Tracking: Tracking-Tools in Onlineauftritten
Inhalt
- Welche datenschutzrechtlichen Pflichten gelten für Schweizer KMU beim Einsatz von Tracking-Tools?
- Tracking: Chancen und blinde Flecken
- First-Party vs. Third-Party Cookies: Eine wichtige Unterscheidung
- Typische Fehler aus der Praxis
- Was droht bei Verstössen?
- Den eigenen Tool-Einsatz kritisch hinterfragen
- FAQ: Tracking
KURZ ZUSAMMENGEFASST
Der Einsatz von Tracking-Tools auf Webseiten unterliegt strengen datenschutzrechtlichen Vorgaben nach dem Schweizer Datenschutzgesetz (DSG). Unternehmen müssen Personendaten rechtmässig bearbeiten, Nutzer transparent informieren und bei Auslandsübermittlungen zusätzliche Garantien schaffen. Ohne diese Massnahmen drohen erhebliche Sanktionen.
Die wichtigsten Punkte:
- Tracking-Tools bearbeiten regelmässig Personendaten wie IP-Adressen und Cookie-IDs.
- Eine aktive Einwilligung über ein Consent-Management-System ist in der Regel erforderlich.
- Mit externen Tool-Anbietern muss zwingend ein Auftragsbearbeitungsvertrag abgeschlossen werden.
- Die Datenschutzerklärung muss alle eingesetzten Tools namentlich auflisten und erläutern.
- Bei Datenübermittlung ins Ausland sind Standardvertragsklauseln oder Zertifizierungen nötig.
Marco S. Meier
Marco S. Meier, RA, MLaw, CIPP/E, Informatiker EFZ, ist Partner bei Binder Rechtsanwälte KLG. Er berät und vertritt nationale und internationale Klienten in sämtlichen Bereichen des IT-, Technologie-, Datenschutz-, Cyber-Security- und Immaterialgüterrechts sowie in technologiebezogenen Compliance-Fragen, wie beispielsweise dem Einsatz oder der Entwicklung von künstlicher Intelligenz (KI). Zudem ist er versiert in Software- und Lizenzfragen sowie Technologie- und Outsourcing-Projekten in diversen Branchen. Die Beilegung von Streitigkeiten im ICT-Bereich sowie die Beratung bezüglich digitaler Marketingaktivitäten und IT/IP M&A-Transaktionen sind weitere Schwerpunkte seiner Tätigkeit.
Welche datenschutzrechtlichen Pflichten gelten für Schweizer KMU beim Einsatz von Tracking-Tools?
Tracking: Chancen und blinde Flecken
Die Digitalisierung des Marketings hat dazu geführt, dass selbst kleinere Unternehmen heute routinemässig Tools einsetzen, die das Verhalten ihrer Websitebesucher systematisch erfassen und analysieren. Klickpfade werden verfolgt, Conversions gemessen, Zielgruppen für Social-Media-Anzeigen definiert.
Was viele Unternehmen jedoch nicht wissen, ist, dass beim Tracking regelmässig Personendaten (z.B. IP-Adressen etc.) bearbeitet werden. Das führt dazu, dass das Schweizer Datenschutzgesetz («DSG») Anwendung findet, was unter anderem eine Informationspflicht auslöst und dazu führt, dass mit den Tool-Anbietern datenschutzrechtliche Verträge abgeschlossen werden müssen (vgl. dazu sogleich).
Hinzu kommt, dass sich Unternehmenswebseiten häufig nicht auf die Schweiz beschränken, sondern sich auch auf andere Länder, insbesondere die Mitgliedstaaten der EU, ausrichten (z.B. durch eine Sprachauswahl oder das Angebot weiterer Währungen). Für diese gilt neben dem DSG meist auch ausländisches Datenschutzrecht (wie z.B. die EU-Datenschutz-Grundverordnung («DSGVO»)). Das macht den rechtlich sauberen Einsatz von Tracking-Tools normalerweise komplexer. Diesen Aspekt sollten Schweizer Unternehmen, die beispielsweise Kunden oder Nutzer aus der EU ansprechen, nicht ausblenden.
First-Party vs. Third-Party Cookies: Eine wichtige Unterscheidung
Tracking-Tools werden auf Webseiten häufig über Cookies eingebunden. Daher lohnt sich ein kurzer Blick auf die technischen Grundlagen und die Unterscheidung zwischen First-Party Cookies und Third-Party Cookies:
- First-Party Cookies werden direkt vom Betreiber der Webseite auf dem Endgerät des Nutzers gesetzt. Sie dienen typischerweise funktionalen Zwecken, wie dem Aufrechterhalten der Sitzungen oder dem Speichern von Spracheinstellungen. Sie bleiben unter der Kontrolle des Webseite-Betreibers und sind datenschutzrechtlich grundsätzlich weniger problematisch, da keine Daten an Dritte übermittelt werden.
- Third-Party Cookies hingegen werden von externen Anbietern gesetzt, also von Unternehmen wie Google, Meta oder LinkedIn. Sie ermöglichen es diesen Anbietern, das Verhalten von Nutzern über verschiedene Websites hinweg zu verfolgen und daraus umfangreiche Nutzerprofile zu erstellen. Die Daten verlassen das Unternehmen und landen bei Dritten, häufig in den USA.
Wenn in diesem Beitrag von Tracking-Tools die Rede ist, sind damit Lösungen wie Google Analytics, der Meta Pixel oder der LinkedIn Insight Tag gemeint. Sie stehen exemplarisch für eine Kategorie von Anwendungen, die Nutzerdaten auf der Unternehmenswebseite erfassen und automatisch an externe, meist in den USA ansässige Anbieter übermitteln. Die nachfolgenden rechtlichen Anforderungen gelten unabhängig vom konkreten Tool.
Personendaten und Bearbeitungsgrundsätze
Das DSG schützt alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. IP-Adressen, Cookie-IDs und Nutzerprofile sind in der Regel als Personendaten zu qualifizieren. Das DSG verlangt, dass Personendaten nur rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden. Es dürfen nur so viele Daten erhoben werden, wie für den konkreten Zweck tatsächlich erforderlich sind.
Persönlichkeitsverletzung und Rechtfertigung
Im Falle von analytischen oder marketingbezogenen Tracking-Tools muss regelmässig davon ausgegangen werden, dass die Bearbeitungsgrundsätze (z.B. die Verhältnismässigkeit) nicht eingehalten werden. Aus diesem Grund ist nach dem DSG zu prüfen, ob eine Rechtfertigung, wie die Einwilligung oder das Abstützen auf überwiegende eigene Interessen, einschlägig ist. Diese Analyse muss für jedes Tool einzeln vorgenommen werden.
In der Praxis wird häufig eine Einwilligung mittels Cookie-Banner eingeholt, der von den Nutzenden eine aktive Entscheidung verlangt, verbunden mit der tatsächlichen Möglichkeit, die Tracking-Tools abzulehnen, ohne dass die Nutzbarkeit der Webseite dadurch eingeschränkt wird. Für die technische Umsetzung empfiehlt sich der Einsatz einer Consent-Management-Plattform (CMP). Solche Lösungen ermöglichen eine revisionssichere Dokumentation der erteilten Einwilligungen und erleichtern die Verwaltung von Nutzerpräferenzen erheblich.
Informationspflicht und Datenschutzerklärung
Das DSG verpflichtet Unternehmen, betroffene Personen aktiv und transparent über die Bearbeitung der Daten zu informieren. Diese Informationspflicht wird in der Praxis primär über die Datenschutzerklärung der Website oder spezifische Cookie-Hinweise erfüllt. Die Information muss mindestens Auskunft über die Identität des Verantwortlichen, den Zweck der Datenbearbeitung, die Empfänger der Daten sowie, bei einer Bekanntgabe von Personendaten ins Ausland, über den Zielstaat und die gegebenenfalls erforderlichen zusätzlichen Garantien geben.
Im Kontext von Tracking-Tools bedeutet dies konkret: Jedes Tool, das auf der Webseite aktiv ist, muss in der Datenschutzerklärung namentlich genannt und erläutert werden.
Auftragsbearbeitungsvertrag
Wer Personendaten nicht (nur) selbst bearbeitet, sondern die Bearbeitung ganz oder teilweise an einen Dritten auslagert, handelt regelmässig im Rahmen einer Auftragsbearbeitung. Das DSG verlangt in solchen Fällen den Abschluss eines schriftlichen Auftragsbearbeitungsvertrags mit dem jeweiligen Dienstleister. Dieser Vertrag stellt sicher, dass der Auftragsbearbeiter die Daten ausschliesslich im Rahmen der erteilten Weisungen bearbeitet, angemessene technische und organisatorische Schutzmassnahmen trifft und Subunternehmer nur mit Zustimmung des Verantwortlichen beizieht.
Für die in der Praxis verbreitetsten Tracking-Anbieter (Google, Meta, LinkedIn) stellen die Anbieter selbst Auftragsbearbeitungsverträge zur Verfügung, die online abgeschlossen werden können.
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
