Tracking und Datenschutz: Warum ein Cookie-Banner allein nicht reicht

Zuerst klären, welche Zahlen gebraucht werden

Ein Unternehmen will wissen, welche Kampagne Anfragen bringt. Ein Onlineshop will sehen, an welcher Stelle im Checkout Käufe abgebrochen werden. Bei einer dritten Website reicht es, die Nutzung einzelner Inhalte auszuwerten. Jede dieser Fragen braucht eine andere Messung.

Wir beginnen deshalb mit dem, was das Unternehmen wissen will: welche Handlung als Erfolg zählt, wer die Auswertung nutzt und welche Entscheidungen darauf beruhen. Daraus ergibt sich, welche Ereignisse erfasst werden und welche Daten dafür nötig sind.

Beim Kontaktformular reicht meist die Information, dass eine Anfrage erfolgreich abgeschickt wurde. Der Inhalt der Nachricht hat in der Webanalyse nichts verloren. Entscheidend ist, ob die erfassten Daten eine konkrete Frage beantworten. Mehr Daten allein machen eine Auswertung nicht besser.

Usercentrics, Cookiebot und die Auswahl der Consent-Lösung

Eine Consent Management Platform, kurz CMP, erfasst und dokumentiert die Einwilligungen der Besucher und gibt sie an die angebundenen Dienste weiter. Das Cookie-Banner ist nur die sichtbare Oberfläche dafür.

Usercentrics CMP und Cookiebot CMP gehören beide zu Usercentrics. Wer die beiden vergleicht, vergleicht also zwei Produktlinien desselben Anbieters. Weitere Optionen sind etwa consentmanager und Didomi. Welche Lösung passt, hängt von der Website und den beteiligten Teams ab. Die Gestaltung des Banners ist dabei der kleinere Teil.

Bei der Auswahl prüfen wir unter anderem:

• welche Websites, Sprachen und gegebenenfalls Apps unterstützt werden müssen,
• ob sich vorhandene Dienste und individuelle Einbindungen zuverlässig ansteuern lassen,
• ob Redaktion, Marketing und Entwicklung mit passenden Zugriffsrechten arbeiten können,
• wie sich Änderungen vor der Veröffentlichung testen lassen,
• welche laufenden Kosten bei der tatsächlichen Nutzung entstehen.

Auch das Banner selbst gehört zur Prüfung. Die Auswahl muss verständlich sein und auf dem Smartphone gut funktionieren. Das Banner muss mit Tastatur und Screenreader bedienbar sein und darf wichtige Funktionen nicht unerreichbar machen. Mehr dazu in unserem Bereich barrierefreie Websites.

Der Tag Manager muss die Auswahl berücksichtigen

Ein Tag Manager steuert, wann Mess- und Marketingcode ausgeführt wird. Ein Beispiel ist das Ereignis, das an die Webanalyse geht, nachdem ein Formular erfolgreich abgeschickt wurde. Ob der jeweilige Dienst dabei aktiv sein darf, muss in derselben Konfiguration geregelt sein.

Zwei Fehler sehen wir immer wieder. Im ersten Fall speichert das Banner die Ablehnung korrekt, ein Marketing-Tag wird aber trotzdem bei jedem Seitenaufruf ausgelöst. Im zweiten Fall ist ein Dienst im Tag Manager sauber eingerichtet, wird aber zusätzlich von einer CMS-Erweiterung direkt geladen. Diesen Fehler findet man im Tag Manager gar nicht.

Wir prüfen deshalb auch, was die Website selbst einbindet, also externe Videos, Karten, Chatdienste und Formulare. Für jede dieser Verbindungen muss klar sein, wann sie aufgebaut wird und welche Daten sie überträgt.

Basic oder Advanced: zwei Varianten des Google Consent Mode

Google Consent Mode übermittelt den Einwilligungsstatus an unterstützte Google-Tags und steuert deren Verhalten. Zwischen den beiden Umsetzungen gibt es einen wesentlichen Unterschied:

• Basic Consent Mode: Die Google-Tags bleiben ohne Zustimmung blockiert. Über diese Tags gehen dann keine Daten an Google.
• Advanced Consent Mode: Die Google-Tags werden mit einem voreingestellten Einwilligungsstatus sofort geladen. Wird die Einwilligung verweigert, senden sie weiterhin Messsignale ohne Cookies an Google, sogenannte cookielose Pings.

Bei Advanced Consent Mode werden also auch ohne Zustimmung Daten an Google übertragen.

Welche Variante eingesetzt wird, stimmen Marketing, Entwicklung und Datenschutz gemeinsam ab. Dabei geht es sowohl um die benötigten Auswertungen als auch um die zulässige Datenverarbeitung. Dass der Consent Mode aktiviert ist, sagt noch nichts darüber aus, ob die konkrete Verarbeitung zulässig ist.

JENTIS und serverseitiges Tracking

Beim serverseitigen Tracking laufen die Daten über eine zusätzliche Serverkomponente, bevor sie an die Empfänger gehen. Dort lässt sich festlegen, welche Informationen ein Dienst bekommt und was vorher entfernt oder verändert wird.

JENTIS bietet dafür Datenerfassung und Tag Management. Die Auswahl aus dem Cookie-Banner muss auch auf dem Server ankommen und dort die Weitergabe an die einzelnen Dienste steuern. Es reicht nicht, nur die Tags im Browser anzupassen.

Für Unternehmen mit mehreren Marketingdiensten kann sich diese zusätzliche Kontrolle lohnen. Sie bringt aber Konfigurationsaufwand, Kosten und laufende Betreuung mit sich. Eine Website mit wenigen Auswertungsfragen kommt oft mit einer einfacheren Lösung aus.

Auch serverseitiges Tracking muss die Entscheidung der Besucher berücksichtigen. Welche Daten erfasst und weitergegeben werden dürfen, hängt von der jeweiligen Verarbeitung ab. Der Umweg über einen Server schafft dafür keine eigene Erlaubnis.

DSGVO und TKG betreffen mehr als Cookies

In Österreich regelt § 165 Abs. 3 TKG 2021, wann Informationen auf Endgeräten gespeichert oder von dort ausgelesen werden dürfen. Das gilt für Cookies ebenso wie für Local Storage und vergleichbare Techniken. Für technisch nicht notwendige Speicherungen ist eine Einwilligung erforderlich. Werden dabei personenbezogene Daten verarbeitet, gilt zusätzlich die DSGVO.

Für ein Projekt heißt das: Es muss festgelegt sein, welche Daten für welchen Zweck verarbeitet werden, wer sie erhält, wie lange sie gebraucht werden und welche Dienste eine Einwilligung voraussetzen.

Technische Umsetzung und rechtliche Beratung

Als Agentur geben wir keine Rechtsauskünfte. Wir können nachvollziehen, welche Daten eine Website erfasst, wohin sie übertragen werden und wie sich das technisch ändern lässt. Wenn eine Frage über unser Wissen hinausgeht oder eine rechtliche Beurteilung braucht, sagen wir das offen.

Bei Datenschutzfragen arbeiten wir mit Knyrim Trieb Rechtsanwälte zusammen. Die Kanzlei ist auf Datenschutzrecht und ePrivacy spezialisiert. Braucht ein Projekt juristische Unterstützung, stimmen wir mit unseren Kunden ab, ob wir die Kanzlei hinzuziehen oder mit ihrer bestehenden Rechtsberatung arbeiten. Wir liefern die technischen Details und setzen die daraus vereinbarten Anforderungen auf der Website um.

Was wir an der Website prüfen

Die Einstellungen im Backend sind der Ausgangspunkt. Ob sie wirken, prüfen wir am Verhalten der Website in vier Situationen:

1. Erster Besuch ohne Auswahl: Wir erfassen, welche Dienste bereits laden, welche Verbindungen aufgebaut und welche Informationen gespeichert werden.
2. Ablehnung: Dienste, die eine Zustimmung brauchen, müssen inaktiv bleiben. Gleichzeitig kontrollieren wir, ob die Grundfunktionen der Website weiterhin funktionieren.
3. Teilweise Zustimmung: Eine Freigabe für Statistik darf nicht zugleich Marketingdienste aktivieren. Wir prüfen, ob die Auswahl getrennt umgesetzt wird.
4. Widerruf: Die Auswahl muss sich wieder öffnen und ändern lassen. Wir prüfen, ob die Verarbeitung, die von der widerrufenen Einwilligung abhängt, endet und auch auf weiteren Unterseiten nicht erneut startet.

Dabei sehen wir uns mehr als die Startseite an, denn ein Video auf einer Artikelseite oder ein Formular im Kampagnenbereich kann eigene Verbindungen aufbauen. Bei serverseitigem Tracking kontrollieren wir zusätzlich, was der Server weitergibt. Das lässt sich an den Cookies im Browser nicht ablesen.

Nach einer gültigen Zustimmung geht es um die Qualität der Messung. Eine Anfrage darf nicht doppelt gezählt werden, weil zwei Einbindungen dasselbe Ereignis auslösen. Ein Klick auf „Absenden“ ist auch keine erfolgreiche Anfrage, wenn das Formular danach einen Fehler meldet.

Neue Kampagnen brauchen abgestimmte Änderungen

Ein neues Werbepixel ist schnell eingebaut. Damit erhält aber womöglich ein weiterer Empfänger Daten, der weder in der Consent-Konfiguration noch in der Dokumentation vorkommt.

Deshalb muss feststehen, wer Änderungen vorbereitet, prüft und veröffentlicht. Wer freigibt, muss sehen können, welcher Dienst dazukommt, was er erfasst und unter welchen Bedingungen er aktiv wird. Konten und Zugänge bleiben beim Unternehmen, damit ein Agenturwechsel keine neue Abhängigkeit schafft.

Diese Aufgaben gehören in eine vereinbarte laufende Website-Betreuung. Zugriffsrechte, externe Dienste und kontrollierte Veröffentlichungen behandeln wir außerdem im Artikel zu Web-Security.