Datenspuren: Ihre Rechte aus der DSGVO

Der Aufruf einer einzigen Website überträgt bereits die IP-Adresse, den Browsertyp, die Bildschirmauflösung, die Systemsprache und den Zeitpunkt an den Server. Das ist keine Randnotiz, sondern der rechtliche Ausgangspunkt: Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“, und die Vorschrift nennt als Kennungen ausdrücklich auch die Online-Kennung und Standortdaten. Damit ist eine IP-Adresse ein personenbezogenes Datum, und der Schutz der DSGVO greift, sobald Sie eine Seite öffnen, nicht erst wenn Sie ein Formular ausfüllen.

Was dabei tatsächlich anfällt

Datenspuren entstehen auf zwei Wegen. Aktiv durch das, was Sie selbst preisgeben: Beiträge, Fotos, Kommentare, Registrierungen, Newsletter-Anmeldungen. Passiv durch das, was im Hintergrund mitläuft, ohne dass Sie etwas tun. Der passive Teil ist der größere und der schlechter kontrollierbare.

• Server-Logs mit IP-Adresse, Zeitstempel, aufgerufener Seite und Verweisquelle.
• Cookies und vergleichbare Kennungen, die Sie über mehrere Besuche hinweg wiedererkennen.
• Einbettungen von Dritten: Karten, Videos, Schriftarten, Social-Media-Buttons, Analysewerkzeuge. Jede lädt beim Aufruf und überträgt dabei Ihre IP-Adresse an den jeweiligen Anbieter.
• Geräte-Merkmale, die in ihrer Kombination fast eindeutig sind: Browserversion, installierte Schriften, Zeitzone, Auflösung, Grafikkarte. Das genügt zur Wiedererkennung auch ohne Cookie.
• Standortdaten aus Apps, oft feiner aufgelöst als für die Funktion nötig.

Tracking braucht eine Einwilligung, kein Interesse

Der häufigste Irrtum bei Websitebetreibern lautet, Reichweitenmessung sei durch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gedeckt. Der eigentliche Prüfstein steht jedoch im TDDDG: Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung und der Zugriff auf dort gespeicherte Informationen nur zulässig, wenn der Endnutzer „auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“.

Diese Vorschrift knüpft nicht daran an, ob personenbezogene Daten verarbeitet werden, geschützt ist das Endgerät selbst. Die einzige praktisch diskutierte Ausnahme ist § 25 Abs. 2 Nr. 2 TDDDG: die Speicherung muss „unbedingt erforderlich“ sein, damit ein „vom Nutzer ausdrücklich gewünschter digitaler Dienst“ bereitgestellt werden kann. Statistik fällt nicht darunter, weil niemand eine Website wegen ihrer Statistik aufruft. Für Sie als Nutzer heißt das: Wo ein Banner Tracking schon vor Ihrer Entscheidung lädt, ist der Verstoß bereits geschehen, unabhängig davon, was Sie anschließend anklicken.

Ihre vier wirksamen Rechte

Technische Selbstverteidigung reduziert neue Datenspuren. Gegen bereits vorhandene helfen nur Rechte, und die sind stärker als ihr Ruf.

• Auskunft (Art. 15 DSGVO): Sie können Bestätigung verlangen, ob Daten über Sie verarbeitet werden, und dazu Zweck, Datenkategorien, Empfänger, Speicherdauer, Herkunft und eine etwaige automatisierte Entscheidungsfindung erfahren. Nach Abs. 3 steht Ihnen eine Kopie der Daten zu, bei elektronischer Anfrage in einem gängigen elektronischen Format.
• Löschung (Art. 17 DSGVO): unter anderem wenn die Daten für ihren Zweck nicht mehr erforderlich sind (lit. a), Sie die Einwilligung widerrufen und keine andere Grundlage bleibt (lit. b), Sie wirksam widersprochen haben (lit. c) oder die Verarbeitung unrechtmäßig war (lit. d).
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e DSGVO oder f, aus Gründen Ihrer besonderen Situation.
• Widerruf der Einwilligung: jederzeit und so einfach wie die Erteilung. Danach fehlt dem Tracking die Grundlage.

Die Frist ist knapp bemessen: Nach Art. 12 Abs. 3 DSGVO ist unverzüglich, jedenfalls binnen eines Monats zu antworten. Eine Verlängerung um zwei Monate ist möglich, aber nur, wenn Sie darüber innerhalb des ersten Monats unterrichtet werden. Wer stillschweigend länger braucht, ist in Verzug.

Der Sonderfall Direktwerbung: kein Abwägen

Hier liegt das schärfste Instrument, und es wird selten genutzt. Beim Widerspruch nach Art. 21 Abs. 1 DSGVO darf der Verantwortliche die Verarbeitung fortsetzen, wenn er zwingende schutzwürdige Gründe nachweist, die Ihre Interessen überwiegen. Bei Direktwerbung gilt das nicht: Nach Art. 21 Abs. 2 DSGVO können Sie jederzeit widersprechen, und nach Abs. 3 werden die Daten dann „nicht mehr für diese Zwecke verarbeitet“.

Es gibt an dieser Stelle keine Interessenabwägung und keine Begründungspflicht. Ein formloser Satz genügt, und das Unternehmen muss die Werbeverarbeitung beenden. Wer stattdessen nur den Newsletter abbestellt, hat oft weniger erreicht: Der Abmeldelink beendet einen Versandkanal, der Widerspruch nach Art. 21 Abs. 2 DSGVO beendet die Verarbeitung zu Werbezwecken.

Was technisch wirklich hilft

Reihenfolge nach Wirkung, nicht nach Aufwand. Die ersten beiden Punkte bringen mehr als alle übrigen zusammen.

• Browser mit wirksamem Tracking-Schutz und aktivierter Blockade von Drittanbieter-Cookies. Das entfernt den größten Teil der seitenübergreifenden Wiedererkennung.
• Einwilligungen bewusst ablehnen. Ablehnen muss genauso einfach möglich sein wie Zustimmen, auf derselben Ebene. Wo das nicht der Fall ist, liegt bereits ein Mangel vor.
• Suchmaschine ohne Profilbildung und ein Browserprofil, das nicht dauerhaft angemeldet bleibt. Eine bestehende Anmeldung verknüpft sonst das gesamte Surfverhalten mit einem Konto.
• App-Berechtigungen prüfen, besonders Standort und Kontakte. Was eine App nicht braucht, soll sie nicht bekommen.
• Zwei-Faktor-Authentisierung und ein Passwort-Manager. Kein Trackingschutz, aber der wirksamste Schutz vor Kontoübernahme, und damit vor der schlimmsten Form ungewollter Datenoffenlegung.
• Ein VPN verbirgt die IP-Adresse gegenüber der Zielseite, verlagert aber das Vertrauen auf den VPN-Anbieter. Gegen Cookies, Fingerprinting und angemeldete Konten hilft es nicht.

Der letzte Punkt ist wichtiger, als er klingt: Ein VPN wird oft als umfassender Schutz verkauft. Es verändert nur die sichtbare Herkunft der Verbindung. Wer eingeloggt surft, wird weiter erkannt, nur eben mit anderer IP-Adresse.

Für Unternehmen: dieselbe Prüfung, andere Seite

Wer eine Website betreibt, erzeugt die Datenspuren, um die es hier geht. Prüfpunkte: Lädt vor der Einwilligung wirklich nichts Nicht-Erforderliches? Sind alle Einbettungen von Dritten in der Datenschutzerklärung genannt, samt Empfänger und Drittlandbezug? Ist die Verarbeitung im Verzeichnis nach Art. 30 DSGVO erfasst? Existiert ein Verfahren, das Auskunfts-, Lösch- und Widerspruchsanträge innerhalb der Monatsfrist beantwortet?

Der Bußgeldrahmen richtet sich nach der verletzten Norm. Verstöße gegen die Betroffenenrechte aus Art. 12 bis 22 DSGVO fallen unter Art. 83 Abs. 5 DSGVO: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Ein unbeantworteter Auskunftsantrag ist damit teurer bewertet als eine unzureichende Sicherheitsmaßnahme, die unter Abs. 4 mit 10 Mio. Euro oder 2 % fällt.