Das Wichtigste in Kürze

• Eine Einwilligung brauchen Sie, sobald Ihre Website Informationen auf dem Endgerät speichert oder dort ausliest und das nicht unbedingt erforderlich ist. Das betrifft Cookies, aber auch Local Storage und Browser-Fingerprinting. Ebenso ist eine Einwilligung erforderlich für die Auswertung von Benutzerinformationen zur weitergehenden Verhaltensanalyse (Tracking).
• Ein Consent-Tool macht eine Website nicht automatisch datenschutzkonform. Entscheidend ist, was tatsächlich vor der Zustimmung geladen wird.
• Die beste Einwilligung ist die, die Sie nicht brauchen. Viele Dienste lassen sich durch datenschutzfreundliche Alternativen ersetzen, dann entfällt das Banner.
• Prüfen Sie Ihre Website selbst, statt sich auf Versprechen von Anbietern zu verlassen.

Wann eine Einwilligung nötig ist

Maßgeblich sind zwei Gesetze. § 25 TDDDG (früher TTDSG) regelt jeden Zugriff auf das Endgerät, also das Speichern und Auslesen von Informationen. Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert. Die DSGVO regelt zusätzlich die Verarbeitung personenbezogener Daten, die dabei entstehen. Welche Cookies ohne Zustimmung erlaubt sind, erklärt Cookies und das TDDDG: Welche Cookies sind ohne Einwilligung erlaubt?. Wo die Grenze der technischen Notwendigkeit verläuft, zeigt Website-Cookies: Was darf ohne Zustimmung verwendet werden?.

Ob Cookies überhaupt personenbezogene Daten sind, ist für Bußgelder entscheidend: Cookies: Persönliche Daten oder nicht?. Dieselben Regeln gelten für Techniken ohne Cookie, etwa Browser-Fingerprinting. Nicht jeder Dateiabruf ist dagegen wie ein Cookie zu behandeln: Sind Dateiabrufe auf Webseiten wie Cookies zu behandeln?. Selbst Sicherheits-Cookies sind nicht automatisch erlaubt, wie das Beispiel CSRF-Cookies zeigt. Eine Übersicht für gängige Dienste bietet die Checkliste für Webseiten-Tools: Wann ist eine Einwilligung notwendig?.

Den Wortlaut der Vorschrift mit Erläuterungen finden Sie unter § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen.

Welche Cookies setzt Ihre Website?

Bevor Sie über ein Banner entscheiden, sollten Sie wissen, was Ihre Website tatsächlich speichert und lädt. Die Anleitung: Alle Cookies finden, die eine Webseite nutzt führt Schritt für Schritt durch die Prüfung im Browser. Grundlagen und verbreitete Irrtümer erklären Cookies: Grundlagen, Fakten und häufige Fehlinformationen und Cookies und Datenschutz: Die unsichtbare Gefahr im Netz.

Welche Cookies und Dienste lädt Ihre Website, bevor jemand zustimmt? Der kostenlose Website-Check zeigt es in wenigen Sekunden. Jetzt Website prüfen

Consent-Tools: Was sie leisten und was nicht

Consent-Management-Plattformen versprechen, Dienste bis zur Zustimmung automatisch zu blockieren. In der Praxis laden Browser viele Dateien parallel, und ein Tool, das selbst erst geladen werden muss, kommt oft zu spät. Warum das so ist, zeigen Consent-Management-Plattformen: Wie zuverlässig sind Cookie-Tools? und Cookie-Popups: Fünf Gründe, warum sie nicht funktionieren können. Wie verbreitet das Problem ist, belegt der Test Cookiegeddon: Das Versagen aller Consent-Tools.

Ob Ihr eigenes Tool korrekt arbeitet, lässt sich prüfen: Consent-Tools auf Webseiten: So prüft man, ob sie DSGVO-konform sind. Zu einzelnen Anbietern gibt es Praxistests:

• Borlabs Cookie: Testbericht und Empfehlungen
• Usercentrics: Praxistest des Consent-Tools
• OneTrust: Consent-Tool mit großen Tücken
• Cookiebot: Haftung des Website-Betreibers und fehlender AVV

Einwilligung richtig einholen

Wenn Sie eine Einwilligung brauchen, muss sie freiwillig, informiert und vor dem ersten Zugriff erteilt werden. Was dazu gehört, fasst die Checkliste für rechtssichere Einwilligungsabfragen zusammen. Wie verständliche Beschreibungen aussehen und wie es nicht geht, zeigt Cookie-Popups: Die besten Cookie-Beschreibungen. Ein häufiger Fehler ist ein Tag Manager, der schon vor der Zustimmung lädt: Google Tag Manager erst nach Einwilligung laden.

Zentrale Einwilligungsverwaltung (PIMS, § 26 TDDDG)

Statt auf jeder Website einzeln zuzustimmen, sollen Besucher ihre Einstellungen an zentraler Stelle hinterlegen. Grundlage ist § 26 TDDDG, der anerkannte Dienste zur Einwilligungsverwaltung vorsieht. Wie das funktionieren soll und welche Fragen offen sind, beschreibt der Beitrag Das Ende der Cookie-Popups?.

Für Betreiber ändert sich dadurch wenig: Wer auf das Endgerät zugreift und das nicht unbedingt braucht, muss weiterhin vorher wirksam einwilligen lassen. Warum das Konzept rechtlich und technisch kaum tragen kann, zeigen diese Beiträge:

• Zentrale Einwilligungsverwaltung (PIMS): 66 Gründe, warum diese Datenschutz-Idee scheitern wird
• Warum eine zentrale Einwilligungsverwaltung in der Praxis nicht funktionieren kann
• Die verkürzte Einwilligung nur in Cookies: PIMS ist nicht zu Ende gedacht
• Einwilligungsverwaltungs-Verordnung: Warum Einwilligungen nach Kategorien nicht funktionieren
• Das neue TDDDG: Dienste zur Einwilligungsverwaltung helfen dem Datenschutz nicht

Der bessere Weg: Dienste, die keine Einwilligung brauchen

Jedes Banner kostet Vertrauen und Besucher, und jede Einwilligung ist ein Rechtsrisiko, wenn sie fehlerhaft eingeholt wird. Oft lässt sich beides vermeiden. Datenschutzfreundliche Website-Tools: kostenlos und DSGVO-konform stellt Alternativen zu verbreiteten Diensten vor. Für Besucherstatistiken eignet sich Matomo ohne Einwilligung, Schriften lassen sich lokal einbinden (Google Fonts), Videos über ein Vorschaubild (YouTube).

Wer dennoch eine Abfrage braucht, findet ein kostenloses Consent-Tool zum Download mit Anleitung zur Einbindung. Warum die politische Debatte über die Abschaffung von Cookie-Bannern das Problem nicht löst, erklärt Cookie-Banner sollen abgeschafft werden. Wie wenig Ablehnen und Privatmodus die Besucher tatsächlich schützen, zeigen Cookie-Abfrage abgelehnt oder Privatmodus genutzt und Das Ende der Cookie-Blocker.

Wie Sie eine Website von Anfang an so aufbauen, dass kaum Einwilligungen nötig sind, zeigt der Schnellstart für datenschutzfreundliche Webseiten.

Prüfliste für Ihre Website

1. Erfassen Sie alle Cookies, Speicherzugriffe und externen Dienste, die beim ersten Aufruf geladen werden.
2. Prüfen Sie für jeden Eintrag, ob er für den vom Besucher gewünschten Dienst unbedingt erforderlich ist.
3. Ersetzen oder entfernen Sie Dienste, die eine Einwilligung brauchen, wo immer es geht.
4. Falls eine Einwilligung bleibt: Kontrollieren Sie, dass vor der Zustimmung nichts davon lädt, auch nicht der Tag Manager.
5. Formulieren Sie die Beschreibungen in der Abfrage so, dass Laien sie verstehen.
6. Wiederholen Sie die Prüfung nach jedem Update von Theme, Plugins oder eingebundenen Diensten.

Welche Cookies und Dienste lädt Ihre Website, bevor jemand zustimmt? Der kostenlose Website-Check zeigt es in wenigen Sekunden. Jetzt Website prüfen

Häufige Fragen

Diese Übersicht wird ergänzt, sobald neue Beiträge zum Thema erscheinen.

Einleitung

Personenbezogene Daten sind solche Daten, die auf eine Person schließen lassen. Somit ist beispielsweise der Name einer Person, zusammen mit deren Anschrift (Straße, Hausnummer, PLZ, Ort, Land, Planet, Galaxiebezeichnung) ein personenbezogener Datenwert. Statt Datenwert wird übrigens oft von Datum gesprochen. Datum ist die Einzahl von Daten.

Insbesondere Im Englischen wird oft von PII gesprochen. PII bedeutet Personally Identifiable Information oder persönlich identifizierbare Informationen, also personenbezogene Daten.

Der Name einer Person mitsamt deren Anschrift stellt einen direkten Personenbezug her. Aber auch Daten, die indirekt auf eine Person schließen lassen, sind personenbezogen. Das geht aus Art. 4 Nr. 1 DS-GVO eindeutig hervor. Die DSGVO spricht nicht von direktem oder indirektem Personenbezug, sondern von identifizierten oder identifizierbaren Personen.

Eine Person ist identifizierbar, sobald es objektiv möglich ist, dass man selbst oder unter Zuhilfenahme Dritter ein Personenbezug herstellen kann. Dritte können beispielsweise Telekommunikationsdienstleister, Geheimdienste oder Behörden sein. Es spielt keine Rolle, ob diese Dritten aktuell von Ihnen nach Personendaten gefragt werden können. Es reicht die objektiv vorgesehene Möglichkeit. Beispielsweise kann eine solche Möglichkeit durch Strafverfolgung eröffnet werden. Das hatte der EuGH im Urteil vom 19.10.2016 – C-582/14 ("Breyer", IP-Adressen sind personenbezogene Daten) festgestellt.

Daneben hat die Artikel 29 Gruppe der EU festgestellt, dass eine Person auch dann als identifizierbar gilt, wenn sie in einer Gruppe von Personen von den anderen Personen unterschieden werden kann. Dies wurde in der sogenannten Opinion 4/2007 artikuliert. Die Artikel 29 Datenschutzgruppe ist die Vorgängerin des Europäischen Datenschutzausschusses (EDSA) und ist sogar in Artikel 94 DSGVO erwähnt. Sie hat also eine erhebliche Relevanz.

Wann ist eine Person direkt identifizierbar?

Oben habe ich bereits das Beispiel mit dem Namen einer Person samt Adresse gegeben. Diese Datenlage erlaubt eine vollständige, direkte Identifikation einer Person. Alle Daten, die direkt auf eine Person deuten, machen diese Person direkt identifizierbar.

Wenn in einer Selbsthilfegruppe der anonymen Alkoholiker eine Person graue Haare hat und die anderen haben keine grauen Haare, dann wäre die eine Person von den anderen durch den folgenden Datenwert unterscheidbar: „Die Person, um die es geht, ist in dieser Gruppe und hat graue Haare“.

Nun wäre die Person damit möglicherweise aber noch nicht direkt identifiziert. Denn wenn ich jemanden vor mir sehe, weiß ich meist nicht, wer dieser Jemand ist, wie er also heißt und wo dieser Jemand residiert.

Allerdings könnte es schon sein, dass eine Person einen Schaden erleidet, weil jemand ihre Daten misshandelt, ohne dass bekannt ist, wo die Person wohnt. Hier stellt sich die Frage, ob es dann nicht ausreicht, die Person persönlich vor sich zu haben, um einen direkten Personenbezug zu haben. Auf diese Frage gehe ich hier allerdings nicht näher ein. Das wäre eine eigene Untersuchung wert, die vielleicht eher ein Jurist verfassen könnte.

Was ist ein indirekter Personenbezug?

Sollte also der direkte Personenbezug verneint werden, besteht oft ein indirekter Personenbezug. Dies ist immer dann zu bejahen, wenn es eine objektive Möglichkeit gibt, die Person vollständig zu identifizieren.

Das eben genannte Beispiel der grauhaarigen Person in der Gruppe anonymer Alkoholiker zeigt, dass mindestens ein indirekter Personenbezug besteht. Denn wenn die Grauhaarige in der Gruppe eine Straftat begeht, dann kann im Rahmen der Strafverfolgung festgestellt werden, wer genau die Grauhaarige ist. Somit ist das Datum „Person in der Gruppe ist grauhaarig“ ein personenbezogenes Datum (natürlich in dem genannten Kontext). Denn es besteht objektiv die Möglichkeit, dass

1. die grauhaarige Person eine Straftat begehen wird und
2. die Strafverfolgungsmöglichkeiten in Deutschland es erlauben, die Person aufgrund eines Verdachts auf Verüben einer Straftat vollständig zu identifizieren.

Man könnte die Grauhaarige auch ohne Straftat identifizieren, nämlich beispielsweise dann, wenn die Person ein auf sie zugelassenen Automobil fährt und damit zum Treffen der Selbsthilfegruppe gefahren ist. Auf einem Automobil muss nach Straßenverkehrsordnung ein Kfz-Kennzeichen angebracht sein (möglicherweise gibt es Automobile, auf die dies nicht zutrifft, aber um die soll es hier nicht gehen). Das Kfz-Kennzeichen wiederum ist der Person, also ihrem Namen und ihrer Anschrift, eindeutig zugeordnet. Die Kraftfahrtbehörde kennt diese Zuordnung. Wenn das Automobil nun in einen Unfall verwickelt ist, kann der Halter identifiziert werden. Ein Unfall ist üblicherweise keine Straftat. Es könnte sogar sein, dass die grauhaarige Fahrerin der Selbsthilfegruppe gar nicht schuldig am Unfall war. Der Unfallverursacher musste sich jedenfalls die Adressdaten der Grauhaarigen geben lassen, um ihr eine ordentliche Unfallabwicklung zu gewährleisten. Auch so etwas wie Fahrerflucht möchte der Unfallverursacher vermeiden und schreibt sich im Zweifel das Kennzeichen der Geschädigten auf, wenn sie nicht an Ihrem Auto anzutreffen ist.

Wenn jemand allerdings theoretisch in einen Unfall verwickelt werden kann, dann ist doch jede Person, die Ihnen begegnet, im Endeffekt identifizierbar. Somit wäre jeder Datenwert zu einer Person, die physisch in Ihrer Nähe ist, ein personenbezogenes Datum. Auf jeden Fall gilt dies allerdings für Personen, die im Internet surfen. Siehe hierzu den Abschnitt „Cookies“ weiter unten. Wenn Sie mit jemandem telefonieren und dieser Jemand von seinem Privatanschluss oder eigenen Smartphone mit Ihnen spricht, dann sind ebenfalls alle Daten zu Ihrem Gesprächspartner personenbezogen. Die DSGVO gilt allerdings nur, wenn Daten mindestens gespeichert oder teilautomatisiert verarbeitet werden (siehe Art. 2 Abs. 1 DSGVO). Die Signalübertragung bei Telefonen ist allerdings automatisiert. Eine Ausnahme ist im genannten Artikel vorgesehen, nämlich rein persönlicher bzw. familiäre Angelegenheiten, für die die DSGVO nicht gilt.

Zudem ist es wahrscheinlich möglich, eine Person im Rahmen der Legalität zu verfolgen, um herauszufinden, wo sie hingefahren ist. Vielleicht ja zu ihrem Wohnort. Das nur zur Inspiration.

Auch der Standort einer Person macht sie womöglich identifizierbar. Man denke nur an das GPS-Signal des Smartphones. Ich hatte mal irgendwo gelesen, dass eine Straftäterin überführt wurde, weil ihr Google Konto ausgewertet wurde. In meinem Smartphone ist jedenfalls das GPS-Signal fast immer ausgeschaltet (aber nicht, weil ich vorhätte eine Straftat zu begehen, sondern weil es mir nicht behagt, wenn jemand aufgrund von elektronischen Signalen weiß, wo ich bin oder war).

Cookies

Laut ePrivacy-Richtlinie spielt es keine Rolle, ob Cookies personenbezogene Daten halten oder nicht. Die ePrivacy-Richtlinie greift dennoch. In Deutschland ist sie vor allem durch den § 25 TTDSG realisiert. Das TTDSG ist ein Sondergesetz zur DS-GVO. Wenn das TTDSG gilt, entfaltet es Sperrwirkung gegenüber der DS-GVO. Erst wenn die rechtliche Prüfung gemäß § 25 TTDSG bezüglich Cookies und anderer Endeinrichtungszugriffe positiv abgeschlossen ist, wird gemäß DS-GVO geprüft. Ich schreibe hier ausnahmsweise mal richtigerweise „DS-GVO“. Ansonsten wird sehr häufig die griffigere Bezeichnung ohne Bindestrich, also „DSGVO“, verwendet. Die DSGVO ist übrigens kein Gesetz, sondern eine Verordnung. Das macht aber für alle bis auf für Juristen eigentlich keinen Unterschied.

Update Mai 2024: Das TTDSG heißt nun TDDDG. Weil viele Leser nur das TTDSG kennen, wird hier weiterhin die ursprüngliche Bezeichnung verwendet.

Die Speicherung von Cookies in Ihrem Endgerät (etwa in Ihrem Smartphone oder Desktop PC) und der Zugriff auf in Ihrem Endgerät gespeicherte Cookies ist nur einwilligungsfrei, wenn die Cookies unbedingt erforderlich sind. Die meisten Cookies sind nicht unbedingt erforderlich. Hierbei spielt es, wie schon gesagt, keine Rolle, ob die Cookie-Werte personenbezogen sind oder nicht. Es ist egal, welche Werte im Cookie gespeichert werden; das TTDSG gilt hierfür immer.

Nun speichert man ein Cookie im Endgerät ab und liest es später wieder aus. Danach möchte man sicher mit dem Cookie-Wert arbeiten, denn ansonsten hätte man das Cookie auch gleich weglassen können. Diese Arbeit mit dem Cookie-Wert fällt unter die Regelungen der DSGVO. Die DSGVO gilt aber nur für personenbezogene Daten, zu denen auch die personenbeziehbaren Daten gehören. Wie oben geschrieben, sind dies alle Daten, die direkt oder indirekt auf eine Person hindeuten können.

Was ist, wenn ein Cookie-Wert nicht personenbezogen ist? Nehmen wir als Beispiel einen Wert wie „xyz123“. Auch dann ist der Cookie-Wert personenbezogen. Manche wollen das nicht einsehen oder behaupten das Gegenteil, weil es gut für deren Mandanten wäre. Für meine Begründung, warum Cookie-Werte immer personenbezogen sind, muss ich etwas ausholen.

IP-Adressen sind personenbezogene Daten. Dies haben EuGH und BGH in ihren Breyer-Entscheidungen in den Jahren 2016 und 2017 festgestellt (siehe oben für Urteilsreferenz). Auch auf dynamische IP-Adressen trifft dies zu.

Cookies werden dummerweise immer zusammen mit der IP-Adresse des Besuchers einer Webseite an die Webseite übertragen. Die IP-Adresse ist personenbezogen, also ist auch jeder andere (potentiell mit Bedeutung aufgeladene) Datenwert, der zusammen mit der IP-Adresse auftritt, personenbezogen.

Cookie-Werte sind also immer personenbezogen. Somit gilt für die Verarbeitung von Cookie-Werten immer die DSGVO, auch wenn manche dies gerne wegdiskutieren wollen.

Fazit

Daten sind personenbezogen, wenn sie direkt oder indirekt auf eine Person hindeuten. Gemäß Legaldefinition sind personenbeziehbare Daten mit personenbezogenen Daten gleichzusetzen.

Ein Datenwert, der zusammen mit einem personenbezogenen Datum auftritt, wird automatisch personenbeziehbar und somit personenbezogen. Dies mag möglicherweise nur dann nicht gelten, wenn dem Datenwert keinerlei Bedeutung anhaftet und zwar weder objektiv noch subjektiv. Subjektiv heißt hier, dass der Datenwert selbst für sämtliche denkbare Datenempfänger keinerlei Bedeutung hat. Allerdings stellt sich dann die Frage, warum der Datenwert dann überhaupt existiert. Vielleicht gibt es ja ein sinnvolles Beispiel; mir fällt aktuell nur keines ein.

Es ist im Zweifel egal, wie lange ein Datenwert X mit einem personenbezogenen Datenwert zusammen existiert, damit der Datenwert X als personenbezogen gilt. Dies hatte sogar die nicht für ihre Strenge bekannte irische Datenschutzaufsicht im Verfahren gegen WhatsApp festgestellt.

Auch ist es egal, ob Daten gespeichert werden oder nicht, sofern die Daten teil- oder vollautomatisiert verarbeitet werden. Sind die Daten zum Zeitpunkt ihrer Existenz personenbezogen, dann sind sie personenbezogen. Datenverarbeitung beginnt bereits ab der objektiven „gewollten“ Kenntnismöglichkeit, was mit Datenerhebung bezeichnet wird.

Übrigens sind IP-Adressen für Google wegen der Personenbeziehbarkeit potentiell immer personenbezogen, und zwar wahrscheinlich weltweit und egal, wie die Strafverfolgungsmöglichkeiten in dem jeweiligen Land auch sein mögen. Denn wenn ein Nutzer einen Google-Dienst wie GMail nutzt oder ein Android-Handy hat, kann dieser Nutzer objektiv identifiziert werden. Ein Handy hat bekanntlich eine Telefonnummer. Diese Nummer ist (zumindest in einigen Ländern) auf eine Person registriert. In Deutschland muss dies so sein (jedenfalls gilt dies nach meiner Kenntnis für Privattelefone, und es geht in diesem Beitrag ja um Privatpersonen und nicht um Firmen). GMail wiederum ist ein Mailing-Dienst. Es soll Menschen geben, die bekommen an ihre GMail-Adresse Post geschickt, in der Name und Adresse der Person enthalten sind, die die GMail-Adresse innehat.

Diese Frage hatte ich im Rahmen der Google Fonts Abmahnungen bereits untersucht, um zu zeigen, dass die IP-Adresse für Google auch in Österreich potentiell immer einen Personenbezug hat.

Im Zweifel sollten Daten als personenbezogen angesehen werden. Der Zweifel entsteht oft „nur“, weil die Vorstellungskraft fehlt, dass ein Datenwert auf eine Person verweisen könnte. In Anwendungen der künstlichen Intelligenz ist die Frage nach dem Personenbezug eines Datenwertes jedenfalls nicht so einfach zu beantworten. Denn wenn für 100 Datenpunkte noch kein Personenbezug vorliegen mag, kann dies bei 100 Millionen Datenpunkten ganz anders sein.

Übrigens entsteht bei der Verwendung personenbezogener Daten nicht immer ein Problem bzw. Fall für die DSGVO. Wenn sich zwei Menschen auf der Straße unterhalten, dann fällt das Gespräch nicht unter die DSGVO, weil es weder automatisiert verarbeitet noch in einem Dateisystem gespeichert wird. Auch die Verwendung von öffentlich zugänglichen Informationen ist im Rahmen des berechtigten Interesses oft möglich. Fehlen Zusatzdaten, damit aus personenbeziehbare Daten personenbezogene Daten werden, und ist es einer Stelle X objektiv nicht möglich, diese Zusatzdaten zu erhalten, dann handelt es sich für die Stelle X nicht um personenbeziehbare und somit nicht um personenbezogene Daten. Dieser Fall kommt insbesondere dann vor, wenn Zusatzdaten außerhalb des eigenen Kontextes liegen, etwa bei Firmen, mit denen die Stelle X in keinerlei Beziehung steht und die der Stelle X womöglich gänzlich unbekannt sind.

Einleitung

Cookies sind in der Wahrnehmung vieler Menschen der wichtigste Aspekt beim Datenschutz auf Webseiten oder in Apps. Das kommt wohl daher, weil viele sich ein Cookie wahrscheinlich am besten vorstellen können. Der englische Begriff legt die Analogie zum Keks nahe. Was ein Keks ist, weiß jeder. Der Computer wird also zur Bäckerei. Klingt etwas merkwürdig, aber es gibt ja Tabletten für alles …

In diesem Beitrag geht es darum, wie man Cookies auf Webseiten finden kann. Nur der Vollständigkeit halber sei erwähnt, dass Cookies nur zwei von mindestens fünf Kategorien einwilligungspflichtiger Datenverarbeitungen darstellen. Diese fünf Kategorien wurden zuletzt im Beitrag zur zentralen Einwilligungsverwaltung (PIMS) genannt. Vielleicht gibt es auch noch mehr Fallunterscheidungen, aber jedenfalls keine weiteren, die mit Cookies zu tun haben.

Cookies sind am leichtesten nachzuweisen. Dazu reicht es, auf dem eigenen Computer nachzusehen, welche Cookies im Browser der Wahl gespeichert sind. Der Vorgang für diesen Nachweis entspricht im Wesentlichen auch dem Prozedere, wie alle Cookies identifiziert werden können, die eine Webseite erzeugt.

Cookies sind Informationsspeicher. Sie existieren nur in Endgeräten von Nutzern (oder in Endeinrichtungen). Cookies existieren nicht auf einem Server. Cookies sind keine Textdateien. Cookies sind Datensätze. Der § 25 TDDDG regelt, wann Cookies einwilligungspflichtig sind. Nämlich imer dann, wenn sie nicht erforderlich sind.

Cookies sind personenbezogene Daten: Entweder, weil sie einen Wert enthalten, der einen Personenbezug zulässt. Oder, weil sie immer zusammen mit der personenbezogenen IP-Adresse übertragen werden. Oder beides.

Cookies auf Webseiten nachweisen

Wir beschreiben das Vorgehen mit dem Firefox Browser auf einem Desktop-PC. Für andere Browser (hoffentlich nicht der Chrome Browse von Google) ist das Vorgehen analog.

Aus technischen Gründen muss hier der letzte Schritt als erstes genannt werden. Denn er erfordert, dass Sie ein Tool herunterladen. Beim Herunterladen des Tools werden aber Cookies gesetzt. Genau diese Cookies würden das Bild unseres Cookie-Tests verfälschen. Deswegen sollte das Tool jetzt heruntergeladen werden, bevor wir die Cookies im Browser allesamt löschen werden.

Cookie-Plugin herunterladen

Der Firefox Browser bietet im Standard keine Möglichkeit an, alle Cookies anzuzeigen, die im Browser-Speicher vorhanden sind.

Glücklicherweise gibt es ein Add-on als Plugin für den Browser. Das Add-on heißt Cookie Manager. Einfach die Webseite zum Add-on aufrufen und das Plugin installieren.

Jetzt kann es mit dem eigentlichen Cookie-Test losgehen.

Alle Cookies löschen

Zunächst müssen alle Cookies im Browser gelöscht werden. Wir wollen schließlich Beifang vermeiden, also Cookies, die von anderen Webseiten gespeichert wurden. Dazu im Firefox auf das Menü mit den drei Strichen klicken. Dieses Menü ist bei uns rechts oben.

Dann im Menü den Menüpunkt Einstellungen anklicken.

Daraufhin erscheinen in einem neuen Fenster die Einstellmöglichkeiten des Firefox Browsers. Dort wählen wir Datenschutz & Sicherheit.

Im Hauptbereich etwas nach unten scrollen, bis der Abschnitt Cookies und Website-Daten zu sehen ist.

Ein Klick auf den Button Daten entfernen… öffnet den folgenden Dialog:

Die beiden Ankreuzfelder sind angewählt. Das soll auch so bleiben. Ein Klick auf den Button Leeren entfernt alle Cookies in Ihrem aktuellen Browser-Profil aus dem aktuell genutzten Browser. Dass es mehrere Browser-Profile geben kann, ist an dieser Stelle unwichtig (falls es aber mehrere Profile gibt, sollte ein bestimmter Cookie-Test natürlich immer im selben Profil stattfinden). Haben Sie noch nie etwas von Browser-Profilen gehört, dann haben Sie wahrscheinlich auch nur eines und müssen sich nicht weiter darum kümmern.

Nun ist Ihr Browser also frisch und enthält keine Cookies mehr. Sie werden es beim Aufruf von früher schon besuchten Webseiten merken. Dann müssen Sie sich nämlich jedes Mal wieder neu anmelden, etwa am Online Shop.

Webseite aufrufen

Sicher haben Sie sich überlegt, welche bestimmte Webseite Sie überprüfen möchten. Genau diese eine Webseite und sonst keine rufen Sie nun auf. Haben Sie nach dem Löschen der Cookies eine andere Webseite aufgerufen, müssen Sie wieder alle Cookies löschen, bevor der Cookie-Test weitergehen kann. Ansonsten würde das Ergebnis verfälscht werden.

Auch darf vom Browser nicht selbständig eine Webseite geöffnet worden sein. Beispielsweise passiert das, wenn ein neuer Karteireiter geöffnet wird und die Browser-Einstellungen besagen, dass eine bestimmte Webseite (meist eine Suchmaschine oder Nachrichtenseite) geöffnet werden soll. Deaktivieren Sie diese Einstellung, wenn nötig.

Besuchen Sie also nun, direkt nachdem alle Cookies gelöscht wurde, die fragliche Webseite. Wir nennen diese Webseite X. Nun passiert Folgendes:

1. Die Webseite wird aufgerufen.
2. Die Webseite setzt eigene Cookies, beispielsweise für die Verwaltung angemeldeter Nutzer. Contao-Webseiten setzen anlasslos ein sogenanntes CSRF-Cookie zur Gefahrenabwehr.
3. Die Webseite lädt Dateien nach, die von der Webseite (bzw. vom Server, auf dem die Webseite gehostet wird) selbst verwaltet werden. Nicht selten wird Matomo als Statistik-Tool lokal eingebunden. Ist Matomo so konfiguriert, dass Cookies verwendet werden sollen, dann werden Matomo-Cookies gesetzt, die der Domäne der Webseite zuzuordnen sind (Domäne = Hauptadresse der Webseite. Bei Webseite xyz9873.de/kontaktformular lautet die Domäne xyz9873.de)
4. Die Webseite lädt Dateien von Dritt-Servern nach, beispielsweise Google Analytics oder den Facebook Pixel. Sofern diese nachgeladenen Dateien selber Cookies nutzen, werden auch diese in Ihrem Endgerät gespeichert.
5. Die Webseite bindet ein Consent Management Tool ein (was oft nicht nötig ist, was wiederum viele nicht wissen). Dieses sogenannte Cookie-Tool speichert nicht selten Cookies, ohne dass Sie als Besucher der Webseite irgendetwas angeklickt haben.

Soviel zu den Cookies, die direkt feststellbar sind, wenn Sie eine Webseite einfach nur aufrufen. Wie diese Cookies exakt festgestellt werden können, wird gleich beschrieben.

Interaktive Cookies

Zunächst müssen wir uns aber mit ein paar Feinheiten des Webseitenbesuchs auseinandersetzen.

Wie man sich leicht vorstellen kann, werden manche Cookies erst erzeugt und gespeichert, nachdem eine Interaktion mit der Webseite stattgefunden hat. Auch gibt es manche Webseiten, die zeigen ein sogenanntes Störer-Popup an, nachdem Sie als Besucher der Webseite heruntergescrollt haben oder wenn Sie seit mindestens 30 Sekunden auf der Seite sind.

Diese Art von Cookies nennen wir hier interaktive Cookies. Der Begriff stammt vom Autor. Er dient zur Veranschaulichung der Cookie-Thematik.

Einwilligungspflichtige Dienste

Der wohl häufigste Fall interaktiver Cookies entsteht aufgrund eines sogenannten Cookie-Popups. In der Theorie soll es so sein: Wenn Sie im Cookie-Popup allen Cookies zustimmen, dann werden alle möglichen Cookies in Ihrem Browser gespeichert. Wenn Sie hingegen nicht zustimmen, dann werden keine Cookies gespeichert, die technisch nicht notwendig sind. Die Praxis sieht anders aus. Cookie-Tools funktionieren fast immer nicht, würde man aus Erfahrung sagen wollen. Jedenfalls führen sie fast immer nicht zu rechtskonformen Webseiten. Das soll hier aber egal sein.

Wenn Sie alle Cookies finden möchten, die eine Webseite setzt, müssen Sie sich entscheiden, ob dies auch einwilligungspflichtige Cookies beinhaltet. Einwilligungspflichtig sind Cookies, die technisch nicht notwendig sind. Dass es auch andere Zugriffsarten neben Cookies gibt, die als äquivalent anzusehen sind, soll hier nicht weiter betrachtet werden (wer mehr wissen möchte, hier ein Beispiel: Auslesen des Viewports via Javascript-Routine).

Möchten Sie also auch die Cookies finden und nachweisen, die laut Betreiber der Webseite einwilligungspflichtig sind, dann müssen Sie das erscheinende Cookie-Popup auf Webseite X entsprechend bestätigen.

Nun geht es darum, alle Seiten zu finden, die besondere Funktionen bereitstellen. Diese Funktionen könnten nämlich Cookies nutzen.

Kontaktformulare und Newsletter

Viele Webseiten nutzen ein Newsletter-Tool oder einen Dienst für Kontaktformulare.

Leider wissen Sie a priori nicht direkt, wo diese Formulare auf einer Webseite zu finden sind. Sicher finden Sie Hinweise im Menü der Webseite. Oft verbirgt sich hinter dem Menüpunkt Kontakt ein Kontaktformular.

Die Möglichkeit, einen Newsletter zu abonnieren, ist oft recht prominent eingeblendet. Sie müssten also das Formular ausfüllen und absenden. Bei Bedarf können Testdaten genutzt werden, damit Ihre echte E-Mail-Adresse oder Ihr echter Name beim Cookie-Test nicht an die besuchte Webseite übermittelt werden.

Videos und andere Plugins

Oft sind Videos, interaktive Karten, Audio-Dateien für Podcasts oder andere Plugins nicht auf der Startseite einer Webseite eingebunden. Diese Tools nutzen aber oft Cookies, welche dann übrigens meist nicht notwendig und somit einwilligungspflichtig wären.

Daher sollten Sie auf der Webseite die Seiten finden, auf denen Videos oder Karten eingebunden sind. Für Videos beispielsweise wird ein Video Player verwendet. Dieser muss angeklickt werden, damit das Video abspielt. Beim Abspielen des Videos wiederum könnten Cookies gesetzt werden. Deswegen muss das Video von Ihnen abgespielt werden.

Wir gehen davon aus, dass ein Video Player Cookies direkt am Anfang eines Abspielvorgangs setzt, nicht aber nach 30 Sekunden. Das kann allerdings nicht ausgeschlossen werden. Hier wird eine Problematik des Cookie-Tests deutlich: Man kann nicht mit absoluter Sicherheit alle Cookies finden, aber mit hoher Wahrscheinlichkeit alle oder fast alle.

Wild herumklicken

Um möglichst alle Cookies auf einer Webseite zu finden, müssen alle Seiten der Webseite aufgerufen werden. Diese Seiten einer Webseite werden auch als Unterseiten bezeichnet. Im Englischen sind die Begriffe deutlicher unterscheidbar. Die Webseite heißt dort Website oder Homepage, die Unterseite heißt Page (als Anglizismen hier mal als Substantive geschrieben).

Öffnen Sie also alle erreichbaren Seiten der Webseite. Welche Seiten das sind, weiß eigentlich niemand. Aber das Menü einer Webseite hilft, die wichtigen Seiten zu finden.

Achten Sie darauf, dass Sie in derselben Domäne bleiben, die für die Webseite X relevant ist.

Blogs und andere Hauptinhalte

Oft haben Webseiten einen Link auf einen eigenen Blog. Hier gibt es drei Fälle: Der Blog hat eine komplett eigene Adresse, die ganz anders ist als die von Webseite X. Oder der Blog liegt technisch auf Unterseiten der Domäne von Webseite X. Oder der Blog liegt in einer Subdomäne der Webseite X.

Hier die drei Fälle am Beispiel:

• Domäne der Webseite X (hierfür sollen Cookies gefunden werden): xyz9873.de
• Fall 1: Blog der Webseite X hat eigene Adresse (= Domäne): dr-dsgvo.de
• Fall 2: Blog der Webseite X liegt auf Unterseiten: xyz9873.de/blog/ (sowie Unterseiten wie xyz9873.de/blog/artikel1 usw.)
• F all 3: Blog der Webseite X liegt in Subdomäne: blog.xyz9873.de

Rechtlich ist es oft so, dass Webseiten in Subdomänen von denselben Verantwortlichen betrieben werden wie die Webseite der Hauptdomäne. In diesem Fall kann eine Subdomäne zur Webseite X beim Cookie-Test berücksichtigt werden.

Eine komplett andere Adresse für einen Blog als für die besuchte Webseite X sollte getrennt betrachtet werden. Ansonsten kommt man schnell durcheinander.

Liegt ein Blog auf Unterseiten einer Webseite X, dann sollte der Cookie-Test unbedingt auch für diese Unterseiten ausgeführt werden.

In Blogs sollten mehrere Artikel aufgerufen werden. Ebenso sollte ein Kommentar zu einem Artikel über eine vorhandene Kommentarfunktion abgeschickt werden.

Oft gibt es eigene Autorenseiten. Ist in einem Blog-Artikel ein Autor genannt und mit einem Link auf einen Autorenseite versehen, dann sollte diese Autorenseite aufgerufen werden. Insbesondere bei WordPress-Seiten finden sich hier negative Überraschungen, wie beispielsweise Gravatare.

Spezialseiten

Wir sind noch nicht am Ende mit dem Cookie-Test (höchstens mental).

Viele Webseiten werden mit Content Management Systemen (CMS) wie WordPress oder Typo3 erstellt. Diese Webseiten haben Login-Seiten, die oft öffentlich aufrufbar sind. Rufen Sie diese Login-Seiten auf. Hier am Beispiel der Domäne xyz9873.de die relevanten Adressen:

• WordPress: xyz9873.de/wp-admin
• Typo3: xyz9873.de/typo3
• Joomla: xyz9873.de/administrator/
• Drupal: xyz9873.de/user/login

Wenn Sie nicht wissen, welches CMS eingesetzt wird, rufen Sie die genannten Pfade (/wp-admin und /typo3) eben alle auf. Es gibt mehrere Möglichkeiten, herauszufinden, welches CMS eine Webseite verwendet:

1. Quellcode ansehen. Dazu an einer „leeren“ Stelle auf der Webseite rechtsklicken. Dann im Popup-Menü auf „Seitenquelltext anzeigen“ klicken. Im Quellcode steht oft am Anfang ein HTML-Tag mit dem Namen „generator“. Das sieht beispielsweise so aus:

2. Den DSGVO Webseiten-Scanner verwenden. Nach Eingabe einer Webseitenadresse und Start des Scanners ist im Ergebnis im Abschnitt Statistik das erkannte CMS ausgewiesen:

Im Internet kann man für andere Systeme als WordPress und Typo3 herausfinden, welche Adresse die Login-Seiten haben. So können Sie den Cookie-Test auf die Spitze treiben.

Der Webseiten-Scanner prüft die genannten Spezialseiten selbständig. Dazu ermittelt die Software vorab, welches CMS von einer Webseite verwendet wird.

404-Seite

404 ist der HTTP-Code für „Seite nicht vorhanden“. Oft sind diese 404-Seiten speziell ausgeprägt. Nicht selten enthalten sie beispielsweise keinen Link auf die Datenschutzhinweise, was rechtswidrig sein kann.

Rufen Sie für die Webseite X mit der Domäne xyz9873.de folgende Pfade auf:

• Hinterlegte 404-Seite: xyz9873.de/404
• Absichtlich falsch geschriebene Adresse, die garantiert nicht existiert: xyz9873.de/4711-dsgvo-cookie-test

Webseiten-Scanner nutzen

Der Webseiten-Scanner eignet sich nicht nur, um das Webseiten-System herauszufinden. Er kann auch verwendet werden, um die vorhandenen und öffentlich erreichbaren Unterseiten einer Webseite zu erkennen.

Der kostenfreier DSGVO-Scanner liefert bereits einige Unterseiten, die Sie durchklicken können. Hier ein Auszug aus dem Ergebnis des DSGVO-Checks, das Sie erhalten, wenn Sie im Ergebnisbild des Scanners auf den Button „Mehr Details anzeigen“ klicken.

Die Domäne der geprüften Webseite wurde im Screenshot der Fairness halber unkenntlich gemacht.

Mit dem kostenpflichtigen Scanner werden noch mehr Unterseiten gefunden, sofern vorhanden.

Cookies feststellen

Jetzt ist es an der Zeit herauszufinden, welche Cookies Sie beim Besuch der Webseite X eingesammelt haben. Am Anfang dieses Beitrags hatten wir beschrieben, wie das Add-on Cookie Manager installiert werden kann. Das haben Sie hoffentlich getan.

Öffnen Sie den Cookie Manager. Dazu einfach auf das folgende Symbol klicken, welches sich rechts oben in der Browser-Leiste befinden:

Dann den ersten Menüpunkt anklicken:

Gleich ist es soweit. Wir sehen gleich alle Cookies, die wir uns beim Besuch der Webseite X eingefangen haben.

Der Cookie Manager zeigt einen Suchdialog für Cookies an:

Einfach in das erste Feld klicken und die Enter-Taste drücken. Oder direkt auf den etwas schwer erkennbaren Button „Search Cookies“ in der rechten Bildhälfte klicken.

Schon erscheinen sämtliche Cookies, die aufgrund des Besuchs der Webseite X im Endgerät des Nutzers gespeichert wurde. Das ganze sieht dann so aus:

Einige Angaben sind aus Datenschutzgründen unkenntlich gemacht.

Fazit

Ein Cookie-Test basiert im Wesentlichen auf folgenden Aktivitäten:

1. Cookies im Browser löschen.
2. Zu prüfende Webseite aufrufen.
3. Alle Unterseiten der Webseite aufrufen.
4. Interaktionen auf der Webseite ausführen: Videos abspielen, Formulare ausfüllen und abschicken, ggf. Einwilligung in „Alles“ erteilen.
5. Cookies feststellen.

Mit einem Webseiten-Scanner wie dem von Dr. DSGVO können zumindest die Cookies automatisiert festgestellt werden, die ohne Interaktion des Nutzers gesetzt werden. Cookies, die erst nach Einwilligung gespeichert werden, können im Einzelfall auch automatisiert erkannt werden. Dazu wertet der Webseiten-Check die Schnittstelle von Consent Management Plattformen (CMPs) aus.

Zuverlässig können Cookies, die erst aufgrund einer Nutzeraktion gespeichert werden, aber nur festgestellt werden, wenn man die Webseite möglichst vollumfänglich mit Interaktionen und Eingaben stresst.

Ob ein Cookie technisch notwendig ist, kann pauschal so beantwortet werden. Ist ein Cookie nämlich nicht technisch notwendig, dann muss dafür eine Einwilligung abgefragt werden.

Im Zweifel ist ein Cookie technisch nicht notwendig. Die offensichtlichen Zwecke, für die ein Cookie als technisch notwendig angesehen werden können, sind:

• Nutzerverwaltung: Ist ein Administrator oder Redakteur angemeldet? Derartige Cookies sind aber anlasslos nicht notwendig. Wenn keine Anmeldeseite aufgerufen wird, muss auch kein solches Cookie gesetzt werden.
• Warenkorbverwaltung: Siehe Online Shops
• Sicherheits-Cookie: Ein CSRF-Cookie ist aber nur für angemeldete Nutzer sinnvoll und somit nur dann einwilligungsfrei. Ansonsten gibt es wohl nur Sicherheits-Cookies von CDNs, die ohne Einwilligung erlaubt sein könnten. Diese müssten dann aber eine sehr kurze Lebensdauer haben. Zudem sind viele CDNs wie Cloudflare in Gänze selbst einwilligungspflichtig.
• Spracheinstellung oder sonstige Konfiguration durch den Nutzer: Erst notwendig, nachdem der Nutzer eine Sprache oder sonstige angebotene Konfiguration gewählt hat.
• Gesetzlich quasi vorgeschriebene Cookies: Hierzu könnte man VG Wort Cookies zählen
• Statistik-Cookies: Wenn überhaupt, dann aber nur mit einer sehr kurzen Lebensdauer, etwa für eine Sitzung. Sehr gute Besucherstatistiken sind auch ohne jeglichen Cookie-Einsatz möglich. Somit ist das mildere Mittel in der Praxis für alle Fälle nachgewiesen, die dem genannten Anwendungsfall entsprechen oder weniger Anforderungen haben.
• Plattform-Cookies: Programmiersprachen wie PHP oder ASP nutzen oft ein (harmloses) Cookie, um eine Sitzung zu verwalten. Eine Sitzung ist hier aber jede Art von Besuch einer Webseite und rein technisch zu verstehen. Diese Cookies sind nicht notwendig und können durch technische Konfiguration des Web Servers entfernt werden. Dennoch sind sie in den Augen vieler (noch) als einwilligungsfrei anzusehen.

Hier noch ein Auszug aus einem Datenschutzbericht, wie ihn der DSGVO-Check für Webseiten liefert.

Anhand einer Wissensdatenbank und technischer Kriterien erkennt die Software recht zuverlässig, welche Cookies technisch nicht notwendig sind. In grüner Farbe gedruckt sind die als harmlos angesehenen Cookies. In oranger Textfarbe sind die möglicherweise unkritischen Cookies dargestellt. Die rote Textfarbe hingegen heißt nichts Gutes.

Welche der gefundenen Cookies eine Einwilligung brauchen und welche nicht, zeigt der Überblick zu Cookies und Einwilligung.

Einleitung

Das TDDDG bringt für viele Betreiber von Webseiten nur bedingt etwas Neues. Die jetzige Diskussion zum Fingerprinting hat allerdings ihre Berechtigung. Die ePrivacy-Richtlinie gilt faktisch schon seit längerem in Deutschland, nämlich seit dem BGH-Urteil zu Planet49. Allerdings ist die Richtlinie im Lichte des TMG (mittlerweile heißt es DDG) zu sehen und zielt somit wohl nur auf die Zwecke Marketing und Nutzerprofilbildung ab, wohingegen § 25 TDDDG für alle Zwecke Anwendung findet, die technisch nicht notwendig sind.

Cookies sind vielen bekannt. Das sind Datensätze, die im Endgerät eines Nutzers von dessen Browser verwaltet und gespeichert werden. Cookies sind keine Textdateien. Ein Cookie wird von einem Dienst erzeugt. Ein Dienst kann eine besuchte Webseite selber sein. Dann handelt es sich meist um Cookies zur Verwaltung von Sitzungen, etwa von Warenkörben, Redakteuren oder Administratoren. Cookies werden aber oft auch von Diensten wie Google Maps erzeugt, und zwar unnötigerweise. Viele verstehen das anscheinend nicht und setzen Google Maps ohne Einwilligung ein. Das ist völlig unnötig, weil es datenschutzfreundliche Alternativen für interaktive Karten gibt.

Ein digitaler oder virtueller Fingerabdruck hilft dabei, Nutzer recht eindeutig zu erkennen. Das ist vor allem dafür hilfreich und legitim, um einen halbwegs aussagekräftigen Besucherzähler zu haben. Denn wenn ein und derselbe Nutzer immer wieder als neu angesehen wird, werden alle Aufrufe ein und derselben Seite, die dieser Nutzer macht, doppelt gezählt. Für den Besucherzähler sieht es dann so aus, als hätten mehrere verschiedene Nutzer eine Seite aufgerufen, obwohl es nur einer war. Damit wird das Konstrukt des Besucherzählers etwas ad absurdum geführt, denn der Zweck des Zählens ist vor allem eine repräsentative Statistik. Das Endziel ist meist das Optimieren von Inhalten. Besonders gut funktionierende Beiträge können weiter unterstützt werden. Beiträge, für die eine Mindestzugriffszahl für die VG Wort Ausschüttung fast erreicht wurde, können mit mehr Aufmerksamkeit bedacht werden.

Ein Browser Fingerprint hat zunächst nichts mit einem Cookie zu tun. Denn erstens werden beim Fingerprinting keine Daten im Endgerät eines Nutzers gespeichert. Das TTDSG führt übrigens den Begriff Endeinrichtung statt Endgerät ein. Eine Endeinrichtung ist nicht nur ein Endgerät, also ein Smartphone oder PC, sondern kann auch ein vernetzter Toaster sein (obwohl dieses Beispiel oft gebracht wird, ist es wenig zielführend und zeugt von falschem Verständnis der zentralen Einwilligungsverwaltung nach § 26 TTDSG).

Beim Fingerprinting werden aber Daten ausgelesen. Hier stellt sich die Frage, ob dies in einer Weise geschieht, die in § 25 TTDSG genannt ist, nämlich „… Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind…“.

Aus welchen Informationen besteht ein digitaler Fingerabdruck?

Im Allgemeinen kann der Jurist diese Frage nicht kompetent beantworten, versucht es aber dennoch, wie zahlreiche Fachartikel zeigen. Leider meinen viele Fachmagazine, nur Juristen könnten Aufsätze zum digitalen Datenschutz schreiben.

Die Artikel 29 Arbeitsgruppe ist der Vorgänger des Europäischen Datenschutzausschusses. Die Artikel 29 Gruppe gab mehrere Stellungnahmen und Meinungen zur DSGVO ab, die eine gewisse Verbindlichkeit ausstrahlen und ernst zu nehmen sind. Diesen Äußerungen der Artikel 29 Gruppe stimme ich meistens sehr zu.

Im Fall des virtuellen Fingerabdrucks allerdings muss ich der Artikel 29 Gruppe ein wenig mangelnde Kompetenz zusprechen. Gleiches gilt für (ansonsten sehr gute) Beiträge von einigen Autoren in Fachzeitschriften.

Viele sprechen nur von Fingerabdrucksdaten und unterscheiden kaum bis gar nicht, welche Art von Daten dies aus technischer Sicht sind. Es geht hier sehr um die technische Sicht, weil es erstens darum geht, ob ein Zugriff vorliegt und zweitens, ob die zugegriffenen Daten in der Endeinrichtung gespeichert waren.

Folgende Arten von Daten unterscheide ich folgend:

• Implizit vorliegende Daten: Diese Daten werden beim Abruf einer Webseite oder Datei über das Internet automatisch, also zwangsweise und unaufgefordert, immer an den Server geschickt, an den die Anfrage sich richtet, die Webseite oder Datei bereitzustellen.
• Explizit vorliegende Daten. Dies sind Daten, die selber beschafft werden müssen, also nicht direkt vorliegen. Hier unterscheide ich zwei Unterarten:
  • Vorgesehener Zugriff: Die Beschaffung dieser Art von Daten ist vorgedacht worden, etwa indem in JavaScript eine vorgesehene Möglichkeit geschaffen wurde, die einfach nutzbar ist. Beispiel: Bildschirmauflösung. Diese kann über ein einfaches Auslesen eine Variable ermittelt werden.
  • Unvorhergesehener Zugriff: Diese Art von Daten müssen auf speziellem, nicht standardisiertem Weg beschafft werden. Hierzu gehört beispielsweise die Ermittlung von installierten Schriften. Die Ermittlung installierter Plugins ist ein Sonderfall. Sie war früher nicht vorgesehen, dann von einigen Browsern schon, nun aber nicht mehr, meist aus Datenschutzgründen.

Anhand dieser letztendlich drei Datenkategorien gebe ich Beispiele aus der Praxis, die für den digitalen Fingerabdruck relevant sind.

Welche Daten bedürfen eines Zugriffs?

Im Sinne des § 25 TDDDG bedürfen die implizit erhaltenen Daten keines Zugriffs im technischen Sinne. Sie sind daher durch das TDDDG nicht besonders geschützt. Hierzu gehört etwa die IP-Adresse als personenbezogenes Datum, deren Weiterverarbeitung allerdings durch die DSGVO geschützt ist. Auch der User-Agent, der die Browser-Version und das Betriebssystem angibt, gehört zu dieser Datenkategorie.

Man muss hier wohl zwischen Zugreifen und Auslesen unterscheiden, was ich hiermit vorschlage. Ein Auslesen jedenfalls, sofern es nicht dem Vorgang des Zugreifens zuzuordnen ist, ist vom TDDDG nicht erfasst. Das TDDDG thematisiert hier also nicht die Verarbeitung, sondern den Zugriff. Derartige Trennung sehen auch zahlreiche andere Autoren, etwa dergestalt, dass sie unterscheiden zwischen der Prüfung einer Einwilligungserforderlichkeit für den Zugriff und einer für die anschließende Datenverarbeitung.

Welche Daten sind in der Endeinrichtung gespeichert?

Für diese Frage sind im aktuellen Kontext nur die Daten zu betrachten, auf die explizit zugegriffen werden muss, die also nicht schon implizit vorliegen, ist meine Ansicht.

Die Bildschirmauflösung ist nicht per se im Endgerät gespeichert. Auf sie muss also nicht zwangsläufig im Endgerät oder der Endeinrichtung zugegriffen werden. Man kann diesen Umstand technisch herleiten. Soweit ich weiß, ist der Monitor an meinem PC nicht Teil des Endgeräts. Der Monitor verwaltet seine Auflösung selber und lässt lediglich zu, dass der PC den Monitor konfiguriert. Diese Konfiguration ist flüchtig im Monitor gespeichert und muss nicht im PC gespeichert werden, kann es aber aus Komfortgründen.

Bei einem Smartphone ist der Bildschirm Teil des Endgeräts. Soweit ich weiß, kann die Bildschirmauflösung auf gängigen Smartphones normalerweise nicht verändert werden. Vielmehr kann eine Hoch- oder Querformat-Ansicht durch Drehen des Endgeräts bzw. Bildschirms, was aktuell meist dasselbe ist, aufgerufen werden. Alleine an der Ansichtart (Hochformat oder Querformat), die die Bildschirmauflösung bestimmt, wird deutlich, dass die Bildschirmauflösung nicht originär im Endgerät gespeichert sein kann. Denn ob Hoch- oder Querformat ist sekündlich vom Nutzer nach Belieben änderbar. Es wird lediglich flüchtig vermerkt, welche Ansicht gerade gewählt wurde.

Schlussfolgerungen

Bereits für einfache Besucherzähler, die versuchen, Nutzer über Fingerprint-Daten zu unterscheiden, ist ab dem 01. Dezember 2021 ein (neues) Einwilligungserfordernis genau zu prüfen. Hiervon betroffen sind u.a. Matomo und andere datenschutzfreundliche Tools. Es gibt aber einen Ausweg auf Basis vorhandener Rechtsgrundlagen, den ich bald vorstellen werden.

Daten, die zum Bilden eines digitalen Fingerabdrucks genutzt werden, werden vorher nicht in Endgeräten oder Eineinrichtungen gespeichert. Dies steht im Unterschied zu Cookies.

Daten, die implizit vorliegen, wie etwa die IP-Adresse oder der User-Agent, müssen nicht zugegriffen werden. Sie werden also nicht vom § 25 TDDDG erfasst und sind somit insofern unkritisch. Deren Weiterverarbeitung obliegt den Regeln der DSGVO, nicht des § 25 TDDDG.

Für Daten, die explizit ausgelesen werden müssen, ist die Lage unklar. Hier sind meiner Einschätzung nach möglicherweise Daten zu unterscheiden, die in vorgesehener Weise (also über Standardmechanismen) zugänglich sind und solche, die erst umständlich oder arglistig besorgt werden müssen. Zu ersterer harmlosen Kategorie gehört die Bildschirmauflösung. Zu zweiterer, kritischen Kategorie gehört das Canvas Fingerprinting.

Allerdings ist die Betrachtung aus dem vorigen Absatz wohl eher theoretischer Natur. Denn spätestens, wenn diese zugegriffen Daten verarbeitet werden sollen, muss über die Rechtmäßigkeit dieses Vorhabens entschieden werden. Die Ausnutzung eines Canvas Fingerprints jedenfalls ist wohl ohne Einwilligung unzulässig (Einzelfallprüfung nötig; insbesondere: Wird der Fingerprint gespeichert und wie lange werden wiederkehrende Besucher wiedererkannt?). Daher ist es wohl im Endergebnis nahezu egal, ob der Akt des Canvas Fingerprintings durch das TDDDG verboten oder durch die DSGVO, und aus beiden Verbotsgründen jeweils einer Einwilligung bedürfte.

Andererseits müsste gegebenenfalls sowohl für den Zugriff als auch für das Nutzen der Daten jeweils eine Einwilligung eingeholt werden. Da dies aber in einer einzigen Einwilligungsabfrage gesammelt abgefragt werden kann, ist der praktische Unterschied kaum spürbar und beschränkt sich auf Formalien. Diese Formalien sind, so oder so, kaum einzuhalten, wie man daran sieht, dass es kaum eine Webseite schafft, mit den marktüblichen angeblichen Cookie-Lösungen rechtskonform zu sein.

Daten, die nicht im Endgerät des Nutzers gespeichert sind, können im Sinne des TDDDG auch nicht zugegriffen werden. So sehe ich es. Die Bildschirmauflösung ist nicht im Endgerät des Nutzers gespeichert, jedenfalls nicht notwendigerweise und schon gar nicht vom Browser, sondern höchstens vom Betriebssystem, und zwar, damit der Nutzer nicht bei jedem Neustart seines Rechners die Bildschirmauflösung richtig einstellen muss.

Warum das Zählen von Besuchern mit Hilfe von Sitzungs-Cookies meiner Ansicht nach aufgrund von TDDDG und DSGVO erlaubt ist, werde ich in einem späteren Beitrag begründen. Das entschärft auch die zukünftige Nutzung von Matomo und anderen datenschutzfreundlichen Diensten.

In einem anderen Beitrag nenne ich Quellen für das Browser Fingerprinting und unterscheide Arten von Verkehrsdaten.

Wie das TDDDG Cookies und andere Zugriffe auf das Endgerät regelt, fasst die Übersicht Cookies und Einwilligung zusammen.

Einleitung

Matomo ist eine beliebte Lösung, um das Verhalten von Nutzern auf Webseiten nachvollziehen zu können. Im Gegensatz zu Google Analytics kann Matomo ohne Datenschutzprobleme und ohne Einwilligung betrieben werden.

Dennoch können mit Matomo oft mehr als ausreichende Statistiken über das Verhalten von Webseitenbesuchern erstellt werden. Insbesondere kann mit Matomo festgestellt werden,

• wie viele Nutzer die Webseite an einem bestimmten Tag aufgerufen haben,
• welche Seite (Unterseite) der Webseite wie oft aufgerufen wurde,
• von welchen Endgeräten aus die Aufrufe erfolgten und
• von wo ungefähr (geografische Lage) die Aufrufe erfolgten.

Mehr müssen die meisten Betreiber von Webseiten nicht wissen. Alles, was darüber hinausgeht, nützt meist nur, wenn ausreichende Ressourcen und Kenntnisse zum Auswerten der Besucherströme vorhanden sind. Vor allem bei kleineren und mittelgroßen Firmen sind diese Ressourcen aber gerade nicht vorhanden.

Matomo hat wegen der rechtlichen Fragen von Google Analytics einen deutlich geringeren Einrichtungsaufwand als das Google-Tool. Weil kein Cookie-Popup den Besucher nervt, kann zudem von einer höheren Konvertierungsrate bzw. geringeren Absprungrate ausgegangen werden. Dies erhöht somit auch den Umfang der Analyse-Daten, was wiederum zu belastbareren Statistiken führt.

Damit Matomo DSGVO-konform und ohne Einwilligung betrieben werden kann, sind ein paar Aspekte zu berücksichtigen. Bevor ich näher auf die Konfiguration von Matomo eingehe, sollen Beispiele für Auswertungen gezeigt werden, die Matomo unterstützt.

Besucherstatistiken mit Matomo

Der Screenshot zeigt die aktuell auf einer Webseite vorhandenen Besucher und deren Aktionen. Eine Aktion ist etwa der Aufruf einer Unterseite. Weiterhin werden Charakteristiken zu den Besuchern angezeigt, etwa der verwendete Browser, das Betriebssystem oder die Art des Bildschirms.

Der folgende Screenshot zeigt einen Graphen der letzten Besuche, der wegen der reinen Testschaltung sehr mager ausfällt.

Aus allen Besuchen werden aggregierte Statistiken errechnet wie beispielsweise die durchschnittliche Aufenthaltsdauer oder die Anzahl der Aktionen pro Besuch. Eine Aktion ist etwa der Klick auf einen Link.

Der Weg von Besuchern zur Webseite, auf der Webseite und wie die Webseite verlassen wurde, wird anschaulich dargestellt.

Die Übergänge zeigen, wie Besucher auf die Webseite gekommen sind, welche Seiten sie dort aufgerufen haben und wie sie die Webseite wieder verlassen haben. Der Screenshot sieht auch hier recht mager aus, weil die Testdaten minimal waren. Normalerweise würden auf der linken und der rechten Seite auch interne Seiten stehen und einen Graphen aufspannen.

Konfiguration von Matomo

Die Konfiguration des Analyse-Tools ist dank der grafischen Web-Oberfläche einfach möglich. Einige Einstellungen sollten angepasst werden, um möglichst datenschutzkonform zu sein. Es schadet nicht, sich alle Einstellungen einmal anzusehen. Dafür sind nur wenige Minuten Zeit erforderlich.

Lokale Installation

Matomo sollte im lokalen Betrieb genutzt werden. Das bedeutet, dass die Installationsdateien von Matomo heruntergeladen und dann auf einem eigenen Server aufgespielt werden. Die Installation ist insbesondere für WordPress sehr einfach, weil dafür ein Plugin zur Verfügung steht. Diese Betriebsart wird auch als On-Premise bezeichnet und ist kostenfrei.

Wer die Cloud Lösung nutzen möchte, muss weitere Dinge beachten. Insbesondere ist ein AVV mit dem Anbieter von Matomo zu schließen. Die Cloud Lösung kostet aktuell 29 Euro pro Monat. Das Geld ist besser in eine einmalige lokale Installation investiert, die zudem rechtlich leichter beherrschbar ist.

Anonymisierung von IP-Adressen

Aus Datenschutzgründen sollten IP-Adressen nicht voll protokolliert werden, weil sie personenbezogene Daten darstellen. Der Grad der Pseudonymisierung oder Anonymisierung ist flexibel wählbar. Eine Kürzung der IPv4-Netzwerkadresse um zwei Byte weist ein hohes Datenschutzniveau auf.

Die Nutzung der anonymisierten IP-Adresse auch für die Aufbereitung der Besuche empfiehlt sich ebenfalls (Einstellung auf „Ja“ setzen, im Screenshot ist noch die umgekehrte Auswahl zu sehen)!

Werden zwei oder mehr Bytes der IP-Adresse des Nutzers maskiert, dann wird die Geolokation recht ungenau. Dennoch sollte die Bestimmung des Standorts des Nutzers auch dann immer noch genau genug für die meisten Anwendungsfälle sein. Für viele ist es einfach unerheblich, ob der Besucher in Hessen oder Nordrhein-Westfalen wohnt.

Die Aktivierung der Option „Benutzer ID mit Pseudonym austauschen“ bewirkt, dass interne Identifikatoren für Besucher durch einen Hash-Wert ersetzt werden. Weil Hash-Werte mehrdeutig sein können, erhöht sich dadurch das Datenschutz-Niveau. Im Kern geht es darum, durch zusätzliche Protokollierungen einen Personenbeziehbarkeit mithilfe der Besucher ID zu vermeiden. Google Analytics versagt hier, weil die Client Id als Pendant zur Matomo Benutzer ID immer vollwertig protokolliert wird und eine Personenbeziehbarkeit somit möglich ist.

Cookie-loser Betrieb

Rechtlich am sichersten ist die Nutzung von Matomo ohne Cookies. Der Nachteil ist, dass wiederkehrende Besucher nicht zuverlässig als solche erkannt werden. Doppelzählungen sind im schlimmsten Fall die Folge. Diese Konsequenz ist meiner Erfahrung nach für die meisten KMU irrelevant. Schließlich geht es vor allem um Antworten auf folgende Fragen:

1. Wie viele Besucher hatte die Webseite?
2. Welche Beiträge sind am beliebtesten und welche haben noch Potential?
3. Wie ist der Trend?

Genau diese Fragen können auch mit der genannten Unschärfe ausreichend gut beantwortet werden.

Cookies können im Admin-Bereich von Matomo ausgeschaltet werden.

Die E-Commerce Einstellung dient zum Verfolgen von Warenkörben oder Produktansichten und ist in erster Linie für Online-Shops relevant. Die Verfolgung der Suche targetiert interne Suchen auf der Webseite, also nicht globale Suchmaschinen. Für letzteres stehen andere Mittel auf Ebene der bekannten Suchmaschinen zur Verfügung.

Sitzungs-Cookies

Folgendes galt bis vor dem 01.2.2021: Möglicherweise vertretbar erscheint die Nutzung von Matomo mit Sitzungs-Cookies. Solche Cookies existieren nur so lange, bis ein Nutzer den Browser wieder schließt. Laut § 15 Abs. 3 TMG könnte dies möglicherweise als „bedarfsgerechten Gestaltung der Telemedien“ verstanden werden, was gegen eine Einwilligung sprechen würde. Allerdings müsste dann eine Abwahlmöglichkeit bereitgestellt werden. Diese ließe sich technisch für die meisten nur dadurch realisieren, dass Matomo dann gar nicht mehr geladen wird.

Der BGH stellte im Planet49-Urteil allerdings fest, dass die Vorschrift im Telemediengesetz konform zur ePrivacy-Richtlinie auszulegen ist. Somit würde für technisch nicht notwendige Cookies eine Einwilligung erforderlich sein.

Seit dem 01.12.2021 gilt das TTDSG. Seit Mai 2024 wird das TTDSG nun TDDG genannt (sonst hat sich nichts geändert). Der relevante Abschnitt ist der § 25 TTDSG. Demnach sind Cookies zu Analysezwecken nicht einwilligungsfrei. Auch die Art. 29 Datenschutzgruppe merkte dies in Ihrer Opinion 04/2012 zur ePrivacy-Richtlinie, die über das TTDSG in Deutschland Einzug erhielt, explizit an.

Ich empfehle demnach die Nutzung von Matomo ohne Cookies. Die Datenqualität ist gut genug und mögliche Fragezeichen sind verschwunden.

Weitere Dienste, die ohne Einwilligung auskommen, und wann ein Cookie-Banner überhaupt nötig ist, zeigt die Übersicht zu Cookies und Einwilligung.

Was ist mit Device Fingerprinting?

Fingerprinting bedeutet, dass der digitale Fingerabdruck des Geräts des Nutzers gezogen wird, um den Nutzer auch ohne Cookies wiedererkennen zu können.

Ein Fingerabdruck besteht aus der Bildschirmauflösung, der eingestellten Sprache, dem Betriebssystem, dem Browser und dessen spezifischer Version sowie einigen weiteren Eckdaten. Diese Daten sind nach aktuellem Stand nicht im Endgerät des Nutzers gespeichert, sondern werden über die Abfrage von Attributen ermittelt, die meist mit der Hardware verknüpft sind. Die Bildschirmauflösung allerdings ist in einer Konfiguration gespeichert, die wiederum nicht für den Browser zugänglich ist. Der Browser kann diese Angabe nur durch die Abfrage der aktuell vorliegenden Gegebenheiten ermitteln und greift somit nicht auf persistente Speicher zu. In einem früheren Beitrag habe ich untersucht, welche Informationen im Endgerät eines Nutzers gespeichert sind.

Wie wird die Bildschirmauflösung bestimmt?

In Matomo wird die Bildschirmauflösung im Parameter res gespeichert.

Am Beispiel dieser Bildschirmauflösung (Breite und Höhe in Pixeln sowie Farbtiefe) soll demonstriert werden, dass diese Fingerabdrucksinformationen nicht bereits im Endgerät des Nutzers gespeichert sind, derart, wie in § 25 TTDSG oder Art. 5 Abs. 3 ePrivacy-Richtlinie gemeint.

Die Bildschirminformationen können auf der besuchten Webseite über JavaScript direkt im Browser ermittelt werden. Hierzu gibt es das screen-Objekt (oder genauer: window.screen). Es stellt alle genannten Bildschirmattribute über das window-Objekt zur Verfügung. Die Abfrage des Bildschirms selbst erfolgt über systemnahe Funktionen auf Ebene des Betriebssystems. Das Betriebssystem fragt dazu den aktuellen Zustand des aktiven Monitors ab, in dem der Browser dargestellt wird (wie es bei Multi-Displays aussieht, habe ich nicht ergründet, wahrscheinlich ist dort der primäre Monitor relevant). Der Monitor erhält vom Betriebssystem, wenn es gestartet wird, den Befehl, eine bestimmte Auflösung zu nutzen, die durch Konfiguration einmal festgelegt wurde oder dem Systemstandard entspricht. Die vom Monitor tatsächlich dargestellte Auflösung kann auch von dem abweichen, was im Betriebssystem festgelegt ist, wenn etwa die Wunschauflösung vom Monitor nicht unterstützt wird. Im Betriebssystem ist also eine Wunschauflösung konfiguriert, um im Monitor wird die seit dem Anschalten befohlene Auflösung (oder die nächstbeste) dargestellt. Soweit ich weiß, speichert der Monitor diese Auflösung nur im flüchtigen Speicher, nicht aber in einem Festspeicher.

Wie wird die IP-Adresse bestimmt?

Ein weiteres Beispiel soll illustrieren, dass bestimmte Daten nicht gemäß der genannten Rechtsvorschriften bereits im Endgerät des Nutzers gespeichert sind, sondern vielmehr flüchtige Daten darstellen, die zusätzlich außerhalb der Endeinrichtung des Nutzers gehalten oder dynamisch (etwa je nach Konfiguration) ermittelt werden.

Die IP-Adresse ist eine Netzwerkadresse. Jeder Teilnehmer an einem Netzwerk wie dem Internet benötigt eine Adresse, um für andere erreichbar zu sein. Ein Endgerät erhält seine Adresse von einem zuständigen Netzwerk-Server zugeteilt. Über DHCP (Dynamic Host Configuration Protocol) können Adressen dynamisch vergeben werden, im Gegensatz zu statischen Adressen, die fortwährend Bestand haben.

Die Netzwerkadresse wird zur Laufzeit vergeben. Sie kann sich theoretisch jederzeit ändern, insbesondere, wenn man Kunde bei einem der bekannteren Telekomunikations-Provider ist, die günstige Zugänge anbieten. Die Adresse ist nicht vom Browser beeinflussbar, er kann nur die aktuell dem Endgerät zugeteilte Adresse ermitteln. Es kann sein, dass im Endgerät eine Kopie der IP-Adresse abgespeichert wird. Die tatsächliche IP-Adresse ergibt sich aber nicht aus der im Endgerät eventuell zusätzlich gespeicherten Information, sondern über den Provider. Die eventuelle Speicherung im Endgerät ist nur als Arbeitserleichterung bzw. zur Optimierung der Zugriffe zu verstehen. Ist eine Fritz!Box vorhanden, kümmert sie sich um die Kommunikation mit dem Provider. Die Fritz!Box steht, soweit ich weiß und für meine Hardware behaupten kann, außerhalb meiner Endgeräte. Dies ist alleine schon daher plausibel, weil mehrere Endgeräte gemeinsam einen Netzwerkzugangspunkt wie die Fritz!Box nutzen können.

Wie wird die Art des Bildschirms bestimmt?

Dieses Beispiel demonstriert, dass die Angaben zum Bildschirm und zu Eingabegeräten nicht im Endgerät abgespeichert sind bzw. dort nicht abgespeichert sein müssen. Ob ein Bildschirm ein Touch Screen ist, also durch Antippen mit den Fingern oder einem speziellen Stift bedient werden kann, ergibt sich aus dem Bildschirmmodell. Diese Eigenschaft des Bildschirms kann offensichtlich nicht dadurch festgelegt werden, dass eine Konfiguration entsprechend verändert wird.

Auch die Charakteristiken einer Computer-Maus als Eingabegerät ergeben sich aus den Fähigkeiten der Maus selbst und nicht aus einer bestimmten Konfiguration. Es kann höchstens sein, dass bei mehreren Einstellmöglichkeiten eine festgelegt und durch Abspeicherung im Endgerät verwaltet wird. Diese Verwaltung dient dann aber nur dem Komfort. Der Anwender soll eben die gleiche Konfiguration erhalten, wenn der Rechner neu gestartet wird.

Wichtig ist auch, dass der Browser die genannten Daten zu Bildschirm, Maus oder IP-Adresse nicht selbst verwalten kann. Anders sieht es bei Cookies aus, die alleinig vom Browser verwaltet werden und die ohne diese Verwaltung gar nicht existierten. Die Speicherung von Cookies an sich ist notwendig, wenn die Cookies genutzt werden sollen. Die Speicherung der Bildschirmauflösung hingegen ist nicht notwendig und findet ggf. nur statt, um dem Anwender einen Komfort beim Neustart des Endgeräts zu ermöglichen. Zudem ergibt sich aus einer gespeicherten Wunschbildschirmauflösung nicht zwingend die tatsächliche Auflösung. Der Browser greift auch nicht auf eine gespeicherte Konfiguration zu, um die aktuelle Bildschirmauflösung zu ermitteln (sofern eine JavaScript-Logik dies anfordert), sondern fragt nach dem aktuellen Zustand des Bildschirms.

Was ist mit installierten Plugins?

Aufgrund eines Hinweises von Markus Baersch habe ich die Matomo-Quelldateien von Version 4.8.0 untersucht. Dort werden die vom Browser unterstützten Mime-Typen abgefragt. Dazu wird die Variable navigator.mimeTypes gelesen, die eine Liste mit Mime-Typen zurückliefert. Über das Attribut enabledPlugin kann dann geprüft werden, ob ein Plugin für den Mime-Typen vorhanden ist. Diese Plugin-Abfrage ist nicht einwilligungsfrei! Bitte prüfen Sie nach Installation von Matomo, ob der Tracking Request auf Ihrer Webseite solche Parameter wie pdf, qt, realp, java oder gears enthält.

Der Tracking Request ruft die Datei matomo.php auf. Sie können diesen Request findet, indem Sie Taste F12 im Firefox Browser drücken, dann den Karteireiter Netzwerkanalyse wählen, dann die Webseite aufrufen und dann nach dem Matomo-Request suchen.

Ich bezeichne die Fingerprint-Daten als Gewohnheitsdaten. Sie sind zwar flüchtig, können sich potentiell also jederzeit ändern, tun dies aber für gewöhnlich nicht. Somit sind sie zwar keine Technologien und auch keine den Cookies vergleichbare Technologien, dafür aber geeignet, um Nutzer nachzuverfolgen. Entscheidend ist die Verarbeitungsdauer bzw. Speicherdauer der Fingerprint-Daten.

Die Artikel29 Arbeitsgruppe sieht den virtuellen Fingerabdruck als Zugriff auf das Endgerät an (Stellungnahme 09/2014). Allerdings meine ich, dass die Arbeitsgruppe, die Vorgängerin des Europäischen Datenschutzausschusses und in Art. 94 DSGVO erwähnt ist, eher einen umfangreichen Fingerabdruck meint. Zu diesem gehören auch installierte Schriften, also Daten, die nicht direkt über das Auslesen von JavaScript-Variablen erlangt werden können. Zudem ist für die Artikel 29 Gruppe insbesondere der explizite Zugriff auf die IP-Adresse kritisch, der bei Matomo in der vorgestellten Variante nicht existiert. Darüber hinaus sind einige Daten, die für einen Fingerabdruck genutzt werden (können), direkt vorliegend, ohne dass sie explizit abgerufen werden müssen. Dazu gehört etwa der User Agent, der ohne Zutun von Matomo übertragen wird.

Somit fällt das Device Fingerprinting meiner Einschätzung nach nicht unter die ePrivacy-Richtlinie bzw. § 15 Abs. 3 TMG in richtlinienkonformer Auslegung (vgl. BGH-Urteil zu Planet49) und auch nicht unter § 25 TTDSG (seit Dezember 2021). Ob Fingerprinting unter § 15 Abs. 3 TMG in seiner ursprünglichen Form fällt, hängt von der Art und Nutzungsdauer der Fingerprint-Daten ab.

Matomo verwendet einen digitalen Fingerabdruck, um Nutzer auch ohne Cookies erkennen zu können. Mein Test zeigte, dass ein Nutzer, der am Freitag aufgrund untertägiger Aktionen als wiederkehrend erkannt wurde, am Montag als neuer Nutzer gewertet wurde. Das ist datenschutzrechtlich gut, denn eine nur kurze Wiedererkennungszeitspanne kann als berechtigtes Interesse gewertet werden. Jedenfalls sehe ich das so und vermute hier, dass weder eine Einwilligung noch eine Widerspruchsmöglichkeit angeboten werden muss. Dies gilt in dem beschriebenen Fall der lokalen Nutzeranalyse ohne Cookies.

Das Fingerprinting mit Matomo kann also m. E. ohne Widerspruchsmöglichkeit gemäß § 15 Abs. 3 TMG (in seiner ursprünglichen Bedeutung, nicht in seiner BGH-Bedeutung konform zur ePrivacy-Richtlinie) verwendet werden. Die Rechtsgrundlage hierfür wäre dann – bei nicht explizitem Endgerätezugriff – das berechtigte Interesse gemäß Art. 6 Abs. 1 f DSGVO.

Wer sicher gehen will, sollte sicherstellen, dass die Browser Feature Detection deaktiviert ist. Dies kann über einen JavaScript-Befehl bewerkstelligt werden. In der Matomo Konfiguration sollte dies allerdings auch direkt (ohne Programmierung) eingestellt werden können. Der Parameter heißt auf Englisch „Disable Browser Feature Detection“ und sollte in Deutsch ebenfalls auffindbar sein. Ob die Konfiguration richtig ist, lässt sich im Browser feststellen: Taste F12 im Firefox Browser nutzen, um Entwicklerkonsole zu öffnen. Webseite mit integriertem Matomo aufrufen. Im Reiter „Netzwerkanalyse“ in der Entwicklerkonsole die Datentransfers suchen, die mit Matomo zusammenhängen. Zu diesen Adressen die Parameter, die übermittelt werden, prüfen. In den Parametern sollten keine Informationen zu installierten Browser-Plugins erscheinen und auch nicht die Größe des Browser-Fensters (Bildschirmauflösung ist wohl in Ordnung, siehe oben).

Löschen alter Daten

Zur Sicherheit sollten historische Daten nicht zu lange aufbewahrt werden. Eine entsprechende Einstellung zum automatischen Löschen alter Bestandsdaten bietet Matomo direkt an.

Die Anzahl der Tage, nach denen Daten verfallen, sollte so gewählt sein, dass diese größer ist als der maximal benötigte Berichtszeitraum. Wenn die Berichtsdaten anonymisiert sind, ist auch eine längere Lebensdauer unproblematisch.

Existieren Altdaten aus früheren Sitzungen, in denen die Matomo-Einstellungen nicht für eine Anonymisierung gesorgt haben, können diese nachträglich anonymisiert werden.

Fazit

Matomo ist kostenfrei erhältlich und bietet zahlreiche Analysefunktionen, die für die meisten Webseiten ausreichend sind. Eine lokale Installation ist leicht möglich. Rechtliche Bedingungen wie bei Google Analytics müssen nicht beachtet werden. Ein AVV ist bei lokaler Installation unnötig. Vielmehr muss auf die richtige Konfiguration geachtet werden, um Datenschutzprobleme gar nicht erst entstehen zu lassen.

Matomo eignet sich für fast alle Webseiten als Google Analytics Ersatz. Dies gilt vor allem für diejenigen, die Google Analytics einfach nur deswegen nutzen, weil alle es nutzen oder weil eine Agentur dies vorgegeben hat.

Wer Google Analytics oder ein anderes Drittanbieter-Tool nutzen will, sollte die rechtlichen und technischen Zusammenhänge genau verstehen. Das darf allerdings regelmäßig bezweifelt werden, wodurch Datenschutzprobleme vorprogrammiert sind.

Auch interessant

• Google Analytics verarbeitet sämtliche Analyse-Daten immer in den USA
• Google Analytics als Einfallstor für Hacker
• Google Analytics ohne Cookies nutzen (aber trotzdem mit Einwilligung)
• Google Tag Manager: rechtliche Bedingungen
• Untagmanager als Tag Manager Ersatz
• Rechtliche Bedingungen von Google-Diensten