Tracking ohne Einwilligung – Technik, Recht und Schutz

Tracking ohne Einwilligung bezeichnet die Nachverfolgung von Aktivitäten, Geräten oder Aufenthaltsorten einer Person, ohne dass für den betreffenden Vorgang eine erforderliche wirksame Zustimmung vorliegt. Das kann auf Websites und in Apps durch Kennungen, Messskripte oder Geräteinformationen geschehen. Im persönlichen Umfeld können missbrauchte Standortfreigaben, Überwachungssoftware oder verknüpfte Konten betroffen sein. Die technische Bezeichnung „Tracking“ allein beweist weder einen Rechtsverstoß noch eine bestimmte Absicht.

Für die rechtliche Prüfung muss geklärt werden, welche Informationen erhoben werden, wie der Zugriff erfolgt, wer dafür verantwortlich ist und welche Rechtsgrundlage tatsächlich benötigt wird. Bei der Speicherung oder dem Auslesen von Informationen auf Endgeräten gilt in Deutschland unter anderem § 25 TDDDG. Werden personenbezogene Daten verarbeitet, kommen die Voraussetzungen der DSGVO hinzu. Die heimliche Kontrolle eines Ex-Partners verlangt häufig andere Schutzmaßnahmen als ein fehlerhaft eingebundener Werbetracker auf einer Website.

Welche Formen des Trackings gibt es?

Cookies und Kennungen im Browser

Ein Cookie kann einen Warenkorb, eine Anmeldung oder eine wiederkehrende Kennung speichern. Manche Cookies werden benötigt, um eine vom Nutzer angeforderte Funktion bereitzustellen. Andere dienen der Wiedererkennung über verschiedene Besuche oder der Zuordnung von Werbemaßnahmen. Der Zweck und die technische Funktion bestimmen, welche Einwilligungs- und Informationspflichten gelten können; die bloße Existenz eines Cookies genügt dafür nicht.

Wiedererkennungsmerkmale können vom Websitebetreiber oder durch eingebundene Drittdienste verarbeitet werden. Manche werblichen Systeme versuchen, Besuche auf mehreren Websites zusammenzuführen. Das kann Profile über Interessen oder Nutzungsverhalten entstehen lassen. Ob die erhobenen Angaben personenbezogen sind, richtet sich nach der Möglichkeit der Zuordnung zu einer identifizierten oder identifizierbaren Person.

Browser- und Geräte-Fingerprinting

Bei einem Fingerprinting werden technische Eigenschaften eines Browsers oder Geräts ausgewertet, etwa bestimmte Darstellungseigenschaften oder verfügbare Funktionen. In Kombination können sich wiederkehrende Merkmalsmuster ergeben. Eine solche Wiedererkennung kann ohne einen herkömmlichen Cookie versucht werden. Wie § 25 TDDDG anzuwenden ist, hängt vom konkreten Speichern oder Auslesen von Informationen auf der Endeinrichtung ab; die eingesetzte Technik darf nicht allein wegen ihres Namens rechtlich eingeordnet werden.

Das Entfernen von Cookies verhindert deshalb nicht zwangsläufig jede Form der Wiedererkennung. Umgekehrt ist nicht jede technische Geräteinformation automatisch ein rechtswidriger Fingerprint. Sicherheits- und Darstellungsfunktionen können ähnliche Informationen verarbeiten, ohne der individuellen Werbeprofilbildung zu dienen.

Tracking in mobilen Apps

Apps können Gerätekennungen, Nutzungsereignisse und bei erteilter Berechtigung Standortdaten verarbeiten. Externe Analyse- und Werbedienste können über integrierte Softwarekomponenten beteiligt sein. Auch eine App, die im Vordergrund keinen offensichtlichen Werbedienst zeigt, kann technisch solche Komponenten enthalten.

Die Berechtigung zur Standortfreigabe im Betriebssystem ist nicht in jedem Fall identisch mit einer datenschutzrechtlichen Einwilligung in sämtliche anschließenden Verarbeitungen. Ein Anbieter muss die jeweils geltenden gesetzlichen Anforderungen erfüllen. Die Prüfung betrifft deshalb Geräteberechtigungen, Datenschutzhinweise und die tatsächlichen Datenflüsse.

Nachverfolgung durch E-Mail-Pixel

Bei einer Nachricht mit einem extern geladenen Bild kann der Abruf einen Kontakt zum Server des Absenders herstellen. Manche Newsletterdienste verwenden winzige Bilder, um einen Ladevorgang als vermeintliche Öffnung zu messen. Sicherheits- oder Datenschutzfunktionen in Mailprogrammen können solche Werte verfälschen. Aus einer gemessenen Öffnung folgt daher nicht sicher, dass eine bestimmte Person die Nachricht tatsächlich gelesen hat.

Eine weitergehende technische Darstellung enthält der vorhandene Wiki-Eintrag Open-Tracking Abuse. Dieser Beitrag behandelt die missbräuchliche E-Mail-Nachverfolgung. Die datenschutzrechtliche Zulässigkeit muss am konkreten Verarbeitungsvorgang geprüft werden.

Standortfreigaben und Bluetooth-Tracker

Eine Person kann über eine Familiengruppe, einen Kartenanbieter, eine Fahrzeug-App oder einen Bluetooth-Tracker lokalisiert werden. Bei freiwillig eingerichteten Freigaben ist zu klären, welche Zugriffe vereinbart wurden und ob sie fortbestehen. Wird ein Tracker heimlich angebracht oder eine Standortfreigabe erzwungen, kann das Teil einer Nachstellung oder digitalen Partnerschaftsgewalt sein.

Solche Fälle unterscheiden sich von den üblichen Webtracking-Vorgängen. Ein Sensor in einem Gegenstand, eine App auf dem eigenen Smartphone und der Zugang zu einem fremden Cloudkonto haben verschiedene technische Ursachen. Stalkerware beschreibt die heimliche Softwareüberwachung; digitale Partnerschaftsgewalt die persönliche Kontrolle innerhalb oder nach einer Beziehung.

Wann ist nach § 25 TDDDG eine Einwilligung erforderlich?

§ 25 Absatz 1 TDDDG verlangt für die Speicherung von Informationen auf einer Endeinrichtung oder den Zugriff auf dort bereits gespeicherte Informationen eine Einwilligung auf Grundlage klarer und umfassender Informationen. Die Einwilligung und die Information müssen den Anforderungen der DSGVO entsprechen. Der Schutz gilt bei diesem Endgerätezugriff unabhängig davon, ob die betreffende Information selbst personenbezogen ist.

Der Gesetzgeber nennt in § 25 Absatz 2 TDDDG Ausnahmen. Eine Einwilligung ist für einen Zugriff nicht erforderlich, wenn sein alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Eine weitere Ausnahme betrifft Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Ein technisch notwendiger Sitzungsmechanismus für eine angeforderte Anmeldung kann unter diese Ausnahmen fallen. Das gilt nicht pauschal für sämtliche Statistik- oder Werbeskripte, nur weil ein Websitebetreiber diese wirtschaftlich für nützlich hält. Die tatsächliche Notwendigkeit für den ausdrücklich gewünschten Dienst muss geprüft werden.

Auch die frühere Gesetzesbezeichnung darf nicht verwechselt werden: Das frühere TTDSG heißt inzwischen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Ältere Hinweise und Urteile können noch die frühere Abkürzung verwenden. Für einen aktuellen Fachbeitrag sollte der geltende Gesetzesname verwendet werden.

Warum die DSGVO neben dem TDDDG zu prüfen ist

Die DSGVO gilt, soweit personenbezogene Daten in ihren sachlichen und räumlichen Anwendungsbereich fallen. Eine Website kann einen Zugriff auf ein Endgerät nach § 25 TDDDG beurteilen müssen und anschließend personenbezogene Nutzungsdaten verarbeiten, die eine eigene Rechtsgrundlage nach Artikel 6 DSGVO erfordern. Eine rechtmäßige technische Speicherung ist deshalb nicht automatisch eine Erlaubnis für jede spätere Profilbildung.

In Betracht kommen die gesetzlichen Rechtsgrundlagen des Artikels 6, abhängig vom tatsächlichen Zweck. Ein Vertrag, eine rechtliche Pflicht, eine wirksame Einwilligung oder unter bestimmten Voraussetzungen berechtigte Interessen können unterschiedlich zu beurteilen sein. Eine beliebige werbliche Nutzerverfolgung darf nicht mit einem pauschalen Hinweis auf „berechtigtes Interesse“ dem besonderen Endgeräteschutz entzogen werden.

Für eine wirksame Einwilligung sind unter anderem Freiwilligkeit, Information, eine eindeutige bestätigende Handlung und die Möglichkeit des Widerrufs zu beachten. Nach Artikel 7 Absatz 3 DSGVO muss ein Widerruf so einfach sein wie die Erteilung. Bereits rechtmäßig erfolgte Verarbeitungen werden durch den späteren Widerruf nicht rückwirkend unzulässig.

Die Datenschutzkonferenz veröffentlicht Orientierungshilfen für Anbieter digitaler Dienste. Sie unterscheiden zwischen tatsächlich einwilligungsbedürftigen Zugriffen und Vorgängen, bei denen eine gesetzliche Ausnahme oder andere Rechtsgrundlage einschlägig ist. Die Abgrenzung muss an den konkreten Funktionen der Website oder App erfolgen.

Was kann bei Cookie-Bannern rechtlich problematisch sein?

Ein Einwilligungsbanner kann unzureichend sein, wenn es wesentliche Informationen über Zwecke und beteiligte Anbieter verschweigt, eine ausdrückliche Zustimmung vortäuscht oder eine wirksame Ablehnung behindert. Eine vorangekreuzte Option ist kein verlässlicher Nachweis einer freiwilligen aktiven Einwilligung. Ob die Gestaltung die gesetzlichen Anforderungen erfüllt, muss anhand der tatsächlich angebotenen Auswahl und der eingesetzten Technologien beurteilt werden.

Eine weitere Frage ist, was nach der Ablehnung technisch geschieht. Wenn ein Anbieter eine Ablehnung anzeigt, aber dieselben einwilligungsbedürftigen Vorgänge unverändert fortsetzt, kann eine Rechtsverletzung vorliegen. Daraus lässt sich ohne Prüfung der Netzwerkkommunikation jedoch nicht automatisch schließen, dass alle gesetzten Cookies rechtswidrig sind. Technisch erforderliche Vorgänge können fortbestehen.

Ein Cookie-Banner ist nicht schon deshalb rechtmäßig, weil sich irgendwo ein Datenschutzhinweis öffnen lässt. Auf der anderen Seite ist für einen Dienst ohne einwilligungsbedürftige Verarbeitung nicht allein wegen der Nutzung des Internets ein Banner vorgeschrieben. Die Darstellung sollte der tatsächlichen technischen Verarbeitung entsprechen.

Welche Hinweise können auf unerwünschtes Tracking hindeuten?

  • Nach einer Ablehnung von Werbe- und Analysetechnologien werden weiterhin ähnliche externe Requests beobachtet, deren Zweck ungeklärt ist.
  • Eine App verlangt Standortzugriff, obwohl die angefragte Funktion keinen erkennbaren Ortsbezug hat.
  • Ein Dienst verknüpft öffentlich nicht erkennbare Kennungen mit Konten oder überträgt Informationen an weitere Anbieter.
  • Ein früherer Partner kennt wiederholt Aufenthaltsorte, die nicht freiwillig mitgeteilt wurden.
  • Ein Browser enthält unerwartete Erweiterungen, oder Konten zeigen unbekannte Gerätesitzungen.
  • Bei einem Bluetooth-Tracker erscheint eine Warnung über ein unbekanntes Gerät, das offenbar mitgeführt wird.

Diese Hinweise müssen voneinander getrennt werden. Eine externe Netzwerkverbindung kann beispielsweise auch für Kartenmaterial, Videoeinbettungen oder eine ausdrücklich genutzte Funktion notwendig sein. Ein ungewöhnlicher Batterieverbrauch ist kein sicherer Nachweis für eine Überwachungssoftware. Eine Warnung über einen Tracker muss geprüft werden, bevor einer bestimmten Person die Verantwortung zugeschrieben wird.

Wie können Privatpersonen unerwünschtes Webtracking begrenzen?

Browser und Betriebssysteme bieten Einstellungen zur Einschränkung von Websiteberechtigungen, Cookies und teilweise websiteübergreifender Nachverfolgung. Die konkreten Funktionen unterscheiden sich zwischen Herstellern und Versionen. Ein privates Browserfenster verhindert gewöhnlich, dass lokal dauerhaft derselbe Verlauf gespeichert wird; es macht die Person aber nicht automatisch anonym gegenüber Websites, Netzbetreibern oder bereits angemeldeten Diensten.

Eine wirksam erteilte Einwilligung kann über die dafür bereitgestellten Einstellungen widerrufen werden. Nach dem Widerruf sollte geprüft werden, ob die betreffenden einwilligungsbedürftigen Vorgänge beendet sind. Die Löschung eines Cookies im eigenen Browser ist keine automatische Löschung der beim Anbieter bereits rechtmäßig gespeicherten Daten. Dafür kann ein gesonderter datenschutzrechtlicher Antrag nötig sein.

Wer Apps nutzt, kann Standort-, Kamera-, Mikrofon- und Kontaktberechtigungen überprüfen. Die Einschränkung einer Berechtigung kann die gewünschte Funktion beeinträchtigen. Es ist daher sinnvoll, nur die Rechte zu vergeben, die für die tatsächlich verwendete Funktion gebraucht werden. Bei einer App mit rechtmäßigem Standortzugriff muss die spätere Weitergabe der Standortdaten gegebenenfalls eigenständig rechtlich geprüft werden.

Was tun bei heimlicher Standortverfolgung?

Wenn der Verdacht besteht, dass ein gewaltbereiter Mensch den Aufenthaltsort verfolgt, kann ein unvorbereiteter technischer Eingriff gefährlich sein. Der Entzug einer Standortfreigabe oder das Entfernen von Stalkerware kann von der überwachenden Person bemerkt werden. Eine Sicherheitsplanung mit einer Beratungsstelle sollte daher Vorrang vor einer bloß technischen Maßnahme haben.

Die Polizeiliche Kriminalprävention gibt Hinweise zum Vorgehen bei Stalkerware. Die Verbraucherzentrale beschreibt den Missbrauch von Bluetooth-Trackern zur Nachstellung. Die Entfernung eines physischen Ortungsgeräts und die Prüfung eines missbrauchten Cloudkontos sind verschiedene Maßnahmen.

Bei unmittelbarer Gefahr kann die Polizei unter 110 kontaktiert werden. Wer vermutet, dass das eigene Telefon überwacht wird, sollte für die Hilfesuche möglichst ein anderes, vertrauenswürdiges Gerät verwenden. Eine Anzeige und die sachliche Dokumentation der beobachteten Vorgänge können auch dann sinnvoll sein, wenn die technische Ursache noch ungeklärt ist.

Wie lässt sich ein Tracking-Vorfall sachlich dokumentieren?

Für eine Prüfung der eigenen Websitebesuche können Zeitpunkt, betroffener Dienst, getroffene Einwilligungsentscheidung und sichtbare Einstellungen festgehalten werden. Technisch erfahrene Personen können in den Entwicklerwerkzeugen des Browsers untersuchen, welche Netzwerkverbindungen nach dem Laden einer Seite tatsächlich stattfinden. Eine Netzwerkadresse allein beweist aber weder den Zweck noch die Rechtswidrigkeit der Übertragung.

Die Untersuchung sollte ermitteln, welche Informationen gespeichert oder ausgelesen werden, ob sie an Dritte gelangen und welche Funktion der jeweiligen Verbindung zugrunde liegt. Bei wiederkehrenden Nutzerkennungen muss geprüft werden, wie sie entstehen und ob eine personenbezogene Zuordnung möglich ist. Der Vergleich vor und nach einer Einwilligungsentscheidung kann konkrete Unterschiede sichtbar machen.

Bei persönlicher Standortüberwachung sind gegebenenfalls eine Chronologie unerwarteter Begegnungen, bekannte Kontofreigaben und sicher dokumentierte Gerätehinweise nützlich. Ein Screenshot einer verdächtigen Einstellung belegt die sichtbare Einstellung, nicht automatisch, wer sie aktiviert hat. Eigenmächtige Zugriffe auf fremde Konten sind keine zulässige Methode zur Aufklärung.

Tracking ohne Einwilligung und Datendiebstahl unterscheiden

Ein Trackingverfahren kann auf einer technischen Freigabe, einer rechtswidrigen Datenerhebung oder einem kompromittierten Konto beruhen. Ein Datendiebstahl betrifft dagegen das unbefugte Erlangen von Informationen. Beide Vorgänge können sich überschneiden, müssen aber nicht gemeinsam auftreten.

Auch Data Scraping, das automatisierte Auslesen von Daten aus zugänglichen Quellen, ist nicht mit jeder Form von personenbezogenem Tracking identisch. Scraping kann öffentlich sichtbare Informationen erfassen, ohne einen Cookie auf dem Endgerät zu setzen. Ob es rechtmäßig ist, hängt vom konkreten Vorgehen, den betroffenen Rechten und den weiteren Umständen ab.

Bei Stalkerware steht die Überwachung eines persönlichen Geräts oder Kontos zur Kontrolle einer Person im Vordergrund. Werbliche Messungen einer Website verfolgen gewöhnlich andere Zwecke. Aus dem technischen Begriff „Tracking“ lässt sich daher weder der Tätertyp noch die strafrechtliche Einordnung ableiten.

Welche Rechte können Betroffene geltend machen?

Bei personenbezogener Datenverarbeitung können nach der DSGVO unter Voraussetzungen Ansprüche auf Auskunft, Berichtigung, Löschung und Einschränkung bestehen. Eine Person kann nach Artikel 21 Absatz 2 DSGVO der Verarbeitung ihrer personenbezogenen Daten für Direktwerbung widersprechen. Für eine Löschung nach Artikel 17 DSGVO müssen die gesetzlichen Voraussetzungen und Ausnahmen erfüllt sein. Der gesonderte Wiki-Eintrag Persönliche Daten löschen erklärt Fristen und Antragswege.

Wer eine unzulässige Verarbeitung vermutet, kann den Verantwortlichen um Auskunft und eine Erläuterung des konkreten Vorgangs bitten. Bleibt die Antwort unzureichend oder besteht ein begründeter Verdacht auf einen Verstoß, kann eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde infrage kommen. Der zuständige Aufsichtsbereich hängt unter anderem vom Anbieter und der verletzten Vorschrift ab.

Wenn Tracking Teil einer Nachstellung ist, können unter den gesetzlichen Voraussetzungen strafrechtliche Vorschriften wie § 238 StGB einschlägig sein. Die verbotene Handlung, Wiederholung und Eignung zur Beeinträchtigung der Lebensgestaltung müssen im Einzelfall geprüft werden. Ein fehlendes Cookie-Banner erfüllt nicht automatisch einen Tatbestand der Nachstellung.

Fiktive Beispiele zur rechtlichen Abgrenzung

Beispiel einer Website: Nach Ablehnung der Marketingoptionen stellt ein Nutzer fest, dass ein Script weiterhin mit einem externen Dienst kommuniziert. Damit liegt ein technischer Untersuchungsansatz vor. Zu prüfen ist, welche Daten übertragen werden, ob das Script Informationen auf dem Endgerät ausliest und ob eine Ausnahme nach § 25 TDDDG greift. Erst aus der tatsächlichen Funktion und Rechtsgrundlage lässt sich eine belastbare Bewertung ableiten.

Beispiel einer Beziehung: Eine Frau erfährt, dass ihr früherer Partner wiederholt ihren Aufenthaltsort kennt. Ihr Smartphone zeigt eine alte Familienfreigabe an. Eine solche Freigabe kann die Information erklären; sie beweist keine installierte Spionagesoftware. Weil der Partner auch drohende Nachrichten sendet, organisiert die Frau die Hilfesuche über ein anderes Gerät. Die Änderung der Freigabe wird mit der Sicherheitsplanung abgestimmt.

Häufige Fragen zu Tracking ohne Einwilligung

Ist Tracking ohne Cookie-Banner immer verboten?

Nein. Ein Banner ist nicht für jede technische Verarbeitung vorgeschrieben. § 25 Absatz 2 TDDDG enthält Ausnahmen für bestimmte notwendige Vorgänge. Bei einer einwilligungsbedürftigen Speicherung oder einem Zugriff auf Endgeräteinformationen muss eine wirksame Einwilligung vorliegen.

Verhindert das Löschen von Cookies jede Nachverfolgung?

Nein. Andere technische Kennungen und bereits vorhandene Kontodaten können weiterhin eine Zuordnung zulassen. Das Löschen eines Cookies löscht auch nicht automatisch personenbezogene Daten beim verantwortlichen Anbieter.

Darf eine App meinen Standort ohne Zustimmung verfolgen?

Die rechtliche Bewertung hängt von der konkreten Erhebung, den geltenden Vorschriften und einer möglichen Rechtsgrundlage ab. Eine Betriebssystemberechtigung ersetzt nicht automatisch sämtliche datenschutzrechtlichen Anforderungen. Heimliche Kontrolle durch eine andere Person kann weitere Rechtsverletzungen darstellen.

Kann ich meine Einwilligung zu Werbetracking zurücknehmen?

Eine auf Einwilligung gestützte Verarbeitung kann nach Artikel 7 Absatz 3 DSGVO für die Zukunft widerrufen werden. Der Anbieter muss den Widerruf so einfach machen wie die Erteilung. Bereits rechtmäßig erfolgte Verarbeitungen werden dadurch nicht rückwirkend rechtswidrig.

Wie beweise ich unerlaubtes Tracking?

Eine belegbare Prüfung benötigt Angaben zu den tatsächlichen Datenflüssen, Endgerätezugriffen, Einstellungen und Zwecken. Ein einzelner externer Serveraufruf oder ein ungewöhnlicher Akkuverbrauch ist kein ausreichender Nachweis.

Was tun, wenn mein Ex-Partner meine Standortdaten sieht?

Bei Drohungen oder möglicher Gewalt sollte eine sichere Kontaktmöglichkeit zur Beratung geschaffen werden. Das sofortige Abschalten einer bekannten Freigabe kann die Situation verschärfen. Bei akuter Gefahr gilt der Polizeinotruf 110.

Wo können Betroffene Hilfe erhalten?

Bei Fragen zu Cookie-Einwilligungen und personenbezogenen Daten kommen die zuständigen Datenschutzaufsichtsbehörden und Verbraucherberatungen infrage. Bei Stalking, Drohungen oder Gewalt können Polizei und spezialisierte Opferberatungsstellen helfen. Eine technische Kontrolle und eine strafrechtliche Ermittlung haben unterschiedliche Zuständigkeiten.

BRANDPROTECTIONNOW kann im vereinbarten Leistungsumfang Hinweise auf unberechtigte Überwachung, digitale Identitätsmissbräuche und auffällige öffentliche Datenveröffentlichungen dokumentieren und geeignete Schutzschritte koordinieren. Eine vollständige Untersuchung eines Endgeräts oder eine rechtsverbindliche Bewertung jeder Datenverarbeitung erfordert je nach Fall weitere Fachstellen. Die Identifizierung einer konkreten Person hinter einem digitalen Vorfall kann nicht zugesagt werden.

Fachquellen