Online-Tracking: Lebensverlängernde Maßnahmen für ein kaputtes Geschäftsmodell

Tracking ist die Grundlage weiter Teile der heutigen Online-Werbe-Welt und damit des Internets. Mit Hilfe von Cookies und anderen Methoden sammeln Werbetreibende über Websites und Geräte hinweg Informationen über Nutzer:innen, häufig unter Einbindung diverser Drittfirmen. Die so entstehenden individuellen Profile sollen die Werbewirksamkeit erhöhen, indem Werbung auf Persönlichkeits- und Nutzungsmuster von Menschen abgestimmt wird.

Im Streit um das Tracking sind die Fronten verhärtet: Werbetreibende können sich ein Internet ohne die Überwachungstechnik nicht vorstellen. Nutzer:innen wollen einen besseren Schutz gegen die Aufzeichnung ihres Surfverhaltens, sind aber von den allgegenwärtigen Cookie-Bannern genervt und klicken sie weg, weil diese ihnen meist ohnehin keine Auswahlmöglichkeit bieten. Den Datenschutzbehörden zufolge ist das Tracking in der heute überwiegend praktizierten Form schlicht illegal [PDF], doch bisher scheuen sie sich, diese Rechtsauffassung auch durchzusetzen.

Hauptschauplatz des jahrealten Streits ist nach wie vor die Jagd nach der Einwilligung. Denn im Kern geht es Online-Diensten darum, sich nur irgendwie eine Einwilligung der Betroffenen abzuholen, um die gesammelten Daten dann ungehindert verwerten zu können. Das Bundesministerium für Wirtschaft und Energie (BMWi) bringt nun frischen Wind in die Debatte und stellt sich schützend vor die Werbeindustrie.

Generalüberholung des Online-Datenschutzes

Dass die Einwilligungsthematik geregelt wird, ist längst überfällig. Denn trotz anders lautender EU-Vorgaben ist das website- und geräteübergreifende Tracking laut dem deutschen Telemediengesetz heute immer noch erlaubt, ohne die Einwilligung der Nutzer:innen einzuholen. Einzige Einschränkung: Die Profile dürfen nicht unter Klarnamen gespeichert werden, sondern unter einem Pseudonym. Nutzer:innen müssen der Datensammlung aktiv widersprechen – bei hunderten unbekannten Firmen.

Eigentlich hatte das BMWi bereits für den Herbst 2019 ein gesetzliches Update für das leidige Thema angekündigt. Nach einer EuGH-Entscheidung zur Sache hatte das Ministerium nun aber auch noch ein BGH-Urteil abgewartet. Die Gerichte hatten die Position der Nutzer:innen eindeutig gestärkt, indem sie klarstellten, dass Tracking mit Cookies oder anderen Identifiern einer informierten und bewussten Einwilligung der Betroffenen bedürfen. Sie haben zudem konkretisiert, dass entsprechende Kästchen in Cookie-Bannern nicht vorausgefüllt sein dürfen. Auch einfaches Weitersurfen gilt nicht als Einwilligung.

Die nun geplanten Neuregelungen finden sich in einem kürzlich geleakten Referentenentwurf mit dem etwas sperrigen Titel „Entwurf eines Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der elektronischen Kommunikation und bei Telemedien sowie zur Änderung des Telekommunikationsgesetzes, des Telemediengesetzes und weiterer Gesetze“. Es ist der Versuch einer Generalüberholung der deutschen Datenschutzgesetze für den Online- und Telekommunikationsbereich (, die weit mehr Aspekte als die in diesem Artikel beleuchtete Einwilligungsthematik berührt).

Grundsätzlich sollen Bestimmungen, die derzeit über die Datenschutzgrundverordnung (DSGVO), das Telemedien- sowie das Telekommunikationsgesetz hinweg verstreut sind, in einem neuen Gesetz zusammengeführt werden. Zudem setzt die Regierung bestimmte Vorgaben der seit 2002 geltenden ePrivacy-Richtlinie der EU in deutsches Recht um. Diese Richtlinie soll eigentlich seit Jahren überholt und zu einer Verordnung weiterentwickelt werden, die den heftig umstrittenen Bereich des Online-Trackings neu regelt. Da das Vorhaben unter dem massiven Lobby-Druck der vereinten Werbeindustrie aber seit Jahren stagniert, geht das Wirtschaftsministerium nun eigene Schritte.

Auf Konfrontationskurs mit der DSGVO

Am Freitag soll der Entwurf offiziell vorgestellt werden. Allerdings fehlt noch der Segen des Bundesministeriums für Justiz und Verbraucherschutz (BMJV), mit dem das Haus von Peter Altmaier (CDU) im Dauerstreit über das Thema Online-Tracking steht. Dass das BMJV, das in der Bundesregierung immer wieder eine Art heimliches Datenschutzministerium darstellt, dem Vorschlag in der vorliegenden Form zustimmt, darf bezweifelt werden.

Denn die Vorgaben der Gerichte zur Einwilligung in das Online-Tracking will das Wirtschaftsministerium nur scheinbar umsetzen: Im Gesetzentwurf heißt es nämlich nicht, dass eine wirksame Einwilligung dann vorliege, wenn sie den Vorgaben der Datenschutzgrundverordnung entspreche. Stattdessen soll es als Einwilligung gelten, wenn die Nutzer:innen über die Datennutzung informiert werden und sie „mittels einer Funktion diese Information aktiv bestätigen“.

Was nach einer echten Einwilligung klingt, würde in der Praxis heißen, dass Werbetreibende das Wegklicken eines Cookie-Banners als Erlaubnis zum Tracking ansehen dürfen – ein klarer Widerspruch zu den Vorgaben der DSGVO und des EuGH, die eine aktive Entscheidung der Betroffenen zur Voraussetzung machen.

Am einfachsten wäre es freilich, wenn Nutzer:innen diese Entscheidung nicht für jede Website einzeln treffen und sich pausenlos durch Cookie-Banner klicken müssten. Nachdem die Werbeindustrie den zu diesem Zweck entwickelten Browser-Standard Do Not Track (DNT) in den 2010er-Jahren zu Tode ignoriert hatte, wollte die EU genau diese Möglichkeit im Rahmen der geplanten ePrivacy-Verordnung verpflichtend machen. Das BMWi greift diesen viel diskutierten Ansatz zwar auf, handelt ihn aber lediglich in einem Satz ab.

Statt explizit festzuschreiben, dass auch die Ablehnung von Tracking durch DNT oder andere Browsereinstellungen als verbindlich anzusehen ist, will das Ministerium lediglich klarstellen, dass Nutzer:innen über ihren Browser in die Aufzeichnung ihres Online-Verhaltens einwilligen können. Das hätte zur Folge, dass diejenigen, die über ihre Browser-Einstellungen keinen Blanko-Scheck zum umfassenden Tracking geben wollen, weiterhin permanent in Form von Cookie-Bannern um Erlaubnis gebeten würden.

Undurchschaubare Geschäftsmodelle

Stattdessen bringt das Bundeswirtschaftsministerium einen anderen Ansatz ins Spiel, der die Verwaltung der Einwilligungen vereinfachen soll. Künftig sollen sogenannte Personal Information Management Systems (PIMS) als Vermittler zwischen Datenlieferant:innen und Datenverwerter:innen fungieren können. Dem Ansatz zufolge sollen Nutzer:innen dann verhältnismäßig bequem an einer Stelle festlegen, welchem Dienst sie welche Informationen geben.

Im Gespräch sind solche Modelle schon seit Jahren. So weist etwa der Bundesverband der Verbraucherzentralen in einem Positionspapier von Anfang 2020 darauf hin, dass es bei den „heute dominierenden Massengeschäften und der Komplexität der Technologie und der Geschäftsmodelle“ für Betroffene nahezu unmöglich sei, tatsächlich informierte Einwilligungen in die Verarbeitung ihrer personenbezogenen Daten zu treffen. PIMS bergen demzufolge zwar das Risiko einer weiteren Ökonomisierung persönlicher Daten, bei richtiger Ausgestaltung könnten sie aber eine Rolle spielen, den Datenschutz verbraucherfreundlicher zu gestalten.

Daran versucht sich nun der vorgeschlagene Ansatz. Demnach könnten Nutzer:innen künftig einen solchen Dienstleiter nutzen, um ihre personenbezogenen Daten zu verwalten, inklusive Verkehrs-, Standort- und Tracking-Daten. Die PIMS selbst sollen „kein wirtschaftliches Eigeninteresse an den im Auftrag der Endnutzer verwalteten Daten haben“, heißt es im Gesetz. Zudem müsste der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit den Anbieter zunächst untersuchen und ihm seinen Segen geben. Eine regelmäßige Überprüfung sieht der Entwurf derzeit nicht vor.

„Das Ziel ist aus unserer Sicht, die Souveränität der Nutzer zu steigern“, sagt Thomas Jarzombek. Der CDU-Abgeordnete hatte daran mitgewirkt, den PIMS-Ansatz in den Entwurf zu hieven. Heute würden viele Nutzer die Cookie-Banner einfach wegklicken, und es falle schwer, differenzierte Einwilligungen vorzunehmen. In einem Gutachten habe die Datenethikkommission dem Einsatz von PIMS großes Potenzial bescheinigt, genauso wie Verbraucherschützer grundsätzlich positive Signale gesendet hätten.

Genau diese Debatte um die Potenziale und Tücken des PIMS-Ansatzes ignoriert der Gesetzentwurf jedoch weitgehend, sodass selbst grundlegende Fragen weitgehend ungeklärt bleiben. Ob die Dienstleister die Daten zentral speichern oder nur die Einwilligungen der Nutzer:innen verwalten etwa. Oder ob sie dabei auch autonom im Sinne der Nutzer:innen handeln dürfen, wie es unter dem Begriff des „Datentreuhänders“ seit einiger Zeit diskutiert wird. Oder ob sie lediglich eine Benutzeroberfläche anbieten sollen, die den Nutzer:innen die direkte Steuerung erleichtert. In einem einzigen Paragraphen will das Wirtschaftministerium diese hochkomplexe Debatte abkürzen.

Fairerweise sei hinzugefügt, dass es sich um einen ersten Aufschlag handelt. Der Entwurf befinde sich nun in der Ressortabstimmung, betont Jarzombek, „und selbstverständlich sind wir in diesem Prozess immer auch aufgeschlossen für gute Argumente und Ideen“.

Schongang für die Werbeindustrie

Zur Rettung des Trackings hat das Wirtschaftministerium aber ohnehin noch eine weitere Idee: Werbetreibende sollen sich die Erlaubnis für website- und geräteübergreifendes Tracking künftig auch in Form eines Vertrages zusichern lassen können. Soll heißen: Womöglich wäre das Lesen so mancher Nachrichtenseite ohne Account künftig gar nicht mehr möglich, und das Erstellen eines Account könnte an die Erteilung einer freizügigen Tracking-Erlaubnis gekoppelt sein.

Dies könnte dann etwa fester Bestandteil der vertraglichen Bedingungen von Accounts bei Online-Medien werden, und zwar in beide Richtungen: Wer den Account einmal angelegt hat, könnte dem Tracking dann nur noch durch dessen Löschung widersprechen. In den Regeln der EU zum Thema Tracking sind vertragliche Regelungen als Rechtsgrundlage aus gutem Grund nicht vorgesehen.

Ein weiteres Indiz dafür, wo die Prioritäten des Wirtschaftsministeriums im Streit um das leidige Online-Tracking liegen, ist der vorgesehene Strafrahmen bei Verstößen. Der Entwurf bezieht sich hier auf die DSGVO, die bei den Sanktionen zwei Abstufungen vorsieht: Für gravierende Verstöße, etwa gegen die Grundsätze des Datenschutzes oder mangelnde Rechtsgrundlagen, sind Sanktionen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Umsatzes vorgesehen. Bei weniger gravierenden Vergehen wie der Missachtung von Dokumentationspflichten beträgt das maximale Bußgeld lediglich die Hälfte. Eigentlich würden die Verstöße gegen die Tracking-Regeln in die erstgenannte Kategorie fallen, weil sie sich auf Rechtsgrundlage für die Datenverarbeitung beziehen. Der Gesetzentwurf aber sieht vor, dass die Sanktion für die Werbeindustrie bei 10 Millionen Euro oder zwei Prozent des Umsatzes gedeckelt werden.

Alles in allem bleibt das Wirtschaftsministerium mit diesem Gesetzentwurf seiner Linie treu, aus falsch verstandener Standortpolitik die Interessen der Werbeindustrie – zu der in der Tracking-Frage auch die großen Presseverlage gehören – über die der Nutzer:innen zu stellen. Das sollte jedoch nicht als Selbstverständlichkeit hingenommen werden: Zum einen sind die Hauptprofiteure des Geschäfts mit der verhaltensbasierten Werbung immer noch Firmen, die ihre Gewinne hierzulande kaum versteuern. Zum anderen machen immer mehr Websites vor, dass Werbung auch ohne Tracking funktioniert – und sogar profitabler sein kann. Statt lebensverlängernder Maßnahmen für das Auslaufmodell bräuchte es den geförderten Übergang zu einer Werbewelt ohne kommerzielle Überwachung.