Source: https://www.cyberpromote.de/blog/datenschutz-seo-sea-risiken-nebenwirkungen-7929/
Timestamp: 2020-06-05 21:42:26+00:00

Document:
Datenschutz & SEO / SEA - Risiken & Nebenwirkungen - cyberpromote
Es ist wie so oft: Kaum erscheint ein Urteil eines hohen Gerichts, bricht Panik aus. Veröffentlicht Google ein neues großes Update, bricht die bekannte „German Angst“ aus. Die Konsequenzen von gut gemeinten Datenschutz-Maßnahmen wie sogenannten Consent-Tools und Mega-Cookie Layern können gravierend sein. Und viele weitere Probleme lauern noch woanders, die kaum einer kennt.
Aktuell besteht Handlungsbedarf, aber jenseits dem Thema Cookie-Hinweis / -Layer! Google hat für Chrome im Februar 2020 seine Richtlinien für Cookies geändert, was nicht nur Auswirkungen auf Cookie-Hinweise hat!
Update 20. April 2020: Alle Cookie Banner, Layer und Consent-Tools sind rechtswidrig
Der Anwalt Dr. Bahr hat in einem Artikel in der Zeitschrift Website Boosting Ausgabe #61 auf eine Entscheidung der dänischen Datenschutzbehörde verwiesen. Dort wurde ein Cookie-Lösung als rechtswidrig erklärt, weil dem Nutzer nicht klar ist, wo welche Daten gespeichert werden und zu was der Nutzer im Details eigentlich zustimmt, sprich die notwendige Transparenz fehlt. Dies ist aber mit keiner Lösung am Markt möglich, daher, laut Dr. Bahr, sind alle Lösungen rechtswidrig.
Um sich vor Bußgeldern zu schützen, sollte man irgendeine Lösung implementieren, damit man zumindest argumentieren kann, man habe es zumindest versucht. Die gesetzlichen Anforderungen sind aber nicht erfüllbar. Somit ist zumindest auch ein einfaches Cookie-Banner ein Versuch, der Rechtslage gerecht zu werden. Er verweist auch darauf, dass etliche europäischen Datenschutzbehörden selbst rechtswidrige Lösungen einsetzen. Andere Anwälte sind der Auffassung, dass es eine rechtskonforme Lösung möglich wäre, ohne konkret zu sagen, wie denn diese aussehen müsste (siehe z.B. https://www.it-recht-kanzlei.de/daenische-datenschutzbehoerde-die-meisten-cookie-consent-banner-rechtswidrig.html). Tatsache ist aber, dass es wohl derzeit keine rechtskonforme Lösung am Markt gibt!
Für weitere Updates zu diesem Artikel und weiteren Themen rund um SEO, SEA und Usability abonnieren Sie bitte unseren Insider Newsletter.
Was Sie im folgenden Artikel lernen:
– Wieso hängen Datenschutz, SEO und Usability zusammen?
– Warum können Datenschutz-Implementierungen massive Rankingverluste in den Suchmaschinen zur Folge haben?
– Wie kann man ohne Cookies sinnvoll tracken?
– Welche wichtigen Änderungen gibt es im Februar 2020 mit Chrome Version 80?
– Warum gehen viele Maßnahmen bzgl. Datenschutz am eigentlichen Problem vorbei?
– Rechtsanwälte sind keine Technik-Experten, und SEOs sind keine Rechtsexperten. Was ist also zu tun?
– Es gibt keine einfache Lösung! Das Datenschutzproblem ist mit einem Cookie-Hinweis oder Layer in der Regel nicht gelöst!
Leider gibt es noch viele weitere Aspekte, die hier beleuchtet werden, die es leider auch komplex machen. Aber es ist wichtig, diese Punkte zu verstehen, um eine langfristig stabile und sichere Lösung zu finden. Erschreckend ist auch, dass es viele Fälle gibt, in denen die Datenschutz-Verantwortlichen von all dem keine Ahnung haben. Aber nur dann können sie Ihren Job richtig machen. Die rechtliche Sachlage zu kennen ist nur eine Seite der Medaille. Man muss auch die andere kennen, die hier detailliert (aber sicher nicht abschließend vollständig oder gar rechtssicher) dargestellt werden soll.
Keine überhasteten Aktionen, die evtl. nach hinten losgehen und massiv Daten und Umsatz kosten
Bzgl. den Änderungen für Chrome Version 80 besteht evtl. dringender Handlungsbedarf!
Nehmen Sie sich die Zeit und befassen Sie sich mit dem Thema (dieser Blog-Artikel soll dabei helfen)
Sie müssen die für den Datenschutz zuständigen, die Verantwortlichen und die für SEO/SEA/Usability zusammenbringen
Gehen Sie überlegt und systematisch vor und finden Sie eine optimale Lösung, die einen bestmöglichen Kompromiss bietet
Natürlich soll hier auch aufgezeigt werden: Wo sind Sie von außen leichter „angreifbar“ (sprich abmahnbar), und wo nicht?
Das Ende einer Online Marketing Ära
Das zumindest prognostizieren manche nach dem EuGH Urteil zum Thema aktiver Zustimmung zu Cookies. Anfang Dezember 2019 entschied die EU-Kommission aber auch, die E-Privacy Verordnung scheitern zu lassen, um einen ganz neuen Anfang zu wagen. Sie sollte das Cookie Problem eigentlich neu regeln. Oder das Thema E-Privacy Verordnung ist ganz vom Tisch. Es ist also unklar, ob es zu dem Thema von der EU überhaupt noch eine Regelung geben wird. Klar ist, dass das EuGH Urteil zu Cookies aufzeigt, dass Regelungsbedarf besteht. Neben denrechtlichen Rahmenbedingungen soll zunächst ein dramatisches Beispiel aufzeigen, warum es einen Zusammenhang zwischen Datenschutz und SEO, SEA und Usability gibt:
Request-Map mit implementiertem Consent-Tool
Die Grafik zeigt eine Mappe aller Anfragen, die an einen Server gehen für das Herunterladen aller Elemente einer Seite im Browser (Request-Map). Der blaue Kreis unten links mit dem gestrichelten Rand ist der Start, die Abfrage der URL, hier eine Domain. Drum rum sehen Sie Pfeile und Kreise, Aufrufe externe Ressourcen (Elemente wie Bilder, CSS-Dateien, Javascript-Dateien, weitere HTML Seiten). Die Größe der Kreise steht für die Dateigröße, rote Kreise sind Bilder.
Unten mittig orange hinterlegt sind die Aufrufe, die für den Download der Dateien von e-tracker erfolgen (Webanalytics Lösung). Es sind hier insgesamt 5 Elemente. Hellblau hinterlegt sehen Sie die Aufrufe die notwendig sind für ein Consent-Tool, also die Abfrage der Wünsche des Nutzers bezüglich seiner Präferenzen zu Cookies, welche er akzeptiert und welche nicht. Etwas, was nervt, keiner will, und trotzdem ist es da. Und man erkennt sofort etwas Gravierenderes!
Die Kreise zeigen auch, dass bestimmte Abrufe erst möglich sind, wenn einzelne Elemente heruntergeladen sind. Bei diesem Cookie-Layer sind nicht nur deutlich mehr Pfeile und Elemente vorhanden, sondern diese liegen gestaffelt hinter weiteren Kreisen. Und es sind deutlich mehr Elemente als die Seite selbst für die Darstellung im Browser benötigt! Der SpeedIndex, die Kennzahl von Google für die Ladezeit einer Webseite, steigt durch dieses Consent-Tool um mehr als das Dreifache! Die Absprungrate liegt bei der Website bei über 80%. Warum?
Weil dieser Cookie Layer sehr viel Zeit braucht, bis er lädt, und die Nutzer das nicht akzeptieren! Die Absprungrate hat sich also mehr als verdoppelt.
Doch jetzt müssen wir einen Schritt zurückgehen um zu verstehen, wie es dazu kommen konnte und was man tun muss, um das Problem zu beheben. Und wenn Anwälte hier gerne etwas beitragen möchten – ich bin kein Anwalt, die Informationen dienen der Aufklärung und stellen auch teilweise meine Meinung dar. Die hier ist keine Rechtsberatung, aber ich denke, Anwälte werden zustimmen, dass man diese komplexen Probleme nur zusammen lösen kann. Feedback ist jedenfalls erwünscht!
Der Google Analytics Skandal
Verurteilt wurde 2007 das Bundesjustizministerium, weil es auf seiner Website Google Analytics einsetzte und damit auch die IP-Adressen der Besucher erfasste. Man muss da unweigerlich schmunzeln, dass ausgerechnet das Bundesjustizministerium verurteilt wurde. Was passierte danach? Die Hamburger Datenschützer einigten sich 2011 mit Google auf ein Verfahren, so dass Google Analytics ab sofort IP-Adressen anonymisierte, wenn man es denn auch genau so implementierte. Denn IP-Adressen sind personenbezogene Daten. Man mag darüber streiten aber die Rechtslage ist da ziemlich eindeutig.
Was vielen Unternehmen nicht bewusst ist: Meistens ist Google Analytics oder auch jedes andere Tracking-System so implementiert, dass es IP Adressen anonymisiert. Doch in der Regel implementieren Agenturen bei Websites viele weitere Quellen wie Fonts von Google, Google Maps Karten, ein Youtube Video wird eingebettet, Bilder werden auf separate Domains abgelegt und von dort abgerufen (sogenannte CDN = Content Delivery Networks) oder man nutzt Cloud-Speicher wie Cloudflare – und beim Abruf aller dieser Daten wird die IP-Adresse des Besuchers ebenfalls übertragen oder man bettet Javascript Bibliotheken ganz selbstverständlich von anderen Domains ein.
Bei Google Analytics macht man so ein großes Tam-Tam und bei den anderen Sachen schaut man darüber hinweg? Rechtlich doch sehr bedenklich. Nebenbei sei bemerkt, dass die Anonymisierung der IP-Adresse nicht alle Probleme beseitigt. Google Analytics wie auch andere Tracking-Systeme können an vielen Stellen personalisierte Daten speichern. Aber was von außen betrachtet nicht offensichtlich ist, scheint wenige zu kümmern.
Und noch etwas: Die Prüfung, ob die Anonymisierung bei Google Analytics richtig implementiert wurde, wird nur stichprobenartig gemacht. genau genommen genügt es, wenn auf einer einzelnen Seite Ihrer Website die Anonymisierung fehlt, dann liegt schon ein Rechtsverstoß vor. Technisch ist es nicht so schwer, das herauszufinden. Die Datenschutzbehörden machen das und prüfen mittels einer eigens entwickelten Software komplette Websites, ob die Anonymisierung korrekt implementiert wurde. Daher sollten Sie dies auch tun, und eine systematische Überprüfung machen, was technisch nicht sehr aufwändig ist. Mit unserer Software Forecheck geht dies relativ einfach, wenn Sie nicht auf das neue gtag Element umgestellt haben. Dann kann man nur mit aktiviertem Javascript sehen, welcher Trackingcode sich tatsächlich in Ihrer Seite befindet. Dennoch ist eine systematische Prüfung möglich.
Bedenken Sie: In der Regel wird das Tracking über ein Plugin oder durch Einbindung in allen Templates umgesetzt. Aber gibt es evtl noch weitere Seiten? Spezielle Landing Pages oder dynamisch erstelle Seiten, die über andere Templates laufen? Hat man das wirklich mal systematisch durchdacht und geprüft?
Zudem besteht auch die Möglichkeit, Google Analytics komplett ohne Cookies zu betreiben. Hierzu werden derzeit bei uns Tests durchgeführt, um zu prüfen, wie gut die Datengenauigkeit dann noch ist. Möglicherweise besteht diese Möglichkeit auch bei anderen Trackingsystemen.
Die Europäische Cookie Richtlinie
Seit 2009 gilt Sie eigentlich schon, aber sie wurde nie in allen europäischen Ländern gleich übernommen. Deutschland ist einen eigenen Weg gegangen, doch 2011 verkündete man, die Richtlinie sei umgesetzt. Es sollte sich herausstellen, dass dem nicht so ist.
Die Cookie-Richtlinie gilt aber seit 2009 in den meisten anderen europäischen Ländern und besagt, dass die Speicherung und der Zugriff auf Daten im Endgerät des Teilnehmer nur mit dessen Zustimmung erfolgen darf. Sprich: Cookies nur mit aktivier Zustimmung. Ausgenommen hiervon sind technisch notwendige Daten, die für die Bereitstellung des Dienstes notwendig sind wie Session-Cookies.
Wie gesagt: Inm größten Teil der EU galt eine Opt-In Regelung, Deutschland hat im Telemediengesetz aber eine Opt-Out Regelung umgesetzt. Ein großer, entscheidender Unterschied. Doch diese Regelung hat 2019 der EuGH für nichtig erklärt. Dazu später mehr.
Safe Harbour? Von wegen!
2015 folgt der nächste große Hammer: Der EuGH erklärte das Safe Harbour Datenschutzabkommen mit den USA für nichtig! Dank Snowden ist allen bewusst, dass die Daten bei Facebook nicht sicher sind. Und die vielen Likes auf den Websites haben sich auch drastisch reduziert. Zwar gibt es jetzt das Privacy Shield Abkommen, aber ehrlich: Das Vertrauen ist weg und man darf sich fragen, ob das neue Abkommen auch rechtlich sicher ist.
Es wurde also nochmals bestätigt, dass man als Betreiber einer Website dafür verantwortlich ist, wohin welche Daten fließen. Hier ging es um Facebook, aber es gibt eine Fülle an Quellen, die man auf der eigenen Website nutzt. Erschreckend und amüsant ist die Tatsache, dass eine Privatperson das bilaterales Safe Harbour Abkommen zwischen Großmächten gekippt hat. Dabei hätte die Politik selbst schon gleich nach den Snowden Enthüllungen handeln müssen.
Privacy Shield – die Lösung?
Nachdem Safe Harbour unbrauchbar geworden ist, hat man ein neues Abkommen beschlossen. Alle großen Anbieter wie Google sind dem beigetreten – freiwillig. Es gibt keine Kontrolle, nur Vertrauen. Doch wie groß ist das Vertrauen? Das ist natürlich zerstört. Und die Vereinbarung wurde vor der DSGVO beschlossen. Und so ist es auch zu erwarten, dass dieses Abkommen keinen Bestand haben wird. Schon Mitte 2018 gab es Stimmen, und auch die EU will dieses Abkommen aussetzen. Seitdem herrscht Schweigen und die unrealistische Empfehlung, man solle bei einer Übertragung von personenbezogenen Daten ein Abkommen auf Basis europäischer Datenschutzrichtlinien vereinbaren, um sicher zu gehen. So ein Abkommen mit Google oder Facebook zu vereinbaren ist weltfremd. Vielleicht ist das in speziellen Fällen möglich und wichtig, aber im Kontext des Online-Marketing hilft es nicht.
Dass die Politik und die EU seitdem dazu schweigen, ist ein Armutszeugnis und zeigt, dass sich die Politik immer mehr in die Enge getrieben hat. Und die Unternehmen sollen zusehen, wie Sie es lösen.
Datenschutz, EuGH Urteil und gefühlte Hilflosigkeit bildhaft dargestellt
Sollte man den Zustand des Datenschutzes aus Sicht eines Unternehmens als Gefühl bildlich darstellen, ist das obige Kunstwerk sicherlich geeignet. Ob Sie den Felsbrocken als Symbol für die Politik sehen, liegt im Auge des Betrachters und Ihrer freien Interpretation.
DSGVO und e-Privacy Shield
Die DSGVO hat viele Dinge neu geregelt und die gleichzeitig geplante Veröffentlichung der e-Privacy Richtlinie lässt weiter auf sich warten oder kommt nie. Den Politikern dämmert langsam, dass ein Verbieten aller Tracking-Möglichkeiten wirtschaftliche Konsequenzen in Milliarden-Höhe hätte. Aber jeder kann auch die Seite der Datenschützer verstehen. Die Kraken Google, Facebook und Co hinterlassen ein „Gschmäckle“. Wie es aussieht, sind die Unternehmen mit dem ganzen Schlamassel erst mal allein gelassen. Unklar ist, ob der deutsche Sonderweg der Opt-Out Option für Cookies noch rechtens ist, oder nicht.
Der jüngste Akt ist das Urteil des Europäischen Gerichtshofs bzgl. der Speicherung von Cookies bei planet49. Kurz gesagt: Der BGH musste zu dem Fall urteilen und befragte den EuGH. Es ging um die Frage, ob Nutzer bei der Speicherung von Cookies aktiv zustimmen müssen. Wie der Artikel hinter dem Link ausführt, ist es dem BVDW nach noch unklar, was das Urteil genau sagen soll. Der BGH muss zunächst selber das Urteil sprechen und ob das Urteil vom EuGH in Deutschland tatsächlich eine Wirkung hat, ist umstritten, es gibt da auch Gegenstimmen. Ausgelegt wird es jedenfalls so, wie die ursprüngliche Cookie-Richtlinie besagt: Eine Zustimmung darf nicht durch ein bereits angeklicktes Kästchen erfolgen, sondern der Nutzer muss aktiv zustimmen und das Kästchen aktiv anklicken.
Jedem ist dabei klar, dass die meisten Nutzer das nicht tun werden. Jede andere Form, das zu umgehen könnte also Ärger bringen. Oder nicht?
Eines ist klar: Die angeblich rechtskonforme Umsetzung mit einem Consent-Tool mindert vielleicht die Gefahr und macht Anwälte und Datenschützer glücklich. Aber in den meisten Fällen ist das rechtliche Problem nicht gelöst, denn die Probleme lauern an vielen Stellen, aber dafür riskiert man schlechtere Platzierungen bei Google (organisch-SEO und auch bei Google Ads / SEA Maßnahmen!). Zudem lassen sich die SEO Maßnahmen nur noch bedingt sinnvoll messen und SEA Maßnahmen müssten mehr im Blindflug gesteuert werden, sprich: Es kostet massiv Geld und ist ein Wettbewerbsnachteil!
Cookies, Browser und die Sicherheit
Aktuell kommt noch hinzu, dass Chrome aus Sicherheitsgründen die Behandlung von Cookies ändert. Dies betrifft aber auch Skripte, die in der Regel für das Auslesen von Cookies verwendet werden. Sogenannte Cross-Site-Scripting Angriffe durch Javascript sind eine verbreitete Form von Angriff auf den Nutzer.
In dem Zusammenhang sollten Sie wissen, dass es schon länger den Standard „Content-Security-Policy“ gibt. Diese ermöglicht dem Betreiber einer Seite zu definieren, welche Skripte auf welche Daten Zugriff haben dürfen. Vor allem soll der Zugriff durch Skripte auf andere Quellen verhindert werden. Somit haben Sie eine Möglichkeit, Ihre Seite sicherer zu machen, denn Browser werden diese Anweisungen strikt befolgen, zum Beispiel nicht zulassen, dass ein Skript auf Ihrer Website auf Daten einer anderen Domain zugreifen darf oder auf welche dritten Domains als „sicher“ von Ihnen eingestuft werden.
Für Cookies gibt es die SameSite Option, die nun im Februar 2020 in Chrome scharf geschaltet wird. Dann nämlich können Cookies grundsätzlich nicht mehr unter einer anderen Domain angelegt werden. Es ist faktisch zunächst das Ende der klassischen Third Party Cookies! Darunter wird vor allem die Affiliate Branche schwer leiden. Allerdings hat die sich seit langem auch selbst das Grab geschaufelt (Meinung des Autors) durch unseriöse Methoden, an denen alle mitverdient haben.
Hier muss man erwähnen, dass beispielsweise die Firma Criteo mittels dubiosem CNAME Cloaking versucht, aus Third Party Cookies First Party Cookies zu machen, damit Adblocker nicht greifen und um die anstehende Änderung in Chrome zu überleben. Aber auch andere Anbieter wie Tradedoubler wissen, dass es um massive Änderungen und Verluste geht.
Folgendes Bild zeigt einen Fall, bei dem auf einem mobilen Gerät der Cookie-Hinweis unter amazon.de nicht angezeigt wird. Der Cookie-Hinweis ist vorhanden, aber der Nutzer sieht ihn nicht, da die erforderlichen Angaben fehlen. Amazon speichert die Daten offensichtlich unter www.amazon-adsystem.com ab, also nicht unter amazon.de. Chrome verhindert den Zugriff, da der Browser dies nicht als sicher einstuft.
Amazon Cookie Hinweis fehlt aus Sicherheitsgründen im Chrome Browser
Und viele Anbieter von Cookie-Hinweisen oder Consent-Tools laden Inhalte von dritten Domains. Haken Sie mal nach, ob man sich bereits mit dem Thema Content-Security-Policy und dem Thema „SameSite“ bei Cookies beschäftigt. Wenn ein Cookie-Hinweis fehlt oder nicht funktioniert, wird man vermutlich rechtlich keine Gnade walten lassen. Die Implementierung alleine ist nur ein Teil, es muss aber immer unter allen Umständen funktionieren (wir hatten das schon bei Google Analytics). Es reicht vermutlich, wenn es eine Konstellation gibt, unter denen Ihre Website das Recht nicht einhält.
In der Regel funktioniert ja die Darstellung des Cookie-Hinweises unter amazon.de, aber schauen Sie mal selbst, ob Sie den Cookie-Hinweis sehen. Am Rande sei noch erwähnt, dass es ja auch noch die Do-Not-Track Initiative gibt, die aber letztlich keine Wirkung entfaltet hat, da sich nicht alle daran halten. Sie ist gescheitert, so dass auch Apple diese Option aus seinen Browser wieder entfernt.
Das Ladezeit und Usability Problem
Zunächst schauen wir uns die möglichen SEO und SEA Auswirkungen an, um dann mögliche bessere Lösungen zu analysieren und um zu klären, was man eigentlich alles tun muss, damit man rechtskonform ist. Folgendes Bild zeigt ein klassisches Wasserfallmodell, welches das kostenlose Tool webpagetest.org liefert. Bevor Sie anfangen, Ihre Seite selbst dort zu testen, beachten Sie bitte:
Google misst und bewertet die Ladezeit in einer 3G Datenverbindung
Google simuliert ein Smartphone bei der Messung
Die Kästchen mit A-F oben sind nur gewichtete Ergebnisse einzelner Messpunkte
Neben dem SpeedIndex (SI) gibt es weitere wichtige Kennzahlen, die man bewerten und optimieren muss
Leider kommt es nicht selten vor, dass Nutzer zu schnell ein (oft falsche) Urteil fällen bei den Ergebnissen von webpagetest.org. Die Bedienung des Tools füllt einen eigenen Workshop, erst recht die Möglichkeiten, die unterschiedlichsten Möglichkeiten der Optimierung umzusetzen.
Wasserfallbericht von webpagetest.org
Hier wurde wie im ersten Bild ganz oben ein Consent Tool (Cookie Layer mit Auswahl der aktivierten Cookies) genutzt. Farblich hervorgehoben sind:
Resourcen von etracker in orange
Resourcen des Consent-Tools in hellblau
Man erkennt wieder deutlich, wie unglaublich viele Elemente und Daten dieses Consent Tool benötigt.
Die beiden Zahlen in den roten Kreisen markieren die beiden Punkte, an denen die Kennzahl des SpeedIndex (SI) von Google ermittelt wird. Der Wert ergibt sich zu etwa 5 Sekunden ohne Consent-Tool und zu 14 Sekunden mit Consent-Tool. Im folgenden Bild sehen Sie weitere Kennzahlen zu dieser Ladezeit-Analyse:
Webpagetest Ergebnisse: SpeedIndex liegt bei knapp 14 Sekunden
Die wichtige Kennzahl SpeedIndex (SI) ist hier mit 13,591 Sekunden ermittelt worden (1). Das ist schlicht ein sehr schlechter Wert. Google selbst bezeichnet alle Werte die über 2,5 Sekunden liegen als „langsam“.
Ein großes Problem sind die häufig eingesetzten Layer, die ein interagieren mit der Website unterbinden, solange der Nutzer nicht seine Wahl getroffen hat. Nutzer warten aber ungern. Die Aufmerksamkeitsspanne der Millenials liegt bei 2,8 Sekunden, und die nutzen bevorzugt Smartphones. Auch wenn die von älteren Menschen höher liegt, verschenken Sie keine Millisekunde durch Ladezeit!
Das Tool Lighthouse von Google ermittel ebenfalls detaillierte Berichte zur Ladezeit, einer davon ist „Time to interactive“. In diesem Fall dauert es 12,1 Sekunden, bis der Besucher mit der Seite interagieren kann:
Würden Sie 12 Sekunden warten, bis Sie mit der Seite interagieren können? Nein! Das ist auch ein Grund, warum fast alle Besucher die Seite wieder verlassen, weil Sie eben nicht diese Geduld haben.
Nebenbei: Wenn Ihre Website beispielsweise Bilder ansychron lädt, verbessert das den Speed index, aber Time to Interactive kann dann deutlich nach oben gehen, weil Bilder dann deutlich später geladen werden. Den SpeedIndex darf man nicht alleine betrachten, sondern muss sich alle Details ansehen.
Verzichten Sie gerne auf 15-50% oder mehr Ihres Umsatzes?
Nehmen Sie gerne ineffizientes Online Marketing in Kauf?
Verzichten Sie auf Analytics-Daten und wollen Sie im Dunkeln tappen?
Sicher nicht. Also was kann man tun? Zunächst müssen wir uns rechtlich dem Thema nähern, um zu Verstehen, was tatsächlich notwendig ist.
Die Erfassung von personenbezogenen Daten ist schon vor der DSGVO rechtlich problematisch gewesen. Dazu gehören zum Beispiel die IP-Adresse, die Email-Adresse, Name, Telefonnummer, Adresse, Kreditkartennummer, etc. Daneben gilt schon immer auch das Gebot der Datensparsamkeit / Datenvermeidung. Sie können nur das Erheben, was wirklich auch notwendig ist. Hier ein aktuelles Beispiel:
Bestellprozess bei Philips
Bestellt man Ersatzteile bei Philips, ist die Angabe der Telefonnummer im Bestellprozess ein Pflichtfeld. Wozu? Das kleine Ersatzteil für € 7,99.- wird sicher nicht per Spedition geliefert und eine telefonische Beratung für den Einbau kann man auch ausschließen. Die Erhebung ist hier klar nicht notwendig, den zur Erfüllung der Aufgabe ist sie nicht erforderlich.
Und wenn personenbezogene Daten erhoben werden, müssen diese verschlüsselt übertragen werden. Kontaktformulare müssen also auch schon vor der DSGVO verschlüsselt sein.
Was müssen Sie also tun? Sie müssen prüfen, wo evtl. bei Ihnen personenbezogene Daten erhoben werden und ob das notwendig ist, rechtmäßig und ob die Datenschutzhinweise dazu passen. Bezogen auf eine Website bedeutet dies beispielsweise:
Welche Daten werden erhoben? Wo werden diese gespeichert und wie lange?
In der Regel sind Kontaktformulare die Schnittstelle einer Website. Es können sich aber auch personenbezogene Daten in Ihr Tracking-System einschleichen. Der Klassiker ist hierbei die IP-Adresse. Das Verfahren zu Google Analytics ist bekannt und sollte vollständig umgesetzt sein. Aber in jedem Webanalytics System können sich viele verschiedene personenbezogene Daten einschleichen.
Wenn Sie ein Formular haben, könnten Sie den Inhalt in einer Variable speichern. Oder in der URL befindet sich eine Nutzer-ID, und diese IDs stehen dann auch in den Seitenaufrufen des Trackingsystem. Folgt man einem externen Link auf so einer Seite, würde die Nutzer-ID als Referer an Dritte übertragen werden! Oder Sie erfassen Felder eines Formulars in einer Datenbank.
Das betrifft jedes Webanalytics-System und es gibt eine Fülle an möglichen Daten, die vielleicht ohne Ihr Wissen gespeichert werden. Man muss sich also die Art der Erhebung beim Tracking ansehen und prüfen, ob personenbezogene Daten erhoben worden sind oder erhebbar sein könnten. Das ist kein leichtes Unterfangen, wird in der Regel aber auch nie gemacht. Klar, die Daten sind von außen nicht sichtbar, es ist also von außen schwerer zu beurteilen. Allerdings soll ja jedes Unternehmen einen Datenschutzbeauftragten haben und ich hab noch nie gehört, dass sich jemand mal die Daten im Webanalytics-System anschauen möchte.
Neben den typischen Analytics-Systemen gibt es auch Log-Files auf den Servern, die dann ebenfalls IP-Adressen, URLs und weitere personenbezogene Daten enthalten könnten. Wenn Sie jetzt schon ein ungutes Gefühl haben, ich kann nichts dafür, und es wird noch schlimmer.
Wohin fließt die IP-Adresse des Besuchers?
Bei jedem Aufruf einer Ressource (Bild, Datei, etc.) wird auch die IP-Adresse des Besuchers mitgesendet. Bei Google Analytics wird also ein erheblicher Aufwand betrieben, aber bei allem anderen nicht?
Wenn Sie Google Maps einbinden, wird an Google die IP-Adresse übertragen. Auch bei Einbindung eines Google Fonts oder eines Fonts aus einer anderen Quelle. Oder bei Einbettung eines Youtube- oder Vimeo-Videos, oder einem iFrame mit Inhalten einer anderen Website. Auch wenn Sie AMP (Accelerated Mobile Pages) Seiten einsetzen, sind diese nicht datenschutzkonform, da die AMP Seiten direkt von Google Servern geladen werden (IP-Adresse der Besucher geht an Google). Unabhängig davon ist auch die Frage, ob der von Ihnen vorhandene Cookie-Hinweis auch auf den AMP Seiten vorhanden ist (wird nicht selten vergessen). Und ob es dann auf den AMP-Seiten richtig funktioniert. Unabhängig davon sei an dieser Stelle darauf verwiesen, dass bei AMP Seiten auch ein Link zur Datenschutzerklärung und zum Impressum vorhanden sein muss, sonst könnte man das auch abmahnen.
Genau genommen müssen Sie nicht nur systematisch prüfen, ob die Anonymisierung bei Google Analytics in wirklich allen Dateien implementiert ist (wenn Sie Google Analytics einsetzen), sondern auch alle externen URLs in Ihrer Website auswerten! Mit unserer Software Forecheck sieht das wie folgt aus.
Externen Seiten von Bild.de mit Forecheck ermittelt
Im Bild sehen Sie einen Ausschnitt von externen Seiten unter bild.de. Links zu externen Seiten sind dabei kein Problem oder Links zu anderen Subdomains der eigenen Domain. Aber eingebettete Seiten schon. Und da wird es schon schwierig. Die URLs zu dy.adserve.io sind vermutlich eingebettete Werbeformate, die URL zu Google Plus könnte auch etwas eingebettetes sein (auch da es Google Plus nicht mehr gibt, sollte man das ganz entfernen). In dieser Analyse zu Bild.de sind es mehr als 7.300 externe Seiten. Natürlich muss man diese nur nach Domains auswerten und kann das systematisch eingrenzen, aber hier steckt schon etwas Arbeit drin.
Externen Bilder von Bild.de mit Forecheck ermittelt
In der Analyse für externe Bilder sind es über 3.000 (und es ist nur eine vergleichsweise kurze Analyse von Bild.de). Hier tauchen externe Cloud-Speicher wie Akamai und Cloudfront auf. Sprich die IP-Adresse der Nutzer wandert auch dorthin. Ist das datenschutztechnisch geklärt?
Externe Skripte von Bild.de mit Forecheck ermittelt
Als letztes Beispiel externe Skripte. Man erkennt hier schon eine Menge an externen Skripten, die vielleicht zu klären sind. Natürlich müsste man alle anderen externen URLs auch prüfen (z.B. eingebundene reCaptcha, PDFs, Videos, etc.) aber ich denke es wird klar, dass es an vielen Stellen ungelöste Probleme geben kann.
Ein Blick ins europäische Ausland
Die Cookie-Richtlinie der EU ist ja nun in den meisten europäischen Ländern schon länger gültig und wurde auch so in nationalen Gesetzen umgesetzt. Was tut sich denn in diesen Ländern, nachdem die rechtlichen Rahmenbedingungen schon so viele Jahre gelten?
Ob zalando.fr, asos.co.uk oder www.esselungaacasa.it, es ist auch dort weit verbreitet, dass es die bekannten Cookie Banner gibt mit der Opt-Out Funktion.
Seltsam, dass anscheinend im EU-Ausland der Datenschutz nicht so ernst genommen wird? Oder sind wir Deutschen einfach eine Ausnahme, da wir zum einen zu übertriebener Sorge und Hektik neigen, oder weil wir sehr aktive Anwälte, Datenschützer und Verbraucherschützer haben? Ist die Frage nicht berechtigt, ob man in verschiedenen Ländern das Recht unterschiedlich durchsetzt?
Doch auch in Blick in Deutschland zeigt: Ob otto.de, amazon.de, facebook.de, google.de oder alle anderen großen Anbieter und Shops (wir haben mal die größten im deutschen Markt angeschaut): Bisher tut sich dort nichts. Der übliche Cookie-Hinweis ist dort zu sehen. Bei 1&1 hat man ein „kreatives“ Beispiel implementiert, das aber auch nicht rechtlich in Ordnung ist.
Cookie Layer bei 1&1 – kreativ aber rechtssicher?
Das EuGH Urteil besagt, dass der Nutzer die Cookies, die nicht notwendig sind aktiv zustimmen muss. Das Feld darf nicht bereits ausgewählt sein. Hier verbergen sich die Cookies zu Statistiken hinter dem Punkt „Komfort“, welches einen schmunzeln lässt. Es mag Cookies geben, die einen Komfort darstellen, zum Beispiel, wenn ausgefüllte Felder in einem Formular in einem Cookie gespeichert werden, damit man bei einem Problem nicht immer alle Felder neu befüllen muss (hier lauert übrigens auch eine Gefahr, dass personenbezogene Daten gespeichert werden und man kann die Frage stellen, ob das „notwendig“ ist). Komfort ist es eher für den Betreiber, hier 1&1, aber die Erfassung von Statistiken empfindet sicher kein Nutzer als „Komfort“. Man könnte unterstellen, dass jemand, der das überprüft, vielleicht nicht genau hinsieht, aber der Cookie-Layer klärt darüber auf, dass hier auch Statistiken gemeint sind, sprich ein Webanalytics-Systeme wie Google Analytics.
Dass aber die meisten großen Websites noch den bekannten Cookie-Hinweis haben, sollte zumindest etwas beruhigen. Es kann sein, dass die Unternehmen daran arbeiten, es kann sein, dass sie auf das Urteil des BGH warten (der muss nämlich das EuGH Urteil erst mal übernehmen und dann sein Urteil verkünden).
Interessant hierbei noch die Anmerkung: Der BGH hat den Fall von planet49 dem EuGH vorgelegt, weil planet49 explizit vom Besucher die Zustimmung zu den Cookies haben wollte (und in dem Fall waren es 21 Cookies von verschiedenen Werbenetzwerken). Somit besagt das Urteil nicht, ob man zwingend eine Zustimmung einholen muss, sondern nur wie diese aussehen muss, wenn man eine solche implementiert. So zumindest argumentiert das Magazin t3n.
Es kursieren Informationen, dass sich Behörden bereits auf erste Strafen bei Verstößen vorbereiten und diese auch aussprechen wollen. Die Rechtslage ist aber je nachdem, was man liest, nicht wirklich völlig eindeutig. Und wenn sich jemand Gedanken machen muss, dürfte das sehr offensichtliche Verstöße sein, oder aber einer der großen Anbieter. Jeser weiß doch, dass Google, Facebook und Amazon im Online-Marketing sehr stark mitmischen. Wäre es sinnvoll, erste Bußgelder gegen ein kleines Unternehmen oder einen Mittelständler auszusprechen?
Die großen Anbieter werden wissen, dass man sich auf einen Prozess einlassen kann, der dann klärt, was Sache ist. oder man wartet ab, was der BGH sagt und ob das Urteil dann auch mehr Klarheit bringt. Zudem vermuten manche, dass der Gesetzgeber das Telemediengesetz anpassen wird, und dort vermutlich ein Opt-In für nicht erforderliche Cookies Einzug nehmen wird.
Braucht man Cookies noch?
Das EuGH Urteil bezog sich auf Cookies, auf die man auch verzichten kann. Andere Techniken wie Fingerprint-Verfahren, Server-Side Cookies (fallen die auch unter das Urteil?) funktionieren. Man kann Google Analytics ohne Cookies einsetzen, wenn klar ist, was das in der Praxis genau bedeutet. Hier führen wir selber Tests durch, um diese Lösung zu prüfen.
Das Ende des Affiliate Marketings!?
AWin hat das bevorstehende Ende durchaus selbstkritisch bereits im März 2019 angekündigt und auch bei Tradedoubler weiss man von den kommenden massiven Einbußen. Aber es lässt sich auch am Aktienkurs von Tradedoubler ablesen, der am Boden liegt. Die Firma Criteo versucht mittels dubiosem CNAME Cloaking, aus Third Party Cookies First Party Cookies zu machen, damit Adblocker nicht greifen und um die anstehende Änderung in Chrome zu überleben.
Wer noch Affiliate Marketing oder Remarketing jenseits von Google oder Facebook betreibt, sollte spätestens jetzt alles auf den Prüfstand stellen. Mit geringem Aufwand kann man den (in der Regel sehr geringen oder nicht vorhandenen Nutzen) erkennen und Schlüsse ziehen. Das Thema Cookie Dropping wird sich deutlich reduzieren, vor allem über Gutscheinportale bei Shops. Um Nutzer im Bestellprozess nicht zu verlieren, sollte man dennoch sehr genau darauf achten, wie und wo man Gutscheinfelder im Bestellprozess platziert.
In einem Projekt haben wir bei einem Shop untersucht, wie viele Nutzer den Bestellprozess verlassen auf Grund eines Gutscheinfeldes. Fatal ist es, wenn die Conversionrate derer, die den Shop verlassen und nach einem Gutschein suchen, geringer ist als die Conversionrate von den Nutzern, die den Bestellprozess nicht verlassen. Zudem haben wir festgestellt, dass die Zahl derer, die den Bestellprozess verlassen sinkt, wenn man es an anderer Stelle platziert, etwas stärker versteckt oder gar ganz ausblendet. Shop-Betreiber sollten sehr genau darauf achten, wie man ein Gutscheinfeld platziert.
Diese Analyse zeigt aber auch, dass die Affiliates, die über Gutscheinportale Geld verdienen, den Merchants eigentlich mehr schaden als nutzen. Und das ist, neben den immer wieder kehrenden Affiliate Skandalen, eines der Hauptprobleme der Branche.
Basket-Freeze und Cookie-Weichen, die mehrfache Provisionierungen verhindern, werden wohl auch bald nicht mehr benötigt. Eigentlich eine gute Nachricht. Direkte Affiliate-Links, die ohne Third Party Cookies auskommen wie das Amazon Partnerprogramm werden noch funktionieren. Aber das große Spielfeld des Affiliate Marketings neigt sich dem Ende zu, daher sollte man selbst schon den Stecker ziehen, bevor die Kräfte am Markt noch letzte Schlupflöcher finden.
Die Zukunft von Partnerprogrammen, also einer Zusammenarbeit auf Augenhöhe mit Win-Win Situation, wird es auch weiter geben. Aber die großen Einnahmequellen über Gutscheine und Cashback werden mittelfristig keine große Rolle mehr spielen, zumindest nicht in der Form, wie es viele Jahre in der Affiliate-Branche üblich war.
Shop Betreiber sollten in den Zahlen genau prüfen, wie man Gutscheinfelder platzieren sollte. Dies hat deutlich mehr Auswirkungen, als man denkt.
Der Artikel soll aufklären, dass es nicht um einen Cookie-Hinweis oder Cookie-Layer geht. Es gibt eine Fülle an Fragen, selbst wenn die Rechtslage bald schon geklärt wird, in welcher Form auch immer. Allerdings muss man auch sagen, dass es nach dem Kippen des Safe Harbour Abkommens auch keine Bußgeld-Welle gab. Allerdings war die Situation damals ein bisschen anders, schließlich hat Deutschland die Cookie-Richtlinie bewusst anders in deutsches Gesetz umgesetzt.
Klar ist auch: Wenn Sie Cookies für Webanalytics wirklich aktiv um Zustimmung bitten, werden Ihre Daten in Google Analytics wertlos! In den Fällen, die wir kennen sind die Zahlen auf grob 5-15% abgefallen. Damit werden diese mehr oder weniger wertlos. Man kann gff. noch grob Tendenzen erkennen, aber es wäre ein Online Marketing im Blindflug. Wer auf Remarketing ganz verzichtet, wird auch Umsatzeinbußen hinnehmen müssen. Die Frage ist auch, was mit Kampagnen ist, die komplett auf künstlicher Intelligenz basieren. Sind diese auch betroffen? Sie werden sicherlich Profile erstellen, Benutzer verfolgen, usw.
Zudem gibt es ausreichend viele Websites auch von größeren Unternehmen, die gar keinen Cookie-Hinweis haben, aber Cookies einsetzen. Ob sich dadurch das eigene Risiko mindert, ist allerdings auch unklar.
Uns liegt das Thema am Herzen, damit Sie erfolgreicher sein können. Wenn Sie zu dem Thema alle Updates erhalten möchten, abonnieren Sie unseren Insider Newsletter, damit wir Sie auf dem Laufenden halten können, beispielsweise ob Google Analytics ohne Cookies git funktioniert und wie eine Checkliste aussehen könnte, wenn man alle genannten Punkte systematisch abarbeiten möchte.
Film „Do not track“ von Arte / BR aus 2015. Nicht mehr aktuell, aber dennoch interessant, eine Online Dokumentation zu dem Thema.
BVDW Whitepaper: Browsercookies und alternative Tracking-Technologien

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 BGH 
 BGH 
 EuGH 
 EuGH 
 BGH 
 EuGH 
 BGH 
 EuGH 
 BGH 
 EuGH