Gesetzesentwurf des TTDSG: Reichweitenmessung auf Webseiten, was ist das eigentlich?

Kategorien: Datenschutz, Cookies und Recht

Am 25.03.2021 hat der Bundestag zum Gesetzesentwurf des TTDSG beraten. Insbesondere soll die Reichweitenmessung auf Webseiten erlaubt werden. Was bedeutet Reichweitenmessung?

Update

Nach Veröffentlichen dieses Beitrags ist am 01.12.2021 das TTDSG in Kraft getreten. Hierzu gibt es unter anderem folgenden Beiträge auf Dr. DSGVO:

• Cookies und das TTDSG: Welche sind erlaubt?
• Browser Fingerprinting und das TTDSG: Erlaubt oder nicht?
• Cookie Popups für Toaster
• Das neue TTDSG: Einwilligungserfordernis für Webseiten und Apps
• CSRF Cookies zur Gefahrenabwehr

Der folgend erwähnte § 24 wurde zum § 25 TTDSG.

Einleitung

Das TTDSG ist das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien. TTDSG ist die Ablürzung für Telekommunikation-Telemedien-Datenschutzgesetz.

Der Gesetzesentwurf des TTDSG sagt im §24 Abs. 2 TTDSG:

Schutz der Privatsphäre bei Endeinrichtungen

(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich,

1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder

2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.

§24 Abs. 2 TTDSG (geplant)

Das TTDSG führt also aus, dass eine Einwilligung nicht nötig ist, wenn auf Informationen wie beispielsweise Cookies zurückgegriffen wird, wenn dies technisch notwendig ist. Damit wäre eine Einwilligungspflicht für die Reichweitenmessung mit Hilfe von Cookies allerdings gegeben, weil diese technisch nicht notwendig ist.

Der obige Gesetzestext orientiert sich sehr eng am Art. 5 Abs. 3 der ePrivacy-Richtlinie.

Die Anmerkung zum Gesetzesentwurf des TTDSG besagt zur Reichweitenmessung:

Um Deutschland wettbewerbsfähig zu halten und der Innovationsfähigkeit der Digitalwirtschaft Raum zu lassen, bittet der Bundesrat um Klarstellung, dass Leistungs-, Nutzungs- und Reichweitenmessungen, ebenfalls von § 24 Absatz 2 Nummer 2 TTDSG umfasst sind. Diese Messungen sind für Anbieter von erheblicher Bedeutung, um die von Nutzerinnen und Nutzern ausdrücklichgewünschten Dienste technisch störungsfrei zur Verfügung stellen zu können und selbst unter anderem einen Überblick über die Nutzung ihrer Angebote zu haben.

Quelle: https://www.bundesrat.de/SharedDocs/drucksachen/2021/0101-0200/163-1-21.pdf?__blob=publicationFile&v=1

Reichweitenmessung ist insbesondere für Webseiten relevant. Die Beratungen hierzu im Deutschen Bundestag am 25.03.2021 gingen bis in die Nacht.

Der Plan des Gesetzgebers ist also, die Reichweitenmessung auf Webseiten ohne Einwilligung zu erlauben.

Was ist Reichweitenmessung?

Der Begriff ist nicht genau definiert, muss aber wie folgt verstanden werden, damit er Sinn ergibt:

Das folgende besagt meine Definition zu Reichweitenmessung:

1. Ziel ist die Messung von Besucherströmen und des Verhaltens einzelner Nutzer
2. Die Messung wird vom Betreiber einer Webseite für die eigene Webseite vorgenommen
3. Dafür können Cookies eingesetzt werden, um sitzungsübergreifendes Nutzerverhalten nachvollziehen zu können
4. Die Verwaltung der Cookies findet ausschließlich durch den Betreiber der Webseite statt

Ein Beispiel für eine solche Reichweitenmessung ist Matomo in lokaler Installation. Mit Matomo kann man u.a. messen

• wie oft welche Seite aufgerufen wurde,
• wie sich ein Nutzer auf der eigenen Webseite bewegt hat (Beispiel: Einstieg über Startseite, dann Klick auf "Produkte", dann Klick auf "Hundefutter", dann Schließen des Browsers),
• wie lange ein Nutzer ungefähr auf der eigenen Webseite war.

Mit Cookies kann festgestellt werden, ob ein Nutzer drei Tage später erneut auf der eigenen Webseite war, um beispielsweise einen Kauf vorzunehmen, nachdem er sich drei Tage vorher lediglich über das Angebot informiert hatte.

Idealerweise wird nur ein Cookie verwendet, um Nutzer auf der eigenen Webseite nachzuverfolgen! Technisch ist es ohne Weiteres möglich, mit einem Cookie auszukommen. Wer mehr Cookies als nur eines für die Reichweitenmessung einsetzen würde, müsste sich die Frage gefallen lassen, ob alle Cookies ab dem zweiten technisch für die Reichweitenmessung notwendig sind. Ich sage nein und kann dies auch beweisen. Nur in Kürze: Siehe Touringmaschine. Mit lediglich zwei Ziffern, nämlich 0 und 1, kann ein universelles Computerprogramm geschrieben werden. Dann ist es auch möglich, in einer einzigen längeren Zeichenfolge alle für die Reichweitenmessung nötigen Angaben zu speichern.

Wie lange die Lebensdauer des Cookies zur Nachverfolgung von Nutzern ist, muss geklärt werden. Ich halte sieben Tage für im Geiste des TTDSG vertretbar und würde zwei Monate für zu lange halten. Eine Nutzerreise (Customer Journey) ist irgendwann abgeschlossen. Selbst wenn ein Nutzer ein Jahr nach seinem Erstbesuch auf einer Webseite einen Kauf tätigt, ist dieser kausal kaum mit seinem Erstbesuch in Verbindung zu bringen.

Weiterhin: Die Reichweitenmessung der VG Wort kann bzgl. des TTDSG nicht gemeint sein, weil die VG Wort Messung bereits jetzt erlaubt ist, weil technisch und für die Ermittlung der Autorenvergütung notwendig.

Reichweitenmessung und Datenschutz

Die Reichweitenmessung zeichnet sich dadurch aus, dass keine Dritten bei der Messung involviert sind und auch nicht involviert sein dürfen. Unter dieser Maßgabe halte ich den Ansatz der geplanten Änderung des TTDSG auch aus Datenschutzsicht für gerechtfertigt.

Reichweitenmessung bedeutet also nicht, dass Google Analytics o.ä. eingesetzt wird. Google Analytics nutzt zwar Cookies, die als First-Party Cookies bezeichnet werden. Diese Klassifizierung ist allerdings rein technischer Natur. Fachlich sind Google Analytics Cookies natürlich Drittpartei-Cookies (Third-Party), weil der Datenempfänger erwiesenermaßen auch der Google Konzern ist.

Mein Fazit:

Der Vollständigkeit halber soll erwähnt werden, dass Dritte nur solche sind, mit denen kein wirksamer Auftragsverarbeitungsvertrag (AVV) geschlossen wurde. Mit den Firmen Google und Facebook jedenfalls kann laut richterlicher Rechtsprechung kein AVV geschlossen werden! Insbesondere darf ein Auftragsverarbeiter die im Auftrag verarbeitete Daten selbst nicht nutzen! Am sichersten und jetzt schon jedem möglich ist die Reichweitenmessung mit Hilfe eines lokal installierten Tools. Aber auch die Dienste deutscher Anbieter, mit denen ein AVV abgeschlossen wird und deren Datenschutzverständnis optimal ist, sind einwandfrei einsetzbar. Bei der Beurteilung, ob ein Anbieter, mit dem ein AVV geschlossen werden sol, Datenschutz ernst nimmt, empfehle ich, dessen Webseite zu prüfen.

Enthält die Anbieter-Webseite Datenschutzverstöße, kann der Anbieter nicht so viel von Datenschutz verstehen, wie es gut wäre.