Unser jüngster Beitrag beschäftigt sich mit Google’s Ankündigung, in Zukunft keine Drittanbieter-Cookies und kein Tracking von Individuen zu ermöglichen. Was ändert sich dadurch für Händler, die zur Absatzförderung & Werbung Google-Angebote schalten möchten? Ist Werbung ohne Tracking die Zukunft unseres Internets? Bringt diese Herangehensweise das Gefüge im E-Commerce durcheinander?

1. E-Commerce Legal Update # 10

Die Geschäftstätigkeit von Händlern in Österreich besteht heutzutage nicht mehr nur im Anbieten eigener Produkte zum Kauf. Generell sowie besonders im Lichte der COVID-19-Pandemie hat sich der Produktabsatz noch stärker in den Online-Bereich verschoben. Dort wird über Plattformen (z. B. Amazon) oder einen eigenen Webshop versucht, einen möglichst breiten Kundenkreis für sich zu gewinnen – vielfach werden auch gleich mehrere Kanäle nebeneinander bespielt.

Die Vernetzung von Menschen untereinander über das Internet hat dabei völlig neue Strukturen geschaffen, die sich Händler und andere involvierte Parteien zunutze machen: das Schalten zielgerichteter, interessenbezogener Werbung. Dazu wird das Verhalten von Nutzern (zumeist: Verbrauchern) im Rahmen ihres Aufenthalts auf diversen Websites verfolgt (getrackt) und auf Basis der Ergebnisse werden Profile erstellt, welche Aufschluss über die effektivste Werbung geben, die man dem jeweiligen Individuum anzeigen kann.

Obgleich im Detail diverse Ausformungen von Werbepraktiken existieren, sind die Ansätze oftmals ähnlich. Werbetreibende kaufen Werbeschaltflächen ein, um dort ihre Produkte und Dienstleistungen zu bewerben, während sogenannte “Publisher” derartige Schaltflächen als Teil ihrer Geschäftstätigkeit zur Verfügung stellen. Für die tatsächliche Auslieferung der Werbung gibt es wieder eigene, zwischengeschaltete Dienstleister, welche mit dieser Aufgabe betraut werden können. Ein solches arbeitsteiliges Zusammenwirken hat sich in der Praxis bewährt.

Gleichermaßen hat es sich mittlerweile eingebürgert, notwendigen Informationen in diesem Zusammenhang über sogenannte “Cookies” zu generieren, deren Verwendung die großteils über Werbung finanzierte Google LLC (“Google“), die mittlerweile als Tochter der US-amerikanischen Holding-Gesellschaft Alphabet Inc. auftritt, den Kampf angesagt hat.

2. Kein Tracking von Individuen: Googles Proklamation

In einem Statement vom 3. März 2021 adressiert das eigentlich als Datenkrake bekannte Google einmal mehr seine Pläne für eine Zukunft ohne Drittanbieter-Cookies und Tracking von Individuen – damit wird eine Strategie weiterverfolgt, die sich bereits in der jüngeren Vergangenheit abgezeichnet hat. Man ist der Meinung, dass die typischerweise über Drittanbieter-Cookies gesammelte Flut an Daten individueller Nutzer nicht mehr dem Maß der Zeit entspricht: Einerseits erkenne man ein gesteigertes Bewusstsein von Nutzern, die sich durch die flächendeckende Verfolgung ihrer Online-Aktivitäten bedroht fühlen, andererseits würden sich auch die regulatorischen Vorgaben in diesem Bereich rasch entwickeln und dazu führen, dass eine Investition in die Weiterentwicklung der bestehenden Technologien nicht nachhaltig ist.

Cookies sind kleine Datensätze, die auf Endgeräten gespeichert werden und es unter anderem erlauben, Websites bzw. Angebote nutzerfreundlicher und attraktiver zu gestalten – kleine lokale Textdateien, welche dem jeweiligen Endgerät eine spezifische Identität aus Nummern und Buchstaben zuordnen. Sie werden zunächst von einem Webserver platziert und an diesen zurückgesendet, sobald eine neue Verbindung aufgebaut wird, um den Nutzer und seine Einstellungen wiederzuerkennen. Verschiedene Typen von Cookies weisen dabei unterschiedliche Funktionen auf; konkret geht es um sogenannte Tracking- bzw. Marketing-Cookies, welche eine zielgerichtete Verfolgung von Nutzeraktivitäten im Internet ermöglichen und gewöhnlich in Form sogenannter “Drittanbieter-Cookies” vorkommen. Diese stammen nicht von der aufgerufenen Website selbst, sondern werden von Dritten gesetzt – enthalten können sie bspw. Informationen über verschiedene Seitenaufrufe sowie deren Häufigkeit.

Zu beachten ist, dass Googles Proklamation zunächst explizit nur von Drittanbieter-Cookies spricht. Hinsichtlich des Trackings von Individuen sollen allerdings auch keine anderweitigen Technologien entwickelt oder genutzt werden. Obgleich Google seiner Browser-Software schwer die Unterstützung für Erstanbieter-Cookies entziehen kann – diese erfüllen zahlreiche wesentliche Funktionen abseits des Trackings – ist anzumerken, dass auch solche Cookies in gewissen Szenarien zur websiteübergreifenden Nutzerverfolgung verwendet werden können. Dies kann bspw. der Fall sein, wenn der auf einer Website aufhältige Nutzer auf einen dort eingeblendeten Werbelink klickt oder mit einer in die Website eingebundenen Schaltfläche interagiert.

Heutzutage wird der Begriff “Cookies” oft weiter gefasst und inkludiert Technologien, welche gleichartige Websitedaten erzeugen und auch rechtlich gleich zu bewerten sind. Im Gegensatz zu Cookies im engeren Sinn wäre die Verwendung des “Local Storage” bzw. “Session Storage” des Browsers bspw. eine schnellere und sicherere Methode, da Daten nicht automatisch bei jeder HTTP-Anfrage zum jeweiligen Server transferiert werden; außerdem sind jeweils bis zu 5 Megabyte Speichervolumen verfügbar, während ein einzelnes Cookie maximal 4096 Bytes betragen kann.

3. Kein Umdenken ohne Zukunftslösung: FLoC

Zunächst ist festzuhalten, dass auch Google sich nicht für ein Ende des Trackings einsetzt. Ändern soll sich lediglich die Art, wie Personen während ihres Aufenthalts im Internet verfolgt werden. Allgemein hat das Unternehmen bereits 2019 mit der Privacy-Sandbox-Initiative angekündigt, eine Reihe von Vorschlägen zu adaptieren, um den Chrome-Browser stärker auf den Schutz der Privatsphäre seiner Nutzer auszurichten. Dabei wird eng mit der Community zusammengearbeitet – für Diskussionen rund um die Entwicklung werden das World Wide Web Consortium (W3C) als Forum sowie Github als Plattform genutzt. Ein Aus für Drittanbieter-Cookies im Chrome-Browser ist für 2022 vorgesehen. Die Privacy Sandbox ist aber keine einzelne Lösung, sondern ein Bündel an Ideen, welche in diesem Jahr verstärkt getestet werden sollen. Diese fokussieren sich im Wesentlichen auf neuartige Konzepte für folgende Bereiche: (i) das Sammeln von Informationen zur Schaltung zielgerichteter Werbung; (ii) die Auslieferung der Werbeschaltungen; (iii) die Auswertung der Effektivität geschalteter Werbung; (iv) die Verbesserung des Schutzes der Privatsphäre der Nutzer.

Wie bereits angeschnitten, hat man im aktuellen Google-Statement vorrangig Bezug auf die Art genommen, wie Tracking und die Generierung von Informationen zur Anzeige personalisierter Werbung zukünftig funktionieren soll. Dazu wird im Rahmen der Privacy-Sandbox-Initiative das sogenannte Federated Learning of Cohorts (“FLoC“) als neuer Mechanismus vorgesehen. Die Bildung von Profilen individueller Nutzer soll dadurch unterbunden und durch generalisierte Profile ersetzt werden, denen eine größere Anzahl an Nutzern zugeordnet wird, ohne dass man auf Informationen im Detail angewiesen ist, welche eine Identifizierung der einzelnen Gruppen-Teilnehmer ermöglichen würden. Die als “Kohorten” bezeichneten Gruppen sollen durch die fortschrittliche Technologie mit zielgerichteter Werbung bespielt werden können, die ersten internen Tests zufolge fast genauso effektiv ist, wie die auf das einzelne Individuum zugeschnittene, klassische personalisierte Werbung (zumindest 95 % der Conversions von Cookie-basierter Werbung pro ausgegebenem USD).

Die Kohorten werden mittels maschineller Lernalgorithmen gebildet, welche auf den Websites basieren, die von individuellen Nutzern besucht werden (z. B. auf deren URLs, Inhalten oder anderen Faktoren); die so gesammelten Daten werden lokal am Endgerät des Nutzers behalten, während der Browser ausschließlich die zu einer bestimmten Gruppe getroffene Zuordnung überträgt – ggf. können in diesem Rahmen auch zusätzliche Anonymisierungsmethoden angewendet werden. FLoC-basierte Kohorten sollen dabei Größen von mehreren tausend Personen aufweisen und der Öffentlichkeit noch im März 2021 im Wege von “Origin Trials” zum Testen verfügbar gemacht werden – Tests im Rahmen von Google Ads für Werbetreibende sind für das 2. Quartal dieses Jahres vorgesehen.

4. Rechtliche Vorgaben für den Cookie-Einsatz innerhalb der EU

Während vielfach das hohe Datenschutzniveau der EU als Ursache für die Beschränkung von Tracking-Technologien genannt wird, ist nicht immer bekannt, dass die Vorgaben in diesem Bereich nicht von Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, “DSGVO“), sondern der im Recht der Mitgliedstaaten umgesetzten Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation, “ePrivacy-RL“) herrühren, deren Artikel 5 Absatz 3 eine Regelung für die Speicherung von oder den Zugriff auf Informationen im Endgerät des auf ein Angebot zugreifenden Nutzers trifft. Dabei ist die ePrivacy-RL grundsätzlich immer dann, wenn sie in Bezug auf eine Form der Datenverarbeitung konkretere Bestimmungen als die DSGVO enthält, als speziellere Regelung zu betrachten und geht dieser daher vor. Der Gerichtshof der Europäischen Union (“EuGH“) vertritt in seiner Entscheidung in der Rechtssache C-673/17 (Planet49) dabei die Ansicht, dass es für die Anwendbarkeit von Artikel 5 Absatz 3 ePrivacy-RL nicht auf einen Personenbezug verarbeiteter Informationen ankommt, da es um den Schutz der Privatsphäre des Individuums geht (die Bestimmung spricht schlicht von “Informationen”).

Eine generelle Ausnahme von der Einwilligungspflicht, welche Artikel 5 Absatz 3 ePrivacy-RL vorsieht, besteht nur für Cookies (oder andere erfasste Speichertechnologien), die unbedingt notwendig sind, damit ein Anbieter seinen Dienst erbringen kann (etwa zur Aufrechterhaltung der allgemeinen Funktionsfähigkeit einer Website), soweit dieser Dienst vom Nutzer ausdrücklich gewünscht wurde. Hier spricht man von notwendigen bzw. essentiellen Cookies, die in jedem Fall verwendet werden dürfen, da nicht auf ein ausdrückliches Verlangen des Nutzers abgestellt werden kann (diese müssen bereits gesetzt werden, bevor der Nutzer ggf. überhaupt weiß, ob er den entsprechenden Dienst wünscht). Darüber hinaus gibt es jedoch keine Differenzierung hinsichtlich der rechtlichen Anforderungen, insb. wird auch keine Unterscheidung zwischen Erstanbieter-Cookies und Drittanbieter-Cookies getroffen.

Da auch bei FLoC in der obengenannten Art mit dem Endgerät des Nutzers interagiert wird (mögen auch weniger bzw. keine persönlichen Informationen übertragen werden), ändert sich aus rechtlicher Sicht für Händler zunächst nichts. Auch der Einsatz dieser neuen Technologie wäre nach aktuellem Kenntnisstand einwilligungspflichtig. Aus Sicht der Rechtsfortentwicklung wäre es allerdings wünschenswert, hier im Wege einer Neuregulierung Ausnahmen für Technologien zu schaffen, welche den Ansatz verfolgen, die Nutzerverfolgung bzw. deren Detailgrad nach unten zu regulieren, und dies praktisch auch in der intendierten Weise bewerkstelligen können. Dies wäre etwa im Wege der seit Langem erwarteten “ePrivacy-Verordnung” möglich (derzeit steht hier allerdings sogar eine generelle Abschwächung des bisherigen Tracking-Schutzes im Raum).

Aus Sicht der DSGVO lässt sich im Weiteren allgemein ins Treffen führen, dass Artikel 25 DSGVO den sogenannten “Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen” normiert. Dadurch werden datenverarbeitende Verantwortliche dazu verpflichtet, ihre Produkte bereits unter Beachtung datenschutzrechtlicher Überlegungen zu entwickeln und grundsätzlich mit den datenschutzfreundlichsten Voreinstellungen auszuliefern. In diesem Sinn ist das FLoC-Projekt natürlich zu begrüßen; gleichwohl müssen Hersteller von Browser-Software unter anderem Drittanbieter-Cookies schon jetzt standardmäßig in den Einstellungen deaktivieren (soweit diese noch unterstützt werden), um ihre aus der DSGVO erwachsenden Pflichten möglichst vollständig einzuhalten.

5. Einordnung & Ausblick

Für Händler, die zur Absatzförderung bspw. Werbung unter Verwendung der diesbezüglichen Google-Angebote schalten möchten, wird sich praktisch nicht viel ändern. Google wird fertige Produkte liefern, die zu vergleichbaren Ergebnissen führen. Das Unternehmen wird durch diesen Vorstoß allein nicht selbst auf relevante Nutzerdaten verzichten müssen – schließlich ist man unter anderem Betreiber des Chrome-Browsers, der Google-Suche sowie der Android-Plattform, die jeweils große Teile des Marktes beherrschen und auch ohne Cookies diverse Daten sammeln. Im Endeffekt könnte man argumentieren, dass Google Cookies und ähnliche Technologien schlicht nicht mehr benötigt und sich durch deren Abschaffung in ein datenschutzfreundlicheres Licht rücken kann.

Auf der anderen Seite könnten Werbetreibende und Publisher zukünftig rechtliche Vereinfachungen im Online-Marketing erfahren, wenn die Entwicklungen zunehmend in die Richtung verlaufen, stärker auf anonymisierte Daten zu setzen – Google ist schließlich auch nicht der einzige “Big Player”, der auf einen verbesserten Schutz der Privatsphäre der Nutzer setzt (bspw. hat auch Apple bereits einige Schritte in diese Richtung unternommen). Auch für die Nutzer selbst ist das Ergebnis, dass über sie gesammelte Informationen weniger akribisch ausgewertet werden, eine positive Neuigkeit.

Schlechte Nachrichten könnten diese Vorstöße allerdings etwa für Facebook darstellen. Letzteres Unternehmen könnte sich nunmehr ebenfalls zum Handeln genötigt sehen, andernfalls es riskiert, datenschutzrechtlich noch unvorteilhafter dazustehen. Das Facebook-Geschäftsmodell baut ebenfalls stark auf personalisierter Werbung auf – vor Kurzem hat das Unternehmen ein Video veröffentlicht, das den gegenteiligen Ansatz verfolgt, und besonders die positiven Seiten personalisierter Werbung für kleine Unternehmen hervorgehoben.

Über STADLER VÖLKEL Rechtsanwälte

STADLER VÖLKEL ist eine auf E-Commerce, Markenrecht, digitale Transformation und neue Technologien spezialisierte Anwaltskanzlei. Die Kanzlei ist Pionierin in diesen Bereichen. Ihre Anwälte vertreten nicht nur vor nationalen, sondern auch EU-Gerichten und EU-Behörden und unterstützen Mandanten in nationalstaatlichen und unionsrechtlichen Fragen. Weitere Schwerpunkte der Kanzlei sind: Kapitalmarktrecht, Finanzierungen, E-Commerce und Datenschutz, Kryptowährungen, Zivilverfahren, Wettbewerbsrecht, E-Sport sowie Wetten, Gewinnspiele und Glücksspiel. (Quelle)