Webanalyse und Tracking im Onlineshop rechtlich einordnen
Kurz gesagt
Webanalyse und Conversion-Tracking berühren zwei Ebenen: den Zugriff auf das Endgerät des Besuchers und die Verarbeitung personenbezogener Daten. In Deutschland und Österreich braucht jeder nicht unbedingt erforderliche Gerätezugriff eine Einwilligung (§ 25 TDDDG, § 165 TKG 2021); in der Schweiz genügt grundsätzlich Information mit Ablehnungshinweis (Art. 45c FMG), zusätzlich verlangt das DSG eine ausdrückliche Einwilligung, wenn der Einsatz in ein Profiling mit hohem Risiko mündet, etwa bei werbefinanziertem Tracking über mehrere Webseiten hinweg (Art. 6 Abs. 7 DSG). Consent-frei messen Sie ohne Gerätezugriff; die DSGVO verlangt nur dann eine Rechtsgrundlage nach Art. 6, wenn die Messung weiterhin personenbezogene Daten verarbeitet.
Das Wichtigste
- Zwei Ebenen: Gerätezugriff (DE § 25 TDDDG, AT § 165 TKG 2021, CH Art. 45c FMG) und DSGVO-Rechtsgrundlage (Art. 6).
- DE/AT: Einwilligung für Cookies und Fingerprinting; Ausnahmen nur Nachrichtenübertragung und unbedingt erforderliche Zugriffe.
- CH: Art. 45c FMG verlangt Information und Ablehnungshinweis, keine Einwilligung; bei Profiling mit hohem Risiko gilt DSG.
- Consent-frei: Server-Zählung ohne Gerätezugriff (Logfiles ohne personenbezogene Daten); die DSGVO gilt nur, soweit weiterhin personenbezogene Daten verarbeitet werden (Art. 6 und Art. 13).
- DSK: Reichweitenmessung wird nach Konfiguration und Zweck einzeln geprüft; berechtiges Interesse trägt im Tracking nur selten.
- Bußgelder: DE bis 300.000 Euro (§ 28 TDDDG); DSGVO bis 20 Mio. Euro oder 4 Prozent Weltumsatz (Art. 83).
Was gilt?
Webanalyse und Conversion-Tracking berühren zwei Ebenen, die getrennt zu prüfen sind. Die erste Ebene ist der Zugriff auf das Endgerät des Besuchers: das Speichern von Informationen dort (Cookies, Local Storage) und das Auslesen bereits gespeicherter Informationen (Gerätekennungen, Werbe-IDs, Browser-Fingerprinting). Diese Ebene regeln in Deutschland § 25 TDDDG, in Österreich § 165 Abs. 3 TKG 2021 und in der Schweiz Art. 45c FMG. Die zweite Ebene ist die Verarbeitung der personenbezogenen Daten, die die Messung erzeugt: IP-Adressen, User-IDs, Verhaltensdaten. In Deutschland und Österreich gilt dafür die DSGVO, in der Schweiz das DSG.
Ein Mess-Setup ist nur dann rechtmäßig, wenn beide Ebenen abgedeckt sind. Die Einwilligung für den Gerätezugriff begründet nicht automatisch eine Rechtsgrundlage für die nachgelagerte Verarbeitung; eine Einwilligung, die auch die nachgelagerte Verarbeitung wirksam umfasst, kann deren Rechtsgrundlage sein. Umgekehrt legitimiert eine Rechtsgrundlage nach Art. 6 DSGVO keinen Gerätezugriff, der nach der nationalen Vorschrift einwilligungsbedürftig ist (OH Digitale Dienste, Rn. 97 bis 103).
Für wen gilt das?
Adressat ist der Shopbetreiber als Anbieter des digitalen Dienstes. In Deutschland gilt das TDDDG für Anbieter digitaler Dienste; es erfasst auch ausländische Shops, die in Deutschland Waren anbieten (§ 1 Abs. 3 TDDDG). In Österreich richtet sich § 165 TKG 2021 an Anbieter eines Dienstes der Informationsgesellschaft im Sinne des § 3 Z 1 ECG, zu dem der Online-Vertrieb von Waren zählt. In der Schweiz erfasst Art. 45c FMG das Bearbeiten von Daten auf fremden Geräten durch fernmeldetechnische Übertragung.
Die Pflicht hängt an der Technik, nicht an der Betriebsgröße oder einer Umsatzschwelle. Ein B2B-Shop ist genauso betroffen wie ein Shop für Privatkunden, weil der Gerätezugriffsschutz an die Person anknüpft, die das Endgerät nutzt, nicht an die Verbrauchereigenschaft (OH Digitale Dienste, Rn. 35).
Consent-basiert oder consent-frei?
Die Wahl zwischen den beiden Setups ist die zentrale Entscheidung. Consent-basiert heißt: Das Analysewerkzeug setzt Cookies, liest Gerätekennungen aus oder nutzt Fingerprinting. Consent-frei heißt: Die Messung läuft serverseitig, ohne dass auf dem Endgerät des Besuchers etwas gespeichert oder ausgelesen wird.
| Kriterium | Consent-basiert (mit Gerätezugriff) | Consent-frei (ohne Gerätezugriff) |
|---|---|---|
| Typische Umsetzung | Cookie-basierte Webanalyse, Conversion-Tracking mit User-IDs, Fingerprinting | Server-Zählung, Logfiles ohne personenbezogene Daten, Zählpixel ohne weitere Nutzerdaten |
| DE: § 25 TDDDG | Einwilligung nach Abs. 1, sofern der Zugriff nicht unbedingt erforderlich ist (Abs. 2) | Nicht anwendbar, weil kein Gerätezugriff |
| AT: § 165 TKG 2021 | Einwilligung nach Abs. 3, sofern nicht unbedingt erforderlich | Nicht anwendbar, weil kein Gerätezugriff |
| CH: Art. 45c FMG | Information und Ablehnungshinweis; zusätzlich ausdrückliche Einwilligung nach DSG bei Profiling mit hohem Risiko | Nicht anwendbar, weil kein Bearbeiten von Daten auf fremden Geräten |
| DSGVO (DE/AT): Art. 6 | Rechtsgrundlage für die Verarbeitung personenbezogener Daten erforderlich | Rechtsgrundlage erforderlich, soweit personenbezogene Daten verarbeitet werden |
| DSGVO (DE/AT): Art. 13 | Information bei Erhebung personenbezogener Daten | Information bei Erhebung personenbezogener Daten |
| Datenqualität (Beispiel-Setup) | Beispiel: Wiedererkennung, Cross-Site-Verknüpfung, Conversion-Pfade | Beispiel: keine Wiedererkennung über Sitzungen hinaus |
| Banner | DE/AT: Ja, wenn einwilligungsbedürftige Dienste geladen werden; CH: Ja, wenn ein Profiling mit hohem Risiko vorliegt (ausdrückliche Einwilligung nach Art. 6 Abs. 7 DSG) | Nein, soweit kein anderer Einwilligungsbedarf besteht |
Die DSK, die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, lehnt eine pauschale Einordnung der Reichweitenmessung ab (OH Digitale Dienste, Rn. 87). Ihre Begründung: Die üblichen Bezeichnungen sind zu unbestimmt, weil sich hinter “Reichweitenmessung” sehr unterschiedliche Verfahren verbergen (Rn. 88). Eine reine Zählung von Seitenaufrufen ohne Nutzerdaten lässt sich ohne Zugriff auf das Endgerät umsetzen: indem bei jedem Abruf einer Seite ein Zähler erhöht wird, die Zahl der Seitenabrufe auf Basis von Logfiles ohne personenbezogene Daten ermittelt wird oder ein einfaches Zählpixel des direkt aufgerufenen digitalen Dienstes implementiert wird, durch das keine weiteren Nutzerdaten erfasst werden (Rn. 88).
Im Web-Kontext hat sich die ursprüngliche Reichweitenmessung zu einer Reichweitenanalyse mit individualisierten Informationen entwickelt, die um beliebige Kriterien ergänzt werden kann. Ob eine Messung ohne Einwilligung rechtmäßig ist, lässt sich daher nur für eine genau definierte Konfiguration und Zweckbestimmung feststellen; die Festlegung ist ungültig, wenn weitere Informationen über Nutzende oder ein weiteres Auswertungsergebnis hinzukommen (Rn. 89). Der verfolgte Zweck ist maßgeblich: Selbst die einfache Messung von Besucherzahlen ist nicht per se Bestandteil des Basisdienstes, sondern hängt vom konkret verfolgten Zweck ab (Rn. 90).
Was die Aufsichtsbehörden zur Rechtsgrundlage sagen
Für die Verarbeitung personenbezogener Daten nach der DSGVO nennt die DSK zur Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) Folgendes: Im Kontext des Trackings sind in der Praxis nur in wenigen Konstellationen die Voraussetzungen erfüllt (OH Digitale Dienste, Rn. 109). Die Interessenabwägung muss auf den konkreten Einzelfall bezogen sein; pauschale Feststellungen in Datenschutzerklärungen erfüllen die gesetzlichen Anforderungen nicht (Rn. 110). Verarbeitet ein eingebundener Drittdienstleister die Daten auch zu eigenen Zwecken, etwa um eigene Dienste zu verbessern, wird der Rahmen der Auftragsverarbeitung nach Art. 28 DSGVO überschritten; für die Übermittlung personenbezogener Daten kann Art. 6 Abs. 1 lit. f DSGVO dann in der Regel keine wirksame Rechtsgrundlage bilden (Rn. 111).
Zusätzlich prüft die DSK die Übermittlung in Drittländer: Ohne Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO dürfen personenbezogene Daten nur mit geeigneten Garantien, etwa Standarddatenschutzklauseln, oder bei Vorliegen eines Ausnahmetatbestands nach Art. 49 DSGVO übertragen werden; der reine Abschluss der Klauseln reicht nicht, es ist im Einzelfall zu prüfen, ob das Recht des Drittlandes den Schutz beeinträchtigt (Rn. 113 und 114).
Seit wann gilt das?
Die DSGVO gilt seit 25. Mai 2018. § 25 TDDDG gilt seit 1. Dezember 2021, damals als § 25 TTDSG; mit Wirkung zum 14. Mai 2024 wurde das Gesetz in TDDDG umbenannt, der Inhalt der Norm blieb unverändert. § 165 TKG 2021 gilt seit 1. November 2021. Art. 45c FMG gilt seit 1. April 2007. Das neue Schweizer DSG gilt seit 1. September 2023; der EDÖB hat seinen Cookies-Leitfaden in Version 1.1 am 6. Oktober 2025 veröffentlicht.
Was bei einem Verstoß droht
In Deutschland handelt ordnungswidrig, wer vorsätzlich oder fahrlässig entgegen § 25 Abs. 1 Satz 1 TDDDG eine Information speichert oder auf eine Information zugreift (§ 28 Abs. 1 Nr. 13 TDDDG); die Geldbuße beträgt bis zu 300.000 Euro (§ 28 Abs. 2 TDDDG). Die Anforderungen an die Einwilligung im Einzelnen regelt die Cookie-Einwilligung in Deutschland.
In Österreich begeht, wer entgegen § 165 Abs. 3 TKG 2021 die Nutzer oder Benutzer nicht informiert, eine Verwaltungsübertretung und ist mit einer Geldstrafe bis zu 50.000 Euro, im Fall der Uneinbringlichkeit mit Freiheitsstrafe bis zu sechs Wochen, zu bestrafen (§ 188 Abs. 4 Z 24 TKG 2021). Das Speichern von Informationen im Endgerät oder der Zugriff darauf ohne Einwilligung ist in der geöffneten Fassung des § 188 TKG 2021 kein eigener Tatbestand. Die Cookie-Einwilligung in Österreich beschreibt die Informationspflicht im Einzelnen.
In der Schweiz werden vorsätzliche oder fahrlässige Verstöße gegen Art. 45c FMG mit einer Busse bis zu 5’000 Franken bestraft (Art. 53 FMG). Die Cookie-Einwilligung in der Schweiz grenzt die Informationspflicht von der Einwilligungspflicht ab.
Für die DSGVO-Ebene gilt in Deutschland und Österreich: Verstöße gegen die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, nach den Artikeln 5, 6, 7 und 9 DSGVO werden mit einer Geldbuße bis zu 20.000.000 Euro oder, im Fall eines Unternehmens, bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. a DSGVO).
Checkliste für Ihren Shop
- Liste aller Cookies, Pixel und Storage-Einträge mit Zweck, Laufzeit und auslesendem Anbieter anlegen.
- Für jeden Eintrag festlegen, ob ein Gerätezugriff stattfindet und ob er unbedingt erforderlich ist; die vier Dimensionen prüfen: Wann, was, wie lange, für wen auslesbar (OH Digitale Dienste, Rn. 95).
- Bei consent-freier Messung sicherstellen, dass Logfiles keine personenbezogenen Daten enthalten oder dass eine Rechtsgrundlage nach Art. 6 DSGVO und eine Information nach Art. 13 DSGVO vorliegen.
- Bei consent-basierter Messung die Einwilligung vor dem Laden der Skripte einholen und die Rechtsgrundlage für die nachgelagerte Verarbeitung dokumentieren.
- Konfiguration und Zweck dokumentieren, nicht nur die Kategorie; bei Änderung der Konfiguration die Prüfung wiederholen (OH Digitale Dienste, Rn. 89).
- Drittland-Übermittlungen prüfen: Angemessenheitsbeschluss, Standarddatenschutzklauseln und ergänzende Maßnahmen (OH Digitale Dienste, Rn. 113 und 114).
- In der Schweiz Information und Ablehnungshinweis nach Art. 45c FMG bereitstellen und prüfen, ob ein Profiling mit hohem Risiko vorliegt, das eine ausdrückliche Einwilligung nach Art. 6 Abs. 7 DSG verlangt (EDÖB, Leitfaden Cookies, Ziff. 3.10.1 und 3.11.3).