Bevor es die Aufsichtsbehörde tut: Prüfen Sie die Tracker auf Ihrer eigenen Website
Jeder Marketing-Pixel, den Sie einbinden, ist ein Datenvertrag, den Sie im Namen jedes Besuchers unterschrieben haben. Das Recht behandelt zunehmend Sie, nicht die Plattform, als die Stelle, die dafür geradestehen muss.
Wer einen Marketing-Pixel einbindet, trifft eine Entscheidung im Namen jedes Menschen, der die Website je aufrufen wird, und diese Entscheidung betrifft dessen Daten, nicht die eigenen. Das Snippet sitzt im Seitenkopf, feuert bevor jemand auch nur eine Zeile gelesen hat, und schickt Verhaltenssignale an einen Dritten, den man selbst nie zu Gesicht bekommt. Wer die Tracker auf der eigenen Website noch nie geprüft hat, betreibt einen Datenexport, den er weder kontrolliert noch beschreiben kann. Das ist eine Lieferantenbeziehung, die man blind eingegangen ist, und sie gehört auf dasselbe Risikoregister wie jede andere.
Folgen Sie dem Mechanismus, denn der Mechanismus ist die ganze Argumentation. Ein Tracking-Pixel ist Code, den der Anbieter kontrolliert, ob als JavaScript-Tag oder als schlichte Bildanfrage, geladen vom Browser des Besuchers im Vertrauen auf die eigene Domain. Er liest, was ihm aufgetragen wurde zu lesen, und schickt es dorthin, wohin ihm aufgetragen wurde. Man selbst erhält weder Kopie noch Beleg. Consumer Reports hat gemeinsam mit der Softwarefirma Disconnect rund 20.000 Websites untersucht und dabei Hunderte Unternehmen gefunden, die Besucherdaten still an TikTok weiterreichen, darunter auch Daten von Menschen, die die App nie installiert haben. Niemand ist eingebrochen, um das zu ermöglichen: Die Betreiber haben den Code selbst eingebaut, und die Plattform empfängt schlicht, was der Betreiber zu senden entschieden hat.
Warum macht ein unsichtbarer Tracker Sie zum Verantwortlichen?
Weil es genügen kann, dass die Erhebung stattfindet, auch wenn man die Daten selbst nie berührt. Der Europäische Gerichtshof entschied im Fashion-ID-Verfahren, dass ein Website-Betreiber, der das Social-Plugin eines Dritten einbindet, gemeinsam mit diesem für die Erhebung und Übermittlung der Besucherdaten verantwortlich sein kann, selbst wenn er selbst nie Zugriff auf diese Daten erhält. Besonders bemerkenswert für deutsche Unternehmen: Der Fall stammt aus dem eigenen Rechtsraum. Geklagt hatte die Verbraucherzentrale Nordrhein-Westfalen gegen den Online-Modehändler Fashion ID GmbH & Co. KG wegen eines eingebundenen Facebook-„Gefällt mir"-Buttons, das Oberlandesgericht Düsseldorf legte die Fragen dem EuGH vor, und das Urteil vom 29. Juli 2019 (Rechtssache C-40/17) gilt seither unmittelbar vor deutschen Gerichten, ganz ohne den Umweg über Übergangsrecht, den britische Gerichte nach dem EU-Austritt gehen müssen. Art. 26 DSGVO trägt genau diesen Test der gemeinsamen Verantwortlichkeit: Wer die Mittel der Erhebung bestimmt hat, trägt Verantwortung für die Erhebung selbst, wenn auch nicht zwangsläufig für das, was der Empfänger anschließend mit den Daten macht. Die vertraute Verteidigung, der Anbieter habe die Daten doch erhoben, wird in dem Moment brüchig, in dem eine Aufsichtsbehörde fragt, wer entschieden hat, dass das Skript des Anbieters auf der Seite laufen darf.
Hier kehrt sich die Ökonomie der meisten Marketing-Stacks gegen einen selbst. Der Datenfluss kostet nichts, ihn hinzuzufügen, und er taucht in keiner Bilanz auf, also wächst er unbemerkt weiter. Gerade im Mittelstand, wo die Marketingabteilung oft aus wenigen Personen besteht, kommt ein Pixel für die Attribution dazu, dann eines fürs Retargeting, ein Heatmap-Tool, ein Chat-Widget, das nach Hause telefoniert. Jedes für sich ist eine vertretbare Einzelentscheidung. Zusammen bilden sie ein Vertriebsnetz für das Verhalten der eigenen Besucher, das niemand im Unternehmen aus dem Kopf skizzieren könnte. Die Haftung ist real, der Datenfluss unsichtbar, und niemand hat für beides einen Preis angesetzt.
Wie prüfen Sie Drittanbieter-Tracker auf Ihrer Website?
Behandeln Sie es als Lieferantenprüfung, denn genau das ist es. Öffnen Sie das Netzwerk-Panel des Browsers, oder nutzen Sie einen Scanner wie Blacklight von The Markup, und laden Sie jede wichtige Seite in einer sauberen Sitzung ohne Cache. Notieren Sie jede externe Domain, die dabei angesprochen wird. Halten Sie für jede fest: Anbieter, Zweck, und die Rechtsgrundlage, die Sie im Zweifel nennen würden. Prüfen Sie dann das Timing, den Teil, den die meisten Teams überspringen: Feuert der Tracker, bevor der Besucher überhaupt eingewilligt hat? Eine Anfrage an www.facebook.com/tr/ (der Meta-Pixel) oder an analytics.tiktok.com, die schon beim Laden der Seite feuert, bevor Ihr Consent-Tool das Opt-in-Cookie gesetzt hat, ist genau das Muster, das auffliegen muss, denn dann tut das Consent-Banner davor gar nichts. Alles, was vor der Einwilligung erhebt, oder das niemand im Raum erklären kann, fliegt raus. Führen Sie das Register, datieren Sie es, und wiederholen Sie die Prüfung regelmäßig, denn das Skript kann sich ändern, ohne dass jemand Ihren Code anfasst.
Kann ein Anbieter nachträglich ändern, was Ihr Tracking-Pixel erfasst?
Der unbequeme Teil der Tracker-Governance: Was letztes Quartal geprüft wurde, ist nicht garantiert das, was heute läuft. Das Skript eines Anbieters tut, was der Anbieter aktuell entscheidet, dass es tut, und diese Entscheidung liegt auf dessen Server, nicht in Ihrem Repository. Der Umfang ist eine Einstellung, die jemand aus der Ferne ändern kann, also ist der Pixel im eigenen Seitenkopf am besten als Code zu behandeln, der ohne Rückfrage umgeleitet werden kann.
Genau hier hat das deutsche Recht Zähne, die viele Marketingteams noch nicht gespürt haben. Nicht notwendige Tracker unterliegen neben der DSGVO dem Telekommunikation-Telemedien-Datenschutz-Gesetz, und § 25 TTDSG verlangt ausdrücklich die Einwilligung, bevor Informationen auf der Endeinrichtung des Nutzers gespeichert oder aus ihr ausgelesen werden dürfen, mit einer engen Ausnahme nur für technisch notwendige Vorgänge. Ein Tag, das beim Laden der Seite feuert, bevor das Banner beantwortet ist, liegt damit bereits außerhalb der Regeln, was eine Erhebung vor Einwilligung zu einem echten Bußgeldrisiko macht und nicht zu einer stilistischen Petitesse.
Tragen Sie den Befund in den Vertrag zurück. Ein Auftragsverarbeitungsvertrag sollte nicht nur Sorgfalt im Umgang mit bereits erhobenen Daten versprechen, er sollte begrenzen, was ein Skript überhaupt erheben darf. Eine Formulierung, die sich in eine Anbieter-Anlage übernehmen lässt, könnte lauten: „Der Auftragsverarbeiter erhebt, liest oder überträgt über eingebettete Skripte keine personenbezogenen Daten, die über die in Anlage X genannten Felder und Zwecke hinausgehen, tut dies nicht, bevor der Verantwortliche die Einwilligung der betroffenen Person erfasst hat, und erweitert diesen Umfang nicht ohne vorherige schriftliche Zustimmung des Verantwortlichen." Weigert sich ein Anbieter, eine solche Klausel zu akzeptieren, ist das eine Information, die in die Entscheidung für oder gegen ihn einfließen sollte.
Die Folgen zweiter Ordnung landen also beim Einkauf und bei den Verträgen, nicht im Marketingkalender. Das ist eine Frage der technischen Strategie, bevor sie eine juristische wird, denn die Lösung ist architektonisch: jeden ausgehenden Datenfluss kennen, ihn hinter echter Einwilligung verriegeln, und jedes Anbieter-Skript als nicht vertrauenswürdigen Code behandeln, dem man das Vertrauen bewusst ausgesprochen hat. Dieselbe Disziplin, die automatisierte Fähigkeiten unter menschlicher Kontrolle hält, gilt auch für den Martech-Stack, den Sie bereits live geschaltet haben. Das Instrument der Erhebung liegt auf der eigenen Website, mit dem eigenen Namen an der Entscheidung, es zu laden, und Unwissenheit über den eigenen Seitenkopf ist keine Verteidigung, die eine Aufsichtsbehörde akzeptieren muss.
Häufige Fragen
Kann ein Tracking-Pixel Daten erfassen, bevor ein Besucher Cookies akzeptiert hat?
Ja, und viele tun genau das. Skripte, die im Seitenkopf platziert sind, feuern, sobald der Browser sie erreicht, oft bevor das Consent-Banner überhaupt gerendert ist. § 25 TTDSG verlangt die Einwilligung, bevor nicht notwendige Tracker gesetzt oder ausgelesen werden, ein Pixel, das vor der Einwilligung erhebt, macht das Banner also zur Dekoration, und genau das sollte ein Tracker-Audit als Erstes finden und blockieren.
Haften wir, wenn ein Drittanbieter-Pixel die Daten unserer Besucher missbraucht?
Nach der Argumentation des Fashion-ID-Urteils, das unmittelbar geltendes EU-Recht ist und aus einem deutschen Ausgangsverfahren stammt, kann ein Betreiber, der einen Drittanbieter-Collector einbindet, gemeinsam für die Erhebung und Übermittlung verantwortlich sein, die er ermöglicht, selbst ohne Zugriff auf die Daten. Die Verantwortung beschränkt sich in der Regel auf die Vorgänge, deren Zweck und Mittel Sie mitbestimmen, aber die Entscheidung, den Pixel zu laden, gehört zu genau diesen Vorgängen.
Wie oft sollte ein Drittanbieter-Tracker-Audit wiederholt werden?
Behandeln Sie es als fortlaufende Aufgabe, nicht als Jahrestermin. Anbieter-Skripte aktualisieren sich aus der Ferne, ohne dass sich an Ihrem eigenen Code etwas ändert, ein einmal freigegebener Umfang kann sich also unbemerkt ausweiten. Wiederholen Sie den Scan nach einem festen Zeitplan und nach jeder Änderung an Ihrem Tag-Manager oder Ihrer Marketing-Toolauswahl.
Verwandte Artikel
- Auf Ubuntu 26.04 LTS ist das coreutils, von dem Ihr Build abhängt, nicht mehr GNU
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- Der Streit ums Geschäftsgeheimnis ist entschieden, lange bevor jemand kündigt. Fragen Sie Faccenda Chicken.
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.