Im Nachgang der DSGVO-Aufregung haben mich viele angesprochen, doch ihre Datenschutzerklärung (DSE) „mal anzuschauen“ oder gar zu erstellen. Ich habe das meist abgelehnt. Denn was da rausgekommen wäre, wäre meist nicht im Sinne der Auftraggeber gewesen.
Dabei bin ich großer Fan der DSGVO. Dieses Dokument versucht unsere Grundrechte im Web mit halbwegs verständlichen und praktikablen Regeln umzusetzen. Das kann nur im Rahmen der EU gelingen – eigentlich müssten sich alle Länder unserer „freiheitlichen westlichen“ Welt dem anschliessen. Klingt zunächst mal etwas philosophisch, vielleicht wird das weiter unten klarer.
Nun helfe ich auch vielen Online-Shops beim Verkaufen: Wir stellen die Technik bereit, programmieren Webseiten und ja, wir helfen auch beim Tracking. Wir brauchen Tracking um passgenaue Werbung zu machen. Eine Zwickmühle.
Kurzer Auflug in die Technik
Früher meinten wir mit „Tracking“ ein wenig Log-File-Analyse: mit welchen Browsern werden die verschiedenen Seiten meines WebSites besucht, wann kommen die Besucher, wo verweilt sie am längsten, welche Dateien brauchen am längsten zum Laden usw. Die hohe Schule war es die Klick-Pfade durch die Webseiten zu erkennen. So richtig viel für Marketing kann man mit solchen Informationen allerdings nicht anfangen, auch wenn manche DSE von diesen Details überquellen.
Heute jedoch bauen wir Tracking-Scripte in die Webseiten ein, die diese Funktion ausführen: „Sende Info an [Werbe-Dienstleister]: Individuum X12522739123 hat gerade die Webseite XYZ bei mir angesehen“.
Diese Information über X12522739123 bekommt ein großer Werbedienstleister, z.B. Google, nun von sehr vielen WebSites. Da wir Google & Co ja auch auf Knien bitten, unsere Webseiten gut sichtbar in ihren Index aufzunehmen, weiß Google auch sehr genau was der Inhalt dieser Seiten ist. D.h. Google weiß wie es im Kopf (vielleicht auch im Körper) von X12522739123 aussieht.
Deshalb kann Google auch recht gut abschätzen, auf welche Werbeeinblendungen -und auf welchen Webseiten- X12522739123 denn reagieren wird. Sie haben diese Zusammenhänge dort dann in Form von Schlagworten (AdWords) vereinfacht, um die wir uns dann auf dem Marktplatz balgen.
Und wenn X12522739123 dann tatsächlich auf die vorhergesagte Anzeige klickt – dann haben wir der künstlichen Intelligenz wieder was beigebracht (und auch wenn wir nicht reagieren).
Die gigantischen Fortschritte bei der KI in den letzten Jahren sind hauptsächlich auf diese Trainingsdaten zurückzuführen.
Steht in der Datenschutzerklärung…
In der Datenschutzerklärung müsste deshalb -leicht verständlich, so wie vorgeschrieben- stehen:
„Wir leiten die Information über Ihren Besuch bei uns zeitnah und so detailreich wie es Ihr Browser zulässt an Facebook, Google, Instagram und einige Werbenetzwerke weiter. „Klingt vielleicht ungewöhnlich, aber in der Regel ist genau das gemeint. Gemäß DSGVO ist das auch möglich und erlaubt: mit X12522739123 kann man nicht auf das Indiviuum schliessen (Schutz der persönlichen Daten), und das wir für unsere Produkte/Dienste werben wollen ist unser „berechtigtes Interesse“ (DSGVO-Sprech). Man kann zudem ein gewisses Tracking zu Werbezwecken annehmen, wenn man eine e-Commerce-Webseite besucht. Weiter müsste es also heißen:
„Unser berechtigtes Interesse ist, das die Künstliche Intelligenz unseres Werbedienstleisters soviel wie möglich über Sie lernt, damit wir sie wiedererkennen, wenn Sie auf anderen Webseiten Werbung sehen oder etwas im Internet suchen, was sie auch bei uns bekommen könnten.„
Warum schreibt keiner diese klaren Worte? Es gibt sicher viele, die die hier geschilderten Zusammenhänge nicht verstanden haben und auf irgendwelche DSE-Generatoren verfallen sind. Andere haben einen Rechtsanwalt beauftragt hat, der hat „berechtiges Interesse“ an absoluter Rechtssicherheit und demzufolge an einem langen, teuren Text.
Vielleicht schreibt das aber auch keiner, weil er spürt, dass er in das Recht auf Selbstbestimmung des Besuchers eingreift? Schließlich ist nicht klar, ob der Besucher möchte, das er auf anderen Webseiten erkannt wird, nur weil er gerade bei mir im Laden war. Oder ob er es gut findet, das bei Google ein digitaler Zwilling X12522739123 gepflegt wird. Vielleicht hat sie auch gar keine Lust, ihren digitalen Zwilling bei Google aktiv zu pflegen (ja, das geht!).
Aber auch da hat die DSGVO den Ausweg des „opt-out“ vorgeschlagen:
„Wenn Sie das nicht möchten, können Sie gern auf den Besuch bei uns verzichten“
Nur blöd, wenn man dann schon auf der Seite ist….also besser:
„Wenn Sie das nicht möchten, haben Sie wahrscheinlich die allererste Abfrage beim Besuch unserer Webseite entsprechend beantwortet und wären gar nicht bis zu diesem Text gelangt.“
Diese allererste Abfrage wäre ein Popup mit dem oben formulierten ehrlichem Text. Nicht ganz einfach zu bauen und natürlich etwas schockierend für den Besucher. Stattdessen kommen überall diese albernen Cookie-Abfragen, die meist unsinnig und irreführend sind. Oft ist sogar beim Einblenden dieses Hinweises oder beim Lesen der DSE das o.g. Tracking Script längst zum Einsatz gekommen.
Ehrlich wäre es also, oben angedeutete Formulierungen zu verwenden und sich etwas Mühe beim Einbau der „Opt-Out“-Abfrage zu geben.
Mit wem werbetreibe ich’s?
Zudem muss man sich die Frage beantworten, ob der Werbepartner wirklich der Richtige ist. Ist das Profil X12522739123 dort sicher? Wird es wirklich nicht mit eine echten Menschen verknüpft? Werden wirklich keine persönlichenDaten erfasst/gespeichert/verarbeitet? Kann der echte X12522739123 dies Beeinflussen, Löschen, wenigstens einsehen?
„Falls Sie Mitglied im XYZ-Netzwerk sind, wird unser Werbepartner Ihre Besuchsinformationen bei uns mit Ihrem Profil verknüpfen.“
Die DSGVO hat auch hier einen Vorschlag: Ich kann mit dem Bearbeiter der Daten einen Datenverarbeitungs-Vertrag eingehen (sog. AV-Vertrag). Der besagt in Kürze: „Ich habe den Partner geprüft, ihn für gut befunden, er hält sich an die DSGVO, wir teilen uns sogar die Risiken bei Fehlern der Datenverarbeitung, sollte mal etwas passieren.“ Mir fallen spontan einige große Namen ein, wo ich das eher nicht behaupten würde.
Aber sofern keine „persönlichen Daten“ weitergegeben werden, braucht man keinen AV und keine Erwähnung in der DSE. Deshalb wird in den Texten gern und lang auf der Definition dieser Daten rumgeritten. Zur Verwirrung? Nicht nur o.g. Scripte, schon der Abruf der Script-Dateien hinterlässt einen Fussabruck von X12522739123, den die künstliche Intelligenz sehr gut verwerten kann. Ist nun ein Fussabdruck persönlich? Wenn man weiss wem der Schuh gehört, schon 😉 .
Ethik
So, nun wissen wir was falsch läuft, aber wie machen wir es richtig? Wenn wir denken auf die Maschinerie von Google & Co angewiesen zu sein (zugegeben, das sind wir oft), sollten wir dies wenigstens ehrlich und un-verklausuliert in unsere DSE schreiben. Evtl. mit einer Entschuldigung:
„Leider könnte ein Tracking bereits erfolgt sein. Sie können dies bei unserem Parner … auf folgende Weise löschen…“
Zum anderen kann man versuchen, den Besucher wenigstens ein wenig aus der Schusslinie der KI zu nehmen. Wir versuchen das, indem wir, z.B. bei Google die öffentliche Programmierschnittstelle nutzen, um ausgewählte Informationen über den Besucher – also z.B. nicht das das „X12522739123“, sondern die Herkunft des Klicks aus einer Kampagne, die besuchte Seite und den Zeitpunkt zu übermitteln (die „utm’s„).
„Wir verwenden Google Analytics, vermeiden aber mit technischen Mitteln die Weitergabe Ihrer persönlichen Daten.“
Aber das kann man auch weglassen, es werden ja wirklich keine persönlichen Daten (egal welcher Definition) übertragen . Und damit brauchts auch keinen „Opt-Out“ mehr.
Ich denke aus den oben gezeigten Bausteinen kann sich nun jeder einen ehrlichen Absatz bzgl. des Trackings für seine DSE bauen. So haben wir wenigstens versucht, unsere Besucher aufzuklären. Eine übersichtliche und ehrliche DSE kann durchaus einen Besucher zum Kunden machen. Denn mit nur wenig Übung kann man schon beim Überfliegen der DSE erkennen, ob der Laden den Datenschutz wirklich ernstnimmt oder ob da nur irgendein Blabla steht.
— Bob
Nachsatz 1: Ich bin kein Rechtsanwalt, das ist alles hier nur meine fundierte (;-) ) Meinung.
Nachsatz 2: Ich habe hier meist Google als möglichen Werbedienstleister genannt – die können es einfach am Besten. Ich bin auch ein großer Fan von deren Technologien und muss Google sogar einige gute Punkte im Ethik-Bereich zustehen, selbst bei der DSE haben sie sich Mühe gegeben. Aber natürlich kann in diesem Zusammenhang „Google“ mit „Facebook“, „Instagram“, „Twitter“, „Microsoft“, etc. ausgetauscht werden.
Nachsatz 3: Es ging mir hier um das von Web-Programmierern und Werbeagenturen „bewusst“ eingesetzte Tracking – wenn man WebSites genauer untersucht, gibt es bei sehr vielen noch Tracking „aus Versehen“ durch falsch oder zumindest unbedacht eingesetzte Tools diverser Anbieter. I.d.R. wird damit klar die DSGVO verletzt.