Ich wollte wissen, ob meine Seiten überhaupt jemand aufruft. Was ich nicht
wollte: ein Zustimmungsfenster, das jeden Besucher zuerst mit einer Frage
begrüßt, die er nicht gestellt hat.
Beides geht zusammen — wenn man die Messung an einer anderen Stelle
ansetzt.
Zwei Wege, dasselbe zu zählen
Der übliche Weg ist ein Skript in der Seite. Es läuft im Browser, legt eine
Kennung ab, damit es denselben Besucher beim nächsten Aufruf wiedererkennt, und
meldet nebenbei Bildschirmgröße, Verweildauer und einiges mehr.
Der andere Weg sitzt im Proxy, durch den ohnehin jede Anfrage läuft. Er meldet
sie an die Auswertung weiter — im Hintergrund, ohne dass der Browser davon
erfährt. Kein Skript, keine Ablage auf dem Gerät.
Was der zweite Weg kostet
Ehrlichkeit gehört dazu: Man verliert echte Angaben. Bildschirmgröße und
Verweildauer sind nicht messbar, denn niemand meldet sie. „Eindeutige Besucher“
wird zur Schätzung, weil sie nur noch über Adresse und Browserkennung
zusammengefasst werden — zwei Personen im selben Anschluss mit demselben Browser
sind eine.
Für die Frage „liest das jemand“ reicht das. Für Werbevermarktung nicht. Man
sollte wissen, was man tauscht.
Und was er zusätzlich kann
Er erfasst alles, was durch den Proxy läuft — auch Dienste, in die man kein
Skript bekommt. Und er sieht Besucher, die Skripte blockieren; das ist je nach
Publikum ein erheblicher Teil.
Der Haken: Er sieht auch alles andere. Suchmaschinen, Sicherheitsscanner, die
eigene Überwachung, Datenabgleiche zwischen den eigenen Geräten. Ungefiltert
sind die Zahlen wertlos. Bei mir stammten in einer Stichprobe rund vierzig
Prozent des Verkehrs von einer Datenübertragung zwischen zwei eigenen Systemen.
Ausschlusslisten für interne Adressen und für Dateipfade, die keine Seitenaufrufe
sind, waren keine Feinarbeit, sondern Voraussetzung.
Die rechtliche Überlegung
Ich bin kein Jurist. Was folgt, ist meine Abwägung als Betreiber, keine
Rechtsberatung. Wer es genau wissen muss, fragt jemanden, der dafür haftet.
Der Punkt, an dem die Zustimmungspflicht hängt, ist enger, als viele denken.
Sie knüpft nicht daran an, dass gemessen wird, sondern daran, dass
auf dem Endgerät gespeichert oder ausgelesen wird. Das ist der Kern der
einschlägigen Vorschrift. Ein Cookie ist der bekannteste Fall, aber jede Ablage
im Browser zählt — auch solche, die man nicht Cookie nennt.
Wird nichts abgelegt und nichts ausgelesen, greift diese Vorschrift nicht.
Damit entfällt der Anlass für das Zustimmungsfenster.
Erledigt ist es damit nicht. Es werden weiterhin personenbezogene Daten
verarbeitet — die Adresse des Besuchers ist eine. Dafür braucht es eine
Rechtsgrundlage. In Frage kommt das berechtigte Interesse: Ich will wissen, ob
und wie mein Angebot genutzt wird. Diese Grundlage verlangt eine Abwägung gegen
die Interessen des Besuchers, und die fällt umso leichter aus, je weniger man
tut. Deshalb ist beides sinnvoll und nicht nur Kosmetik:
- Die Adresse wird vor dem Speichern gekürzt, sodass sie keiner Person mehr
zuzuordnen ist. - Die Rohdaten werden nach einer festen Frist gelöscht, nicht auf Vorrat
gehalten. - Die Einstellung „Nicht verfolgen“ des Browsers wird beachtet, obwohl sie
rechtlich nicht bindend ist. - Die Daten verlassen die eigene Technik nicht.
Was bleibt, ist die Auskunftspflicht: In der Datenschutzerklärung muss stehen,
was gemessen wird, auf welcher Grundlage, wie lange es bleibt und wie man
widerspricht. Wer den Banner spart, spart nicht die Erklärung.
Der Einwand, den man kennen sollte
Es gibt die Auffassung, jede Form der Reichweitenmessung brauche Zustimmung.
Sie stützt sich meist darauf, dass am Ende doch ein Personenbezug entstehe. Das
ist kein abwegiger Gedanke — er trifft nur einen anderen Punkt: die Frage der
Rechtsgrundlage, nicht die der Zustimmung nach der Endgeräte-Vorschrift. Wer
kürzt, löscht und nichts weitergibt, steht in dieser Abwägung gut da.
Verlassen sollte man sich darauf nicht blind. Meine Abwägung ist die eines
kleinen, privaten Angebots ohne Werbung und ohne Weitergabe. Bei einem
kommerziellen Auftritt mit Reichweitenvermarktung sähe sie anders aus.
Wann der Banner zurückkommt
Sofort, sobald etwas eingebaut wird, das im Browser ablegt oder ausliest. Eine
eingebettete Karte, ein Video von einem fremden Anbieter, eine nachgeladene
Schriftart, ein Formular mit Spamschutz eines Dritten — jedes davon holt die
Zustimmungspflicht zurück, und zwar für den ganzen Vorgang.
Das ist der eigentliche Grund, warum ich Schriften mitliefere statt sie
nachzuladen: nicht Ladezeit, sondern ein Absatz weniger, über den man
nachdenken muss.