Tracking ohne Cookies und ohne Banner: Was beim Fingerprinting gilt

Wie Fingerprinting funktioniert

Beim Aufruf der Website werden bestimmte Eigenschaften und Einstellungen des Browsers oder Geräts an den Server des Analysedienstes übertragen. Der Dienst vergibt jedem Nutzer eine individuelle Kennung und erhält sie zusammen mit weiteren Browser- und Geräteangaben. Nach dem Landesbeauftragten lassen sich Nutzer so in den allermeisten Fällen eindeutig identifizieren. Schon die Übermittlung dieser Daten ist eine Verarbeitung personenbezogener Daten, die eine Rechtsgrundlage braucht. Eine Einwilligung gab es nicht, weil die Website kein Banner hatte, und ein überwiegendes berechtigtes Interesse sah der Landesbeauftragte ebenfalls nicht (S. 138).

Was § 25 TDDDG und der EDSA dazu sagen

Neben der DSGVO gilt § 25 TDDDG, die deutsche Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie. Danach ist es nur mit Einwilligung zulässig, Informationen auf dem Endgerät zu speichern oder auf dort bereits gespeicherte Informationen zuzugreifen, es sei denn, das ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Die Vorschrift spricht nicht von Cookies, und sie gilt auch für andere Techniken.

Der Europäische Datenschutzausschuss hat in seinen Leitlinien 2/2023, Version 2.0 vom 7. Oktober 2024, festgehalten, dass Fingerprinting unter Art. 5 Abs. 3 der Richtlinie fällt, wie schon die Artikel-29-Datenschutzgruppe 2014 geklärt hatte (Rn. 2). Ein Zugriff liegt danach vor, wenn eine Website den Browser etwa per JavaScript anweist, bestimmte Informationen zu senden (Rn. 33). Auch Angaben, die der Browser ohnehin mitschickt, wie die Browserkennung im HTTP-Header, können unter die Vorschrift fallen, wenn sie zum Fingerprinting gesammelt werden (Rn. 43). Für ein Tracking allein über die IP-Adresse gilt das unter Umständen ebenso (Rn. 54 f.). Der Ausschuss weist aber auch darauf hin, dass nicht jede Anwendung der Vorschrift eine Einwilligung verlangt, und dass im Einzelfall zu prüfen ist, ob eine Ausnahme greift (Rn. 56; EDSA-Leitlinien 2/2023).

Wer verantwortlich ist

Der Landesbeauftragte hat sich dem Betreiber gegenüber ausdrücklich zu einem verbreiteten Missverständnis geäußert. Viele, gerade kleine Unternehmen nutzen für ihre Website einen Baukasten oder beauftragen einen IT-Dienstleister. Verantwortlich nach Art. 4 Nr. 7 DSGVO ist trotzdem in den meisten Fällen der Websitebetreiber selbst, während Baukasten-Anbieter und Dienstleister grundsätzlich als Auftragsverarbeiter tätig sind. Der Betreiber muss dafür sorgen, dass alles, was auf oder aufgrund seiner Website geschieht, den Anforderungen von DSGVO und TDDDG genügt. Im beschriebenen Fall hat er die Anordnungen akzeptiert und die Website nachgebessert (S. 138). Mit Auftragsverarbeitern braucht es außerdem einen Vertrag nach Art. 28 DSGVO, und eingebundene Drittdienste können auch zu Unterlassungsklagen führen.

Bei meinen Mandanten kommt beides vor: Analysetools, die mit dem Verzicht auf Cookies werben, und Websites aus einem Baukasten oder von einer Agentur, bei denen der Betreiber nicht genau weiß, was im Hintergrund läuft.

Welche Lösungen in Betracht kommen

Wer ein Analysetool mit Kennung oder Fingerprinting behalten will, darf es erst laden, wenn der Besucher eingewilligt hat, und das Banner muss das Tool bis dahin tatsächlich blockieren. Eine andere Möglichkeit ist eine Analyse ohne individuelle Kennung und ohne Drittanbieter, etwa auf dem eigenen Server. Ob eine solche Lösung ohne Einwilligung auskommt, hängt von der technischen Umsetzung ab, denn nach den Leitlinien kann auch die Auswertung von Browserangaben oder IP-Adressen unter die Vorschrift fallen. Schließlich bleibt der Verzicht auf die Analyse. Welche dieser Lösungen ich empfehle, entscheide ich je nach Fall, und in Betracht kommen alle.

Und wenn nichts einwilligungspflichtig ist

Der umgekehrte Fall beschäftigt den Landesbeauftragten ebenfalls. Findet auf einer Website keine Verarbeitung statt, die eine Einwilligung braucht, empfiehlt er, auch kein Banner einzusetzen. Ein Banner erweckt sonst den Eindruck, der Besucher habe eine Wahl, die es nicht gibt. Den Besuchern einen Widerruf in Aussicht zu stellen, obwohl die Verarbeitung auf einer anderen Rechtsgrundlage beruht, verstößt nach dem Landesbeauftragten gegen Transparenz sowie Treu und Glauben (Art. 5 Abs. 1 DSGVO; S. 140 f.). Solche Banner sehe ich bei Mandanten, allerdings selten.

Was jetzt zu tun ist

1. Feststellen, welche Dienste die Website tatsächlich lädt, auch solche ohne Cookies. Das zeigt die Netzwerkansicht der Entwicklerwerkzeuge im Browser, oder die Agentur legt eine Liste vor.
2. Für jeden Dienst klären, welche Daten er erhält, ob er eine Kennung vergibt und an wen die Daten gehen.
3. Dienste mit Kennung oder Fingerprinting erst nach Einwilligung laden und prüfen, ob das Banner sie bis dahin wirklich blockiert.
4. Prüfen, ob eine Analyse ohne Kennung und ohne Drittanbieter für den eigenen Zweck genügt.
5. Mit Agentur, Baukasten-Anbieter und Analysedienst Verträge zur Auftragsverarbeitung abschließen.
6. Datenschutzerklärung an die tatsächlich eingesetzten Dienste anpassen und ein Banner entfernen, wenn nichts einwilligungspflichtig ist.