Tracking ohne Einwilligung: Was ist bei Webanalyse möglich?

Was bedeutet „Tracking ohne Einwilligung“?

Gemeint ist eine Auswertung, für die keine vorherige Zustimmung der Besucher erforderlich ist. Das lässt sich nicht pauschal für jede Website oder jedes Werkzeug zusagen. Zwei Fragen müssen getrennt geprüft werden: Greift die Messung auf Informationen im Endgerät zu oder speichert sie dort etwas? Und verarbeitet sie personenbezogene Daten?

Cookieless heißt zunächst nur: ohne Cookies

Eine Messung kann auf Cookies verzichten und Besucher trotzdem wiedererkennen. Dafür kommen etwa Local Storage, Gerätekennungen oder Fingerprinting infrage. Ein Fingerprint setzt Merkmale des Browsers oder Geräts zu einer Kennung zusammen. Solche Verfahren können unter § 25 TDDDG fallen; personenbezogene Kennungen unterliegen außerdem der DSGVO.

Anonym und pseudonym sind unterschiedliche Dinge

Bei pseudonymen Daten ersetzt beispielsweise eine Kennung den Namen. Lassen sich die Daten einer Person zuordnen, bleiben sie personenbezogen. Ein Hashwert macht Daten deshalb nicht von selbst anonym. Auch eine täglich wechselnde Kennung ist kein ausreichender Nachweis für Anonymität.

Für tatsächlich anonyme Informationen gilt die DSGVO nicht. Werden vorher personenbezogene Daten erhoben oder zur Anonymisierung verarbeitet, muss bereits dieser Schritt rechtlich zulässig sein. Nur das fertige Statistikdiagramm zu betrachten, reicht für die Prüfung nicht aus.

Serverseitig beschreibt den Ort der Verarbeitung

Beim serverseitigen Tracking verarbeitet ein Server die Messdaten. Sie können aus Serveranfragen stammen oder zuvor durch ein Skript im Browser erhoben worden sein. Der Wechsel auf einen eigenen Server beseitigt eine mögliche Einwilligungspflicht nicht. Zu prüfen bleiben unter anderem IP-Adressen, Kennungen und die Weitergabe an andere Anbieter.

Welche Messverfahren kommen infrage?

Bei Google Analytics, etracker, Fathom oder anderen Analysewerkzeugen müssen die eingesetzten Funktionen und Einstellungen geprüft werden. Aussagen wie „ohne Cookies“ oder „Hosting in der EU“ beantworten für sich genommen noch nicht, ob Ihre konkrete Nutzung ohne Einwilligung zulässig ist.

Was TDDDG und DSGVO verlangen

Informationen im Endgerät: § 25 TDDDG

§ 25 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden. Dabei müssen die Informationen nicht personenbezogen sein.

Absatz 2 nennt Ausnahmen: etwa wenn der alleinige Zweck die Übertragung einer Nachricht ist oder wenn der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Dass eine Statistik für den Websitebetreiber nützlich ist, begründet für sich allein keine solche Ausnahme.

Personenbezogene Daten: Artikel 6 DSGVO

Wer personenbezogene Daten verarbeitet, braucht dafür eine Rechtsgrundlage. Artikel 6 DSGVO nennt neben der Einwilligung weitere Grundlagen. Ein berechtigtes Interesse setzt unter anderem voraus, dass die Verarbeitung erforderlich ist und die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen. Eine nötige Einwilligung nach § 25 TDDDG ersetzt es nicht.

Je nach Verarbeitung sind außerdem Informationspflichten, Löschfristen, Verträge zur Auftragsverarbeitung und mögliche Übermittlungen in Drittländer zu berücksichtigen. „Wir speichern keine Namen“ reicht als Datenschutzkonzept nicht aus.

Dieser Artikel erläutert technische Zusammenhänge und ersetzt keine Rechtsberatung. Lassen Sie die rechtliche Bewertung Ihrer konkreten Einrichtung durch Ihre Datenschutzverantwortlichen oder eine entsprechend qualifizierte Rechtsberatung prüfen.

Welche Zahlen helfen Ihrem Unternehmen?

Beginnen Sie mit einer Frage, die Sie mit den Daten beantworten wollen. Für einen Dienstleister kann das sein: Welche Angebotsseite führt zu einer Anfrage? Ein Hotel möchte vielleicht wissen, wie häufig Besucher zur Buchungsmaschine wechseln.

• Aufrufe einzelner Angebotsseiten zeigen, welche Inhalte genutzt werden. Sie sind keine verlässliche Zahl unterschiedlicher Personen.
• Ein Klick auf eine Telefonnummer oder E-Mail-Adresse zeigt Interesse. Er belegt noch kein Gespräch und keine Anfrage.
• Erfolgreich übermittelte Formulare lassen sich als Ereignis zählen. Freitext, Namen und E-Mail-Adressen gehören dafür nicht in die Analysedaten.
• Ob eine Anfrage zu einem Auftrag wird, lässt sich im Vertrieb erfassen. Dafür muss nicht der gesamte vorherige Surfverlauf einer Person aufgezeichnet werden.

Diese Beispiele beschreiben sinnvolle Kennzahlen, keine pauschale Freigabe der jeweiligen Messmethode. Prüfen Sie auch, ob URLs oder Referrer personenbezogene Angaben enthalten und welche Rohdaten vor der Zusammenfassung verarbeitet werden.

Wer keine dauerhaften Besucherkennungen nutzt, kann wiederkehrende Besucher oder Wege über mehrere Geräte nicht zuverlässig zuordnen. Für eine monatliche Zahl eindeutiger Besucher reichen täglich wechselnde Kennungen ebenfalls nicht aus. Solche Grenzen sollten in der Auswertung erkennbar sein.

Braucht meine Website dann noch ein Cookie-Banner?

Eine Website kann ohne Einwilligungsbanner auskommen, wenn sie keine einwilligungspflichtigen Funktionen einsetzt. Dazu müssen neben der Webanalyse auch eingebettete Videos, Karten, Werbedienste und andere externe Inhalte geprüft werden. Entfernen Sie ein vorhandenes Banner deshalb erst, wenn die betroffenen Funktionen geklärt und nötige Anpassungen umgesetzt sind.

Was Cookies auf einer Website tun, erklären wir auch in „Alle meine Kekse“.