First Part-Party & Cookieless Analytics: DSGVO konformes Tracking

E-Commerce, Marketing sowie Datensicherheit sind eng verzahnt. Im Zeitalter der Datenschutzgrundverordnung (DSGVO) stellen sich Onlinehändler immer häufiger die Frage, wie sie ihr Geschäft weiterführen können, ohne gegen die Regeln zu verstoßen und teure Abmahnungen zu riskieren. Eine Lösung: Cookieless Tracking. In diesem Blogpost erfahren Sie alles über Cookieless Tracking und warum es für E-Commerce Unternehmen unerlässlich ist.

Cookieless Tracking ist die Technik, die es ermöglicht, Nutzer zu tracken, ohne Cookies zu benutzen. Die meisten Websites und Online-Dienste setzen Cookies, um Nutzer zu erkennen und ihr Verhalten zu analysieren. Wobei Cookieless sich auf sogenannte Third-Party-Cookies bezieht. Cookieless Tracking ist also eine Methode des Online-Trackings, bei der keine Third-Party-Cookies zur Identifizierung und Verfolgung von Nutzern eingesetzt werden. Stattdessen wird eine ID, die dem Browser oder Gerät zugeordnet ist, verwendet. Diese ID kann in Form einer IP-Adresse, einer Geräte-ID oder eines beliebigen anderen alphanumerischen Codes vorliegen. Dadurch werden vor allem die sich ständig verschärfenden Datenschutzbestimmungen der EU und DSGVO erfüllt, welche für alle Websites gelten, die ihren Sitz in Europa haben oder an europäische Nutzer verkaufen (B2C).

Cookies sind kleine Datenpakete, die auf dem jeweiligen Endgerät gespeichert werden und Besucher identifizieren sowie verfolgen können. In der Regel erfüllen diese wichtige Funktionen, wie das Speichern von Anmeldungen oder Einstellungen und können dabei helfen, Verhaltensmuster sowie den Website Traffic zu messen.

Cookies lassen sich in zwei Hauptkategorien unterteilen

First-Party-Cookies (auch bekannt als Session-Cookies)

Third-Party-Cookies (auch bekannt als Persistent-Cookies)

First-Party-Cookies werden vom eigenen Webserver gesetzt, temporär gespeichert und nach dem Schließen des Browsers wieder gelöscht. Diese gehören in der Regel zu den “unbedingt erforderlichen Cookies”, diese sind notwendig, um alle notwendigen Funktionen und Anwendungen einer Webseite zu gewährleisten. Ohne diese kann ein Artikel nicht in den Einkaufswagen gelegt und dort gespeichert werden. Diese Cookie-Art bedarf keiner Zustimmung via Cookie Consent.

Third-Party-Cookies hingegen werden von externen Servern gesetzt, im Regefall von Ad-Networks (wie Criteo), Google/Bing Analytics und Ads oder auch Social Media und bis zu ihrem Ablaufdatum oder bis zur manuellen Löschung auf dem jeweiligen Endgerät gespeichert. Third-Party-Cookies ermöglichen es Werbetreibenden, User im gesamten Internet zu verfolgen. Unter anderem verwendet Google Analytics Third-Party-Cookies und sammelt persönliche und verhaltensbezogene Daten.

Diese Art der Nachverfolgung wird seitens von Datenschützern stark kritisiert. Aus Datenschutzgründen haben immer mehr Menschen damit begonnen, Cookies von Drittanbietern zu deaktivieren, was zu einer ungenauen Datenanalyse für Webseitenbetreiber führt. Auch datenschutzrechtlich werden Third-Party-Cookies immer kritischer betrachtet. Es ist möglich, dass ein Tracking mithilfe von Third-Party-Cookies in naher Zukunft nicht mehr erlaubt sein wird.

Cookieless Tracking ist entstanden, um die Einschränkungen und Nachteile des herkömmlichen Trackings mit Cookies zu überwinden. Die Verwendung von Cookies zum Tracking von Nutzern hat nämlich einige Nachteile:

• Cookies können gelöscht werden: Wenn ein Nutzer seine Cookies löscht, kann er nicht mehr nachverfolgt werden.
• Cookies sind begrenzt: Ein Browser kann nur eine begrenzte Anzahl an Cookies speichern. Wenn ein Unternehmen viele Cookies setzt, kann es passieren, dass einige Nutzer keine mehr speichern können und daher nicht mehr getrackt werden können.
• Cookies sind untrustworthy: Da Cookies immer vom Browser gespeichert werden, können sie leicht manipuliert und geändert werden. Dies bedeutet, dass die Daten, die über Cookies gesammelt werden, untrustworthy sind.

Cookieless Tracking besitzt im Vergleich zum herkömmlichen Cookie-Tracking diverse Vorteile, wie die Qualität der Daten. Weiterhin sind die Daten beim Cookieless Tracking nicht vom jeweiligen Browser abhängig – das heißt, auch wenn ein User den Suchverlauf löscht, bleiben die Daten weiterhin bestehen und können jederzeit ausgewertet werden. Durch die Verwendung von Cookieless Tracking werden die genannten Nachteile umgangen. Da keine Cookies verwendet werden, können sie nicht gelöscht oder manipuliert werden. Auch die begrenzte Anzahl an Cookies pro Browser ist kein Problem mehr, da diese nicht gesetzt werden. Der Hauptvorteil von Cookieless Tracking ist, dass es eine datenschutzkonforme Alternative ist, da keine personenbezogenen Daten gespeichert werden, müssen Website-Betreiber keine extra Erlaubnis einholen, um diese Technik zu nutzen. Außerdem ist Cookieless Tracking unauffälliger und kann daher auch von E-Commerce Websites genutzt werden, die Wert auf einen guten datenschutzrechtlichen Ruf legen. Denn im Gegensatz zu Cookies können Nutzer in der Regel nicht sehen, ob sie cookieless getrackt werden oder nicht. Allerdings hat dieses Vorgehen auch Nachteile: Sie ist aufwendiger in der Umsetzung und Implementierung

Das Tracking ohne Cookies funktioniert häufig über das sogenannte „Browser Fingerprinting“ ohne device fingerprinting. Dabei wird ein eindeutiges, pseudonymes Profil des jeweiligen Nutzers anhand seiner Browser-Einstellungen erstellt. Man kann zwar keine personenbezogenen Daten (wie Name, Adresse etc.) erfassen, aber dafür pseudo-anonyme Informationen über das Surfverhalten der User. Das heißt: Man weiß zwar nicht genau, wer dieser User ist, aber trotzdem kann man sehr viel über sein Verhalten herausfinden, ohne die gesammelten Daten an Dritte weitergeben zu müssen. Wobei auch das Browser-Fingerprinting aus datenschutzrechtlicher Sicht kritisiert wird, es ist dennoch immer noch besser als das Verwenden von Third-Party-Cookies. Matomo gelingt es auch ohne Browser Fingerprinting Daten zu sammeln. Anbieter von Cookieless Tracking sind unter anderem die Firmen Matomo, etracker, AdRoll und Criteo.

Das Tracking dieser Anbieter funktioniert über das sogenannte „First-Party-Cookie“. Dabei wird beim Aufruf der Website ein Cookie auf dem Rechner des Nutzers gesetzt und die IP-Adresse des Nutzers gespeichert. Die jeweilige ID kann nur von der gleichen Domain gelesen werden – also zum Beispiel bei etracker.de oder matomo.org. Somit ist eine Ermittlung der personenbezogenen Daten möglich, ohne diese an Dritte weitergeben zu müssen. First Party Tracking verfolgt die Website-Aktivitäten eines Benutzers, indem es Informationen in der URL speichert. Die Daten werden auf dem Server gespeichert und können nicht von Dritten abgerufen werden. Dadurch ist das System sicherer als herkömmliche Cookie-basierte Systeme, die von Hackern leicht angegriffen werden können. First Party Tracking ist auch für Werbetreibende interessant, da es ihnen ermöglicht, die Wirkung ihrer Kampagnen besser zu messen. Da First Party Tracking direkt mit dem Web-Server verbunden ist, kann es genauere Daten über die Website-Aktivitäten liefern, als herkömmliche Cookie-basierte Systeme. Matomo ist eine Open-Source-Analyse-Plattform, die unter anderem auch Cookieless und Tracking mit First-Party-Cookies unterstützt. Matomo bietet Einblicke in das Verhalten der Website-Besucher, indem es detaillierte Berichte über die Website-Aktivitäten erstellt. Die Plattform kann auch mit anderen Analytics-Plattformen wie Google Analytics integriert werden.

Google Analytics ist die am meisten verwendete Analytics-Plattform. Google Analytics Universal sammelt jedoch nur Daten, wenn Third-Party-Cookies vorhanden sind. Daher wird es immer schwieriger für Google Analytics, genaue Daten zu erfassen, da immer mehr Nutzer ihre Cookies löschen oder blockieren. Unter anderem deshalb wurde GA4 entwickelt. Mit Google Analytics 4 ist cookieless Tracking möglich. Jedoch basiert diese auf Federated Learning of Cohorts (FLoC) und Browser Fingerprinting. Diese werden mittlerweile ebenso stark kritisiert und von einige gängigen Chromium-basierten Browsern nicht unterstützt. Kritik kommt auch vom weit verbreiteten CMS Wordpress. Diese unterbindet ebenfalls FLoC. Auch zukünftige datenschutzrechtliche Entwicklungen innerhalb der EU könnten das Tracking mit Cookies und FLoC in den nächsten Jahren weiter erschweren. Es ist daher ratsam, Alternativen wie Matomo oder eTracker zu kennen.

Die Vorteile von Matomo sind, dass es ein Open-Source-Tool ist und als “On-Premise” Version kostenlos zur Verfügung steht und kann mit den meisten gängigen Hosting-Angeboten mit PHP und einer MySQL-Datenbank installiert und betrieben werden. Mit einem Marktanteil von über 15 % bei .de Domains ist Matomo nach Google Analytics das am häufigsten verwendete Analyse-Tool. Außerdem bietet es eine hohe Flexibilität und Anpassungsmöglichkeit an die jeweiligen Bedürfnisse. Matomo versucht das Tracking so datenschutzfreundlich wie möglich zu gestalten, verzichtet hierfür sogar auf Browser-Fingerabdrücke.

Daraus sollte man achten:

• Bei hohem Traffic – also bei Webseiten mit über 30000 Seitenabrufen, sollte man Matomo auf einen getrennten vServer laufen lassen. Genauere Angaben zu den Server Anforderungen finden Sie unter https://matomo.org/docs/requirements/
• Matomo hinkt GA aktuell für eine tiefgründige Datenanalyse je nach Einstellung noch etwas hinterher.
• Für eine optimale Nutzung tracking bezogener Daten kann Matomo in GA und der Google Search Console integriert werden, das bedarf allerdings individuellen Anpassungen und ist mit Aufwänden verbunden.

Vor allem im Verbund mit Google Analytics und der Google Search Console, wird Matomo zu einem sehr mächtigen Analysetool. Aber auch alleinstehend ist Matomo ein sehr nützliches Tool. Dem Cookieless Tracking gehört die Zukunft, das zeigt allein schon die ständige Diskussion über die datenschutzrechtliche konforme Nutzung von Google Analytics innerhalb der EU. Wir beobachten die Lage regelmäßig und raten zumindest zu einer zusätzlichen Nutzung von einem Cookieless Tracking Anbieter wie Matomo.