Tracker-Einstellungen
Alle Tracker-Features steuern Sie zentral im Dashboard unter Analytics → Einstellungen — pro Website, ohne Re-Embed, ohne Deploy. Der Tracker liest seine Konfiguration bei jedem Seitenaufruf vom Server (HTTP-Cache 5 Minuten), das eingebettete Snippet trägt nur die Site-ID. Diese Seite erklärt jeden Toggle, die Einwilligung, Sample-Rate, Masken-Selektoren und URL-Ausschluss.
# Tracker-Features (5 Toggles)
Formular-Analyse
Erfasst Views, Fokus, Drop-off und Submit pro Formular und Feld (Tracker-Feld f). Der Dashboard-Tab Analytics → Conversions zeigt im Abschnitt Formulare den Funnel und Field-Level-Abbrüche; der Report selbst ist ab dem Business-Plan freigeschaltet. Der Toggle steht im Settings-Tab ab dem Starter-Plan. Standard: AN.
Video- & Audio-Tracking
Play, Pause, Progress (25/50/75 %) und Ended für native <video> und <audio> (Tracker-Feld m). Dashboard-Tab Analytics → Aufnahmen & Tests, Abschnitt Medien (Report ab Business-Plan), Toggle im Settings-Tab ab Starter. Standard: AN.
Click-Heatmaps
Sammelt je Klick die Koordinaten, den Elementtyp und den sichtbaren Text des Elements (E-Mail-Adressen maskiert) pro URL als Heatmap-Overlay, pseudonym je Sitzung (Tracker-Feld h). Dashboard-Tab Analytics → Heatmap (Report ab Business-Plan), Toggle im Settings-Tab ab Starter. Standard: AN.
Core Web Vitals
LCP, CLS und INP pro Seite — direkt aus dem Browser des Besuchers über die PerformanceObserver-API, kein synthetischer Lab-Test (Tracker-Feld v). Dashboard-Tab Analytics → Performance. Standard: AN.
Session-Recording
Zeichnet DOM-Mutationen + Maus-Events als rrweb-Stream auf (Tracker-Feld r). Standardmäßig AUS — die Aufzeichnung startet erst, wenn die Seite xictraq.consent('granted') signalisiert, und verlangt rechtlich in DE/EU eine ausdrückliche Einwilligung. Dashboard-Tab Analytics → Aufnahmen & Tests; der Report ist ab dem Business-Plan freigeschaltet, der Toggle steht im Settings-Tab ab Starter.
# Einwilligung
Aufnahme nur nach Einwilligung
Das Session-Recording startet erst, wenn Ihre CMP `xictraq.consent('granted')` aufruft, und stoppt bei `xictraq.consent('denied')`. Das ist fest im Tracker verankert; einen Schalter, der die Aufnahme ohne Einwilligung erlaubt, gibt es nicht. Pageviews, Heatmaps, Formulare, Medien und Web Vitals laufen als pseudonyme Aggregat-Analyse nach § 25 Abs. 2 Nr. 2 TDDDG unabhängig davon weiter.
# Sample-Rate
1–100 % aller Besucher
Schieberegler von 1 bis 100 (Tracker-Feld s). Der Wert wird serverseitig auf 1 bis 100 begrenzt und in tracker_config.sample_rate gespeichert; der Endpunkt liefert ihn im Feld s der Konfiguration aus. Durchgesetzt wird die Rate am Ingest: Der Server bildet aus dem Sitzungs-Kennwert einen festen Eimer von 0 bis 99 und verwirft Sitzungen oberhalb der eingestellten Rate. Die Auswahl gilt damit je Sitzung, nicht je Seitenaufruf — eine erfasste Sitzung ist vollständig erfasst, eine verworfene vollständig verworfen, samt ihrer Klicks, Formular-, Medien- und Aufzeichnungsdaten.
# Masken-Selektoren
Zusätzliche CSS-Selektoren maskieren
<input> und <textarea> sind bereits automatisch maskiert (maskAllInputs=true im rrweb-Recorder). Hier können Sie weitere Bereiche per CSS-Selektor unkenntlich machen — z. B. Kunden-IDs, Beträge, persönliche Notizen, Avatare. Beispiele: .credit-card, #email, [data-private], .invoice-amount.
# URL-Ausschluss (Regex)
Pfade gar nicht tracken
Reguläre Ausdrücke (Tracker-Feld xu, je Eintrag bis 500 Zeichen) gegen den URL-Pfad (location.pathname). Sie werden serverseitig gespeichert und im Feld xu der Konfiguration ausgeliefert. Durchgesetzt wird der Ausschluss am Ingest: Der Server verwirft passende Seitenaufrufe — auch den ersten — und ebenso deren Klicks, Formular-, Medien-, Aufzeichnungs- und E-Commerce-Daten. Der Tracker überspringt ausgeschlossene Pfade zusätzlich clientseitig, sobald die Konfiguration geladen ist (Folge-Navigationen in Single-Page-Anwendungen). Typische Einträge: ^/admin (Admin-Backend), ^/checkout/(success|cancel), ^/account, ^/preview. Mehrere Einträge sind erlaubt, je einen pro Zeile.
# Live-Wirkung & Cache
Konfiguration pro Seitenaufruf, 5-Minuten-HTTP-Cache
Der Tracker fragt bei jedem Seitenaufruf den öffentlichen Konfigurations-Endpunkt GET /api/c/{site-id} ab. Dessen Antwort trägt Cache-Control: public, max-age=300, stale-while-revalidate=600 — der Browser-Cache hält die Config also bis zu 5 Minuten. Nach dem Speichern greift eine Änderung damit spätestens beim nächsten Seitenaufruf nach Cache-Ablauf, ohne Hard-Reload, Cache-Buster oder Re-Embed.
Override per HTML (Fallback)
Wer Recording oder Consent-Verhalten im HTML pinnen will (z. B. mehrere Sub-Domains mit gleicher Site-ID, aber unterschiedlichem Recording-Status), kann dies per data-* Attribut am script-Tag tun:
<script defer src="https://api.xictraq.com/t.js"
data-site="YOUR_SITE_ID"
data-record="1"></script>
<noscript><img src="https://api.xictraq.com/api/px?s=YOUR_SITE_ID" alt="" width="1" height="1" style="position:absolute;left:-9999px" referrerpolicy="no-referrer-when-downgrade"></noscript> Neben data-site (Pflicht) und data-api (abweichende API-Basis) liest der Tracker nur data-record als data-* Attribut aus. data-record="1" erzwingt das Recording, data-record="0" schaltet es hart aus (überstimmt die Server-Konfiguration). Ein Consent-Attribut braucht es nicht: die Aufnahme wartet in jedem Modus auf xictraq.consent("granted"). Forms, Media, Heatmap, Web Vitals, Sample-Rate, Mask-Selektoren und URL-Exclude-Regeln werden serverseitig im Settings-Tab konfiguriert; der Server setzt sie sofort am Ingest durch, der Tracker im Browser folgt beim nächsten Seitenaufruf nach Cache-Ablauf.
Die optionale <noscript>-Zeile darunter ist ein Pixel-Fallback: Sie feuert nur, wenn kein JavaScript läuft (Besucher mit deaktiviertem JS, einfache Bots) und ruft ein 1×1-Pixel ab. Diese Aufrufe werden separat als Quelle „Pixel“ erfasst und als Maschinen-Traffic klassifiziert — sie zählen nicht zu den menschlichen Analytics-Zahlen, sondern erscheinen nur unter dem „Inkl. Bots“-Filter. Verwenden Sie dieselbe Site-ID wie im data-site des Trackers.
# Konfigurations-Vertrag (für Entwickler)
Der öffentliche Endpunkt GET /api/c/{site-id} liefert die gespeicherten Settings als kompaktes JSON mit Kurz-Schlüsseln (CORS offen, ohne Authentifizierung). Unbekannte oder noch nicht verifizierte Site-IDs erhalten die Standardwerte, sodass der Tracker auf jeden Fall funktioniert.
{
"f": 1, // forms — Formular-Analyse
"m": 1, // media — Video-/Audio-Tracking
"r": 0, // record — Session-Recording (Opt-in)
"h": 1, // heatmap — Click-Heatmaps
"v": 1, // web_vitals — LCP / CLS / INP
"c": 0, // consent — 1 = "Consent erforderlich"
"ms": [], // mask_selectors — CSS-Selektoren
"xu": [], // exclude_urls — Pfad-Regex
"s": 100 // sample_rate — 1..100
} Server-validierte Werte
Beim Speichern prüft der Server jeden Wert: forms/media/record/heatmap/web_vitals sind boolesch, consent nur 'none' oder 'required', mask_selectors und exclude_urls sind String-Listen (Selektor bis 200, Regex bis 500 Zeichen), sample_rate ist eine Ganzzahl von 1 bis 100. Unbekannte Schlüssel werden verworfen, fehlende Felder fallen auf die Standardwerte zurück. Ein Selektor mit unausgeglichenen Klammern und ein Ausdruck, der sich nicht übersetzen lässt, werden abgelehnt statt gespeichert — eine Regel, die nie greifen kann, soll nicht wie eine wirksame in der Liste stehen.
# Consent-API & CMP-Anbindung
Das Session-Recording wartet immer auf ein explizites Signal aus Ihrer CMP. Rufen Sie die globale JS-API auf, sobald der Besucher zustimmt bzw. ablehnt:
xictraq.consent('granted'); // Aufnahme startet
xictraq.consent('denied'); // Aufnahme stoppt / startet nicht Wann die Aufnahme tatsächlich startet
Das Recording beginnt nur, wenn beide Bedingungen erfüllt sind: das Feature ist aktiviert (Server-Toggle r oder data-record="1") UND xictraq.consent('granted') wurde aufgerufen. Es gibt keinen Auto-Start beim Laden. Mit 'denied' ruft der Tracker intern stopRecording auf. Eine Recording-ID wird pro Tab im sessionStorage gehalten. Eine Aufzeichnung endet mit der Session (Tab schließen), nach 30 Minuten ohne aufgezeichnetes Ereignis (auch Änderungen der Seite zählen) oder mit dem ersten Laden einer Seite nach Mitternacht (UTC); danach beginnt eine neue Aufzeichnung mit neuer Recording-ID. Die beiden letzten Fälle gelten ab Tracker-Fassung 61, eine fest eingebundene ältere Kopie zeichnet bis zum Schließen des Tabs durch. Seitenwechsel innerhalb einer Single-Page-App laden keine Seite und beginnen darum keine neue Aufzeichnung. Die nächste Session zieht die aktuelle Konfiguration.
Consent-Auto-Bridge — Einwilligung automatisch übernehmen
Den manuellen JS-Aufruf brauchen Sie in den meisten Fällen gar nicht: Der Tracker erkennt 16 gängige Consent-Management-Plattformen (CMPs) sowie die Standards IAB TCF v2.2 und Consent Mode v2 automatisch und übernimmt deren Statistik- bzw. Analytics-Einwilligung. Erteilt der Besucher die Einwilligung, starten die consent-pflichtigen Funktionen (derzeit das Session-Recording); widerruft er sie, stoppen sie unmittelbar. Das normale cookieless Tracking läuft davon unabhängig immer. Den manuellen xictraq.consent()-Aufruf können Sie für nicht abgedeckte oder eigene Banner weiterhin nutzen — er hat Vorrang.
# Datenschutzerklärung anpassen
Auch ohne Cookie-Pflicht müssen Sie die Nutzung von XICTRAQ in Ihrer Datenschutzerklärung nennen (Art. 13/14 DSGVO). Kopieren Sie den passenden Textblock und passen Sie ihn an Ihre Situation an.
Basis-Vorlage (Cookieless Analytics)
Reichweitenmessung mit XICTRAQ Diese Website nutzt zur Reichweitenmessung XICTRAQ, ein cookiefreies Analysesystem der XICTRON, 31185 Söhlde. Bei jedem Seitenaufruf werden folgende Daten verarbeitet: die aufgerufene Seite und die verweisende Seite (Referrer), Kampagnen-Parameter, die ungefähre Verweildauer, Bildschirm- und Fenstergröße, die daraus abgeleitete Geräteklasse, Browser- und Betriebssystem-Kategorie samt Version sowie — soweit der Browser sie von sich aus mitteilt — Bauform, Gerätefamilie und Hersteller, der ungefähre Standort (Land, Region, Stadt, Postleitzahl und Koordinaten, aus der IP-Adresse abgeleitet), der Internetanbieter samt Netzkennung (ASN), die eingestellte Sprache sowie Datum und Uhrzeit des Aufrufs. Tritt auf der Seite ein JavaScript-Fehler auf, werden zusätzlich dessen Meldung und Fundstelle verarbeitet; E-Mail-Adressen darin sowie Zugangswerte in enthaltenen Adressen (etwa token= oder key=) werden unkenntlich gemacht. Für die Reichweitenmessung werden keine Cookies gesetzt und keine Informationen im Browser der Nutzer gespeichert oder ausgelesen; eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich. Zur Unterscheidung von Besuchen wird aus der IP-Adresse und einem Tagesschlüssel (Salt) eine pseudonyme Tageskennung gebildet. Der Tagesschlüssel ist ein täglich neu erzeugter Zufallswert und wird nach Ablauf des Tages gelöscht; danach ist eine Zuordnung der Tageskennung zu einer IP-Adresse nicht mehr möglich. Die IP-Adresse wird nur zur Bildung dieser Kennung, zur ungefähren geografischen Zuordnung, zur Bestimmung des Internetanbieters, zur Erkennung automatisierter Zugriffe und für höchstens eine Minute zur Begrenzung der Anfragezahl verwendet und nicht gespeichert. Die Verarbeitung erfolgt auf Grundlage Ihrer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO). Mit XICTRON besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Daten werden auf von XICTRON kontrollierten Servern innerhalb der Europäischen Union verarbeitet und nicht an weitere Dritte weitergegeben.
Zusatz: Heatmaps & Formular-Analyse
Zusätzlich zur Basis-Webanalyse erfasst XICTRAQ Klicks (Heatmaps) sowie Formular-Interaktionen (Feld-Fokus, Abbrüche, Absendungen). Zu jedem Klick werden die Position auf der Seite, der Typ des angeklickten Elements und dessen sichtbarer Text gespeichert; E-Mail-Adressen darin werden unkenntlich gemacht, ausgenommen Adressen der eigenen Domain dieser Website. Diese Daten sind pseudonym: Sie tragen dieselbe Tageskennung wie die Seitenaufrufe des Besuchs; die Kennung selbst enthält weder Namen noch IP-Adresse. Der erfasste sichtbare Text kann Angaben enthalten, die die Seite selbst anzeigt, etwa den Namen eines angemeldeten Kunden, sofern der Bereich nicht maskiert ist. Die Auswertung fasst die Klicks einer Seite als Heatmap zusammen und dient der Verbesserung der Benutzerführung. Eingabeinhalte von Formularfeldern werden nicht gespeichert.
Zusatz: Session-Recording (nur bei Einwilligung)
Mit Ihrer ausdrücklichen Einwilligung zeichnet XICTRAQ Ihre Browsing-Sitzung pseudonym als Session-Recording auf: Die Aufzeichnung trägt eine Tageskennung; die Kennung selbst enthält weder Ihren Namen noch Ihre IP-Adresse. Die Aufzeichnung kann Angaben enthalten, die die Seite selbst anzeigt, etwa Ihren Namen, wenn Sie angemeldet sind, sofern der Bereich nicht maskiert ist. Dabei werden Mausbewegungen, Klicks, Scrollverhalten und Seitenänderungen (DOM-Mutationen) erfasst. Formularinhalte, Passwörter und als sensibel markierte Bereiche werden automatisch maskiert. Die Aufzeichnung beginnt erst nach Ihrem Consent über unser Cookie-Banner und kann jederzeit widerrufen werden. Für die Dauer der Sitzung wird dabei eine Kennung der Aufzeichnung im Speicher Ihres Browsers (sessionStorage) abgelegt; sie wird beim Schließen des Tabs gelöscht und ist von Ihrer Einwilligung nach § 25 Abs. 1 TDDDG mit umfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherdauer: 90 Tage, danach automatische Löschung.
Zusatz: Kundenerkennung (ab Business)
Ab dem Business-Tarif ordnet der Tracker Besuche angemeldeter Kunden automatisch ihrem Kundenkonto zu; dasselbe gilt für Aufrufe von xictraq.identify(). Hat Ihre Website Kundenkonten oder rufen Sie identify() auf, gehört dieser Block in Ihre Datenschutzerklärung. Übergeben Sie weitere Merkmale, ergänzen Sie die Aufzählung.
Kundenerkennung Abweichend von der oben beschriebenen Reichweitenmessung ordnet XICTRAQ Ihre Besuche Ihrem Kundenkonto zu, wenn Sie in einem Kundenkonto dieser Website angemeldet sind. Dazu werden Ihre Kundennummer und, soweit diese Website sie bereitstellt, Ihr Name, Ihre Firma sowie Kundengruppe oder Kundentyp verarbeitet und mit den Seitenaufrufen, Ereignissen und Bestellungen Ihrer Besuche verknüpft, auch über mehrere Tage hinweg. Dafür werden keine Cookies gesetzt und keine Informationen in Ihrem Browser gespeichert. Zuordnungen, die zwölf Monate lang nicht durch einen erneuten Besuch bestätigt wurden, entfernt ein täglicher Löschlauf. Rechtsgrundlage: [bitte ergänzen – mit Ihrer Datenschutzberatung festlegen]