, sondern eine Frage von Abmahnungen, Bußgeldern und Vertrauen.
Hotjar: maltesischer Ursprung, französischer Eigentümer, Datenspeicherung in Europa
Hotjar wurde 2014 auf Malta gegründet, einem EU-Mitgliedstaat, den die EIU als unvollständige Demokratie einstuft und mit 6,70 bewertet, und wuchs rasch, indem es Heatmaps, Sitzungsaufzeichnungen und Umfragen auf der Seite zu Preisen anbot, die sich auch kleine Unternehmen leisten konnten. 2021 übernahm Contentsquare, das Pariser Unternehmen für Digital-Experience-Analytics, die Firma und hat Hotjar seither in seine umfassendere Plattform integriert, die Marke für kleinere Kunden aber beibehalten. Hotjar gibt an, Kundendaten in der Europäischen Union auf Cloud-Infrastruktur in Irland zu speichern, womit die Kernverarbeitung unmittelbar unter die DSGVO fällt. Seine Datenschutz-Voreinstellungen sind für die Kategorie vergleichsweise zurückhaltend: Tastatureingaben in Formularfeldern werden standardmäßig unterdrückt, Zahlen und E-Mail-ähnliche Zeichenketten können automatisch maskiert werden, und Betreiber können weitere Elemente zur Unterdrückung markieren. Vollständige IP-Adressen werden standardmäßig nicht gespeichert. Die Schwächen liegen woanders. Hotjar ist ein Closed-Source-SaaS, die Maskierungslogik lässt sich also nicht unabhängig überprüfen, und einige Unterauftragsverarbeiter für Support und Infrastruktur sind US-Unternehmen, sodass das EU-US Data Privacy Framework Teil der Compliance-Betrachtung ist. Die kostenlose Stufe ist auf wenige Sitzungen pro Tag begrenzt, und bezahlte Pläne für nennenswerten Traffic beginnen im zweistelligen Eurobereich pro Monat und steigen mit dem Volumen deutlich an. Für die meisten europäischen kleinen und mittleren Unternehmen verschafft die Kombination aus EU-Speicherung und französischem Konzerneigentum Hotjar dennoch ein respektables demokratisches Profil.
Heatmap.ai: US-Umsatz-Heatmaps und die KI-Optimierungsschicht
Heatmap, das Produkt, das in diesem Vergleich als Heatmap.ai bezeichnet und unter der Domain heatmap.com vertrieben wird, ist ein deutlich jüngeres Unternehmen. Branchendatenbanken datieren die Gründung auf 2023, führen es als US-Firma und verzeichnen 2024 eine Seed-Finanzierung von rund vier Millionen Dollar. Das Versprechen unterscheidet sich von dem Hotjars: Statt zu zeigen, wohin Menschen klicken, ordnet Heatmap jedem Element einer Seite Umsatz zu, sodass ein Onlineshop sehen kann, welches Banner, welcher Button oder welche Produktkachel mit den meisten Verkäufen verbunden ist. Hinzu kommen Scroll-Maps, Sitzungsaufzeichnungen und eine KI, die Empfehlungen zur Steigerung der Conversion-Rate erzeugt. Für Direct-to-Consumer-Marken, besonders auf Shopify, ist das ein überzeugendes Angebot. Aus Sicht der demokratischen Herkunft ist das Bild eher gemischt als negativ. Die Vereinigten Staaten übertreffen mit 7,85 unsere Schwelle von 6,0 deutlich, und US-Unternehmen können sich unter dem EU-US Data Privacy Framework zertifizieren lassen. Frühere Beschreibungen in unserem eigenen Katalog legten jedoch nahe, Heatmap.ai verarbeite Sitzungen lokal; diese Behauptung konnten wir nicht bestätigen, und das Produkt wird derzeit als Cloud-Dienst vermarktet. Seine öffentliche Dokumentation zu Datenresidenz, Unterauftragsverarbeitern und Maskierungs-Voreinstellungen ist dünner als die von Hotjar, was für ein Start-up üblich ist, für europäische Käufer aber ins Gewicht fällt. Unser Urteil: akzeptable Herkunft, unzureichende Transparenz, und ein Produkt, das in der EU ansässige Händler erst einsetzen sollten, nachdem sie einen Auftragsverarbeitungsvertrag erhalten haben, der die Speicherorte ausdrücklich benennt.
Heatmap-Tools mit demokratischem Risiko: Yandex Metrica und Baidu Tongji
Zwei kostenlose Analysedienste zeigen, wie eine Herkunft mit hohem Risiko in dieser Kategorie aussieht. Yandex Metrica, ein Produkt des größten russischen Technologiekonzerns, bietet eine leistungsfähige Sitzungswiedergabe namens Webvisor sowie Klick- und Scroll-Maps kostenlos an. Genau dieser Preis ist das Problem. Russland erreicht im EIU-Index 2,22, und russische Gesetze zur Datenlokalisierung und Überwachung, darunter das SORM-System, verschaffen Sicherheitsdiensten weitreichenden Zugriff auf Daten inländischer Unternehmen. Wer Webvisor nutzt, zeichnet das Verhalten seiner Besucher auf und schickt es an ein Unternehmen, das diesem Rahmen unterliegt. Mehrere europäische Aufsichtsbehörden und viele IT-Sicherheitsabteilungen blockieren Yandex-Skripte inzwischen vollständig. Baidu Tongji, das Analyseprodukt der marktbeherrschenden chinesischen Suchmaschine, bietet Heatmaps für Websites mit chinesischem Zielpublikum und unterliegt dem chinesischen Gesetz über die nationale Nachrichtenarbeit von 2017, das Organisationen zur Unterstützung staatlicher Geheimdienstarbeit verpflichtet; China erreicht 2,12. Eine dritte Risikogruppe ist subtiler: billige Heatmap-Tools mit „Lifetime-Deal“, die über Marktplätze verkauft werden, ohne dass ein identifizierbares Unternehmen dahintersteht. Wenn die Nutzungsbedingungen eines Anbieters keine juristische Person, kein Land und keinen Speicherort nennen, behandelt Democratic Market ihn als undurchsichtige Herkunft und schließt ihn aus.
Hotjar vs. Heatmap.ai vs. Alternativen: Funktionen, Preis und demokratisches Profil
Funktional ist Hotjar das umfassendere Werkzeug für UX-Forschung: Heatmaps, Aufzeichnungen, Trichteranalysen, Umfragen auf der Seite, Feedback-Widgets und die Planung von Nutzerinterviews in einer Oberfläche, mit Integrationen für die meisten großen Plattformen. Heatmap ist schmaler aufgestellt, geht aber in einer Dimension tiefer, indem es Verhalten im E-Commerce direkt mit Umsatz verknüpft; seine KI-Empfehlungen richten sich eher an Marketingteams als an UX-Forschende. Preislich bieten beide Testphasen oder begrenzte kostenlose Nutzung und skalieren mit Sitzungen oder Traffic; Heatmap positioniert sich im Premiumsegment für wachsende Shops. Beim demokratischen Profil liegt Hotjar dank EU-Speicherung und französischem Eigentum (7,99) knapp vorn, während Heatmaps US-Basis (7,85) akzeptabel, seine Dokumentation zur Datenresidenz aber schwächer ist. Zwei Alternativen verdienen Aufmerksamkeit. Mouseflow, entwickelt in Kopenhagen, verbindet dänische Rechtsordnung (9,28) und EU-Hosting mit einem Funktionsumfang ähnlich dem von Hotjar. Matomo, die Open-Source-Analyseplattform, deren kommerzieller Träger InnoCraft in Neuseeland (9,61) sitzt, bietet ein Plugin für Heatmaps und Sitzungsaufzeichnungen, das auf dem eigenen Server läuft; die Verhaltensdaten müssen die selbst kontrollierte Infrastruktur also nie verlassen. Viele deutsche Hoster bieten Matomo inzwischen als verwaltete Installation in deutschen Rechenzentren an. Microsoft Clarity ist kostenlos und leistungsfähig, doch das US-Hosting und die Nutzung der Daten für eigene Microsoft-Produkte machen es für datenschutzsensible europäische Websites zur schwächeren Wahl.
Hinzu kommt eine praktische Dimension, die in Funktionstabellen selten auftaucht. Jedes Verhaltensanalyse-Skript macht eine Seite schwerer und konkurriert mit dem eigenen Code der Website um Bandbreite und Prozessor des Besuchers, was die Core Web Vitals und indirekt das Suchmaschinenranking beeinflussen kann. Hotjar, Heatmap und Mouseflow laden asynchron und erfassen in kleineren Tarifen nur Stichproben von Sitzungen, doch die Last wächst mit jeder aktivierten Funktion, besonders bei kontinuierlicher Aufzeichnung. Eine selbst gehostete Matomo-Instanz vermeidet Anfragen an Dritte vollständig und verringert damit auch die Zahl externer Domains, die Werbeblocker und datenschutzorientierte Browser abfangen, was die Vollständigkeit der Daten verbessert. Für Seitenbetreiber bedeutet das: Die demokratische und die technisch schlanke Wahl fallen häufig zusammen. Weniger Anbieter, weniger Übermittlungen und weniger Skripte ergeben eine schnellere Website und eine kleinere Compliance-Angriffsfläche. Vor jedem Vertragsabschluss empfehlen wir einen zweiwöchigen Test mit der Stichprobenrate, die Sie tatsächlich bezahlen würden, und einen Vergleich der Ladezeitberichte mit und ohne installiertes Skript.
EU-Recht 2026: DSGVO, ePrivacy, TDDDG und Datenübermittlungen
Session Recording gehört zu den am stärksten regulierten Formen der Webanalyse in Europa. Artikel 5 Absatz 3 der ePrivacy-Richtlinie verlangt eine vorherige Einwilligung für das Speichern von Informationen auf dem Endgerät oder den Zugriff darauf; in Deutschland setzt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis 2024 TTDSG) diese Vorgabe um. Die Datenschutzbehörden sind sich einig, dass Skripte zur Sitzungswiedergabe darunter fallen; anders als manche minimale Reichweitenmessung kommen Aufzeichnungen nicht für Ausnahmen von der Einwilligungspflicht infrage, wie sie etwa die französische CNIL für eng konfigurierte Analysen gewährt. Liegt die Einwilligung vor, gilt die DSGVO vollständig: Zweckbindung, Datenminimierung, Speicherbegrenzung und die Pflicht, sensible Felder zu maskieren. Internationale Übermittlungen bleiben das zentrale Thema. Das Schrems-II-Urteil von 2020 kippte den Privacy Shield, und 2022 stuften mehrere Behörden, darunter die österreichische DSB und die CNIL, konkrete Einsätze von US-Analysetools als rechtswidrig ein. Das im Juli 2023 angenommene EU-US Data Privacy Framework, das das Gericht der EU im September 2025 bestätigte, hat für zertifizierte US-Anbieter wieder einen legalen Weg eröffnet, bleibt aber politisch fragil, und eine weitere Anfechtung vor dem Gerichtshof wird allgemein erwartet. Für Tools mit KI-Optimierungsfunktionen bringt der AI Act in bestimmten Fällen zusätzliche Transparenzpflichten. Das praktische Ergebnis: EU-Speicherung und europäisches Eigentum sind in diesem Markt inzwischen ein echter Wettbewerbsvorteil. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat in ihrer Orientierungshilfe für Anbieter digitaler Dienste zudem klargestellt, dass Einwilligungsbanner eine gleichwertige Ablehnungsmöglichkeit bieten müssen.
Wie Democratic Market Heatmap- und Analysetools bewertet
Unsere Methodik für Verhaltensanalysen stützt sich auf fünf gewichtete Kriterien. Das erste ist der EIU-Wert der Rechtsordnung, in der die beherrschende Gesellschaft des Anbieters ansässig ist; unter 6,0 bedeutet Ausschluss. Das zweite ist die Datenresidenz: wo Aufzeichnungen und Ereignisdaten standardmäßig gespeichert werden, ob eine reine EU-Speicherung verfügbar ist und welche Unterauftragsverarbeiter darauf zugreifen können. Das dritte ist Datenschutz durch Voreinstellung, also ob Eingabemaskierung, IP-Anonymisierung und kurze Speicherfristen ab Werk aktiviert sind oder eine Konfiguration erfordern, die viele Betreiber nie vornehmen. Das vierte ist Überprüfbarkeit: offener Quellcode, veröffentlichte Audits oder Zertifizierungen wie ISO 27001 und SOC 2. Das fünfte ist Kontrolle, konkret die Frage, ob sich das Tool selbst hosten lässt. Nach diesem Raster schneidet Matomo insgesamt am besten ab, Mouseflow und Hotjar erzielen dank EU-Speicherung und solider Voreinstellungen gute Werte, und Heatmap besteht bei der Herkunft, wird aber wegen mangelnder Transparenz markiert. Yandex Metrica und Baidu Tongji sind ausgeschlossen. Wir überprüfen diese Einstufungen bei Eigentümerwechseln, wie bei Hotjar 2021, und immer dann, wenn sich der Rahmen für Datenübermittlungen zwischen der EU und den Vereinigten Staaten verschiebt.
Kaufberatung Schritt für Schritt: So wählen Sie ein demokratisches Heatmap-Tool
Beginnen Sie mit Ihrem Bedarf. Wenn Sie Usability-Probleme verstehen wollen, dient Ihnen ein Allround-Tool mit Umfragen und Aufzeichnungen wie Hotjar oder Mouseflow besser als ein Produkt zur Umsatzzuordnung. Betreiben Sie einen Shopify-Shop und möchten Layoutentscheidungen mit Verkäufen verknüpfen, ist der Ansatz von Heatmap sinnvoll, sofern Sie die US-Basis akzeptieren. Zweitens: Prüfen Sie die juristische Person des Anbieters und deren EIU-Wert und lesen Sie anschließend die Liste der Unterauftragsverarbeiter. Drittens: Vergewissern Sie sich, dass EU-Datenspeicherung in Ihrem Tarif verfügbar ist, und wählen Sie sie aus. Viertens: Passen Sie vor der Installation Ihre Consent-Management-Plattform so an, dass das Skript erst nach Einwilligung lädt, und dokumentieren Sie den Zweck in Ihrem Verzeichnis von Verarbeitungstätigkeiten. Fünftens: Aktivieren Sie alle Maskierungsoptionen und unterdrücken Sie zusätzlich manuell jedes Element, das personenbezogene Daten enthalten kann, etwa Kontoseiten, Checkout-Felder und Suchfelder. Sechstens: Legen Sie die kürzeste Speicherfrist fest, die Ihre Analyse noch erlaubt, typischerweise 30 bis 90 Tage. Schließlich: Sichten Sie Aufzeichnungen nur in einem kleinen, festgelegten Team und löschen Sie Projekte, die Sie nicht mehr nutzen; vergessene Skripte sind eine häufige Quelle unnötiger Datenerhebung.
Fazit: Welches Heatmap-Tool sollte ein demokratisches Unternehmen wählen?
Für die meisten europäischen kleinen und mittleren Unternehmen bleibt Hotjar eine vernünftige Wahl: Es gehört einem französischen Konzern, speichert Daten in der EU, maskiert sensible Eingaben standardmäßig und bietet zu einem zugänglichen Einstiegspreis das breiteste Forschungsinstrumentarium. Heatmap ist eine glaubwürdige Option für E-Commerce-Teams, die Umsatzzuordnung und KI-gestützte Optimierung wünschen, und seine US-Herkunft besteht unsere Schwelle; wir empfehlen jedoch, vor dem Einsatz auf einer europäischen Website eine schriftliche Bestätigung des Speicherorts und der Maskierungs-Voreinstellungen einzuholen. Wer das stärkste demokratische Profil sucht, behält Verhaltensdaten mit Mouseflow in Dänemark oder einer selbst gehosteten Matomo-Instanz mit Heatmap-Plugin unter dem Schutz vollständiger Demokratien mit Werten über 9. Was auch immer Sie wählen: Meiden Sie kostenlose Tools, deren Geschäftsmodell darauf beruht, dass Daten in autoritäre Rechtsordnungen fließen. Ihre Besucher können nicht sehen, welches Skript sie aufzeichnet. Das macht die Wahl des Anbieters zu Ihrer Verantwortung – und zu einem der deutlichsten Fälle, in denen eine demokratische Kaufentscheidung andere Menschen schützt als Sie selbst.