Datenschutzgrundverordnung (DSGVO). Möglichkeiten und rechtliche Rahmenbedingungen der Auswertung des Nutzerverhaltens von Kunden auf Webseiten

Inhalt

Abkürzungsverzeichnis

Abbildungsverzeichnis

1. Einleitung

2. Die Nutzungspotentiale und Funktionsweise von Web-Analytics

3. Darstellung der rechtlichen Rahmenbedingungen
3.1. Grundsätze der Datenverarbeitung und Rechte der betroffenen Person nach der DSGVO
3.2 Rechte der betroffenen Personen einer Datenverarbeitung
3.3 Verantwortlichkeiten, Pflichten, Folgen einer Rechtsverletzung und Beurteilung von Web-Analytics im Kontext der DSGVO
3.4 Bestimmungen des TMG und Ausblick

4. Schlussfolgerungen und Bezug zur Fallstudie

Quellenverzeichnis

Literaturverzeichnis

Internetquellen

Abkürzungsverzeichnis

Abbildung in dieser leseprobe nicht enthalten

Abbildungsverzeichnis

Abbildung 1: Einstellungen der Deutschen zu Datenschutz-Themen

1. Einleitung

Die vorliegende Arbeit hat das Ziel, die Möglichkeiten zur Auswertung des Nutzerver-haltens via Web-Analytics und deren rechtlichen Rahmenbedingungen darzustellen.Hierfür werden im zweiten Kapitel zunächst diese Möglichkeiten und die Funktions-weise der Web-Analytics aufgezeigt, bevor im dritten Kapitel die diese betreffendenVorschriften der DSGVO aufgezeigt werden. Zum Schluss der Arbeit wird ein Bezugzu der behandelten Fallstudie und dem Beispielunternehmen „Cosmetic Life AG“ ge-schaffen.

Die Thematik hat im Zuge der im Mai 2016 verabschiedeten und im Mai 2018 in Gel-tung getretene Datenschutzgrundverordnung der europäischen Union an Bedeutung ge-wonnen. Unternehmen, die durch Web-Analytics Kundendaten gewinnen möchten,müssen sich an strenge rechtliche Bedingungen halten, die durch die Digitalisierung inZukunft noch an Komplexität gewinnen werden. Schon in den 80ern wurde das Rechtauf informationelle Selbstbestimmung im sogenannten Volkszählungsurteil¹ vom Bun-desverfassungsgericht als Ausfluss des allgemeinen Persönlichkeitsrechts, Art. 2 GG, inVerbindung mit dem Recht auf Menschenwürde, Art. 1 GG, als Grundrecht anerkannt.² Spätestens ab diesem Zeitpunkt wurde der Datenschutz als ein Grundrecht in Deutsch-land betrachtet. Das Recht auf informationelle Selbstbestimmung ist dabei das Grund-recht, dass jegliche in dieser Arbeit vorgestellten Vorschriften zu schützen versuchen.

2. Die Nutzungspotentiale und Funktionsweise von Web-Analytics

Um eine stärkere Fokussierung auf die Zielgruppe zu ermöglichen, müssen Unterneh-men so viel Kenntnis wie möglich über ihre Kunden erlangen. Durch die Inflation derkommunikativen Maßnahmen sind Konsumenten einer zunehmenden Informationsüber-lastung durch Werbebotschaften ausgesetzt, weshalb diese so relevant wie möglich fürden Endverbraucher gestaltet werden müssen, damit diese überhaupt wahrgenommenwerden.³ Um ein dementsprechend effektiveres Targeting zu betreiben, können Unter-nehmen das Such- und Surfverhalten und Standortdaten ihrer Kunden auswerten. DieseDaten können mit weiteren Nutzerdaten kombiniert werden, um so beispielsweise Be-dürfnisprofile und spezifische Interessen des Kunden daraus abzuleiten, welche einerelevantere Gestaltung der Werbeaktivitäten ermöglichen kann. Durch die unter demBegriff „Web-Analytics“ subsumierbaren Methoden, die hierzu genutzt werden, lassensich folglich auch die Auswirkungen der unternehmenseigenen Online-Aktivitäten aufden Kundenstamm auswerten. Die Web-Analytics sind im wissenschaftlichen Kontextdem Teilbereich des Online-Marketings unterzuordnen. ⁴

Der Begriff Web-Analytics stammt aus dem Englischen soll im Folgenden als Sammlung und Analyse des digitalen Datenverkehrs durch den Einsatz von Analysetools seitens des Betreibers einer Webseite verstanden werden.⁵ Der Einsatz von Web-Analytics stellt beispielsweise folgende Fragestellungen in den Mittelpunkt:⁶

- Wie wirksam sind die auf anderen Plattformen geschalteten Online-Werbemittel,die auf die Webseite unseres Unternehmens verweisen?
- Wie viele Besucher hat unsere Webseite, wie häufig besuchen diese unsereWebseite, wie lange verweilen Sie und auf welchen Subpages⁷ springen die Be-nutzer unserer Webseite wieder ab?

Antworten auf die oben genannten Fragestellungen ermöglichen eine fortlaufende Op-timierung der Webseite eines Unternehmens. Die meisten Unternehmen verfolgen mitihren Webseiten konkrete Ziele, so soll der Kunde beispielsweise in Online-Shops Käu-fe tätigen oder sich für einen Newsletter anmelden. Diese Handlungen werden als Kon- version oder Conversion bezeichnet.⁸ Durch den Einsatz von Web-Analytics lässt sich die Customer Journey des Kunden auf der Internetpräsenz genau nachverfolgen, wodurch sich beispielsweise bestimmen lässt, wodurch oder an welchem Punkt der Kunde überzeugt wurde eine bestimmte Konversion durchzuführen.⁹ Die Erhebung von soziodemografischen Merkmalen und die Analyse privater Interessen von Kunden ist bereits seit Jahren gängige Praxis und ermöglicht den analysierenden Unternehmen einen besseren Einblick in das Leben der Kunden.¹⁰

Zur Analyse des Nutzerverhaltens werden Tools wie „Google Analytics“ oder „Mata-mo“¹¹ genutzt, die die gesammelten Daten analysieren und in Kennzahlen umwandeln.Die hierfür erforderlichen Daten können über zwei verschiedene Methoden gesammeltwerden: Server-basiert und Client-basiert. Bei der Server-basierten Sammlung werdendie sogenannten Logdateien der Webserver analysiert und ausgewertet. Client-basierteDaten werden z.B. über auf Webseiten integrierte 1-Pixel-Bilder¹² oder JavaScript¹³ -Tags bezogen, welche bei Abruf die benötigten Daten sammeln.¹⁴ Weiterhin könnenClient-basiert sogenannte „Cookies“ zum Einsatz kommen, die das Nutzerverhaltenverfolgen. Cookies sind kleine Code-Elemente die in Webseiten eingebaut werden, wel-che beim Aufruf der Seite auf das Endgerät des Aufrufenden geladen werden und denNutzer dadurch technisch identifizierbar machen.¹⁵ Cookies werden in First-Party undThird-Party-Cookies unterschieden. Während First-Party-Cookies von dem Server deraufgerufenen Webseite gesetzt werden, werden Third-Party-Cookies von dritter Seiteauf dem Gerät des Aufrufenden gepeichert. Wenn in eine Webseite ein Bild von eineranderen Domain eingebettet ist, so kann zum Beispiel der Server dieser Domain einenCookie auf dem aufrufenden Gerät setzen. Durch Third-Party-Cookies lässt sich dasSurfverhalten über verschiedene Webseiten und über die Grenzen von Servern und Do-mains hinaus verfolgen.¹⁶ Große Dienstleister wie die oben genannten Dienste GoogleAnalytics und Matamo nutzen sowohl First- und Third-Party-Cookies, als auch JavaScript-Tags¹⁷ und können so ein relativ genaues Bild der Besucher von Webseiten erzeugen. Die Nutzung solcher Tracking-Tools ist in der Praxis sehr verbreitet und die einfachste Möglichkeit um Nutzerdaten auszuwerten, weshalb der inhaltliche Fokus in dieser Arbeit auf diesen Tools liegen soll.

Neben dem Nutzungs- und Surfverhalten lässt sich auch der Standort von Besuchern einer Webseite mittels Geo-Targeting¹⁸ ermitteln und für eine gezieltere Ansprache des Kunden nutzbar machen. Besonders akkurat ist die Ortung mittels Funkzelle und GPSNutzung bei mobilen Endgeräten, bei klassischen stationären Geräten ist die Ortung mittels IP-Adresse etwas komplizierter und ungenauer.¹⁹ Dies ermöglicht beispielsweise die Schaltung geografisch differenzierter Werbung.

Die Erhebung von Nutzerdaten mittels der oben genannten Maßnahmen ermöglichtauch ein Web-Controlling. Um eine erfolgreiche Webseite zu betreiben, ist eine konkre-te Zielsetzung anhand von KPI’s für das Controlling unerlässlich. Gängige Kennzahlensind beispielsweise die Page Views, die Anzahl der Unique Visitors, die ConversionRate oder der Umsatz.²⁰

Neben den rechtlichen Rahmenbedingungen, die im nächsten Kapitel betrachtet werden, sollte nicht vergessen werden, dass die Sammlung von Daten und die damit einhergehende Entwicklung zum „gläsernen Kunden“ auch negative Imageeffekte mit sich ziehen kann. Wie Abbildung 1 zeigt fühlten sich im Jahr 2016 54% der Deutsche unwohl dabei ihre persönlichen Informationen im Internetweiterzugeben. 58% störtees, wenn ihr Userverhaltenverfolgt wurde. Wenngleichdie Akzeptanz im Vergleichzum Jahr 2013 gestiegenist, sollten diese Effektebeim Einsatz von Web-Analytics bedacht werden.

Abbildung 1: Einstellungen der Deutschen zu Datenschutz-Themen. Quelle: Ipsos (2017)

Abbildung in dieser leseprobe nicht enthalten

3. Darstellung der rechtlichen Rahmenbedingungen

Durch die am 25. Mai 2018 in Geltung getretene Datenschutzgrundverordnung der eu-ropäischen Union wurde eine Harmonisierung des europäischen Datenschutzrechts er-reicht, welche das in Artikel 8 der Europäischen Grundrechte-Charta zugesicherte Rechtauf Datenschutz für Bürger Europas sichern soll. Die Bestimmungen der DSGVO er-gänzen und erweitern die in der EU-Datenschutzrichtlinie („EU-DSLR“)²¹ definiertenGrundsätze zum Umgang mit personenbezogenen Daten. Soweit der Wortlaut derDSGVO und der EU-DSLR identisch bzw. funktional vergleichbar ist, können Überle-gungen und die Rechtsprechung zur alten Richtlinie analog zur Bewertung rechtlicherFragestellungen der neuen DSGVO herangezogen werden.²² Da sich jegliches Daten-schutzrecht mit dem Umgang mit personenbezogenen Daten beschäftigt, ist zunächsteine Definition des Begriffs erforderlich. Die europäische Kommission definiert perso-nenbezogene Daten wie folgt:

„Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oderidentifizierbare lebende Person beziehen. Verschiedene Teilinformationen, die gemein-sam zur Identifizierung einer bestimmten Person führen können, stellen ebenfalls perso-nenbezogene Daten dar. Personenbezogene Daten, die anonymisiert, verschlüsselt oderpseudonymisiert wurden, aber zur erneuten Identifizierung einer Person genutzt werden können, bleiben personenbezogene Daten und fallen in den Anwendungsbereich derDatenschutz-Grundverordnung.“²³

Beispiele für personenbezogene Daten sind Name und Vorname, eine IP-Adresse oderauch Standortdaten. Das mit der DSGVO geschaffene europäische Datenschutzrecht giltvorrangig vor den gesetzlichen Regelungen der einzelnen Mitgliedsländer der europäi-schen Union.²⁴ Die DSGVO ist dabei nicht abschließend ausgestaltet und lässt einengewissen Spielraum offen, den nationale Gesetze, in Deutschland sind dies das BDSG,das TMG und die Datenschutzgesetze der Länder, ergänzen können, um die Daten-schutzgesetze an nationale Besonderheiten anzupassen. Diese Regelungen unterstehendem Grundgesetz. ²⁵ Ein Personenbezug liegt bei der Nutzung von Web-Analytic-Toolsvor, weil die Dienste die Nutzer durch die Nutzung von Cookies wiedererkennen kön-nen.

3.1. Grundsätze der Datenverarbeitung und Rechte der betroffenen Person nach der DSGVO

Für die rechtmäßige Verarbeitung personenbezogener Daten ist zunächst die Einhaltung der Grundsätze der Datenverarbeitung nach Art. 5 DSGVO eine notwendige Bedingung. Der Betreiber einer Webseite ist für die Einhaltung der dort genannten Grundsätze Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit verantwortlich und unterliegt im Nachweisfall der Rechenschaftspflicht.²⁶ Die Verarbeitung muss nach Treu und Glauben erfolgen. Im Folgenden sollen diese Grundsätze zusammengefasst werden.

Rechtmäßigkeit der Verarbeitung: Personenbezogene Daten dürfen nur verarbeitetwerden, wenn mindestens einer der gesetzlichen Ermächtigungstatbestände des Art. 6Abs.1 DSGVO vorliegt, jegliche Erhebung oder Speicherung entgegen dieser Bedin-gungen ist verboten. Die Einwilligung des Betroffenen, auch „Opt-In“ genannt, ist dabeidie notwendige Bedingung, sofern kein Vertragsverhältnis i.S.d. Buchstaben b) denVerarbeitenden dazu berechtigt, oder eine gesonderte Bedingung gemäß den Buchsta-ben c) bis f) die Verarbeitung legitimiert. Die Einwilligung zur Datenverarbeitung sei-tens des Erklärenden muss freiwillig erfolgen, wobei dieser über alle Folgen seinerEinwilligung in klarer und einfacher Sprache aufgeklärt werden muss, sodass die Ein-willigung in informierter und unmissverständlicher Weise in einer Erklärung oder sons-tigen eindeutig bestätigenden Handlung erfolgt. Der Verantwortliche trägt dabei dieBeweislast für die Einwilligung.²⁷ Sie darf weiterhin nicht an vertragliche Zusatzleis-tungen gekoppelt sein. Dem Erklärenden bleibt das Widerrufsrecht vorbehalten. Da dieBundesrepublik Deutschland bislang die auf europäischer Ebene vereinbarte Alters-grenze übernommen und unverändert gelassen hat, gelten für Kinder, die das 16. Le-bensjahr noch nicht vollendet haben, gesonderte Bestimmungen gemäß Art. 8 DSGVO.Eine Verarbeitung besonders sensibler personenbezogener Daten i.S.d. Art 9 Abs. 1 istgrundsätzlich untersagt, es sei denn, es liegt ein Ausnahmetatbestand i.S.d. Absatzes 2vor. Wenn die erhobenen Daten keine Identifikation der betroffenen Person ermögli-chen, so sind deren Rechte gem. den Art. 15-20, die in Kapitel 3.2 näher erläutert wer-den, nicht verpflichtend zu gewähren. Dies muss jedoch nachgewiesen werden. ²⁸

[...]

¹ BVerfG v. 15.12.1983

² Vgl.: Bundeszentrale für politische Bildung (o.J.a)

³ Vgl.: Esch, F. (2014) S. 29

⁴ Vgl.: Kreutzer, R. T. (2016) S. 5

⁵ Vgl.: Lotz, P. (2016) S. 1 / Gründerszene (o.J.)

⁶ Vgl.: Kreutzer, R. T. (2014) S. 138

⁷ Anm. d. Autors: eine Subpage ist eine untergeordnete Seite einer Internetpräsenz. Eine Webseite setzt sich im Regelfall aus mehreren Subsites zusammen, welche die Seite bspw. in verschiedene Themenbereiche untergliedert.

⁸ Vgl.: Kreutzer, R. T. (2014) S. 140

⁹ Vgl.: Jacob, M. (2015) S. 70

¹⁰ Vgl.: Diestelberg, M. (2018)

¹¹ Anm. d. Autors: Ehemals auch bekannt als „Piwik“

¹² Anm. d. Autors: 1-Pixel-Bilder (oder „Zählpixel“) sind kleine Grafiken in E-Mails oder auf Webseiten. Betreiber einer Webseite können durch das Einbinden eines Zählpixels ohne Zugriff auf die Logdateien des Servers Informationen über die Besucher erhalten

¹³ Anm. d. Autors: JavaScript (kurz JS) ist eine Skriptsprache, die entwickelt wurde, um Benutzerinteraktionen im World Wide Web auszuwerten, Inhalte zu verändern, nachzuladen oder zu generieren und so die Möglichkeiten früher Darstellungsformen (wie HTML) von Internetinhalten zu erweitern.

¹⁴ Vgl.: Gründerszene (o.J.)

¹⁵ Vgl.: Lammenet, E. (2016) S. 59

¹⁶ Vgl.: Bliemeister, B. (2010) S. 10

¹⁷ Vgl.: Google Analytics (o.J.)

¹⁸ Anm. d. Autors: Beim Geo-Targeting wird der räumliche Aufenthaltsort eines Internet-Nutzers durch die Identifikation des Einwahlknotens in das Internet ermittelt.

¹⁹ Vgl.: Lotz, P. (2016) S. 7

²⁰ Vgl.: Gründerszene (o.J.)

²¹ 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995

²² Vgl.: Paal/Pauly/Frenzel in DS-GVO BDSG, Art. 5 DSGVO, Rn. 5

²³ Europäische Kommission (o.J.)

²⁴ Vgl. Bundeszentrale für politische Bildung (o.J.b)

²⁵ Vgl.: Bert, E. et al. (2016) S.102

²⁶ Vgl.: Art. 5 Datenschutzgrundverordnung - Verordnung Nr. 2016/679 des Europäischen Parlaments und Rates vom 27.4.2016. In Geltung seit dem 25.05.2018

²⁷ Vgl.: Art. 6 DSGVO i.V.m. Art 4. Nr. 11

²⁸ Vgl.: Art. 11 DSGVO