Bereits in einem früheren Gastbeitrag für die HSLU hat der Autor darauf hingewiesen, dass der wachsende Stellenwert des Datenschutzes im Internet nicht vernachlässigbare Auswirkungen auf die Digitale Analyse haben wird. Tatsächlich erfordern geltende Gesetze (wie die DSGVO) wie auch kommende Revisionen (wie z.B. die Revision des Schweizer Datenschutzgesetzes revDSG) das Einrichten eines so genannten Cookie Banners. Dies, damit Personen nicht getrackt werden, ohne dass sie dazu explizit eingewilligt haben. Doch warum genau?

Die Ausgangslage

Die Datenschutzgesetze und Richtlinien haben es nicht auf das Tracking per se abgesehen. Und die allermeisten Unternehmen, die auf ihrer Webseite ein Trackingtool einsetzen, tun dies nicht mit der Absicht, den Willen der Gesetzgeber zu verletzen.

Beim Datenschutz und den damit zusammenhängenden Gesetzen geht es um den Schutz der Persönlichkeit und die Bearbeitung von personenbezogenen Daten. Ohne in die juristischen Details abtauchen zu wollen, heisst das, dass den betroffenen Personen diverse Rechte eingeräumt werden (z.B. Recht auf Auskunft und Vergessenwerden) und den Verantwortlichen gewisse Pflichten, insbesondere dass unter gewissen Umständen keine Verarbeitung von personenbezogenen Daten erfolgen darf, ohne dass die betroffene Person dazu eingewilligt hat. Die Einwilligung muss zudem Zweckgebunden sein. Es ist also zum Beispiel nicht rechtens, die bei einer Anmeldung an einen Newsletter gesammelte Emailadresse, wozu die Person eingewilligt hat, später für anderweitige Marketingmassnahmen oder Analysen zu verwenden.

Damit wird klar, dass, wie bereits gesagt, nicht das Tracking selbst «verboten» beziehungsweise geregelt ist, sondern die damit zusammenhängende Bearbeitung von personenbezogenen Daten, insbesondere wenn diese dann auch an Auftragsbearbeiter (das Tracking Tool) und/oder ins Ausland bekanntgegeben werden.

Das Problem

Die oder der aufmerksame Leserin oder Leser wird sich nun fragen:

«Aber wo sind denn die personenbezogenen Daten? Ich tracke ja nur anonym? Mich interessiert nicht zu wissen, wer genau auf meiner Webseite ist, ich möchte nur die Performance beziehungsweise die Wirksamkeit meiner Werbemassnahmen messen und optimieren?»

Das Problem liegt darin, dass die geltenden und kommenden Gesetze so ausgelegt werden können, dass in Cookies gespeicherte IDs – auch zufällig generierte und auf den ersten Blick anonyme – sowie IP Adressen als personenbezogene Daten betrachtet werden können bzw. müssen. Dies nicht, weil sie direkt die Person beschreiben, sondern weil sie, wenn auch in den meisten Fällen nur theoretisch, einen Personenbezug erlauben, und damit ein bestimmtes Verhalten auf der Webseite einer Person zugeschrieben werden kann.

Damit ist nun die Notwendigkeit von Cookie Banners bzw. der Einwilligung klar und, hier nochmals zur Erinnerung, das wirkliche Problem aus dem oben genannten Gastbeitrag:

Da der Besuch auf der Webseite nicht von Anfang an getrackt werden darf, gehen zwei zentrale Aspekte der digitalen Analyse verloren:

  • Bounce Rate: Wenn nur eine Seite aufgerufen wird, und diese ohne Einwilligung nicht getrackt werden darf, geht die wichtige Information verloren, dass ein Bounce stattgefunden hat.
  • Traffic Source: Die Herkunft eines Besuchs wird auf der allerersten Seite erhoben. Fällt dieser Messpunkt weg, weil die Einwilligung erst im Nachgang stattfindet, so fallen allerwichtigste Informationen weg, wie erfolgreich welche Marketingkanäle bzw. -massnahmen funktionieren.

Gibt es eine Lösung? – Ja!

Spezialisierte Unternehmen wie die zweipunkt AG in Basel kennen das oben beschriebene Problem nur zu gut und erarbeiten regelmässig Lösungen mit ihren Kunden, um das berechtigte Interesse, die eigene Webseite korrekt zu messen und zu optimieren, zu verteidigen. Folgende zwei Ansätze (zusammen) erlauben es, grundsätzlich auf eine Einwilligung verzichten zu können.

Cookie IDs

Um zu vermeiden, dass vom Tracking Tool gesetzte und gesammelte Cookie IDs einen Personenbezug erlauben, können die meisten Tracking Tools so umgebaut werden, dass sie keine persistenten Cookies setzen, beziehungsweise die generierten IDs temporär im Session Storage hinterlegen.

Dadurch erhält eine Person bei jedem Besuch eine neue ID, die vom Browser am Ende des Besuchs automatisch gelöscht werden. Dadurch besteht kein Personenbezug mehr. Der Preis dieser Massnahme ist, dass man User bezogene Metriken wie Anzahl Besuche, neue/wiederkehrende User und so weiter verliert. Dies ist jedoch in Bezug auf die zurückgewonnenen Informationen über die Herkunft eines Besuchs sicherlich verkraftbar.

Sollen User Metriken aber beibehalten werden, so existiert eine andere Option. Die ID wird im Local Storage (persistent) abgelegt. Vor dem Tracking wird diese aber mit einem Einwegalgorythmus (z.B. MD5) anonymisiert und nur dieser anonymisierte Wert wird dem Tracking Tool zugeführt. Dadurch hat dieselbe Person auch besuchsübergreifend immer dieselbe ID, doch der Personenbezug ist gebrochen, da das Tracking Tool keinerlei Möglichkeit hat, die erhaltene ID auf eine tatsächlich existierende ID zurückzuführen.

IP Adressen

IP Adressen sind für das Internet wie Strassennummern für die Post, man kann nicht darauf verzichten, da sie fester Bestandteil jeglicher Internetkommunikation sind. Um aber zu vermeiden, dass das Tracking Tool die IP Adresse der getrackten Person bekommt, können die Tracking Requests über einen sogenannten Proxy an das Tracking Tool übermittelt werden. Der Proxy agiert hierbei wie ein Schild, da das Tracking Tool immer nur die IP Adresse des Proxys sieht (immer dieselbe), die keinerlei Person zugeschrieben werden kann.

Sollte bereits eine CDP wie zum Beispiel Tealium Customer Data Hub im Einsatz sein, so kann oft diese die Rolle des Proxys übernehmen. Hierbei spricht man häufig von server-seitigem Tracking.

Zusammenfassung

Die oben beschriebenen Ansätze sollen auf keinen Fall als Freikarte für jegliches Tun und Lassen mit Personendaten verstanden werden, sondern als Mittel, um, so weit technisch möglich, die Persönlichkeit der Personen zu schützen und zu respektieren, sowie dem Gesetzgeber aufzeigen zu können, dass die nötigen technischen Massnahmen ergriffen worden sind, um dem Ziel des Datenschutzes Rechnung zu tragen.

Auch heisst das nicht, dass gar kein Cookie Banner eingesetzt werden soll, denn die Einwilligung ist wertvoll und sollte sie erteilt werden, so kann das gewünschte Tracking Tool in seinem vollen Umfang und mit dem Wohlwollen der betroffenen Person eingesetzt werden.

Der Autor hofft, mit diesem Beitrag nützliche Informationen vermittelt zu haben, die im einen oder anderen Fall helfen können, sich aus der beschriebenen Zwickmühle zu befreien, ohne auf zwiespältige Methoden (z.B. Fingerprinting) ausweichen zu müssen.