gekennzeichnet.
Ende 2021 ist das TTDSG in Deutschland in Kraft getreten. Es hat Auswirkungen auf die Reichweitenmessung auf Webseiten. Was bedeutet Reichweitenmessung und ist sie ohne Einwilligung erlaubt?
Update
Zum TTDSG gibt es unter anderem folgende weitere Beiträge auf Dr. DSGVO:
- Cookies und das TTDSG: Welche sind erlaubt?
- Browser Fingerprinting und das TTDSG: Erlaubt oder nicht?
- Cookie Popups für Toaster
- PIMS als zentrale Einwilligungsverwaltung: 66 Gründe für das Scheitern von PIMS
- Das neue TTDSG: Einwilligungserfordernis für Webseiten und Apps
- CSRF Cookies zur Gefahrenabwehr
Der folgend erwähnte § 24 wurde zum § 25 TTDSG.
Einleitung
Das TTDSG ist das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien. TTDSG ist die Abkürzung für Telekommunikation-Telemedien-Datenschutzgesetz.
Der Gesetzesentwurf des TTDSG sagte im § 24 Abs. 2 TTDSG, der nun zum § 25 TTDSG wurde:
Schutz der Privatsphäre bei Endeinrichtungen
(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich,
1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder
2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.
Alter §24 Abs. 2 TTDSG, der zum § 25 TTDSG wurde.
Das TTDSG führt also aus, dass eine Einwilligung nicht nötig ist, wenn auf Informationen wie beispielsweise Cookies zurückgegriffen wird, wenn dies technisch notwendig ist. Damit wäre eine Einwilligungspflicht für die Reichweitenmessung mit Hilfe von Cookies allerdings gegeben, weil diese technisch nicht notwendig ist.
Der obige Gesetzestext orientiert sich sehr eng am Art. 5 Abs. 3 der ePrivacy-Richtlinie.
Die Anmerkung zum Gesetzesentwurf des TTDSG besagt zur Reichweitenmessung:
Um Deutschland wettbewerbsfähig zu halten und der Innovationsfähigkeit der Digitalwirtschaft Raum zu lassen, bittet der Bundesrat um Klarstellung, dass Leistungs-, Nutzungs- und Reichweitenmessungen, ebenfalls von § 24 Absatz 2 Nummer 2 TTDSG umfasst sind. Diese Messungen sind für Anbieter von erheblicher Bedeutung, um die von Nutzerinnen und Nutzern ausdrücklichgewünschten Dienste technisch störungsfrei zur Verfügung stellen zu können und selbst unter anderem einen Überblick über die Nutzung ihrer Angebote zu haben.
Quelle: https://www.bundesrat.de/SharedDocs/drucksachen/2021/0101-0200/163-1-21.pdf?__blob=publicationFile&v=1
Reichweitenmessung ist insbesondere für Webseiten relevant. Die Beratungen hierzu im Deutschen Bundestag am 25.03.2021 gingen bis in die Nacht.
Der Plan des Gesetzgebers war also, die Reichweitenmessung auf Webseiten ohne Einwilligung zu erlauben. Dieser Plan wurde im TTDSG nicht in besonderer Weise berücksichtigt, sondern scheinbar gar nicht.
Was ist Reichweitenmessung?
Der Begriff ist nicht genau definiert, muss aber wie folgt verstanden werden, damit er Sinn ergibt:
Reichweitenmessung ist die Messung des Nutzerverhaltens auf der eigenen Webseite mit Hilfe von Cookies, die vom Betreiber der Webseite ausschließlich selbst verwaltet werden.
Vorschlag für die Definition von Reichweitenmessung.
Das folgende besagt meine Definition zu Reichweitenmessung:
- Ziel ist die Messung von Besucherströmen und des Verhaltens einzelner Nutzer.
- Die Messung wird vom Betreiber einer Webseite für die eigene Webseite vorgenommen.
- Dafür können Cookies eingesetzt werden, um sitzungsübergreifendes Nutzerverhalten nachvollziehen zu können.
- Die Verwaltung der Cookies findet ausschließlich durch den Betreiber der Webseite statt.
Ein Beispiel für eine solche Reichweitenmessung ist Matomo in lokaler Installation. Mit Matomo kann man u.a. messen
- wie oft welche Seite aufgerufen wurde,
- wie sich ein Nutzer auf der eigenen Webseite bewegt hat (Beispiel: Einstieg über Startseite, dann Klick auf „Produkte“, dann Klick auf „Hundefutter“, dann Schließen des Browsers),
- wie lange ein Nutzer ungefähr auf der eigenen Webseite war.
Mit Cookies kann festgestellt werden, ob ein Nutzer drei Tage später erneut auf der eigenen Webseite war, um beispielsweise einen Kauf vorzunehmen, nachdem er sich drei Tage vorher lediglich über das Angebot informiert hatte.
Idealerweise wird nur ein Cookie verwendet, um Nutzer auf der eigenen Webseite nachzuverfolgen! Technisch ist es ohne Weiteres möglich, mit einem Cookie auszukommen. Wer mehr Cookies als nur eines für die Reichweitenmessung einsetzen würde, müsste sich die Frage gefallen lassen, ob alle Cookies ab dem zweiten technisch für die Reichweitenmessung notwendig sind. Ich sage nein und kann dies auch beweisen. Nur in Kürze: Siehe Touringmaschine. Mit lediglich zwei Ziffern, nämlich 0 und 1, kann ein universelles Computerprogramm geschrieben werden. Dann ist es auch möglich, in einer einzigen längeren Zeichenfolge alle für die Reichweitenmessung nötigen Angaben zu speichern.
Wie lange die Lebensdauer des Cookies zur Nachverfolgung von Nutzern ist, muss geklärt werden. Ich halte sieben Tage für im Geiste des TTDSG vertretbar und würde zwei Monate für zu lange halten. Eine Nutzerreise (Customer Journey) ist irgendwann abgeschlossen. Selbst wenn ein Nutzer ein Jahr nach seinem Erstbesuch auf einer Webseite einen Kauf tätigt, ist dieser kausal kaum mit seinem Erstbesuch in Verbindung zu bringen.
Weiterhin: Die Reichweitenmessung der VG Wort kann bzgl. des TTDSG nicht gemeint sein, weil die VG Wort Messung bereits jetzt erlaubt ist, weil technisch und für die Ermittlung der Autorenvergütung notwendig.
Reichweitenmessung und Datenschutz
Die Reichweitenmessung zeichnet sich dadurch aus, dass keine Dritten bei der Messung involviert sind und auch nicht involviert sein dürfen. Unter dieser Maßgabe halte ich den Ansatz der geplanten Änderung des TTDSG auch aus Datenschutzsicht für gerechtfertigt.
Reichweitenmessung bedeutet also nicht, dass Google Analytics o. ä. eingesetzt wird. Google Analytics nutzt zwar Cookies, die als First-Party Cookies bezeichnet werden. Diese Klassifizierung ist allerdings rein technischer Natur. Fachlich sind Google Analytics Cookies natürlich Drittpartei-Cookies (Third-Party), weil der Datenempfänger erwiesenermaßen auch der Google Konzern ist.
Mein Fazit:
Die geplante Änderung des TTDSG zur Reichweitenmessung erscheint aus Datenschutzsicht vertretbar.
Der Vollständigkeit halber soll erwähnt werden, dass Dritte nur solche sind, mit denen kein wirksamer Auftragsverarbeitungsvertrag (AVV) geschlossen wurde. Mit den Firmen Google und Facebook jedenfalls kann laut richterlicher Rechtsprechung kein AVV geschlossen werden! Insbesondere darf ein Auftragsverarbeiter die im Auftrag verarbeitete Daten selbst nicht nutzen! Am sichersten und jetzt schon jedem möglich ist die Reichweitenmessung mit Hilfe eines lokal installierten Tools. Aber auch die Dienste deutscher Anbieter, mit denen ein AVV abgeschlossen wird und deren Datenschutzverständnis optimal ist, sind einwandfrei einsetzbar. Bei der Beurteilung, ob ein Anbieter, mit dem ein AVV geschlossen werden soll, Datenschutz ernst nimmt, empfehle ich, dessen Webseite zu prüfen.
Enthält die Anbieter-Webseite Datenschutzverstöße, kann der Anbieter nicht so viel von Datenschutz verstehen, wie es gut wäre.
Kernaussagen dieses Beitrags
Das TTDSG wollte Reichweitenmessungen auf Webseiten ohne Zustimmung der Nutzer erlauben, da diese für Anbieter wichtig sind, um ihre Dienste zu verbessern und zu verstehen, wie sie genutzt werden.
Reichweitenmessung auf Webseiten sollte mit maximal einem einzigen Cookie möglich sein und darf nur vom Betreiber der Webseite selbst durchgeführt werden, um den Datenschutz zu schützen.
Die geplante Änderung des TTDSG zur Reichweitenmessung ist aus Datenschutzsicht vertretbar, wenn man auf sichere Anbieter setzt, mit denen ein gültiger Vertrag geschlossen wurde.
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT & Datenschutz bin ich auch als Sachverständiger tätig. Ich stehe für pragmatische Lösungen mit Mehrwert. Meine Firma, die 
Hallo Herr Meffert,
ein sehr interessanter Beitrag. Mich würde interessieren, auf welche Rechtsprechung Sie sich im letzten Absatz beziehen, wen Sie davon sprechen, dass mit Google oder Facebook kein AVV geschlossen werden kann. Haben Sie hier vielleicht eine Quelle?
Es würde mich auch interessieren, woraus Sie schließen, dass "Dritte" nur solche sind, mit denen kein gültiger AVV geschlossen wurde. Vielleicht haben Sie ja auch hierzu irgendeine Quelle, oder können Ihren Gedankengang näher erklären.
Vielen Dank
Danke für Ihre Rückmeldung.
Meine Aussage war, dass mit Google der Facebook kein wirksamer AVV geschlossen werden kann ("wirksam" ist hier entscheidend). Eine fundierte Antwort kann ich Ihnen hier in diesem Kommentar nicht geben, sondern nur auf meine zahlreichen Beiträge verweisen.
Google nutzt Daten auch für andere Zwecke als dies in einem AVV erlaubt wäre, und/oder sendet diese Daten in die USA (Beispiel: Google Analytics: Google gibt offiziell zu "Google Analytics verarbeitet alle Analytics-Daten immer in den USA. Das ist aber gemäß Erwägungsgrund 111 nicht mit einer Einwilligung legitimierbar).
Facebook weiß selbst nicht, was mit den Daten passiert (hierzu habe ich mal ein Dokument gelesen, in dem das steht).
"Dritte" sind für mich solche, die eben nicht Auftragsverarbeiter o.ä. sind. Ich weiß nicht genau, worauf Ihre Frage hierzu abzielt, deshalb kann ich das hier nicht besser beantworten.
Jemand, mit dem ein AVV geschlossen wurde, tritt nach außen hin quasi als "Erster" auf (im Innenverhältnis mag es anders sein).