Cookieless Tracking – nutzen Sie Google Analytics DSGVO-konform

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und die Datenschutzgrundverordnung (DSGVO) stellen strenge Anforderungen an die Erfassung und Verarbeitung personenbezogener Daten, wie sie beim Einsatz von Google Analytics anfallen. Traditionelles Google Analytics Tracking verwendet Cookies und übermittelt personenbezogene Daten, wie IP-Adressen, an Google-Server, oft in Drittländern. Dies verursacht ohne ausdrückliche Einwilligung der Benutzer rechtliche Probleme. 

In diesem Interview erfahren Sie die Hintergründe und lernen eine Trackingmethode kennen, die ohne Cookies auskommt – das sogenannte Cookieless Tracking.

Welche Bedeutung hat Datenschutz im digitalen Zeitalter?

Dr. Hartmann: Datenschutz gewinnt an Bedeutung, da digitale Daten nicht nur die Informationen umfassen, die ein Nutzer bewusst weitergeben möchte, sondern auch Metadaten wie Standortinformationen, Nutzungszeiten oder das verwendete Endgerät. So werden neben den angefragten Daten viele personenbezogene Daten mitübermittelt. Ein Beispiel ist die Bandenwerbung am Fußballfeld der EM 2024: Sie ist für Besitzer eines Smart-TVs anpassbar. Sieht sich ein Konsument das Spiel in Deutschland an, wird beispielsweise VW-Werbung angezeigt. Sieht sich jemand das Spiel in Frankreich an, sieht er beispielsweise dort Peugeot-Werbung.

Warum ist datenschutzkonformes Tracking wichtig?

Reis-Winkler: Tracking greift in das Recht der Anwender auf informationelle Selbstbestimmung ein. Der Mensch droht gläsern zu werden. Daher ist es wichtig, Online-User zu schützen. Die DSGVO gibt einen Mindeststandard vor und setzt Unternehmen beim Tracking Grenzen, sodass ein Tracking nur mit Einwilligung erfolgen darf.

Was kann passieren, wenn Unternehmen Google Analytics nicht DSGVO-konform einbinden?

Dr. Hartmann: Unternehmen können zweimal zur Kasse gebeten werden: Einmal durch die Aufsichtsbehörde und einmal durch Schadenersatzforderungen der Nutzer. Die Bußgelder von Seiten der Aufsichtsbehörde können sehr hoch ausfallen und über die Millionengrenze hinausgehen. Dies übt Druck auf die Unternehmen aus, sich an die DSGVO zu halten.

Zudem können sich Betroffene mit Schadenersatzforderungen an die Unternehmen wenden. Wenn Internetanwender die Persönlichkeitsrechtsverletzung nachweisen können, kann es für Unternehmen teuer werden – besonders bei Sammelklagen oder Verbandsklagen. Dies kommt in Deutschland bisher aber eher selten vor.

Was müssen E-Commerce-Unternehmen beachten, um die Datenschutzrichtlinien einzuhalten?

Reis-Winkler: Das muss individuell betrachtet werden, doch gewisse Grundsätze gelten für jedes Unternehmen. Dazu zählen die Beachtung der Informationspflichten und Datensparsamkeit. Google Analytics hat mit dem Consent Mode für ersteres zumindest eine Grundlage geschaffen. Zudem müssen Unternehmen datenschutzkonforme Tools verwenden, IP-Adressen anonymisieren, Auftragsverarbeitungsverträge abschließen und ihre Datenschutzerklärung klar und transparent gestalten. Am besten ist es, das Google Analytics Tracking datenschutzrechtlich prüfen zu lassen.

Was unterscheidet Cookieless Tracking vom herkömmlichen Google Analytics Tracking?

Dr. Hartmann: Das klassische Cookie-Tracking ist ein Auslaufmodell, da das TDDDG strenge Vorgaben macht: Cookies erfordern stets die ausdrückliche Einwilligung, außer sie sind für den Dienstbetrieb notwendig, etwa zur Warenkorbspeicherung. Cookies speichern Informationen im Endgerät des Besuchers, wodurch er identifizierbar wird. Der User bekommt also eine Art Etikett, mit dem Unternehmen ihn wiedererkennen und seine Handlungen im Netz verfolgen können.

Cookieless Tracking ermöglicht die Erfassung und Analyse von Nutzerdaten, ohne auf Cookies oder andere lokale Speicherungen auf den Endgeräten der User zurückzugreifen. Somit entfällt auch der „Etikettscan“. Der Vorteil jedoch ist, das Unternehmen nicht die Anforderungen des TDDDG beachten müssen.

Welche Hürden gibt es bei der Implementierung von Cookieless Tracking in bestehenden E-Commerce-Systemen?

Dr. Hartmann: Zunächst ist die genaue Identifizierung der Nutzer eine große Schwierigkeit. Ohne Cookies fehlen dauerhafte Marker, die eine langfristige Erkennung und Verfolgung des Userverhaltens ermöglichen. Ein weiteres Problem ist oft die technische Umsetzung, da viele bestehende Systeme erhebliche Anpassungen benötigen, um effektiv ohne Cookies zu funktionieren. Hier haben wir gute Erfahrungen mit netlogix Web Solutions gemacht.

Wie sichern sich Unternehmen rechtlich ab, wenn sie Cookieless Tracking einsetzen möchten?

Dr. Hartmann: Eine serverseitige Implementierung bietet aus Datenschutzsicht Vorteile, da sie die zentrale Steuerung der Datenverarbeitung ermöglicht. Beim Cookieless Tracking gelten ähnliche Anforderungen wie beim klassischen Tracking: dokumentiert, informiert, nachweisbar. Eine Einwilligung bleibt Pflicht, ebenso klare Angaben in der Datenschutzerklärung zu Datenerhebung, Zweck und Speicherdauer. Ein solides Consent Management, das die Zustimmung der Nutzer verwaltet und dokumentiert, und die Einbindung des Datenschutzbeauftragten sind sehr wichtig.

Wie schätzen Sie die zukünftige Entwicklung der gesetzlichen Anforderungen an Cookieless Tracking ein?

Reis-Winkler: Die Branche orientiert sich zunehmend in Richtung Cookieless Tracking, was die Transparenz und Kontrolle für die Webbesucher erschwert. Es ist also denkbar, dass in Zukunft eine präzisere Offenlegung der Tracking-Methoden immer herausfordernder wird. Die bestehenden Regelungen der DSGVO und des TDDDG bieten jedoch bereits einen umfassenden rechtlichen Rahmen, der die Grundlage für zukünftige Entwicklungen bietet. Aktuell sind jedoch keine unmittelbaren Neuerungen der gesetzlichen Anforderungen für das Tracking zu erwarten.