Cookieless Tracking und der Datenschutz

Datenschutz ist ein wichtiges Thema, das vermehrt an Wichtigkeit gewinnt. Nach der in der EU eingeführten neuen DSGVO zog im Jahr 2023 auch die Schweiz nach mit der nDSG. Dies hat auch Auswirkungen auf das Sammeln von Cookies. Was das nun für deine Website bedeutet, erklären wir dir in diesem Artikel.

Was sind Cookies

Ein Cookie ist ein Datenpaket in Form einer Textdatei, die beim Aufrufen einer Website auf dem Gerät des Users gespeichert wird. Mehr zu Cookies liest du übrigens in unserem Glossarartikel zu Cookies. Mithilfe der Cookies kann der Webserver User*innen wiedererkennen.

Es gibt First- und Third-Party-Cookies. Die First-Party-Cookies können nur von der Website, von der sie gesetzt wurden, ausgelesen werden. Das Tracken der User*innen geht also nur über die eigene Website und nicht darüber hinaus. Gespeichert werden können damit zum Beispiel Anzahl und Dauer von Seitenaufrufen, Klicks auf Links der Website oder Elemente, Speicherung von Produkten im Warenkorb und Login-Daten (wenn das gewollt ist), Sprachauswahl, Menüpräferenzen und interne Lesezeichen.

First-Party-Cookies sind unter anderem auch die notwendigen Cookies. Diese erfordern keine Einwilligung der User, da sie für die Ausführung spezifischer Funktionen auf der Website benötigt werden. Performance-Cookies und Funktionale Cookies hingegen benötigen eine Einwilligung (obwohl sie keine persönlichen Informationen speichern).

Third-Party-Cookies sind Werbe- und Targeting-Cookies. Diese werden zur Erstellung von personenbezogener Werbung und Retargeting verwendet. Diese können domainübergreifend sein. Beim Datenspeicher und -verarbeiter handelt es sich um ein anderes Unternehmen als um deine eigene besuchte Website. Ein bekanntes Beispiel dafür ist Google Analytics. Mithilfe der Third-Party-Cookies kann Google die Aktivität der User*innen über mehrere Websites hinweg verfolgen. Diese Cookies sind natürlich einwilligungspflichtig. Sie speichern auch sensible Userdaten.

Cookies und das Datenschutzgesetz

Durch die neue Datenschutz-Grundverordnung (DSGVO) sowie dem Schweizer Äquivalent nDSG wird vorgeschrieben, wie die Daten erhoben und verarbeitet werden dürfen resp. was dazu notwendig ist. Nutzer*innen müssen dem klar und aktiv zustimmen. Jede verwendete Tracking-Methode wie Google Analytics muss in der Datenschutzerklärung erwähnt und erläutert werden. Dies ist nur für Third-Party-Cookies relevant, da die anderen technisch notwendig sind und keine Daten an Dritte weitergeben.

Relevanz für Unternehmen

Der Schutz der Privatsphäre wird immer wichtiger. Der Datenschutz muss von Unternehmen ernst genommen werden, um das Vertrauen der User*innen zu gewinnen oder behalten. Viele Browser (z.B. Firefox und Safari) blockieren die Third-Party-Cookies oder bieten zumindest Möglichkeiten an, diese zu blockieren (wie Edge zum Beispiel). Der am meisten genutzte Browser Chrome zieht nun auch nach. Zudem gibt es Adblocker und Tracking-Blocker, die die Installation von Third-Party-Cookies verhindern können. Fallen die Third-Party-Cookies nun immer häufiger weg, müssen die Daten irgendwie anders beschafft werden können. Weitere Informationen dazu auch im Blogartikel zu den Cookie Bannern.

Für Unternehmen ist es jetzt besonders wichtig, am Ball zu bleiben und innovativ zu sein. Dazu gehört auch, neue Methoden in Erwägung zu ziehen. Denn das Tracking ist wichtig, um eine der Realität entsprechende Customer Journey zeichnen zu können. Cookieless Tracking wird also immer wichtiger und attraktiver. Dabei handelt es sich um Tracking-Methoden, die ohne Cookies auskommen.

Cookieless Tracking

Unter Cookieless Tracking versteht man – nomen est omen –, dass das Tracking auf einer Website nicht auf Cookies als Technologie beruht. Stattdessen werden andere Technologien verwendet, um Informationen über das Nutzerverhalten zu erhalten und bewahren. Beim Cookieless Tracking spricht man auch von Server Side Tracking, da die Datensammlung nicht über den Browser, sondern über den Internetserver geschieht. Die Alternativen zu Cookies sind zum Beispiel:

Fingerprinting

Mit Fingerprinting werden die Daten über spezifische Hardware- und Software-Merkmale erhoben und zu einem einzigartigen digitalen Fingerabdruck kombiniert. Hierbei geht es um das Device (Marke und Modell, Betriebssystem, Browser, Zeitzone, Sprache, installierte Schriften, Bildschirmauflösung etc.). Es gibt sogar ein aktives Fingerprinting, bei dem die Geräte-Eigenschaften gezielt vom Browser abgefragt werden. Damit kann man dann weitere Informationen wie Bildschirmfarbe und Zeitzone erhalten.

Die Eigenschaften werden direkt über den Programmcode abgefragt. Da diese Skripte nicht von den für das Funktionieren einer Website notwendigen Skripten zu unterscheiden sind, entdeckt man diese Tracking-Methode kaum. Diese Methode funktioniert sogar im Inkognito-Modus (privates Surfen). Sie lässt sich aber in den meisten Fällen durch Deaktivieren des JavaScripts auf der Seite unterbinden. Dies hat leider auch zur Folge, dass die meisten Websites gar nicht mehr richtig funktionieren. Es gibt auch spezielle Tools, Plugins oder Adblocker, die Fingerprinting verhindern können.

eTags

Bei einem eTag (entity Tag) handelt es sich um eine Datei, die einem Objekt (Bild, Text, Datei) zugeordnet ist. Ein eTag soll unnötigen Datenverkehr vermeiden. Jeder Browser arbeitet mit Caches (Zwischenspeicher). In den Cache legt der Browser Teile einer Website ab, damit beim erneuten Aufrufen der Website die Elemente aus dem Cache und nicht nochmals neu geladen werden. Dies aus Geschwindigkeits-Überlegungen. Es wird also beispielsweise ein Bild (das mit einem eTag versehen ist) im Cache abgelegt.

Mit dem eTag wird angezeigt, welche Dateien sich im Cache befinden. Damit lässt sich ein User so lange identifizieren, bis die Person den Browser-Cache leert. Der User müsste also nach jedem Aufrufen einer Website den Cache leeren, wenn er nicht getrackt werden möchte. Die Methode ist die gleiche wie bei den Cookies – ausser, dass das Tracking nicht unterbunden werden kann durch Adblocker oder andere Browser-Sperren.

User ID

Das Tracking mittels User ID ist nur über eine Website mit einem Login-Bereich möglich. Denn nur mit einer Anmeldung kann eine User ID erzeugt werden. Damit ist das Tracking auch geräteübergreifend möglich. Ein Nutzer muss sich lediglich von einem anderen Gerät einloggen. Die jeweiligen Interaktionen können so lange zugeordnet werden, wie der User oder die Userin eingeloggt ist.

Für die User*innen wird eine einzigartige ID generiert, diese wird dauerhaft zugewiesen und bleibt bestehen, wenn die User*innen eingeloggt sind.

Besonders interessant ist diese Methode für Onlineshops (und auch Websites mit Mitgliederbereich), da sich die Customer Journey über einen langen Zeitraum verfolgen lässt und auch verschiedene Geräte miteinbezieht.

ID Graph

Wenn ein*e Nutzer*in ein Formular mit Angaben wie E-Mail-Adresse, Adresse, Telefonnummer, Username ausfüllt, kann man diese Daten mittels ID Graph sammeln. Gleichzeitig wird auch die IP-Adresse erhoben, damit diese Angaben in einer zentralen Datenbank gespeichert und zu einem Profil verflochten werden können. Damit lässt sich ein genaues Bild der Customer Journey erstellen.

Wie kann ich das selber anwenden?

Um selber Cookieless Tracking auf deiner Website zu implementieren, überlegst du dir am besten zuerst, welche Informationen dir wichtig sind und welche du gerne sammeln möchtest. Darauf basierend kannst du eine für dich passende Methode auswählen. Denn nicht jede Methode eignet sich für jede Website resp. deren Ziele gleichermassen. Danach gehst du folgendermassen vor:

Erste Schritte beim Implementieren

Implementiere das Tracking, zum Beispiel mittels JavaScript oder Anpassung der URLs.
Teste das Tracking und deren Funktionen ausgiebig.
Informiere die User*innen auf der Website, dass ihre Daten gesammelt werden, um welche Daten es sich handelt und was damit geschieht.

Nicht für jede Tracking-Methode muss eine Einwilligung eingeholt werden – sie ist aber auf jeden Fall hilfreich. Die User*innen sollen also auch aktiv zustimmen, wie bei den heute gängigen Cookie-Bannern (datenschutzkonform).

Ein Consentless Tracking (also Tracking ohne die Einwilligung) bedarf eines berechtigten Interesses und darf nicht einfach so gemacht werden. Für ein Consentless Tracking gibt es hohe Auflagen. Zum Beispiel dürfen keine personenbezogenen Daten (wie etwa bei User ID oder ID Graph) erhoben werden. Ein*e User*in darf also nicht persönlich identifizierbar werden.

Stelle sicher, dass die Daten auf einem sicheren Kanal abgelegt und nur zu legitimen Zwecken verwendet werden – und natürlich auch, dass sie nicht Unbefugten in die Finger geraten.

Die Tracking-Aktivitäten müssen in der Datenschutzerklärung erwähnt werden, egal ob mit oder ohne Cookies getrackt wird.

Beim Einrichten der Cookie Banner oder des Cookieless Tracking können wir gerne unterstützen. Kontaktiere uns dafür unverbindlich.

Cookieless Tracking in Google Analytics 4

Google Analytics ist das am meisten verwendete Analysetool. Auch wir empfehlen unserer Kundschaft, damit zu arbeiten. Allerdings hat es nicht nur Vorteile. Das Hauptproblem dabei besteht darin, dass die Daten in die USA gehen. Die US-Sicherheitsbehörden dürfen somit unter gewissen Umständen auf diese Daten zugreifen.

Wenn nun aber Cookies immer mehr und mehr abgeschafft werden, dann muss sich auch Google Analytics darauf vorbereiten. Google Analytics trackt ebenfalls über User- und Geräte-IDs. So oder so muss gemäss DSGVO die Einwilligung der User*innen eingeholt werden, damit ihre Daten mit Google Analytics verarbeitet werden dürfen. Wir empfehlen unseren Kund*innen, sich am DSGVO und nicht nur am Schweizer nDSG zu orientieren.

Wer auf Nummer sicher gehen will, dem stehen auch andere Analytics-Tools zur Verfügung, bei denen die Daten in Europa bleiben. Bestimmte Länder (Österreich, Niederlande, Frankreich) erlauben kein Google Analytics, da die Daten der User nicht genügend geschützt seien.

Fazit

Was Datenschutz und Tracking betrifft, ist es für eine Firma sehr wichtig, sich auf dem neusten Stand zu halten. Denn die Verantwortung liegt letztendlich beim Unternehmen selbst und die Busse kann sehr hoch ausfallen. Ausserdem wird es in Zukunft wohl kaum mehr möglich sein, mittels Cookies genügend nützliche Daten zu erhalten. Wir helfen gerne bei der Implementierung eines Cookie Banners oder beim Cookieless Tracking.