Ein sehr beliebtes Mittel im Bereich des Online Marketings ist der sog. Facebook Pixel. Der Facebook Pixel gehört dabei in die Gruppe der sog. „Custom Audiences“. Dieses (Re)Marketing Tool wird dabei nicht nur von Facebook angeboten, sondern auch von anderen Anbietern wie Twitter oder Google. Die rechtlichen Ergebnisse für den Facebook Pixel können gleichwohl auch auf die Angebote anderer Anbieter übertragen werden.

Funktionsweise von Conversion Tracking Tools

Bei „normalen“ Werbeanzeigen kann ein Werbetreibender über die zu der Werbeanzeige angefertigten Statistiken herausfinden, wer die Anzeige angezeigt bekommen hat und wer ggf. den dazugehörigen Link geklickt hat. Insbesondere wenn Plattformen wie Facebook oder Twitter dann durch den Nutzer verlassen werden, weil er z.B. über den Link auf die Website des werbenden Unternehmens gelangt ist, dann endet das „normale“ Tracking. Mit Conversion Tracking Tools wie dem Facebook Pixel kann man zusätzliche Informationen über den Nutzer erlangen, nämlich welchen Weg der Nutzer nach dem Anzeigen der Werbung und dem Anklicken des Links genommen hat. Mit dem Conversion Tracking Tool kann man feststellen, ob der Nutzer sich für den Newsletter angemeldet hat oder ein Produkt im Online Shop gekauft hat.

Rein technisch gesehen ist der Facebook Pixel ein kurzes Stück JavaScript-Code, welches auf der eigenen Webseite eingebunden wird. Den Code bekommt man direkt von Facebook und er ist auf das eigene Werbekonto personalisiert. Über den Werbepixel wird also eine Verbindung zwischen dem Werbekonto z.B. bei Facebook und der eigenen Website hergestellt, die dann mittels Facebook Pixel miteinander kommunizieren und Daten austauschen.

Datenschutzrechtliche Zulässigkeit

Durch den Einsatz des Facebook Pixel oder anderer Conversion Tracking Tools werden somit personenbezogene Daten des Websitebesuchers an Facebook oder andere Plattformen wie Google oder Twitter in die USA übertragen und (wahrscheinlich) mit Profildaten des Nutzers bei Facebook verknüpft. Facebook stellt dann bestimmte Informationen dem Werbekunden zur Verfügung.

Beim Conversion Tracking werden auch keine anonymen oder pseudonymisierten Daten erhoben. Facebook verschlüsselt lediglich die Übertragung und Speicherung, gleicht dann aber die erlangten Daten mit eigenen verschlüsselten Daten ab. Eine Anonymisierung der Daten wäre auch überhaupt nicht denkbar, um den gewünschten Erfolg zu erzielen, da anderenfalls die Bestimmung der Werbeempfänger für Plattformbetreiber nicht möglich wären. Wären die Daten anonym, dann wäre diese Zusammenführung gar nicht möglich.

Plattformbetreiber weisen an dieser Stelle oftmals darauf hin, dass die Daten verschlüsselt werden. Die Verschlüsselung führt lediglich dazu, dass die Daten in der Zwischenphase der Übermittlung als Pseudonym betrachtet werden können.

Nach §3 Abs. 6a BDSG ist „Pseudonymisieren das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren“.

Damit liegt keine Anonymisierung der Daten vor und die Einwilligung der Nutzer ist vor der Datenspeicherung einzuholen.

Datenschutzbehörden haben zu diesem Thema bereits Fragebögen an Unternehmen versendet und zum Einsatz des Facebook Pixel befragt. Hiermit wollten die Datenschutzbehörden klären, ob die Unternehmen, die den Facebook Pixel einsetzen, auch die dafür notwendige Einwilligung eingeholt haben.

Wie muss die Einwilligung erfolgen?

Für die notwendige Einwilligung sieht die gesetzliche Regelung eine Unterrichtung und Einholung der Einwilligung des Nutzers vor der Speicherung der Daten vor.

§13 Abs. 1 TMG lautet:

„Der Diensteanbieter hat den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in Staaten außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. EG Nr. L 281 S. 31) in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist. Bei einem automatisierten Verfahren, das eine spätere Identifizierung des Nutzers ermöglicht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet, ist der Nutzer zu Beginn dieses Verfahrens zu unterrichten. 3Der Inhalt der Unterrichtung muss für den Nutzer jederzeit abrufbar sein.“

Hieraus ergibt sich dann auch, dass eine Information in der Datenschutzerklärung in diesem Fall nicht ausreichend sein kann. Denn das Vorhalten einer Datenschutzerklärung und eine Information über die Verwendung des Facebook Pixel in dieser Datenschutzerklärung stellt keine Einwilligung des Nutzers dar.

Eine Einwilligung kann dann z.B. zusätzlich in den Cookie-Hinweis aufgenommen werden, soweit der Besucher dabei in ausreichendem Umfang gemäß §13 Abs.1 TMG belehrt wird und dann seine Einwilligung erklärt. Soweit der Nutzer seine Einwilligung erklärt hat darf das Facebook Pixel in die Internetseite eingebunden werden. Zusätzlich wird erst dann ein eigenes „Facebook Pixel Opt-In Cookie“ gesetzt. Bei einem neuerlichen Besuch kann dann über dieses Cookie geprüft werden, ob es vorhanden ist. Ist es vorhanden, dann kann das Facebook Pixel eingebunden werden. Ist es nicht vorhanden, dann muss die Einwilligung erneut eingeholt werden. Zusätzlich muss in der Datenschutzerklärung die Möglichkeit eines Opt-Outs vorgehalten werden. Dies kann z.B. durch das Vorhalten eines entsprechenden Links erfolgen durch den das Cookie wieder gelöscht wird.

Ein Verweis auf die Einstellungsmöglichkeiten bei Facebook reicht zur Erbringung der Pflicht des Opt-Outs nicht aus. Zwar bietet Facebook auch selbst eine Widerspruchsmöglichkeit für Werbung an, die über die Einstellungen bei Facebook zu erreichen sind. Allerdings halten diese Einstellungen Facebook nicht von der Speicherung der Daten ab, sondern sie verhindern nur, dass die Werbung an den Facebook-Nutzer ausgespielt wird. Aus diesem Grund reichen auch die Verweise auf allgemeine Sammel-Opt-Out-Seiten, wie Your Online Choices oder About Ads nicht aus.

Was sind mögliche Folgen eines Verstoßes?

Neben einem eher unwahrscheinlichen aber denkbaren Imageverlust des Unternehmens, welches ohne Einwilligung des Nutzers Daten an Facebook übersendet drohen weitere rechtliche Konsequenzen. Hierzu gehören Untersagungsverfügungen von Datenschutzbehörden oder auch Bußgelder, die je nach wirtschaftlichem Potential des Unternehmens, Umfang und Intensität des Verstoßes bis zu EUR 300.000,00 möglich sind. Zukünftig sind diese Bußgelder nach Anwendbarkeit der DSGVO stärker zu berücksichtigen, da diese durch die Reform auf einen Betrag von bis zu 20 Millionen Euro oder 4% des Unternehmensumsatzes hochgesetzt wurden. Daneben drohen Abmahnungen und Klagen von klagebefugten Organisationen, Mitbewerbern oder Kunden und Nutzern.

Darüber hinaus sind auch Agenturen von möglichen Folgen betroffen. Denn wenn die Risikoverteilung zwischen einer Agentur und einem Kunden nicht klar geregelt ist, dann bestehen für die in Haftung genommenen Unternehmen gute Chancen für einen Regress bei der Agentur, die das Facebook Pixel eingesetzt hat.

Wird die Situation durch die DSGVO einfacher?

Mit Datum 25. Mai 2018 wird die Datenschutzgrundverordnung anwendbar. Diese sieht Erlaubnisnormen vor, die auch den Einsatz von Marketing-Tools erleichtern sollten. So erlaubt Art.6 Abs.1 lit. f DSGVO deren Verarbeitung, wenn die berechtigten Interessen der Unternehmen (wozu auch Marketing gehört) die Interessen der Nutzer am Schutz derer Daten überwiegen. Ob unter diese Norm auch die Funktion des Facebook Pixels gehört ist derzeit nicht abschließend einzuschätzen.

Fazit

Conversion Tracking Pixel oder auch die weiteren Möglichkeiten der Custom Audiences bieten Werbetreibenden regelmäßig eine Vielzahl von wirtschaftlichen Vorteilen. Auf der Gegenseite ist die Rechtslage für Custom Audiences insgesamt noch ungeklärt, was sich auch auf die rechtliche Bewertung des Facebook Pixel auswirkt. Es bestehen Risiken von Abmahnungen durch Betroffene, Mitbewerber oder klagebefugte Organisationen, ebenso wie von behördlichen Bußgeldern und Untersagungsverfügungen. Die Wahrscheinlichkeit eines solchen Eintritts wird hier allerdings als gering erachtet. Dennoch ist eine rechtskonforme Umsetzung nach der bisherigen rechtlichen Einschätzung technisch ohne besonderen Aufwand möglich, so dass Unternehmen zu empfehlen wäre die notwendigen Einwilligungen von Besuchern der Website einzuholen. Agenturen ist darüber hinaus zu empfehlen eine klare Risikoverteilung mit ihren Kunden zu finden, um einem möglichen Regressanspruch im Fall der Inanspruchnahme des Kunden wegen eines Verstoßes zu entgehen.

WK LEGAL berät Sie in allen datenschutzrechtlichen Fragen zur rechtskonformen Umsetzung zur Nutzung von des Facebook Pixel durch Prüfung Ihrer Website und Bereitstellung einer rechtssicheren Datenschutzerklärung. Agenturen beraten wir darüber hinaus auch bei der Vertragsgestaltung und Haftungsfragen rund um dieses Thema. Sprechen Sie uns gerne an.