Tracking ohne Einwilligung: Wo die rote Linie verläuft

Ohne Einwilligung ist nur eine Reichweitenmessung zulässig, die ohne Zugriff auf das Endgerät auskommt und deren Daten anonym bleiben. Sobald ein Cookie gesetzt, ein Wert im lokalen Speicher abgelegt oder ein Gerätemerkmal ausgelesen wird, ist die Zustimmung Pflicht – unabhängig davon, ob die Daten anschließend anonymisiert werden. Die Prüfung ist technisch und in wenigen Minuten zu führen: Öffnen Sie die Seite mit einem leeren Browserprofil und sehen Sie im Netzwerk-Reiter nach, was vor der ersten Entscheidung passiert.

##Was ist ohne Einwilligung tatsächlich möglich?

• ›Zählung von Seitenaufrufen ohne Kennung des Geräts
• ›Auswertung von Verweisen ohne sitzungsübergreifende Zuordnung
• ›Erkennung von Fehlern und Ladezeiten ohne Personenbezug
• ›Auswertung von Serverprotokollen mit kurzer Löschfrist und gekürzter Adresse

##Warum ist der Gerätezugriff der entscheidende Punkt?

Weil das Speichern von Informationen auf einem Endgerät und das Auslesen daraus eine eigene Erlaubnis braucht, die von der datenschutzrechtlichen Bewertung getrennt ist. Selbst wenn die verarbeiteten Daten anonym wären, bleibt das Setzen eines Cookies zustimmungspflichtig. Diese Trennung wird häufig übersehen: Anbieter argumentieren, ihre Daten seien anonym, und übersehen, dass schon das Speichern der Zustimmung bedarf.

##Reicht ein berechtigtes Interesse?

Für den Gerätezugriff nicht. Für die anschließende Verarbeitung kann ein berechtigtes Interesse tragen, aber es muss dokumentiert und gegen die Interessen der Betroffenen abgewogen sein – und es hilft nur, wenn der Zugriff selbst bereits erlaubt war. In der Praxis ist die Kombination aus Zustimmung und dokumentierter Abwägung der einzige belastbare Weg für eine Messung, die über reine Zählung hinausgeht.

##Wie erkennt man, was tatsächlich läuft?

Mit einem leeren Browserprofil und dem Netzwerk-Reiter geöffnet, bevor die Seite geladen wird. Jede Verbindung zu einem Analysedienst, einer Werbeplattform, einem Schriftanbieter oder einem Kartenwerkzeug vor der ersten Entscheidung ist ein Befund. Diese Prüfung zeigt den tatsächlichen Zustand und nicht die Absicht – sie findet regelmäßig Dienste, von denen die Verantwortlichen nichts wussten, weil sie über ein Plugin oder ein Skript nachgeladen werden.

##Was gilt für Dienste, die mit Anonymität werben?

Prüfen Sie, was übertragen wird, nicht was zugesichert wird. Ein Dienst, der eine gekürzte Adresse überträgt und keine Kennung setzt, ist etwas anderes als einer, der eine Kennung setzt und die Auswertung anonymisiert. Die Zusicherung des Anbieters ist eine Angabe, die technisch zutreffen kann oder nicht. Maßgeblich ist, ob die Verarbeitung ohne Zugriff auf das Endgerät auskommt und ob ein Personenbezug ausgeschlossen ist.

##Wie wirkt sich der Verzicht auf Kennzahlen aus?

Weniger, als die meisten erwarten. Ohne sitzungsübergreifende Kennung entfallen Wiederkehrraten, Zuordnung über mehrere Besuche und Kampagnenzuordnung. Was bleibt, sind Seitenaufrufe, Verläufe innerhalb einer Sitzung, Absprungpunkte und die Wirkung von Änderungen auf einzelne Seiten. Für die Frage, wo Nutzer abbrechen und welche Inhalte gelesen werden, reicht das – und es liefert keine Profile, die man später rechtfertigen müsste.

##Was passiert bei einem Verstoß?

Die Erhebung ohne Grundlage ist unzulässig, und die daraus gewonnenen Daten dürfen nicht als Grundlage für Entscheidungen verwendet werden. Das ist der praktisch schwerwiegendere Teil: Wer auf Basis unzulässig erhobener Daten Budgets verteilt oder Kampagnen bewertet, kann diese Entscheidungen nicht begründen. Hinzu kommen Beanstandungen und Bußgelder durch die Aufsichtsbehörden, die bei Messung vor der Einwilligung wiederholt verhängt wurden.

##Erst messen, was übertragen wird

Führen Sie die Prüfung im leeren Profil durch und notieren Sie jede Verbindung vor der Einwilligung. Was dort steht, ist zu klären oder abzuschalten – nicht zu dokumentieren und weiterlaufen zu lassen. Anschließend legen Sie fest, welche drei bis fünf Fragen die Messung beantworten soll, und wählen die Erhebung danach. Dieser Weg führt zu weniger Daten und zu Kennzahlen, die auch einer Prüfung standhalten.