Das Ende von Google Analytics: Serverseitiges Tracking als Alternative zu Cookies & Co.

Mit Einführung der DSGVO sind die Analyse von Benutzerinteraktionen mit Webanwendungen und die damit einhergehenden Datenschutz-Probleme in den Fokus gerückt.

Klassische Analytics-Plattformen von Drittanbietern, etwa von Adobe, Google, IBM u.a., sind aufgrund verschiedener rechtlicher und technischer Umstände im Rahmen der DSGVO-Vorgaben nur mit Einschränkungen oder überhaupt nicht mehr einsetzbar. Speziell das Involvement von Drittparteien ist problematisch, da zum Teil sensible Nutzerdaten aus Sicht des Website-Besuchers ohne Not an irrelevante Unbeteiligte weitergegeben werden.

Vor Kurzem sorgte eine Meldung aus Österreich für Schlagzeilen, denn dort wurde Google Analytics als illegal deklariert. Wir haben den Verdacht, dass es nicht bei Österreich bleiben wird.

Analytics - ganz gleich, ob von Google oder anderen Anbietern - ist jedoch ein zentraler und teilweise auch kritischer Bestandteil fast aller webbasierter Anwendungsfälle, da sich eine Vielzahl von wichtiger Daten sammeln lassen – nicht nur, ob Produkte nachgefragt sind oder ob Werbemaßnahmen greifen, sondern auch ob es Interaktionsprobleme, Fehler oder Akzeptanzprobleme gibt.

Die Frage ist - gibt es Tracking-Möglichkeiten, die datenschutzkonform sind und trotzdem alle wichtigen Informationen liefern? Spoiler: Ja, gibt es. Aber fürs Verständnis, worauf es ankommt und welche Probleme zu umschiffen sind, werfen wir zunächst einen Blick auf rechtliche und technische Grundlagen.

Ausgangslage

Welche Trackingmethoden gibt es und welche Daten werden typischerweise erhoben?

Hinsichtlich des Trackings von Benutzern einer Webanwendung gibt es unterschiedliche Ansätze und Motivationen.

Webserver-Protokollierung zwecks Infrastruktur-Überwachung

Die grundlegendste und älteste Form des Trackings dient primär der Erhaltung der Funktionstüchtigkeit und der Sicherheit der Infrastruktur, auf dem die Webanwendung zur Verfügung gestellt wird – gemeinhin einfach als Webserver bezeichnet.

Webserver haben in der Regel Funktionen zur Protokollierung von Interaktionen, die bestimmte Datenpunkte beinhalten. Dazu gehören typischerweise folgende:

• IP-Adresse des Anschlusses, von dem aus eine Webanwendung aufgerufen wurde
• Welcher Browser und welches Betriebssystem vom Besucher genutzt wurde
• zu welcher Zeit eine Interaktion stattfand
• welche Website-Adressen/URLs aufgerufen wurden
• und ggf. ob es zu Fehlern beim Abruf der URL kam

Aus dieser überschaubaren Anzahl von Datenpunkten lassen sich schon einige Informationen auslesen und interpretieren:

• Anhand der IP-Adresse kann man zumindest grob ablesen, aus welcher Region ein Besucher stammt (Umkreis von einigen zig Kilometern).
• Angriffsabwehr wird ermöglicht, weil man angreifende Systeme anhand der IP-Adresse identifizieren und diese aussperren kann
• Wie lange sich ein Besucher ungefähr auf einer einzelnen Webseite oder der ganzen Website aufgehalten hat, außerdem wieviele und welche Seiten er aufgerufen hat, was wiederum grobe Rückschlüsse auf seine Interessen, seine Aufmerksamkeitsspanne und seine Zielsetzungen zulässt
• Ob es viele vergebliche Anfragen gibt (so genannte 404-Fehler), durch die man Rückschlüsse darauf ziehen kann, dass Nutzer die Existenz einer bestimmten Seite erwarten, diese aber gar nicht (mehr) vorhanden ist.
  • Beispiel: Aus einem Online-Shop wurde ein Produkt entfernt, und damit auch die Seite, auf der das Produkt bestellt werden konnte. Das Produkt bzw. die entsprechende Seite im Shop war auch bei Google oder in anderen Suchmaschinen gelistet.
    Im Protokoll des Webservers sieht man, dass immer noch viele Anfragen für dieses bereits entfernte Produkt kommen, diese Anfragen nur nicht mehr bedient werden können. Und daraus resultierend sollte man sich als Shop-Betreiber die Frage stellen, ob das Produkt nicht wieder eingeführt werden sollte oder ob man die Produktseite doch wieder zeigt, aber darauf Alternativen anbietet, anstatt die Nutzer ins Leere laufen zu lassen.
• Auch ein Fehler in der Webanwendung könnte dazu führen, dass wichtige, häufig frequentierte Seiten nicht mehr erreichbar sind, dieses Problem sollte auch erkannt und beseitigt werden.
• Bonus-Datenpunkt: Wie lange sich ein Besucher ungefähr auf einer einzelnen Webseite oder der ganzen Website aufgehalten hat, außerdem wie viele und welche Seiten er aufgerufen hat, was wiederum grobe Rückschlüsse auf seine Interessen, seine Aufmerksamkeitsspanne und seine Zielsetzungen zulässt

Anwendungsprotokolle zur Erkennung von Problemen und Fehlern innerhalb einer Website

Eine weitere, verbreitete Form der Protokollierung von Nutzerinteraktionen findet nicht im Rahmen des Webservers statt, sondern über entsprechende Funktionen der Webanwendung selbst. Das dient primär zur Erkennung von Problemen und Fehlern.

• Beispiel: Wenn etwa der Warenkorb in einem Online-Shop nicht richtig funktioniert, kann anwendungsseits dafür gesorgt werden, dass die Probleme protokolliert werden. Das kann bei der Identifikation und Lösung des Problems mit dem Warenkorb helfen, auch ggf. zur Kontaktaufnahme mit dem Kunden, bei dem der Warenkorb nicht funktionierte.

Solche Protokollfunktionen werden in der Regel von den Programmierern direkt in die Anwendung eingebaut.

Messen/Verstehen der Nutzerinteraktionen zum Zwecke der Optimierung einer Webanwendung

Nutzer interagieren sehr unterschiedlich und keineswegs immer erwartungskonform mit einer Webanwendung. Was ein Programmierer als plausible Mechanismen zur Bedienung eines Systems empfindet, ist oft meilenweit entfernt von dem, was ein Endanwender benötigt oder versteht.

Und das ist nicht nur eine Generationenfrage (die Großeltern gehen mit einer Website möglicherweise ziemlich sicher anders um als die Enkel), sondern beispielsweise auch eine Frage des genutzten Endgeräts, der individuellen Zielsetzung des Nutzers oder seines Erfahrungsschatzes.

Deshalb gibt es verschiedene Möglichkeiten zur Protokollierung, wie ein Websitebesucher konkret mit einer Anwendung interagiert – also wohin er seinen Mauszeiger bewegt, wohin er klickt, wohin er innerhalb des Browserfenster scrollt, welche Webseiten er nacheinander aufruft, wie lange für das Ausfüllen eines Formulars benötigt wird, und noch etliche andere Datenpunkte.

• Beispiel: Als Website-Betreiber könnte man mittels Tracking feststellen: Zwar fangen viele Leute an, ein längeres Formular auszufüllen (typische Beispiele: Online-Elterngeld-Antrag oder Antrag für Baufinanzierung), aber das Ausfüllen eines bestimmten Feldes dauert sehr lange oder die Nutzer brechen die Formularnutzung gar an einer bestimmten Stelle ab, ohne jemals Daten abzusenden. Das kann verschiedene Ursachen haben (Verständnisprobleme, Funktionsfehler, lahme Ladezeiten, Probleme mit einem bestimmten Browser…) und diese müssen herausgefunden und beseitigt werden. Sonst verfehlt die Webanwendung komplett ihr Ziel.

Messen/Verstehen von Nutzerinteraktionen zum Zwecke der Umsatzsteigerung

Ganz einfache Zielsetzung: In einem Online-Shop mehr verkaufen.

Wie bringt man Leute dazu, mehr zu kaufen? Da gibt es viele und sehr verschiedene Ansätze, wir nennen an dieser Stelle ein paar simple Beispiele:

• Split-Testing (auch A/B-Testing genannt): Ein Produktseite in einem Online-Shop, die in zwei Varianten existiert. Die Varianten bewerben zwar das gleiche Produkt, zeigen aber jeweils unterschiedliche Texte und grafische Aufmachungen. Diejenige Variante der Produktseite, die zu mehr Verkäufen führt, gewinnt.
• Es gibt eine Suchfunktion auf der Website, die von Nutzern für das Auffinden von Produkten verwendet wird. Hier lässt sich ermitteln, welche Suchworte besonders häufig eingesetzt werden, was wiederum zu Erkenntnissen hinsichtlich Sprachgebrauch, Suchmaschineneffizienz und Interessenlage führt.
• In einem Online-Shop gibt es eine Merkliste oder Wunschzettel-Funktion. Es lässt sich hierüber auswerten, ob ein bestimmtes Produkt gerade besonders angesagt ist.
• Es lässt sich ermitteln, zu welchen Zeiten sich welche Produkte besonders gut verkaufen, was wiederum dazu führen könnte, dass man bestimmte Produkte zu bestimmten Zeiten auf der Website besonders groß und prominent präsentiert.

Warum ist Tracking aus datenschutzrechtlicher Sicht problematisch?

Viele Erkenntnisse, die man aus Tracking-Funktionen ziehen kann, setzen voraus, dass das Verhalten eines Nutzers über einen längeren Zeitraum und idealerweise auch über mehrere Endgeräte hinweg protokolliert wird. Das wiederum gelingt nur zuverlässig, wenn man eindeutige Identifikationsmerkmale hat, die diese längerfristige „Verfolgung“ ermöglicht. Solche eindeutigen Identifikationsmerkmale sind beispielsweise

• IP-Adressen
• E-Mail-Adressen
• Telefonnummern
• Post-Adressen

Aus diesen Daten lassen sich theoretisch Rückschlüsse auf die Identität von Personen ziehen. Das ist problematisch, wenn nicht ein explizites, gut informiertes Einverständnis eingeholt wurde – u.a. liegt bei fehlendem Einverständnis sowohl eine Verletzung des Persönlichkeitsrechts als auch ein Verstoß gegen die Marktverhaltensregeln vor.

Unter welchen Voraussetzungen darf Tracking nach aktueller Rechtsauffassung stattfinden?

Tracking ist in der Praxis immer dann problematisch, wenn keine vollständige Anonymisierung der Daten stattfindet und sich anhand der erhobenen Daten Individuen identifizieren lassen – sofern dieses Individuum nicht sein explizites und gut informiertes Einverständnis gegeben hat.

Nun gibt es laut DSGVO das so genannte „berechtigte Interesse“ eines Website-Betreibers. Dieses ermöglicht unter bestimmten Voraussetzungen die Erhebung personenbezogener Daten. Zwei Beispiele, bei denen berechtigtes Interesse problemlos begründet werden kann:

• Vertragserfüllung: Jemand hat in einem Online-Shop was bestellt, also muss der Betreiber des Shops auch die benötigten Daten des Käufers verwenden dürfen, um seinen Teil des Vertrags zu erfüllen
• Zeitlich begrenzte Erhebung von IP-Adressen zum Zwecke der Absicherung der Webserver-Infrastruktur (Protokollierung und Gegenmaßnahmen bei „Cyberattacken“).
• Zwei Beispiele, bei denen berechtigtes Interesse bestenfalls fraglich ist:
  • Erhebung von personenbezogenen Daten für Marketing- bzw. werbliche Zwecke (PDF Seite 2), etwa für eine Profilbildung, die zu gezielter Aussteuerung von Werbeanzeigen führt.
    „Eingriffsintensivere Maßnahmen wie Profilbildung sprechen eher dafür, dass ein Interesse der betroffenen Person am Ausschluss der Datenverarbeitung überwiegt.“
• Markt- und Meinungsforschung

In jedem Fall – ungeachtet der Notwendigkeit für vorherige Zustimmung des Usertrackings – ist eine ausführliche Beschreibung des Erhebungszwecks und der Verwendung der Daten sowohl aus rechtlicher Sicht als auch im Sinne einer kundenfreundlichen Transparenz notwendig und sinnvoll.

Welche Probleme ergeben sich durch die rechtlichen Vorgaben für die Aussagekraft von Tracking-Maßnahmen?

Grundsätzlich ist davon auszugehen, dass nicht viele Endbenutzer, wenn man sie gut informiert, einfach so ihr Einverständnis fürs Tracking ihrer Interaktionen geben (siehe auch). Selbstverständlich kann man als Websitebetreiber versuchen, mittels Consent-Banner vom Endanwender ein „Ja zum Tracking“ abzuholen, aber in der großen Mehrzahl der Fälle wird man diese Zustimmung nicht erhalten. Stellt sich also die Frage, ob und wie man aus den Daten, die noch ohne Zustimmung eingesammelt werden können, sinnvolle Informationen generieren kann.

Einer der Schlüsselpunkte fürs Tracking ist die Notwendigkeit einer Identifikationsmöglichkeit – ein User muss während des Besuchs einer Website eine eindeutige ID erhalten. Sonst könnte man als Betreiber nicht nachverfolgen („tracken“), welche Wege auf der Website ein Besucher gegangen ist, für welche Produkte er sich interessiert hat, welche Funktionen genutzt wurden. Allerdings dürfen die Daten, die im Kontext dieser ID erhoben werden, bekanntermaßen nicht ohne Zustimmung Rückschlüsse auf ein Individuum ermöglichen.

Will heißen: IP-Adressen, E-Mail-Adressen oder sonstige personenbezogene Datenpunkte fallen als Identifikationsmerkmal weg. Auch ist eine genauere Standortbestimmung anhand der IP-Adresse nicht möglich, nur eine grobe.

Inhaltliche und technische Lösungsansätze

Gefragt sind also Analytics-Lösungen, die alle rechtlichen Bedingungen erfüllen, um das Verhalten von Usern sowie deren Ausstattungsmerkmale ohne vorheriges Einverständnis zu nachzuverfolgen.

Schlüsselfaktoren für ein rechtssicheres Tracking:

• Auswertung der Webserver-Logfiles zum Zwecke der Ermittlung relevanter Informationen, inklusive Anonymisierung (Wegfall des letzten Oktetts) der IP-Adressen
• Vergabe von anonymen User-IDs, die keinen Rückschluss auf Individuen zulassen (PHP-Session-ID)
• Datenhoheit liegt beim Betreiber des Web-Angebots, es werden keine Daten mit Dritten geteilt
• IPs werden nur kurzzeitig gespeichert (und nur zum Zwecke der Systemüberwachung). Über die erlaubte Speicherdauer gibt es nach wie vor keine Klarheit. Das bayerische Landesamt für Datenschutz empfiehlt 30 Tage, laut einem etwas älteren BGH-Urteil sind 7 Tage in Ordnung – im Zweifel muss für die Bestimmung der zulässigen Speicherdauer ein Rechtsbeistand mit aktueller Sachkenntnis hinzugezogen werden.
• Do-Not-Track-Einstellungen im Browser werden automatisch als Opt-Out/Widerruf berücksichtigt.
• Es wird in der Datenschutzerklärung klargestellt, dass ein anonymisiertes Tracking stattfindet

Möglichkeiten des Trackings und der statistischen Erhebungen

Was lässt sich also an relevanten Datenpunkte noch sinnvoll und risikolos erheben? Eine nicht erschöpfende Liste:

• Zumindest grobe Bestimmung der Herkunft (wenn die Nutzer keine Anonymisierungsfunktionen wie spezielle VPNs oder Proxy-Konstrukte nutzen)
• Gewünschte/Eingestellte Sprache (Anhand der Browserkonfiguration)
• Welche Seiten wann und in welcher Reihenfolge besucht wurden
• Welche Links/Schaltflächen/Funktionen/Formulare in der Webanwendung angeklickt/genutzt wurden, analog zum Eventtracking z.B. in Google Analytics
• Welche Seiten Einstiegs- und Ausstiegsseiten für eine Sitzung waren
• Analyse von Sales Funnels – ob sie funktionieren, welche Routen möglicherweise alternativ entstanden sind, wo Probleme entstehen könnten
• Auch Maustracking bzw Heatmaps sind möglich, sofern auch hier auf Anonymisierung geachtet wird

Raus aus der Drittanbieter-Falle

Sieht man mal von der Datenschutzproblematik rund um das transatlatische Datenschaufeln ab, bleibt immer noch ein Knackpunkt übrig - speziell, wenn es um die Nutzung von Drittanbieter-Services geht: Wann immer Daten an externe Parteien fließen, ist unserer Einschätzung nach stets das Einverständnis des Nutzers einzuholen - offensiv und informiert, will heißen: Für den User total abtörnend. Auf diese Weise wird man nie ein zumindest weitgehend vollständiges Bild erhalten von den Interaktionen der Nutzer mit der Anwendung, denn, wie weiter vorn im Beitrag schon erwähnt, wird ein signifikanter Anteil der Nutzer immer das Tracking ablehnen, wenn man ihm die Wahl lässt und dabei keine Dark Patterns anwendet.

Bleibt grundsätzlich eigentlich nur eine Lösung: Tracking-Maßnahmen dürfen sich nur im Rahmen der Infrastruktur und Datenhoheit des Anbieters der Webanwendung bewegen. Aus diesem Grund beschäftigt sich intercorp. schon seit längerer Zeit mit entsprechenden Lösungsansätzen - sowohl im Hinblick auf die Integration in CMS als auch in Form von Standalone-Plattformen für den universellen Einsatz.

Bei der Lösungsfindung spielen die Bedürfnisse unserer Kunden ein besondere Rolle. Wir haben es mit Unternehmen aus völlig unterschiedlichen Branchen und mit verschiedenen Zielsetzungen zu tun, individuellen Anforderungen und Budgets bezüglich der Erhebung von KPIs und UX-Akzeptanz und breit gestreuten Levels an Vorerfahrungen und Erwartungshaltungen. Fragen Sie uns - wir erarbeiten zusammen mit Ihnen ein Tracking-Toolset, das Ihnen alle relevanten Informationen liefert und dabei datenschutz-konform ist.

Schreiben Sie uns, rufen Sie an - wir freuen uns auf Feedback und Fragen.