Tracking-Einwilligung

Definition: Die Tracking-Einwilligung bezeichnet die datenschutzrechtlich erforderliche Zustimmung einer betroffenen Person, bevor Tracking-Technologien auf ihrem Endgerät eingesetzt, gespeichert oder ausgelesen werden dürfen. In Deutschland ergibt sich die Einwilligungspflicht für Tracking primär aus § 25 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) für den Zugriff auf und die Speicherung von Informationen auf Endgeräten sowie ergänzend aus Art. 6 DSGVO für die nachgelagerte Verarbeitung personenbezogener Daten. Eine wirksame Tracking-Einwilligung muss gemäß Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, informiert, unmissverständlich und für den spezifischen Verarbeitungszweck erteilt worden sein. Sie muss aktiv durch eine eindeutige bestätigende Handlung (z. B. Klicken eines Zustimmungsbuttons) erfolgen – stillschweigende, vorausgefüllte oder durch weiteres Surfen implizierte Einwilligungen sind unwirksam. Die Einwilligung muss dokumentiert und jederzeit widerrufbar sein, wobei der Widerruf so einfach sein muss wie die Erteilung. Im Marketing-Kontext umfasst die Tracking-Einwilligung typischerweise Web-Analytics (z. B. Google Analytics), Werbe-Cookies (z. B. Google Ads, Meta Pixel), Retargeting-Technologien, Social-Media-Plugins und Affiliate-Tracking. Die Erteilung und Verwaltung von Tracking-Einwilligungen erfolgt üblicherweise über eine Consent Management Platform (CMP).

Erläuterung

Die Anforderungen an eine wirksame Tracking-Einwilligung wurden durch eine Reihe von Gerichtsentscheidungen und Datenschutzbehörden-Beschlüssen in den vergangenen Jahren erheblich konkretisiert. Das Urteil des EuGH in der Sache Planet49 (C-673/17, 2019) stellte klar, dass vorausgewählte Kästchen keine wirksame Einwilligung darstellen und dass Nutzer über die Drittanbieter und Verwendungszwecke informiert sein müssen. Der Bundesgerichtshof bestätigte diese Grundsätze in seinem Folgeurteil (I ZR 7/16).

Besondere Bedeutung hat das Konzept des „Cookie Walls": Wenn der Zugang zu einer Website davon abhängig gemacht wird, dass der Nutzer Tracking-Cookies akzeptiert, ist die Einwilligung nicht freiwillig und damit unwirksam – es sei denn, der Nutzer hat eine gleichwertige Alternative ohne Tracking (z. B. eine kostenpflichtige Variante). Mehrere Datenschutzbehörden, darunter die österreichische DSB und die französische CNIL, haben Cookie-Wall-Modelle beanstandet.

Das „Nudging" in Cookie-Bannern – also die visuelle und gestalterische Bevorzugung des Zustimmungsbuttons gegenüber dem Ablehnungsbutton – ist ebenfalls rechtlich problematisch. Die Datenschutzkonferenz (DSK) und diverse europäische Aufsichtsbehörden haben klargestellt, dass Ablehnen nicht schwieriger sein darf als Zustimmen. Dark Patterns, die Nutzer zu einer Einwilligung drängen, können zur Unwirksamkeit der Einwilligung führen.

Hinsichtlich der Granularität müssen Einwilligungen zweckspezifisch eingeholt werden. Eine pauschale Einwilligung für „alle Marketing-Cookies" ist problematisch, wenn die konkreten Zwecke (Analyse, Remarketing, Personalisierung) nicht getrennt ausgewiesen sind. Das IAB Transparency and Consent Framework (TCF) versucht, eine standardisierte Infrastruktur für granulare Einwilligungen bereitzustellen, steht aber selbst unter datenschutzrechtlicher Beobachtung.

Die Nachweispflicht für erteilte Einwilligungen (Art. 7 Abs. 1 DSGVO) verlangt von Websitebetreibern, dass sie für jeden Nutzer dokumentieren können, wann, wie und für welche Zwecke er eingewilligt hat. Dies stellt technische Anforderungen an CMP-Systeme, die Consent-Logs über ausreichend lange Zeiträume speichern müssen.

Anforderungen an eine wirksame Tracking-Einwilligung

• Freiwilligkeit: Keine Koppelung an die Nutzung des Dienstes ohne gleichwertige Alternative; keine Cookie Walls ohne Ausweichoption.
• Informiertheit: Klare Information über Zwecke, Technologien, Drittanbieter und Datenübertragungen in Drittländer vor der Einwilligung.
• Aktive Handlung: Eindeutige bestätigende Handlung (Klick auf „Akzeptieren"); kein Pre-Ticking, kein Scrollen als Einwilligung.
• Granularität: Zweckspezifische Einwilligung; Nutzer muss einzelne Kategorien (Analytics, Marketing, Personalisierung) getrennt wählen können.
• Widerrufbarkeit: Jederzeit widerrufbar; Widerruf muss so einfach sein wie die Erteilung; Widerruf-Option dauerhaft zugänglich.
• Dokumentation: Consent-Logs müssen gespeichert werden; Nachweis über Zeitpunkt, Inhalt und Umfang der Einwilligung muss erbracht werden können.

Häufige Fehler und Dark Patterns

• Vorausgewählte Kästchen: Opt-out statt Opt-in; nach Planet49-Urteil eindeutig unzulässig.
• Versteckter Ablehnungsbutton: Nur „Alle akzeptieren" sichtbar, Ablehnen über mehrere Schritte versteckt; von Aufsichtsbehörden beanstandet.
• Irreführende Farben und Texte: „Akzeptieren" farblich hervorgehoben, „Ablehnen" als Grautext; gilt als Dark Pattern.
• Fehlende Widerrufsmöglichkeit: Kein dauerhaft zugänglicher Link zu Einstellungen; Widerruf schwieriger als Erteilung.
• Zu pauschale Zweckbeschreibungen: „Wir nutzen Cookies zur Verbesserung Ihrer Erfahrung" ohne konkrete Angabe der Drittanbieter und Zwecke.
• Keine erneute Einholung bei Änderungen: Bei wesentlichen Änderungen der Tracking-Infrastruktur muss eine neue Einwilligung eingeholt werden.