Conversion Tracking aus Datenschutzsicht

Die Funktion des Conversion Tracking

Welchen Weg geht ein Kunde, wenn er auf eine Werbeanzeige bei Google oder Facebook geklickt hat? Mit Hilfe des sogenannten Conversion Tracking können Unternehmen nachverfolgen, welche Keywords beim Endkunden zum Erfolg führen. Anbieter wie Google und neuerdings auch Facebook stellen für das Conversion Tracking eigene Tools bereit, welche den Erfolg der gekauften Keywords und Werbeanzeigen messen.

Als Werbetreibender muss man hierzu bloß einen vorgefertigten Baustein in den HTML-Code der Zielseite (Conversion-Seite) einbauen, auf welcher der Nutzer idealerweise landen soll (zum Beispiel Bestätigung Einkauf oder Anmeldung zum Newsletter). Das Ganze wird nun über ein Cookie beim Nutzer gemessen. Nach dem Klick auf die Werbeanzeige wird hierzu im Browser ein temporäres Cookie gesetzt, welches einen Zählpunkt vergibt, sobald der Nutzer die Zielseite (Conversion Seite) erreicht hat.

Aspekte aus Datenschutzsicht

Durch das Cookie auf dem Rechner des Nutzers werden Informationen über dessen Verhalten gesammelt. Dabei stellt sich die Frage, ob diese Informationen auch im Nachhinein einer Person zugeordnet werden können. Es kommt also darauf an, was genau in den Cookies gespeichert wird. Sobald entweder beim werbenden Unternehmen oder bereits beim Anbieter (in diesem Fall Google oder Facebook) Rückschlüsse auf die dahinter liegende Person möglich sind, kommt das Bundesdatenschutzgesetz (BDSG) zur Anwendung.

In diesem Fall ist die in § 3 BDSG geforderte Bestimmbarkeit von einer natürlichen Person gegeben. Dazu muss man wissen, dass die deutschen Aufsichtsbehörden auch die bloße Speicherung der IP-Adresse genügen lassen, um einen Personenbezug anzunehmen. Dies wird damit begründet, dass über den jeweiligen Internetanschluss zumindest theoretisch eine Verknüpfung von IP-Adresse und natürlicher Person möglich ist. Die deutschen Gerichte haben zu dieser Frage bisher keine einheitliche Meinung und vertreten sowohl den Personenbezug von IP-Adressen als auch eine gegenteilige Auffassung. Zu dieser Frage herrscht nach wie vor Rechtsunsicherheit.

Die Anbieter Google und Facebook

Google erklärt in den Nutzungsbedingungen, dass keine personenbezogenen Conversion-Daten erfasst würden. Das werbende Unternehmen könne daher nicht nachvollziehen, welcher Nutzer die Conversion ausgelöst hat. Lediglich die Gesamtzahl der Conversions werde ermittelt und zusammengefasst mitgeteilt. Inwieweit Google selbst dies nachvollziehen kann, bleibt hingegen offen. Auch die Frage, ob IP-Adressen zu diesem Zweck gespeichert werden, ist unbekannt.

Beim Conversion Tracking von Facebook werden hingegen Personendaten erfasst, da davon auszugehen ist, dass die Informationen im Cookie zusammen mit den Accountdaten der Nutzer gespeichert werden. Durch eine Verknüpfung der Daten ist dann – zumindest durch Facebook – ein Rückschluss auf eine Person möglich, wodurch das Datenschutzrecht Anwendung findet.

Gesetzliche Vorgaben

Nach dem BDSG dürfen Personendaten nur mit Einwilligung oder aufgrund einer gesetzlichen Bestimmung erhoben oder verarbeitet werden. Da im Falle des Conversion Trackings weder ein berechtigtes Interesse der Anbieter noch eine gesetzliche Grundlage zur Datenerhebung vorliegt, verbleibt nur die Einwilligung beim Nutzer. Zumindest bei Facebook ist eine solche Einwilligung der Nutzer bereits im Vorwege einzuholen.

Bei Google ist die Rechtslage noch unklar, da es an den nötigen Informationen fehlt. Sofern lediglich pseudonyme Nutzerprofile ohne Namen oder vollständige IP-Adresse der Nutzer erfasst werden, ist eine Einwilligung entbehrlich. Nach derzeitiger Rechtslage ist im Falle Google ein Opt-out (also ein Widerspruch) ausreichend. Diese Möglichkeit muss dem Nutzer allerdings innerhalb der Datenschutzerklärung auch aktiv angeboten werden. Gesetzlich ist dies in § 13 Telemediengesetz (TMG) festgehalten.

Praxishinweise

Google bietet ein separates Benachrichtigungsfeld (Google Site-Stats) für die Conversion Seite an. Der Nutzer erhält auf diese Weise einen direkten Hinweis auf der Zielseite und wird so über die Funktionen informiert. Das werbende Unternehmen kann dabei selbst entscheiden, ob die Benachrichtigung erscheint oder nicht. Sobald der Nutzer auf das Infofeld klickt, wird ein Erklärungstext angezeigt, in welchem auch Hinweise enthalten sind, wie man als Nutzer das Conversion Tracking verhindern kann. Verzichtet das werbende Unternehmen auf die Site-Stats-Benachrichtigung, weist Google darauf hin, dass in die eigene Datenschutzerklärung ein Hinweis zum Conversion Tracking aufzunehmen ist.

Facebook hat anscheinend selbst erkannt, dass personenbezogene Daten beim Conversion Tracking verarbeitet werden. In den Bedingungen zur Besucherauswertung lässt sich das soziale Netzwerk daher ausdrücklich bestätigen, dass eine Einwilligung des Nutzers eingeholt wurde. Wie man als werbetreibendes Unternehmen die Vorgaben erfüllen soll, wird hingegen nicht erklärt.

Die Einwilligung bei Facebook könnte zum einen über ein separates Pop-up auf der Conversion Seite eingeholt werden. In einem dort enthaltenen Hinweis wird der Nutzer über das Conversion Tracking informiert und muss sich durch einen Klick damit einverstanden erklären. Erst nach dieser Einwilligung darf der Code der jeweiligen Conversion-Seite geladen werden. Zum weiteren könnte bereits während eines Registrierungsprozesses auf der Website die Einwilligung eingeholt werden. Hier ist jedoch zu beachten, dass der Hinweis für den Nutzer auch erkennbar ist. Ein bloßer Hinweis in der Datenschutzerklärung ist dabei nicht ausreichend.

Der Hinweis im Pop-Up könnte dabei folgenden Inhalt haben:

Auf unserer Website setzen wir das Conversion Tracking von Facebook ein. Mit Hilfe eines Cookies sind wir in der Lage nachzuvollziehen, wie unsere Marketingmaßnahmen wirken und können diese somit ständig verbessern. Es wäre uns eine große Hilfe, wenn Sie mit dieser rein statistischen Erhebung einverstanden wären. Weitere Informationen erhalten Sie in unserer Datenschutzerklärung (Link auf eigene Datenschutzerklärung mit weiteren Hinweisen).

Unterhalb des Textes ist dann zusätzlich ein Button („Ich bin mit der statistischen Erhebung meiner Daten einverstanden“) einzufügen.

Zusätzlich: Ergänzung der Datenschutzerklärung

In jedem Fall ist der Nutzer über das Conversion Tracking der einzelnen Anbieter in der Datenschutzerklärung hinzuweisen. Dieser Hinweis ist auch neben der Einwilligung erforderlich. In dem Hinweis ist der gesamte Prozess des Conversion Trackings so darzustellen, dass auch ein technisch nicht versierter Nutzer den Prozess verstehen kann. Hinzu ist ein Link auf die Datenschutzerklärung des jeweiligen Anbieters (Google oder Facebook) mit aufzunehmen. Daneben ist es hilfreich, den Nutzer darauf hinzuweisen, wie er die Speicherung von Cookies selbst durch Einstellungen im Browser verhindern kann.

Entwicklungen auf europäischer Ebene

Auf europäischer Ebene existiert bereits seit 2009 die sogenannte Cookie-Richtlinie, die bisher jedoch noch nicht in deutsches Recht umgesetzt wurde. Die Richtlinie besagt, dass Anbieter sich die Verwendung von Cookies generell durch Einwilligung der Nutzer bestätigen lassen müssen. In diesem Fall wäre dann auch die Einwilligung beim Conversion Tracking von Google nötig. Ein Blick zu den europäischen Nachbarn zeigt jedoch auch, dass eine Einwilligung für alle Cookies bisher kaum eingehalten wird. Nichts desto trotz ist hierzu die weitere Entwicklung zu beobachten.

Die deutschen Aufsichtsbehörden stehen der Datenverarbeitung von Facebook sehr kritisch gegenüber. Einzelne Datenschutzbeauftragte, wie beispielsweise Thilo Weichert aus Schleswig-Holstein, halten die Datennutzung von Facebook generell für unzulässig. Hier besteht die Gefahr, dass Unternehmen trotz der oben aufgezeigten Einwilligungslösung zur Entfernung des Conversion Tracking Cookies aufgefordert werden.

Fazit

Ohne Zweifel ist das Conversion Tracking wichtig, um den Erfolg von Online -erbekampagnen zu messen. Dabei sollten jedoch nicht die rechtlichen Anforderungen außer Acht gelassen werden. Mit überschaubarem Aufwand sind diese Hürden aber zu nehmen. Neben der rechtlichen Konformität schafft dies auch Vertrauen beim Nutzer, was bei der Zunahme digitaler Datenverarbeitung immer wichtiger wird.

Bild: Peter Smola  / pixelio.de