Nutzertracking auf Webseiten: Um die Nutzerzahlen einer Website, die Bestellrate in Onlineshops oder den Erfolg einer Marketing-Kampagne auszuwerten, nutzen Webmaster und Agenturen Tracking-Tools und Analysedienste. Neben serverbasierten Tools zum automatisierten Tracking von Zugriffen gibt es auf dem Markt eine Vielzahl professioneller Dienste, die umfangreiche Auswertungen von Nutzerzugriffen ermöglichen. Nicht alles was dabei technisch möglich ist, ist aber rechtlich erlaubt.
- Was ist Tracking, wie funktioniert es?
- Nutzertracking auf Webseiten
- Google-Analytics und Google Universal Analytics
- Newsletter Tracking
- Auftragsdatenverarbeitung
Was ist Tracking überhaupt?
Unter dem englischen Begriff Tracking (dt.: Nachverfolgung) wird im Netz das Erheben und Auswerten von Nutzerverhalten verstanden. Das Tracking kann dabei verschiedenen Zielen dienen:
- die Angebote auf der Website besser an die eigenen Zielgruppe anpassen zu können
- Klickpfade der Nutzer nachzuvollziehen und Abbruchraten zu minimieren
- Präferenzen hinsichtlich bestimmter Hersteller und Produkte feststellen zu können
- Rückschlüsse auf die verwendete Software der Nutzer (welche Browser, welche Plug-ins usw.) zu ziehen
- Anhaltspunkte für die Programmierung, Suchmaschinenoptimierung und Gestaltung der Bestellvorgänge zu gewinnen
Je nach Anspruch gibt es hierfür verschiedene Programme, von kostenfreien Programmen mit geringen Grundfunktionen bis hin zu professionellen Profi-Tracking-Tools zur Aufzeichnung und Auswertung des Nutzerverhaltens.
Nachdem der Seitenbetreiber einen spezifischen Tracking-Code auf allen aufzuzeichnenden und auszuwertenden Seiten seiner Website in den Quellcode eingefügt hat, beginnt das Tracking-Tool automatisch, das Nutzerverhalten aufzuzeichnen und auszuwerten. Eine entsprechende Statistik kann sich der Webmaster dann – je nach Tracking-Tool – schon wenige Minuten nach der Aufzeichnung oder sogar live ansehen.
Da durch den Einsatz von Tracking-Tools das Nutzerverhalten sehr detailliert aufgezeichnet werden kann, müssen hier insbesondere datenschutzrechtliche Vorgaben eingehalten werden, um einem Missbrauch der Daten vorzubeugen.
Rechtliche Grundlagen: Nutzertracking auf Webseiten
Die rechtlichen Regelungen zu dieser Thematik finden sich zum einen im vierten Abschnitt (Datenschutz) des Telemediengesetzes (TMG). Zum anderen enthält das Bundesdatenschutzgesetz (BDSG) zahlreiche Vorgaben zum Umgang mit personenbezogenen Daten, die um Umfeld von Webtracking und Auswertung von Nutzerzugriffen beachtet werden müssen.
Durch die zahllosen Datenskandale der letzten Monate ist es in der Vergangenheit auch im Zusammenhang mit Tracking-Tools zu einer verstärkten rechtlichen Auseinandersetzung gekommen, insbesondere was die Speicherung von Nutzer-IP-Adressen ohne ausdrückliche Einwilligung des Internetnutzers angeht. Einige Anbieter von Tracking-Tools haben sich dabei ganz bewusst dafür entschieden, Lösungen anzubieten, die den strengen Datenschutzvorgaben in Deutschland genügen.
Sie möchten Ihre Webseite schnell, einfach & ohne teuren Anwalt rechtlich absichern: Testen Sie jetzt eRecht24 Premium.
Dauerstreitthema: Speicherung von IP-Adressen
Insbesondere zu der Frage, ob die Speicherung und Auswertung der IP-Adressen datenschutzrechtlich erlaubt ist, tobt seit Jahren ein Streit zwischen Datenschützern und Unternehmen aus dem Marketingumfeld. Datenschützer etwa in den jeweiligen Datenschutzbehörden, gehen seit Jahren davon aus, dass IP-Adressen personenbezogene Daten sind, und zwar unabhängig davon, ob es sich um dynamische oder statische IP-Adressen handelt.
Die Gegner halten (juristisch vereinfacht) dagegen, dass man über eine IP-Adresse zwar einen Internet-Anschluss und ggf. auch einen Anschlussinhaber ermitteln kann. Nicht ermittelt werden kann über eine IP-Adresse aber, welche Person tatsächlich gehandelt hat.
Zudem gab es viele Jahre lang zu dieser Frage keine Rechtsprechung. Auch aktuell kann man nicht von einer einheitlichen Linie der Gerichte sprechen. Es stehe zwei konträre Urteile des Landgerichts Berlin (Urteil vom 06.09.2007, Az. 23 S 3/07) sowie des Amtsgerichts München (Urteil vom 30.09.2008, Az. 133 C 5677/08) im Raum.
Während die Richter des Landgerichts Berlin die Speicherung von IP-Adressen ohne Einwilligung der Internetnutzer als unrechtmäßig zurückwiesen und mit dem Urteil dem Bundesjustizministerium die Speicherung von IP-Adressen bei Zugriff auf die eigene Internetseite untersagt wurde, war das Amtsgericht München der Ansicht, dass die Speicherung von IP-Adressen ohne Einwilligung der Nutzer keinen Verstoß gegen die datenschutzrechtlichen Bestimmungen darstellt.
Der Hauptunterschied bei beiden genannten Urteilen liegt in der Frage, wie die Gerichte das Kriterium "IP-Adresse" kategorisiert haben. So haben die Richter des LG Berlin mit ihrem Urteil bejaht, dass es sich bei einer IP-Adresse um personenbezogene Daten handelt, die gemäß Bundesdatenschutzgesetz (BDSG) nur mit der ausdrücklichen Einwilligung der Internetnutzer gespeichert werden dürfen und auch nicht mit entsprechenden, von Tracking-Tools erstellten Nutzerprofilen in Verbindung gebracht werden dürfen.
Das AG München hingegen vertritt in ihrer Urteilsbegründung die Auffassung, dass es sich bei IP-Adressen um keine personenbezogenen Daten handelt, da es an dieser Stelle an einer notwendigen Bestimmbarkeit des Anschlussinhabers mangelt. Zwar ist eine Zuordnung des Anschlussinhabers zur IP-Adresse theoretisch über den Internet-Provider möglich, de facto mangelt es dem Internetseiten-Betreiber jedoch an der Rechtsgrundlage, entsprechende Informationen vom Provider zu erhalten. In der Folge wies das AG München eine entsprechende Klage auf Unterlassung ab.
IP-Tracking nur mit Zustimmung der Nutzer?
Die Frage der Zulässigkeit der Speicherung von IP-Adressen ohne Einwilligung der Nutzer im Rahmen von Tracking-Tools ist weiter hoch umstritten. Wenn man IP-Adressen als personenbezogene Daten ansieht, bedeutet dies in der Praxis, dass eine Speicherung und Verarbeitung nur mit vorheriger und ausdrücklicher Zustimmung jedes einzelnen Nutzers rechtskonform möglich ist. Sofern der Internetnutzer, etwa im Rahmen der Bestellung in einem Online-Shop, der Speicherung personenbezogener Daten zugestimmt hat, ist dies rechtlich also kein Problem.
Die Praxis sieht aber anders aus. Daten wie die IP-Adresse werden bereits beim "Betreten" der Internetseite erfasst, ohne dass der Besucher die Gelegenheit hat, eine entsprechende Datenschutzerklärung durchzulesen und sein notwendiges Einverständnis zur Erfassung, Speicherung und Auswertung seiner IP-Adresse zu geben.
Google-Analytics und Google Universal Analytics
Eines der am häufigsten genutzten Tracking-Tools sind Google Analytics und die neue geräteübergreifende Variante Google Universal Analytics.
Zum einen deshalb, weil sich Google mit dem Verarbeiten von Datenmengen technisch unbestritten gut auskennt. Zum anderen, da das Tool kostenlos ist. Auch Google Analytics bzw. die geräteübergreifende Variante Google Universal Analytics speichert IP-Adressen von Seitenbesuchern und übermittelt diese in die USA. Aus diesem Grund verpflichtet Google seine Nutzer, auf deren Internetseite eine entsprechende Datenschutzerklärung zu veröffentlichen, in der auf die entsprechende Verwendung hingewiesen wird.
Ob eine einfache Erklärung des Seitenbetreibers genügt, ist aber hoch umstritten. Wenn man der Auffassung folgt, dass IP-Adressen personenbezogene Daten sind, wäre hier eine ausdrückliche Einwilligung der Nutzer erforderlich. In der Konsequenz bedeutet dies, dass nach Auffassung der Datenschützer eine Vielzahl der momentan angebotenen Tracking- und Analysetools rechtswidrig sind. Allerdings scheinen sich die deutschen Datenschutzbehörden momentan auf Google eingeschossen zu haben. Dies betrifft nicht nur den Streit um Google Street View, sondern auch Google-Analytics.
Google arbeitet momentan an einem Browser-Plug-In, das es dem Nutzer selbst ermöglicht, das Webtracking seiner Daten über Google-Analytics zu unterbinden. Ob dies genügt, die Datenschutzbedenken auszuräumen, muss man abwarten.
Newsletter Tracking
Newsletter- und E-Mail-Tracking funktioniert in den meisten Fällen über kleine Bilder, die nur 1 Pixel groß sind. Diese Web-Beacons oder Tracking-Pixel werden in den Newsletter integriert. Wird das Bild abgerufen, können dann bestimmte Informationen des Empfängers abgerufen werden:
- IP Adresse des Empfängers
- Zeitpunkt des Abrufs
- E-Mail Client des Empfängers
- Klick auf Links in der E-Mail
Die Tracking Pixel können dann eine eindeutige ID generieren du diese der Empfänger-Mailadresse zugeordnet werden. Der Versender der Mail kann so verfolgen, welcher Empfänger die Mail geöffnet hat, welche links geklickt wurden und ob die Mail zu einem Kauf geführt hat.
Rechtlich gesehen ist es so, dass diese Art des E-Mail-Trackings immer datenschutzrechtlich heikel ist. Die E-Mail-Adressen der Empfänger sind auf jeden Fall personenbezogene Daten. Ohne Einwilligung des Nutzers dürfen diese als nicht gespeichert oder ausgewertet werden.
Wie kann man Newsletter Tracking rechtssicher umsetzen?
Es reicht in diesen Fällen des Mail-Trackings also nicht aus, einfach einen Passus in die Datenschutzerklärung zu packen. Für eine rechtssichere Umsetzung gibt es 2 Möglichkeiten:
1. Die Einwilligung der Nutzer
Diese Variante ist aber aus nachvollziehbaren Gründen nicht praxisrelevant. Wer will seinen Newsletter-Empfängern schon seitenlang erklären, welche Daten zu welchen Zwecken von welchem externen Newsletter-Versender benutzt und ausgewertet werden und sich dann dafür auch noch eine Einwilligung einholen?
In der Praxis erfolgt Newsletter-Tracking deshalb in den meisten Fällen schlicht illegal. Dabei ist eine rechtskonforme Lösung gar nicht so schwer:
2. Auftragsdatenverarbeitung bei Newslettern
Das deutsche Datenschutzrecht sieht in § 11 BDSG vor, dass bestimmte Formen der Datenverarbeitung auch ohne ausdrückliche Einwilligung der Betroffenen erfolgen können.
Das ganze Konstrukt der Auftragsdatenverarbeitung ist rechtlich nicht so leicht zu erklären. Die korrekte rechtliche und vertragliche Umsetzung ist aber Sache des Anbieter von E-Mail- und Newslettersoftware.
Unternehmer und Seitenbetreiber, die den Erfolg ihrer E-Mail- und Newsletter-Kampagne tracken wollen, müssen eigentlich nicht viel mehr tun als sich
- einen Newsletter-Software-Anbieter mit Sitz in der EU suchen der
- mit seinen Kunden einen Vertrag zur Auftragsdatenverarbeitung abschließt
Soweit die Theorie. Leider fallen damit nämlich viele Anbieter aus den USA heraus. Eine Auftragsdatenverarbeitung mit Unternehmen in den USA ist nämlich nach Ansicht vieler Datenschutzbehörden rechtlich eigentlich gar nicht möglich.
Und auch in der EU gibt es nicht viele Anbieter, die an der Stelle datenschutzkonform arbeiten. Wir haben uns aus diesem Grund für Klick Tipp entschieden. Die Software bietet eine Menge interessanter Features und setzt – was rechtlich natürlich am wichtigsten ist – die Vorgaben der Auftragsdatenverarbeitung korrekt um.
Wenn Sie Anbieter kennt, die dies ebenfalls umsetzen bitte schicken Sie uns eine Mail. Wir arbeiten gerade an einer Übersicht der entsprechenden Anbieter von Mailing- und Newsletter Software.
Praxis-Tipps Tracking und Web-Analyse:
Hier bleiben für Seitenbetreiber und Marketing-Agenturen drei Möglichkeiten:
- Die Tracking-Tools werden weiter genutzt, man nimmt das Risiko von Datenschutzverstößen bewusst in Kauf.
Nachteil: Es können Abmahnungen und Bußgelder seitens der Datenschutzbehörden drohen. - Es wird auf die Erhebung personenbezogene Daten wie der IP-Adresse verzichtet.
Nachteil: Ein Aussagekräftiges Tracking ist in diesem Fall oft nicht möglich. - Es werden Tools genutzt, die etwa optionale Anonymisierung von IP-Adressen, den geltenden Datenschutzanforderungen genügen.
Nachteil: Es gibt momentan noch relativ wenige Anbieter, die rechtssichere Tracking- und Analysesoftware anbieten.
Fazit:
Die Mehrzahl der momentan genutzten Tracking-Dienste und Newsletter-Anbieter ist nach der strengen Auffassung der Datenschutzbehörden rechtlich unzulässig. In den letzten Jahren hat sich zudem auch bei den Gerichten die Ansicht durchgesetzt, dass Datenschutzverstöße abgemahnt werden können.
In der Zukunft wird das Thema rechtssicheres Tracking aber auch aus einem anderen Grund eine immer größere Rolle spielen: Die Nutzer legen aufgrund der Datenskandale der jüngsten Vergangenheit deutlich mehr Wert auf rechtskonformen Umgang mit Ihren Daten.
Anzeige
Sören Siebert ist Rechtsanwalt mit Kanzleien in Berlin und Potsdam.
