Tracking Cookies: Wie funktionieren sie und welche Risiken gibt es für den Datenschutz?

Website Cookies: Was ist das und wie funktionieren sie?

Cookies sind kleine Textdateien, die im Browser von Nutzern gespeichert werden, wenn sie eine Webseite besuchen. Cookies können dann Browserdaten auslesen und ggf. übermitteln. Diese Dateien ermöglichen eine Vielzahl an Funktionen, die sowohl für die Besucher, als auch für die Webseitenbetreiber nützlich sind.

Ein klassisches Beispiel für Cookies sind die Warenkorb-Cookies. Bevor es Cookies gab, mussten Nutzer bei jedem Seitenbesuch ihre Waren erneut in den Warenkorb legen. Heute befinden sich häufig auch beim nächsten Besuch noch die gleichen Produkte im Warenkorb. Das erleichtert das Einkaufen für die Besucher und erhöht die Chance eines Kaufes für den Webshop. Diese Anwendung von Cookies wird häufig als unproblematisch angesehen.

Anders sieht es aber aus, wenn mit Hilfe von Cookies Informationen gesammelt werden sollen. Wer den Besuch in einem Laden in der Innenstadt mit dem Surfen durch einen Webshop vergleicht, erkennt vielleicht einige Parallelen. Manche Dinge stehen im Vordergrund, weil sie besonders interessant sind oder mehr verkauft werden sollen. Pop-Ups auf Webseiten sind zu vergleichen mit einem Verkaufsassistenten, der fragt „ob es etwas gibt, dem er/sie behilflich sein kann”.

Ein grundlegender Unterschied ist die Anonymität, die ein echter Laden bietet. Bevor nicht mit einer Bankkarte bezahlt wird, bleibt jede Person dort völlig anonym. Solange nicht jemand den Besucher verfolgt oder persönliche Daten beim Eintritt verlangt werden, bleibt diese Anonymität erhalten. Bei einem Besuch in einem Webshop ist das nicht unbedingt der Fall. Hier wird beim Eintritt einiges an Informationen abverlangt. Dazu gehören bspw.:

• Die IP-Adresse
• Die Sprache in der die Webseite dargestellt werden soll
• Welches Gerät genutzt wird
• Welcher Browser die Anfrage stellt
• Von welcher Seite der Besucher kommt

Das bedeutet, schon bei Eintritt in den Webshop müssen einige Informationen preisgegeben werden. Solche Informationen können über Cookies abgerufen und gespeichert werden. Wer in einen Webshop eintritt, muss folglich einen Teil seiner Anonymität abgeben. Cookies können aber noch vieles mehr.

Was sind Tracking Cookies?

Ein Tracking Cookie (Statistisches Cookie) ist ein Cookie mit einem speziellen Auftrag. Es funktioniert genau wie die Cookies für Warenkörbe oder die richtige Darstellung der Webseite im Browser. Die Unterschiede zwischen einem Tracking Cookie und einem essentiellen oder technischen Cookie liegen im Anwendungszweck. Tracking Cookies sind, wie der Name schon sagt, für das Tracking auf einer Seite zuständig.

Welchen Zweck haben Tracking Cookies?

Tracking Cookies werden für das Tracking und die Untersuchung von Nutzerverhalten verwendet. Wie der Name schon sagt, werden Cookies als „Tracking Cookies” bezeichnet, wenn diese technisch so gestaltet sind, dass ein Tracking dadurch möglich gemacht wird.

Tracking Cookies ermöglichen es, viel über Nutzer zu erfahren:

1. Von welchen Seiten kommen Nutzer auf die untersuchte Website?
2. Welches Werbemittel hat den Nutzer auf die untersuchte Website geführt?
3. Welche Produkte und Seiten schauen sich Nutzer auf der untersuchten Website an?
4. Wie lange verweilt der Nutzer auf bestimmten Seiten?
5. Wie häufig führen Nutzer bestimmte Einzelhandlungen wie z.B. Klicks aus?
6. Welche Dokumente werden auf der untersuchten Website am häufigsten heruntergeladen?
7. Wie viele Nutzer führen komplexe Handlungen, wie etwa das Ausfüllen eines Formulars durch?

Diese Beispiele sind nur wenige Anwendungen von Vielen. Tracking Cookies ermöglichen es, Einblicke in das Verhalten aller Nutzer zu gewinnen, um Rückschlüsse auf die Performance der Website zu ziehen.

Wer verwendet Tracking Cookies?

Tracking Cookies sind vor allem bei Webshops und Webseiten beliebt, die mit Ihrer Webseite Umsatz generieren wollen. Das kann ein Verkauf oder auch eine Anfrage für ein Gespräch sein (ein sogenannter „Lead”).

Wenn Nutzer auf eine Website kommen ist es wahrscheinlich, dass sich ein statistisches Bild entwickelt, welche Seiten und Produkte am häufigsten besucht werden. Diese werden auch durch Klicks auf bestimmte Elemente erreicht. Am Ende steht dann beispielsweise ein Verkauf oder eine Beratungsanfrage. Die Anzahl an Menschen, die auf eine Seite kommen, aus denen tatsächlich am Ende ein Kunde wird, wird mittels der Conversion Rate erfasst. Um diese zu optimieren, können Webshops Elemente anders gestalten oder Produktseiten verändern. Tracking Cookies liefern hierfür die nötigen Daten. Sie ermöglichen es effiziente Verkaufsprozesse zu gestalten, die den Webshops deutliche Umsatzsteigerungen bringen können. Schon eine Verbesserung um wenige zehntel Prozent können tausende Euro Umsatz Unterschied machen.

Neben der Optimierung der Conversion Rate kann auch viel mehr über die Menschen ermittelt werden, die eine Website besuchen:

1. Sind die Kunden eher männlich oder weiblich?
2. Wie alt sind die durchschnittlichen Kunden?
3. Welche Kundensegmente sind besonders an bestimmten Produkten interessiert?
4. Von welchen Seiten kommen die Kunden und kann das Rückschlüsse auf deren Interessen preisgeben?

Mithilfe dieser Informationen kann das Marketing eines Unternehmens gesteuert werden. Durch zielgenaue Ansprache von Kunden lassen sich Werbemaßnahmen spezifischer gestalten. Eine Werbeanzeige für eine weibliche Person mit Interesse an den Produkten kann beispielsweise völlig anders aussehen, als für männliche Kunden. Auf diese Weise lassen sich durch Tracking Cookies nicht nur Website-Inhalte optimieren, sondern auch die Werbemaßnahmen, die Nutzer auf die Webseite führen.

Tracking Cookies sind für Business Insights und Marketing unerlässlich. Die Daten, die über die Website gewonnen werden, sind für einen effizienten Betrieb essenziell. Tracking Cookies sind aus dem modernen Marketing kaum wegzudenken. Durch die Daten entstand auch eine völlig neue Strategie: das Performance Marketing.

Welche Vorteile haben Tracking Cookies?

Tracking Cookies haben den Vorteil, dass sie ein gezieltes Optimieren von Marketingmaßnahmen ermöglichen. Der Boom des Online Shoppings ist auch in Teilen dem Tracking zuzuordnen. Die Optimierung von Webshops ermöglicht Nutzern ein Einkaufserlebnis, das häufig als einfacher und schneller wahrgenommen wird. Je weniger gesucht werden muss und je besser Werbemaßnahmen auf Gruppen zugeschnitten sind, desto weniger irrelevante Werbung wird ausgespielt.

Ein Mythos, der sich in der Gesellschaft schon seit langem hält, ist, dass Einzelpersonen beispielsweise über Mikrofone oder anderweitig abgehört werden und dass völlig individualisierte Werbung dadurch ausgespielt wird. Das ist allerdings völlig unrealistisch und auch durch die Datenschutzgesetze explizit verboten. Tracking Cookies sind nicht dazu da, die Daten der einzelnen zu sammeln. Es geht vielmehr darum, so viele Daten wie möglich über das Gesamtverhalten zu sammeln. Dieses Verhalten muss statistisch relevant sein, um daraus Rückschlüsse ziehen zu können. Wie sich eine Einzelperson verhält, ist im Normalfall völlig irrelevant. Tracking Cookies sind ihrem Zweck nach also völlig anonym.

Manchmal sind die Algorithmen, mit denen aus Verhalten auf mögliche Kaufwünsche Rückschlüsse gezogen werden, nur sehr präzise, weil dieses Verhalten auf Basis vieler Millionen anderer Menschen vorhersehbar ist. Dadurch sind Tracking Cookies für das gruselige Phänomen mitverantwortlich, dass das Produkt, über das man sich gestern unterhalten hat, heute bei Instagram als Werbung erscheint.

Kritik an Tracking Cookies

Auch wenn Tracking Cookies grundsätzlich anonym sind, so müssen doch die Daten der einzelnen Nutzer gesammelt werden. Daten zu sammeln kann kritisch sein, weil damit Rückschlüsse auf Einzelpersonen möglich sind.

Würde ein Laden in der Innenstadt beim Eingang beispielsweise alle Besucher mustern und bestimmte Merkmale notieren, wäre damit sicherlich nicht jeder einverstanden. Genauso unwohl würden sich sicher viele Menschen fühlen, wenn sie wüssten, dass alle Ihre Bewegungen innerhalb des Ladens überprüft würden, damit der Laden Rückschlüsse auf die ideale Platzierung des Ladeninventars ziehen kann.

Dieses ungute Gefühl geht auf eine Verletzung der Privatsphäre zurück. Auch im öffentlichen Raum sollten Menschen Ihre Privatsphäre so schützen können, wie sie es zuhause tun können. Tracking Cookies nehmen es sich aber heraus, diese Privatsphäre einzuschränken, indem sie in das öffentliche Leben im Netz eingreifen. Deswegen gelten für das Internet inzwischen sehr spezifische Regeln für den Umgang mit Tracking Cookies.

Tracking Cookies und die DSGVO

Die Datenschutz-Grundverordnung sieht vor, dass personenbezogene Daten besonders geschützt werden. Darunter fallen alle Informationen, durch die eine Person direkt oder indirekt identifiziert werden kann. Das sind beispielsweise IP-Adressen, Namen, Telefonnummern oder Ausweisnummern.

Interessant für Tracking Cookies ist das, weil einige der Informationen, die über Cookies gesammelt werden, unter diese Kategorie fallen. Durch die Zuordnung von Verhalten auf IP-Adressen können Rückschlüsse über die Person gezogen werden. Das bedeutet, dass an dieser Stelle die Datenschutzgesetze beachtet werden müssen.

Personenbezogene Daten dürfen unter den Regelungen der DSGVO (sowie dem DMA und der ePrivacy Richtlinie) nur unter bestimmten Umständen verwendet werden:

1. Es muss vor Anwendung eines Tracking Cookies, das personenbezogene Daten verarbeiten soll, explizit nach einer Einwilligung gefragt werden. Erst wenn ein Nutzer diese Einwilligung gibt, darf das Cookie aktiviert werden.
2. Wenn ein Cookie ein Third Party Cookie ist, also zum einen von einem Drittanbieter stammt und die Daten der Nutzer auf den eigenen Servern verarbeitet, muss auch nach einer expliziten Einwilligung gefragt werden.
3. Neben der Möglichkeit der Einwilligung in das Cookie müssen dem Nutzer bestimmte Informationen leicht zugänglich gemacht werden. Dazu gehören beispielsweise die Speicherdauer des Cookies und der Daten sowie den Anbieter, der die Daten verarbeitet und welchen Zweck die Verarbeitung der Daten hat.
4. Alle Informationen müssen in der Datenschutzerklärung nochmal explizit zu finden sein.

Die meisten Tracking Cookies sind Third Party Cookies. Das liegt daran, dass die Daten im Normalfall direkt verarbeitet werden sollen. Hierfür benötigen Webseiten externe Dienstleister wie Google oder Facebook. Das mit Abstand beliebteste Tracking Tool ist Google Analytics 4. Google erwartet inzwischen auch, dass die Signale für die Einwilligung an Google übermittelt werden, da sie seit dem Digital Markets Act eventuell auch für unrechtmäßig gesammelte Daten mithaften.

Neben den potentiellen Strafen, die drohen, wenn die Regelungen der Datenschutzgesetze nicht beachtet werden, ist das Einholen von Einwilligungen für Tracking Cookies vor allem für ein vertrauensvolles Verhältnis wichtig. Ein Webshop, der ohne Einverständnis Kundendaten verwendet, kann keine langfristige vertrauensvolle Beziehung zu seinen Kunden erzeugen. Das wäre vergleichbar mit einem Laden, in dem alle Einkäufer ungefragt von Mitarbeitern verfolgt würden. Dort würde sicherlich niemand ein zweites Mal einkaufen wollen.

Wie lassen sich Tracking Cookies DSGVO konform verwenden?

Damit Tracking Cookies DSGVO konform verwendet werden können, müssen sie erst nach der expliziten Einwilligung in ihren Gebrauch aktiviert werden. Das stellt für die meisten Webseiten aber ein Problem dar. Wenn eine URL im Browser eingegeben wird, wird im Normalfall der gesamte Code einer Webseite geladen und damit auch die Cookies. Damit das nicht passiert, gibt es sogenannte Consent Management Platforms.

Tracking Cookies und Consent Management Platforms (CMP)

Consent Management Platforms vereinen mehrere Funktionalitäten in einem. Zum Einen beinhalten sie häufig ein sogenanntes Cookie Banner (auch Consent Banner genannt). Dieses Banner ist die bekannte Abfrage beim erstmaligen Öffnen einer Webseite. Hier können sich Nutzer über die verschiedenen Cookies, deren Verwendungszweck und den Anbieter informieren. Eine Kategorie innerhalb der Cookie Banner sind die Tracking Cookies (oder auch Statistische Cookies). Ein Cookie Banner kümmert sich also um die explizite Einwilligung in die Tracking Cookies gemäß der Datenschutzgesetze.

Consent Management Platforms (CMPs) gehen allerdings über das Cookie Banner hinaus. Sie sind auch dafür verantwortlich, auf technischer Ebene die Cookies so lange zu blockieren, bis sie vom Nutzer freigegeben werden. Zudem speichern sie für jeden Nutzer, welche Einwilligungen gegeben wurden. Unter der DSGVO müssen Webseiten auch die Möglichkeit bieten, die Einwilligung in Cookies zu widerrufen. CMPs können, falls eine solche Anfrage gestellt wird, Auskunft geben, welche Cookies ein Nutzer verwendet und diese auch bei dem jeweiligen Nutzer deaktivieren.