23.10.2018

First-Party Cookies – Auch Facebook wechselt seine Tracking Methode

Facebook reagiert auf Cookie-Einschränkungen von Standardbrowsern: Ab dem 24. Oktober 2018 ermöglicht Facebook Advertisern die Nutzung von First-Party Cookies.

Die Nutzung von Tracking- und Analyse-Cookies ist unter datenschutzrechtlichen Gesichtspunkten umstritten. Nun gibt Facebook – ähnlich wie zuvor Microsoft und Google – zum 24. Oktober 2018 seinen Werbetreibenden die Möglichkeit, auch First-Party Cookies zu verwenden. First-Party Cookies werden dann die Facebook Pixel Standardeinstellung, wobei Facebook dem Webseitenbetreibern die Entscheidung überlässt, diese Einstellung wieder zu ändern. So kann der Werbetreibende selbst auswählen, ob er nur Third-Party oder auch First-Party Cookies nutzen möchte. 
 

Nutzung von First-Party Cookies – Facebook reagiert auf Einschränkungen der Standard-browser

Der Auslöser für die Umstellung bei Facebook war, dass immer mehr Browser per Voreinstellung ein Cross-Site-Tracking unterbinden. So erschwert beispielsweise Safari und Firefox das Cross-Site-Tracking über die Standardeinstellungen. Aber auch Nutzereinstellungen oder Tracking- und Werbeblocker sorgen dafür, dass Third-Party Cookies zu Werbe- und Trackingzwecken nicht mehr zwischen verschiedenen Webseiten ausgetauscht werden können. Dies wiederum führt dazu, dass die Werbetreibende den Erfolg ihrer Werbeanzeigen (Ads) nicht mehr auswerten und somit optimieren können.

First-Party Cookies werden nur in den seltensten Fällen unterbunden

Grundsätzlich wird bei Cookies zwischen First-Party und Third-Party Cookies unterschieden. First-Party Cookies werden meist von der Webseite gesetzt, auf der sich der Nutzer gerade aufhält. Dadurch wird dem Nutzer beispielsweise die Möglichkeit gegeben, bei Onlineshops den Waren-korb zu nutzen. Diese Art der Cookies wird von fast keinem Browser unterbunden, da dies oftmals die reibungslose Nutzung einer Webseite einschränkt.

Third-Party Cookies hingegen werden von Webseiten gesetzt, auf der sich der Nutzer gerade nicht aufhält, wie zum Beispiel im Fall von Facebook. Besucht der Nutzer eine Seite mit Werbung, so wird dies in Form von Datensätzen gespeichert. Besucht er dann erneut eine Seite mit Werbung des gleichen Werbetreibenden, so wird er wiedererkannt.

Auf diesem Weg lassen sich die Wege eines jeden Nutzers im Internet verfolgen. Der Werbetrei-bende kann bei einem erneuten Besuch des Nutzers auf dessen bisherigen Verlauf zugreifen. Mit-hilfe von Facebook-Pixels kann ein solcher Verlauf, welcher bei Facebook startet, sogar genau ausgewertet und die Werbung im Anschluss optimiert werden.

Optimierung von Werbung: Facebook-Pixel auf Grundlage von First-Party Cookies

Zum Cross-Site-Tracking nutzte Facebook bislang das „Facebook-Pixel“, welches auf der Internetseite des Werbetreibenden eingebunden wurde. Anschließend konnte Facebook die Cookies als Third-Party Cookies setzen. Ab dem 24. Oktober 2018 soll der Webseitenbetreiber allerdings die First-Party Cookies für Facebook selbst setzen können, um so dem erschwerten Third-Party Cookie Tracking aus dem Weg zu gehen und nach wie vor brauchbare Daten zu erhalten.

Werbung über Facebook führt zu datenschutzrechtlichen Unsicherheiten

Diese Umstellung ist aus datenschutzrechtlicher Sicht kritisch zu betrachten. Die Umstellung Facebooks dient dazu, Daten weiter auswerten zu können. Über die First-Party Cookies werden erhobenen Daten zusammen mit den personalisierten Nutzerinformationen nicht nur an den Werbetreibenden weitergegeben, sondern auch von Facebook großflächig ausgewertet.

Werbetreibende Unternehmen sollten die Nutzung der First-Party Cookies über Facebook mit Vorsicht genießen. Denn die Rechtmäßigkeit der Datenerhebung ist nicht abschließend geklärt:

Oftmals wird die Rechtmäßigkeit der Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt. Erlaubt ist danach eine Verarbeitung von personenbezogenen Daten, wenn sie zur Wahrung eines berechtigten Interesses erforderlich ist. Was als berechtigtes Interesse zu gelten hat, bestimmt die Vorschrift nicht ausdrücklich näher. Das berechtige Interesse steht immer unter einem Abwägungsvorbehalt.

Jetzt, wo die Nutzung der First-Party Cookies durch Facebook allerdings nur dazu dient, die Browserbeschränkungen und Werbeblocker zu umgehen, dürfte es den zuständigen Gerichten schwer fallen, im Rahmen der Interessenabwägung eine ausgewogenen Lage festzustellen. Erst recht dann, wenn dem Verbraucher keine Möglichkeit gegeben wird, der Erhebung und Nutzung seiner Daten zu wiedersprechen.

Welche Auswirkung hat die Umstellung Facebooks auf Werbetreibende?

Die Umstellung Facebooks auf First-Party Cookies stellt für die Werbetreibenden ein erhebliches datenschutzrechtliches Risiko dar. Gerade dann, wenn der Werbetreibende die Datenerhebung auf Art. 6 Abs. 1 lit. f DSGVO stützen möchten und keine Einwilligung der Nutzer eingeholt hat.

Die Rechtmäßigkeit der Datenverarbeitung kann nur dadurch erreicht werden, dass der Werbetreibende die ausdrückliche Einwilligung des Nutzers einholt und damit einen wirksamen Opt-In Mechanismus schafft.  Beim erstmaligen Betreten der Webseite dürfen keine First-Party Cookies von Facebook gesetzt werden, sondern der Nutzer muss dem, beispielsweise im Rahmen eines Cookie-Banners, ausdrücklich zustimmen. Somit wäre dies auch im Einklang mit dem Positionspapier der Datenschutzkonferenz. Die derzeitige technische Umsetzung durch Facebook ist diesbezüglich allerdings noch unklar.

Keine Anpassung der Datenschutzerklärungen notwendig

Sofern in der Datenschutzerklärung schon zuvor die Nutzung des Facebook Pixels unter dem Vorbehalt einer Einwilligung stand, bedarf es in den meisten Fällen keiner Anpassung der Webseiten-Datenschutzerklärung. Empfehlenswert daneben ist ein Hinweis an den Nutzer auf die Einstellmöglichkeiten im Browser und darüber hinaus auch auf die Einstellungen innerhalb des jeweiligen Facebook-Nutzerkontos, um ggf. das Setzen von Cookies zu unterbinden.