Ethische Analytik. So wenig Daten wie nötig.
Das Verständnis des Benutzerverhaltens sollte nicht auf Kosten der menschlichen Privatsphäre gehen. Bei MousePlayer entwickeln wir Werkzeuge für Erkenntnisse, nicht für Überwachung.
Wir glauben, dass robuste digitale Analytik und strenger Datenschutz sich nicht ausschließen. Die Architektur von MousePlayer wurde von Grund auf nach dem Prinzip 'Privacy-First' entwickelt und liefert Ihnen die Telemetrie, die Sie zur Verbesserung Ihrer UI/UX benötigen, mit so wenigen personenbezogenen Daten wie möglich. Anonym sind diese Daten nicht – sie sind pseudonym, und wir sagen Ihnen unten genau, was das heißt.
Pseudonym statt namentlich
Uns interessiert *wie* mit Elementen interagiert wird, nicht *wer* damit interagiert. MousePlayer vergibt zufällige, pseudonyme Kennungen für Besucher und Sitzungen; sie gelten nur auf der jeweiligen Website. Es gibt kein websiteübergreifendes Tracking, kein Fingerprinting und keine Versuche, Ihre Besucher zu identifizieren. Einen Namen oder eine eigene Kundenkennung zu einem Besucher gibt es nur, wenn Sie als Betreiber sie selbst übermitteln oder vergeben. Verhaltensprofile und KI-Auswertungen beschreiben Gruppen von Besuchen bzw. einzelne pseudonyme Besucher innerhalb Ihres Projekts; sie werden nicht mit Daten anderer Projekte oder anderer Kunden verknüpft.
Maskierung im Browser
Eingaben werden an der Quelle maskiert. Passwörter und Zahlungsdaten werden auf jeder Maskierungsstufe, in Formularfelder eingegebener Text in der Voreinstellung vollständig direkt im Browser des Besuchers unkenntlich gemacht, bevor Daten an unsere Server übermittelt werden. Was Ihre Seite selbst anzeigt, ist davon nicht erfasst; dafür gibt es die Markierungen weiter unten.
Ihre Daten, isoliert
Wir sind ein Werkzeuganbieter, kein Datenmakler. Ihre Telemetriedaten werden strikt innerhalb Ihres Workspaces isoliert. Wir verkaufen die Daten Ihrer Besucher nicht und geben sie nicht für Werbung, Profiling oder Marketing Dritter weiter. Daten verlassen MousePlayer nur an Empfänger, die Sie selbst einrichten (Integrationen und Freigabelinks), an die in der Liste der Unterauftragsverarbeiter genannten Stellen und dorthin, wo wir gesetzlich zur Herausgabe verpflichtet sind.
Die Mechanik des ethischen Trackings
1. Formulareingabe & Tastenanschlag-Bereinigung
Das Ansehen einer Sitzungswiederholung sollte Usability-Probleme aufzeigen, keine privaten Geheimnisse. Das Tracking-Skript von MousePlayer verwendet eine strenge Bereinigungslogik (Sanitization). Wenn ein Benutzer mit Standard-Eingabefeldern interagiert, werden die erfassten Daten in der Voreinstellung sofort maskiert. Sie sehen, dass ein Benutzer tippt, aber die Zeichen werden durch Sterne ersetzt oder entfernt. Kennwort- und Zahlungsfelder bleiben auf jeder Maskierungsstufe maskiert. Zwei Grenzen gelten, und wir nennen sie, statt sie zu übergehen: die beiden schwächeren Stufen schalten wir nur nach schriftlicher Freigabe frei, und die Maskierung reicht nie in das hinein, was Ihre Seite selbst in das Dokument ausgibt. Beides steht im AVV.
2. DOM-Element-Maskierung
Für Websites, die hochsensible Daten verarbeiten (z. B. medizinische Portale oder Finanz-Dashboards), können Entwickler die Bereiche kennzeichnen, die niemals aufgezeichnet werden dürfen. Es gibt zwei Kennzeichen, und sie tun Verschiedenes.
Das Attribut data-mp-mask oder die Klasse mp-masked am umschließenden Element. Innerhalb dieses Bereichs wird vor dem Verlassen des Browsers jedes Nicht-Leerzeichen jedes Textknotens durch ein Sternchen ersetzt, und jeder Attributwert außer einer kurzen technischen Positivliste durch [FILTERED]. Ersetzt wird auf einer Kopie; die Seite, die der Besucher sieht, bleibt unberührt.
Das Attribut data-mp-ignore oder die Klasse mp-ignore wirkt enger: es unterdrückt die Werte von Formularfeldern. Aus dem Seitenabbild entfernt es nichts.
Hinweis: mp-mask — ohne data- und ohne das abschließende ed — ist kein Kennzeichen und bleibt wirkungslos. Wer es verwendet hat, ersetzt es durch data-mp-mask.
"Unsere Philosophie ist einfach: Was wir gar nicht erst erheben, kann nicht preisgegeben, gestohlen oder missbraucht werden. Datenschutz ist kein Feature, das man einschaltet; er gehört zum Fundament unserer Architektur."
3. Transparente Geolokalisierung
Aus der IP-Adresse eines Besuchers bestimmen wir beim Verbindungsaufbau Land, Stadt und Netzbetreiber. Gespeichert wird die Adresse selbst nur gekürzt (bei IPv4 ohne das letzte Oktett, bei IPv6 ohne den letzten Block). Die vollständige Adresse liegt nur während der Verbindung im Arbeitsspeicher, für wenige Sekunden zur Erkennung von Verbindungsfluten und – wenn sie wegen eines Angriffsverdachts automatisch gesperrt wird – bis zu 24 Stunden als Sperreintrag in unserem Zwischenspeicher.
4. Flüchtige Live-Ansicht
Unser Live Viewer leitet Mauskoordinaten und Seitenänderungen über verschlüsselte Verbindungen (WSS) an den Betrachter weiter. Die Live-Ansicht selbst legt keine zusätzliche Kopie an; gespeichert wird nur, was ohnehin als Sitzungsaufzeichnung gespeichert wird. Sobald die Live-Verbindung endet, wird der temporäre Puffer im Arbeitsspeicher geleert.