Web-Tracking beschreibt Verarbeitungsprozesse zur Verfolgung des Verhaltens von Nutzenden auf Webseiten, etwa mithilfe von Cookies als kleinen Textdateien auf dem Endgerät oder durch Fingerprinting, die serverseitige Bildung eines möglichst eindeutigen Hash-Werts aus Browser-Informationen.
Auf einen Blick
Das Speichern von Informationen im Endgerät oder der Zugriff darauf ist nach § 25 Abs. 1 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat, soweit keine Ausnahme nach Abs. 2 greift.
Verarbeitet der Betreiber dabei personenbezogene Daten, ist zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO nötig.
Eine Einwilligung ist nach § 25 Abs. 2 TDDDG nicht erforderlich, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn Speicherung oder Zugriff unbedingt erforderlich sind, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Was ist Web-Tracking?
Beim Web-Tracking greifen zwei Rechtsebenen ineinander: das Speichern von und der Zugriff auf Informationen im Endgerät einerseits, die anschließende Verarbeitung personenbezogener Daten andererseits. Das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen ist nach § 25 Abs. 1 TDDDG nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Information und Einwilligung haben nach § 25 Abs. 1 Satz 2 TDDDG gemäß der DSGVO zu erfolgen. Nach der Orientierungshilfe Digitale Dienste sind für nachfolgende Verarbeitungen personenbezogener Daten, die erst durch das Auslesen vom Endgerät ermöglicht werden und die von keiner Spezialregelung erfasst werden, die allgemeinen Vorgaben der DSGVO zu beachten.
Speichert ein Versicherer für Web-Tracking Cookies im Endgerät seiner Website-Besucher, braucht der Versicherer nach § 25 TDDDG deren Einwilligung, soweit keine Ausnahme nach Absatz 2 greift; verarbeitet der Versicherer dabei personenbezogene Daten, braucht der Versicherer zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO. Eine Verarbeitung ist nach Art. 6 Abs. 1 DSGVO nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist.
Wie funktioniert Web-Tracking?
Nach dem BfDI sind Cookies kleine Textdateien, die beim Aufruf einer Internetseite erzeugt werden können, und beim Einsatz von Cookies fordert der Server der aufgerufenen Internetseite den Browser auf, eine Textdatei mit Informationen auf dem Endgerät des Nutzers zu speichern. Beim Fingerprinting bildet der Server aus Browser-Informationen einen möglichst eindeutigen und langlebigen (Hash-)Wert. Online-Kennungen wie IP-Adressen und Cookie-Kennungen werden natürlichen Personen unter Umständen zugeordnet.
Die Einwilligung nach § 25 Abs. 1 TDDDG ist nach Abs. 2 nicht erforderlich, wenn der alleinige Zweck der Speicherung oder des Zugriffs die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten nach den Erwägungsgründen der DSGVO keine Einwilligung darstellen.
Woran erkenne ich Web-Tracking?
| Merkmal | Worauf es ankommt |
|---|---|
| Cookie | Nach dem BfDI fordert der Server der aufgerufenen Internetseite den Browser auf, eine Textdatei mit Informationen auf dem Endgerät des Nutzers zu speichern. |
| Fingerprinting | Der Server bildet aus Browser-Informationen einen möglichst eindeutigen und langlebigen (Hash-)Wert. |
| Speichern oder Zugriff im Endgerät | § 25 Abs. 1 TDDDG verlangt eine Einwilligung auf der Grundlage klarer und umfassender Informationen, soweit keine Ausnahme nach Abs. 2 greift. |
| Kennungen | Online-Kennungen wie IP-Adressen und Cookie-Kennungen werden natürlichen Personen unter Umständen zugeordnet. |
| Rechtsgrundlage | Werden dabei personenbezogene Daten verarbeitet, ist die Verarbeitung nach Art. 6 Abs. 1 DSGVO nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist. |
Schutz im Ernstfall
Vorbeugen
- Vor dem Speichern oder dem Zugriff auf Informationen im Endgerät die Einwilligung des Endnutzers auf der Grundlage klarer und umfassender Informationen einholen, soweit keine Ausnahme nach § 25 Abs. 2 TDDDG greift.
- Information und Einwilligung nach der DSGVO gestalten, wie es § 25 Abs. 1 Satz 2 TDDDG verlangt; nach dem BfDI muss die Ablehnung einer Verarbeitung so einfach sein wie die Zustimmung, und eine erteilte Einwilligung darf jederzeit widerrufen werden.
- Bei nachfolgenden Verarbeitungen personenbezogener Daten, die erst durch das Auslesen vom Endgerät ermöglicht werden und von keiner Spezialregelung erfasst sind, die allgemeinen Vorgaben der DSGVO beachten; nach Art. 6 Abs. 1 DSGVO ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist.
Beispiele aus der Praxis
- Ein Websitebetreiber blendet in seinem Einwilligungsbanner auf oberster Ebene neben der Schaltfläche „zustimmen“ auch eine Schaltfläche „alles ablehnen“ ein; nach Auffassung des BfDI sollte der Verantwortliche genau dies bereitstellen.
- Zur Abgrenzung vom Tracking: Ein Online-Shop speichert ein Cookie für die Warenkorbfunktion; nach dem BfDI können Cookies für eine Warenkorbfunktion als technisch notwendig angesehen werden, und der Betreiber muss die technische Notwendigkeit nachweisen können; ob die Ausnahme greift, bemisst sich nach § 25 Abs. 2 Nr. 2 TDDDG, also danach, ob die Speicherung unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
- Ein Versicherer setzt auf seiner Website Tracking-Cookies ein, die im Endgerät der Besucher gespeichert werden; dafür braucht der Versicherer nach § 25 TDDDG deren Einwilligung, soweit keine Ausnahme nach Absatz 2 greift.
