Website übergreifendes Tracking von Nutzern beim Surfen ist umstritten. Vor allem Informationsanbieter nutzen diese Option jedoch, um ihre Angebote durch gut bezahlte Werbung finanzieren zu können. Verschiedene Datenschutzbeauftragte wollen nun härter gegen diese Praxis vorgehen. Real-Time-Advertising / Real-Time-Bidding
Die Zusammenarbeit mit Werbevermarktern ist in der Verlagsbranche besonders intensiv und man setzt dort daher häufig auf ein intensives Tracking der Surfer. Hierdurch können die Vorlieben und Interessen der Surfer ermittelt werden, um diesen dann eine möglichst zielgenaue Werbung einblenden zu können. Denn nur für eine solche passgenaue, "spitze" Zielgruppenwerbung besteht in den Marketing-Abteilungen eine ausreichend große Zahlungsbereitschaft, während für eine nicht personalisierte Werbung mit erheblich größeren Streuverlusten deutlich weniger gezahlt wird.
Hamburger Datenschutzbehörde will Verlage wegen Nutzer-Trackings ins Visier nehmen
Die Vergabe von Werbeflächen auf vielen Webseiten erfolgt mittlerweile nahezu ausschließlich über automatisierte Methoden in Echtzeit.
Das derzeit aktuelle Verfahren trägt die Bezeichnung Real-Time-Advertising (RTA) und beinhaltet auch das sogenannte Real-Time-Bidding (RTB), wobei die beteiligten Werbeunternehmen auf umfangreiche Daten zu den jeweiligen Website-Besuchern zurückgreifen können, um diesem eine passgenaue Werbung einblenden zu können. Dabei erfolgt häufig auch ein Abgleich bzw. Austausch der Nutzer-Daten über die Grenzen einzelner Trackingdienste hinweg, sodass die Nutzerprofile immer detaillierter und umfangreicher werden.
Real-Time-Advertising (RTA) und Real-Time-Bidding (RTB) ohne Einwilligung nicht datenschutzkonform
Der Hamburger Datenschutzbeauftragte weist in seinem aktuellen Tätigkeitsbericht noch einmal explizit darauf hin, dass er diese Verfahren als nicht datenschutzkonform betrachtet.Der Einsatz solcher Trackingmethoden müsse zwingend durch eine informierte Einwilligung der Nutzer legitimiert werden, allerdings seien solche Einwilligungen bislang nur ausnahmsweise anzutreffen. Einfache Cookie-Banner erfüllten die notwendigen Anforderungen dagegen nicht.
Verlagsbranche setzt noch besonders oft auf das problematische Trackingverfahren
Vor allem in der Verlagsbranche setzt man nach Einschätzung der Hamburger Datenschutzbehörde derzeit noch auf den Einsatz der problematischen Trackingverfahren, denn in der Branche befürchte man wohl, dass bei einer Umsetzung der Einwilligungslösung viele Website-Besucher die Seiten wieder verlassen könnten und die einträglichen Werbeformen damit nicht mehr nutzbar wären.
Dadurch ließe sich das bisherige Finanzierungsmodell nicht mehr aufrecht erhalten und dies wiederum könnte erhebliche negative Auswirkungen auf den Journalismus haben.
Kooperationsbereitschaft der Branche bisher eher enttäuschend
Aufgrund der besonderen Lage der Verlagsbranche gibt es daher schon seit einiger Zeit einen Austausch zwischen der Hamburger Datenschutzbehörde und dem Bundesverband Deutscher Zeitungsverleger sowie deren Mitgliedern, wobei die Behörde die Ergebnisse der bisherigen Treffen in ihrem Tätigkeitsbericht jedoch eher als „ernüchternd“ einstuft.
So habe man sich bislang auf kein konkretes Einwilligungsmodell einigen können, obwohl es in einigen Nachbarstaaten bereits Lösungen gebe, die den Anforderungen der Datenschutzbehörden entsprächen. Erst kurz vor Erscheinen des Tätigkeitsberichts habe der Bundesverband Deutscher Zeitungsverleger konkrete Schritte und Maßnahmen zur Umsetzung einer solchen Lösung angekündigt.
Parallel zu diesen Bemühungen um eine Lösung gingen bei den Hamburger Datenschützern allerdings auch etliche Beschwerden über ein rechtswidriges Werbetracking ein. Zusammen mit anderen Aufsichtsbehörden der Länder und des Bundes bereite man sich daher derzeit auf ein koordiniertes Vorgehen vor.
Druck in Richtung datenschutzkonformer Tracking-Einwilligung soll erhöht werden
Auf Nachfrage des Online-Magazin Netzpolitik.org bestätigte die Behörde auch, dass man derzeit eine Anordnung nach Artikel 58 DSGVO gegen einen Verlag vorbereite, um diesen zu verpflichten, eine bestimmte Form der Datenverarbeitung zu ändern oder zu beenden. Auch die bayerische Datenschutzbehörde hatte im letzten Jahr angekündigt, härter gegen den Einsatz nicht datenschutzkonformer Tracking-Maßnahmen vorgehen zu wollen.
Weitere News zum Thema:
Datenschutzkonferenz macht strenge Vorgaben zu Cookie-Hinweisen
Datenschutzbehörden verabschieden einheitliches Bußgeldkonzept
Tipps zur Vermeidung von Datenschutzpannen
Position der Datenschutzkonferenz zur Einwilligungspflicht für Tracking-Cookies
Schon im letzten Jahr hatte die Datenschutzkonferenz mit einem Positionspapier für einiges Aufsehen gesorgt. Dieses Gremium, das sich aus den Datenschutzbeauftragten der 16 Bundesländer und dem Bundesdatenschutzbeauftragten zusammensetzt, erwartet demnach, dass bei der Nutzung von Tracking-Mechanismen in jedem Fall eine vorherige, informierte Einwilligung der Website-Besucher eingeholt wird. Lediglich solche Cookies, die für die Funktionalität der Website unbedingt erforderlich sind, seien von dieser Einwilligungspflicht ausgenommen.
Zusätzlich veröffentlichte die DSK eine Orientierungshilfe für Anbieter von Telemedien, in der diese Auffassung noch einmal bestätigt und näher erläutert wird. Demnach bleibt es bei der Pflicht zur Einholung der informierten Einwilligung für Tracking-Cookies.
Hohe Anforderungen an Umsetzung der Cookie-Hinweise
Damit eine informierte Einwilligung erfolgt, reichen nach Ansicht der DSK einfache Einblendungen mit entsprechenden Hinweisen nicht aus. In jedem Fall muss der Besucher tatsächlich eine Wahl haben, ob der die Nutzung dieser Cookies bzw. Tracking-Instrumente zulassen will oder nicht. Dazu gehört auch, dass er die Verwendung von Cookies, die nicht zwingend für die Website notwendig sind, gezielt deaktivieren kann.
- Als nicht geeignet bzw. unwirksam werden daher solche Cookie-Hinweise eingestuft, bei denen der Zugang zur eigentlichen Webseite zunächst über ein großes Browser-Fenster blockiert wird, das lediglich ein pauschales Akzeptieren aller Cookies durch Anklicken eines Buttons ermöglicht.
- Eine solche Einwilligung werde nicht freiwillig erteilt und sei daher unwirksam, begründen die Datenschützer ihre Auffassung.
- Als nicht ausreichend stuft die DSK auch einfache bzw. pauschale Formulierungen in Cookie-Hinweistexten ein. Der Hinweis, dass der Nutzer sich durch den Zugriff auf die Webseiten mit dem Setzen von Cookies einverstanden erklärt, erfüllt daher ebenfalls nicht den Anforderungen, die immer ausreichende Erklärungen zu den Cookies und eindeutige, bestätigende Handlungen wie etwa das Anklicken eines Kästchens voraussetzen.
Was erfüllt bezüglich der Tracking-Cookies die DSGVO-Voraussetzung?
Um die ausführlicheren Erläuterungen zu den Cookies nicht gleich auf der Startseite des Internetangebots geben zu müssen, kann dort auch ein Link zur Datenschutzerklärung oder einer separaten Cookie-Policy eingefügt werden, wo diese ausführlichen Informationen dann zu finden sein müssen.
- Werden auf den Webseiten mehrere Tracking-Cookies eingesetzt, müssen diese einzeln aufgelistet und entsprechende Informationen (z.B. die jeweiligen Betreiber und Funktionen) darüber gegeben werden. Zudem muss es den Nutzern möglich sein, bei jedem dieser Cookies einzeln zuzustimmen oder eben ihre Zustimmung zu verweigern. Erst nach der Zustimmung dürfen die Cookies gesetzt werden und die Datenverarbeitung somit erfolgen.
- Um zu verhindern, dass Nutzer bei jedem Aufruf der Website diese Entscheidung erneut treffen müssen, kann das Ergebnis dieser Cookie-Abfrage auf dem Endgerät des Nutzers gespeichert werden. Allerdings darf dazu keine User-ID verwendet werden, durch die der Nutzer eindeutig identifizierbar ist.
Die Einwilligung zur Nutzung von Tracking-Cookies kann jederzeit widerrufen werden. Die Website-Betreiber müssen daher in jedem Fall zusätzlich auch eine solche Widerrufsmöglichkeit implementieren. Der Widerruf muss dabei ebenso einfach durchzuführen sein wie die Zustimmung.