Die Datenschutz-Grundverordnung legte einen neuen Rahmen für Datenschutzgesetze und -vorschriften für die Mitgliedstaaten der Europäischen Union fest.

Die Datenschutzrichtlinie 95/46/EG wurden ersetzt und es wurde auch angestrebt, die Gesetze rund um den Datenschutz in ganz Europa anzupassen. Die Rechte aller EU-Bürger sollen damit geschützt und gestärkt werden. Auch wird die Art und Weise, wie in der kompletten EU mit dem Schutz der Daten umgegangen wird, neu gestaltet.

 

DSGVO – Datenschutzgrundverordnung

Die Datenschutzgrundverordnung DSGVO ist eine Verordnung im EU-Recht zum Datenschutz und zur Privatsphäre für alle Personen innerhalb der Europäischen Union. Sie wurde am 25. Mai 2018 durchgesetzt. Die DSGVO legt die Anforderungen an Organisationen fest, um die personenbezogenen Daten von EU-Bürgern zu schützen.

Diese DSGVO hatte in Europa die Gesetze zum Datenschutz angepasst, den Datenschutz und die Rechte aller EU-Bürger geschützt und gestärkt und die Art und Weise, wie Organisationen in der gesamten Region mit dem Datenschutz umgehen, neu gestaltet.

Sie hatte erhebliche Auswirkungen darauf, wie Daten, die auf eine Person bezogen sind, zu verwalten und wie sie mit Einzelpersonen interagieren. Weiter wurde auch die Übermittlung personenbezogener Daten außerhalb der EU eingeschränkt, es sei denn, es erfolgt ein Nachweis, dass für dieses Land ebendo ein angemessener Datenschutz besteht. Die Verordnung zielt darauf ab, den Bürgern mehr Kontrolle über ihre eigenen Informationen und deren Verwendung durch Organisationen zu geben.

 

Die Datenschutz-Grundverordnung legte einen neuen Rahmen für Datenschutzgesetze und -vorschriften für die Mitgliedstaaten der Europäischen Union fest.

Die Datenschutzrichtlinie 95/46/EG wurden ersetzt und es wurde auch angestrebt, die Gesetze rund um den Datenschutz in ganz Europa anzupassen. Die Rechte aller EU-Bürger sollen damit geschützt und gestärkt werden. Auch wird die Art und Weise, wie in der kompletten EU mit dem Schutz der Daten umgegangen wird, neu gestaltet.

 

Cookies, Webanalyse und Tracking

Eine Analyse einer Webseite ist die Messung des Verhaltens von Besuchern einer Website. Diese Analyse liefert Informationen über die Anzahl der Besucher einer Website, woher sie kommen und was sie beim Besuch der Website tun.

Die gesammelten Daten helfen Unternehmen, ihre Kunden besser zu verstehen und klügere Entscheidungen über zukünftige Marketingkampagnen zu treffen. Meist werden hier Cookies eingesetzt. Cookies sind kleine Dateneinheiten, die auf einem Gerät gespeichert werden. Sie werden verwendet, um Informationen über den Besuch eines Benutzers auf einer Website zu speichern, unter anderem die Zeit, die er auf der Website verbracht hat oder welche Seiten besucht wurden. Das Cookie wird dann bei einem erneuten Besuch des Benutzers an die Website zurückgesendet, damit die Website ihn erkennt und ihm seine Präferenzen anzeigen kann.

Im Zuge der Datenschutzgrundverordnung DSGVO muss der User über die Verwendung von Cookies informiert werden und er muss seine Zustimmung geben. Es wird daher vermehrt an Cookieless Tracking, das ist eine Form des Trackings, bei dem ohne Cookies gearbeitet wird.

 

Eine Analyse der Webseiten mithilfe von Tracking

Ein Teil des Trackings zu Analysezwecken ist eine Reichweitenmessung. Sie soll die Zahl der Besucher und die Region, aus der sie stammen, beantworten. Wichtig ist auch, festzustellen, von welcher Quelle sie auf die Seite gelangt sind uns wie sie sich auf der jeweiligen Seite bewegen. Wenn der Seitenbetreiber die Seite mit Google Ads bewirbt, ist es auch interessant, abzuklären, wie die Google-Ads-Kampagne funktioniert.

Unter Conversion-Tracking versteht man einen Prozess, der die Aktivität eines Besuchers auf einer Website verfolgt, um festzustellen, welche Aktionen zu einem Ziel führen. Es kann Marketingunternehmen helfen zu verstehen, wie Besucher mit ihrer Website interagieren, welche Seiten beliebt sind und wo Besucher ihre Käufe abbrechen.

 

Tracking ohne Einwilligung, eine interessante und oftmals nutzerfreundliche Lösung.

Tracking-Methoden mithilfe von Cookies dürfen seit einem Urteil des EuGH nur noch nach einer Zustimmung des Besuchers der Webseite eingesetzt werden, die in der Regel mittels eines vorgeschalteten Banners abgefragt wird. Solche Cookie-Consent-Abfragen nerven die meisten User gewaltig. Oftmals werden auch die gesetzlichen Anforderungen nicht erfüllt. Es gibt noch einen weiteren Schwachpunkt.

Wenn bei einer Analyse einer Website die Datenerfassung aufgrund einer Einwilligung erfolgte, dürfen nur Daten den Personen verwendet werden, die der Erfassung der Daten auch zugestimmt haben. Wenn bei dem Cookie-Consent die Zustimmung zu den Cookies, die der Datenerfassung dienen, verweigert wurde, gehen diese Daten für die Analyse verloren.

Eine Alternative ist hier eine Website-Analyse, die auch ohne Einwilligung erfolgen kann, das sogenannte „Cookieless Tracking“. Es ist ein System, bei dem Unternehmen Benutzer verfolgen, ohne Cookies zu verwenden.

 

Ist Fingerprinting eine Alternative zum Tracking mithilfe von Cookies?

Es werden hier in der Praxis zwei Verfahren angewandt.

Das Device Fingerprinting oder Geräte-Fingerprinting ist ein Verfahren zur Identifizierung eines Geräts oder Browsers. Es wird ermittelt, welche Technologien wie Betriebssysteme und Plug-ins und weitere aktive Einstellungen angewendet werden. Die Daten werden, anders als Website-Cookies, die auf dem Gerät des Nutzers gespeichert werden, serverseitig gespeichert.

Canvas-Fingerprinting funktioniert unter Ausnutzung des HTML5-Canvas-Elements: Wenn ein Nutzer eine Website besucht, wird sein Browser angewiesen, eine versteckte Textzeile oder 3D-Grafik zu “erstellen”, die dann in ein einziges digitales Token gerendert wird. Das ergibt eine eindeutige Kennung, mit der Nutzer verfolgt werden können, ohne dass diese auf dem Gerät gespeichert wird.

Die Datenschutz-Grundverordnung verbietet zwar nicht die Verwendung von Browser-Fingerabdrücken, verlangt aber von dem Webseitenbetreiber, dass er die Datenerhebung transparent gestaltet und bei der Verarbeitung von Daten, die personenbezogen sind, um Zustimmung bittet.

Der § 25 Abs. 1 TTDSG  ist technikneutral formuliert. Der User muss demnach auch auf sämtliche dieser Tracking-Formen seine Einwilligung geben

Weitere Möglichkeiten des Trackings ohne Cookies und ohne Zugriff auf Endgeräte

 

Das Login-Tracking

Eine weitere Möglichkeit ist, die Aktivität der Nutzer mithilfe des Log-in zu tracken und die Daten anschließend zu analysieren. Es ist sogar möglich, die erhaltenen Daten mit den Daten einer CRM-Datenbank zu verknüpfen. Auch in diesem Fall schreibt aber die Datenschutz-Grundverordnung vor, dass auch hier einer Einwilligung auf Basis des Art. 6 Abs. 1 S. 1 der Verordnung zulässig ist. Wenn außerdem geplant ist, die erhaltenen Daten mit einer CRM-Datenbank zu verknüpfen, muss dieses Vorhaben besonders erkennbar gemacht werden.

 

Tracking durch URL-Erweiterungen

Ein Conversion-Tracking ist für eine Vielzahl Betrieben überaus wichtig. Es ist notwendig, um den Erfolg von kostenpflichtigen Werbemaßnahmen bestimmen zu können. Es liefert wichtige Daten über den Erfolg oder Misserfolg einer Online-Kampagne. Dies wird meist mithilfe von Cookies gemessen. Wenn man auf den Einsatz von Cookies verzichten möchte, ist ein Tracking durch URL-Erweiterungen eine interessante Möglichkeit. Hier wird bei einem Klick auf die Werbung eine ID in der URL erfasst. Diese Art von Tracking kann auch komplett anonym erfolgen. Das bedeutet, dass eine Auswertung nach dem Schema, dass ein Klick auf Anzeige 1 zu einem bestimmten Umsatz geführt hat, nach den Richtlinien des Datenschutzes rechtlich unbedenklich ist. Hier gilt der Leitsatz “Wenn kein Personenbezug – keine Einwilligung nötig” Sollte aber ein Kauf einer bestimmten Person zugeordnet werden, handelt es sich wieder um einen Personenbezug.

 

Tracking über mitgelieferte Nutzerdaten

Eine weitere Möglichkeit ist, die Daten zu erfassen, die bei einem Aufruf einer Webseite vom das Nutzergerät geliefert werden. Das ist zum Beispiel, die IP-Adresse und der Referrer. Darunter ersteht man die Seite, von der der User auf die Webseite gekommen ist. Auch der User Agent, das ist ein Text-String aus Informationen über den Client wie etwa der Browserversion und weiter Daten werden hier verarbeitet.

Laut Aussage Datenschutzbehörden findet hier kein aktiver Zugriff auf das Endgerät statt und die Datenschutzgrundverordnung muss nicht angewendet werden.

 

Ohne Einwilligung erlaubt, weil kein Personenbezug

Es gibt einige Möglichkeiten, den Weg eines Users auf einer Website sicher und auch komplett anonym ohne Einwilligung auszuwerten. Dies ist etwa möglich, wenn ein User oder ein Nutzertyp mit einfachen Kenngrößen und nur sessionbasiert verfolgt wird, liegt kein Personenbezug vor.

Erst wenn die IP-Adresse die Analyse einbezogen wird, liegt ein Personenbezug vor.  Ferner nimmt die Wahrscheinlichkeit, dass ein User bestimmt werden kann, mit der Genauigkeit der erfassten Daten zu.

 

Bei überwiegendem Interesse – keine Einwilligung nötig

Auch die Daten in Bezug auf eine Person erhoben werden, lässt die Datenschutzgrundverordnung ein Schlupfloch offen.  Das ist etwa dann der Fall, wenn die Daten im Detail übersichtlich bleiben und diese nicht von einem Dritten wie etwa Google Analytics zusammengeführt werden können. Alles, was darüber hinaus geht, bedarf der die Einwilligung der User.

 

Wie stehen die Datenschutzbehörden dazu?

Auch aus der Sicht der Behörden bietet ein Tracking ohne Cookies verschiedene Möglichkeiten, das Verhalten der Nutzer auch ohne deren Einwilligung auszuwerten. So ist etwa bei der alleinigen Erfassung von Daten, die bei einem Seitenaufruf übermittelt werden, keine Einwilligung des Users erforderlich. Das ist etwa bei einer „Reichweitenmessung“ der Fall, wenn nur rein statistischen Daten erhoben werden und man darauf verzichtet, den User wiederzuerkennen. Es dürfen auch keine ausführlichen Profile gebildet und keinesfalls dürfen Daten an Dritte weitergegeben werden.

 

Fazit

Es gibt für Website-Betreiber viele nutzerfreundliche Lösungen, wenn lediglich die Nutzerzahlen gemessen und das Verhalten der Nutzer verstanden werden soll. Die technischen Umsetzungsmöglichkeiten, die ein Online-Angebot verbessern können, ohne Cookies zu nutzen, sind vielfältig. Wer seinen Nutzer das lästige Klicken auf den Cookiebanner ersparen möchte, hat einige Möglichkeiten. Ein weiterer Vorteil ist, dass man mit Tracking ohne Cookies Daten über alle Seitenbesucher und nicht nur jene, die ihre Einwilligung gegeben haben, erhält. Der User fühlt sich respektiert, da nicht versucht wird, ihm seine Einwilligungen anzudrehen.

Kurzer Rückblick unserer vorherigen Beiträge zum Thema:

 

Cookies – Online-Werbemarkt in Europa vor dem Kollaps?

 

Cookies: 2022 EDSA Europäischer Datenschutzausschuss äußert sich zu Cookie Consent

 

Tracking – Third Party Cookies werden ab 2023 auch in Chrome blockiert.

Cookieless: Kommt 2023 die Zeit ohne Cookies?

 

• Das Urteil von der DSK und des Europäischen Gerichtshofs ist eindeutig. Google Analytics ist nicht EU-datenschutzkonform.
• DSGVO – Teil 2: Keine Daten mehr in die USA – Der EuGH hat das “Privacy Shield” für nichtig erklärt
• DSGVO – Teil-3: Stopp Privacy Shield Datentransfer in USA: 5000 Firmen betroffen, was beachten