Datenschutzmodi und DSGVO beim Tracking von Kurzlinks

Jedes Gespräch über Datenschutz beim Link-Tracking landet irgendwann bei derselben Frage eines Kunden: Was genau wissen Sie über die Menschen, die auf unsere Links klicken? Die Antwort wird meist improvisiert, und deshalb fällt sie meist in die eine oder die andere Richtung falsch aus — beruhigender, als das System garantiert, oder so vage, dass sie ausweichend klingt.

Dieser Artikel liefert das Material für eine bessere Antwort: was ein Klick-Event enthält, warum die Detailtiefe beim Schreiben entschieden und nicht aus einem Bericht herausgefiltert wird, was mit der Netzwerkadresse geschieht, wie die Aufbewahrung tatsächlich funktioniert, was die Einwilligung abdeckt und welche Unterlagen die Compliance-Prüfung eines Kunden verlangt. Es ist keine Rechtsberatung — welche Pflichten gelten, hängt von Ihrem Rechtsraum ab, von Ihrem Publikum und davon, was Sie hinterher mit den Daten tun.

Was ein Klick aufschreibt

Im Moment der Weiterleitung, bevor irgendeine Seite geladen ist, sieht die Engine eine Anfrage. Aus ihr kann das Event den Zeitpunkt des Klicks festhalten, Link und Domain, das Ziel, einen ungefähren Standort aus der Netzwerkadresse, die Geräteklasse, Browser und Betriebssystem aus dem User Agent, die verweisende Domain, sofern eine mitgeschickt wird, die Browsersprache und etwaige Kampagnenparameter an der URL.

Hat der Workspace die detaillierte Schicht aktiviert, kann dasselbe Event außerdem Region und Stadt mit ihren GeoNames-Kennungen tragen, Koordinaten und einen Genauigkeitsradius, die Zeitzone und die Ortszeit-Stunde des Besuchers, die Nummer des autonomen Systems und den Namen des Providers sowie ein Urteil zum Traffic-Typ mit Qualitätswert. Wozu diese Schicht da ist, steht in der Dokumentation zu Traffic-Regeln.

Zwei Dinge fehlen mit Absicht. Die Postleitzahl löst die Geo-Datenbank zwar auf, festgehalten wird sie aber nicht, denn in dichter Bebauung kommt eine Postleitzahl einer Adresse nahe. Und die Netzwerkadresse selbst wird nie geschrieben — dazu weiter unten ein eigener Abschnitt.

Was das Event nicht enthält, wiegt genauso schwer. Es identifiziert keine Person, sagt nicht, ob die Zielseite geladen wurde oder ein Kauf folgte, und trägt keine seitenübergreifende Kennung. Alles darüber hinaus verlangt eine zweite Datenquelle auf der Zielseite, wie unser Leitfaden zum Messen von Klicks auf Links beschreibt.

Zwei sehr verschiedene Wege, Daten zu begrenzen

Diese beiden zu verwechseln ist der teuerste Fehler in diesem Bereich, und Anbieter trennen sie selten.

Ein Tarif begrenzt, wie weit ein Workspace zurückblicken darf. Die Zeilen existieren weiterhin; ein größerer Tarif zeigt mehr davon. Das ist eine kaufmännische Grenze, umkehrbar durch ein Upgrade. Ein Datenschutzmodus begrenzt, was überhaupt erst aufgeschrieben wird: Was er abschaltet, erreicht den Speicher nie, also kann es kein Bericht, kein Export, keine Support-Anfrage und keine künftige Abfrage zurückholen — und ein Sinneswandel auch nicht.

| | Aufbewahrung im Tarif | Datenschutzmodus | | --- | --- | --- | | Steuert | Wie weit Sie zurückblicken dürfen | Was überhaupt festgehalten wird | | Wirkt | Beim Lesen | Beim Schreiben | | Umkehrbar | Ja, durch ein Upgrade | Nein, für bereits geschriebene Zeilen | | Wer es ändert | Wer die Abrechnung verwaltet | Workspace-Eigentümer oder Administrator |

Beide gelten gleichzeitig, und genau das wird übersehen. Ein Workspace in einem Tarif mit zwei Jahren Blicktiefe, der seine eigene Aufbewahrung auf 30 Tage gesetzt hat, behält 30 Tage.

Die Detailtiefe wird beim Schreiben gewählt

Die Einstellung liegt unter Einstellungen → Besucherdaten und Datenschutz: drei Stufen der Detailtiefe des Standorts und dazu drei unabhängige Schalter.

| Stufe | Was das Event trägt | | --- | --- | | Vollständig | Land, Kontinent, Region, Stadt, GeoNames-Kennungen, Koordinaten, Genauigkeitsradius, Zeitzone, Ortszeit-Stunde | | Stadt ohne Koordinaten | Alles davon außer Koordinaten und Genauigkeitsradius | | Nur Land | Land und Kontinent |

Bei nur Land wird die Geo-Datenbank für das Event gar nicht erst abgefragt — Land und Kontinent kommen ohnehin kostenlos vom CDN. Die Einstellung nimmt Arbeit weg und nicht nur Daten, die datenschutzfreundlichste Wahl ist also zugleich die billigste im Betrieb.

Die Schalter greifen enger. Netzwerk des Besuchers speichern steuert die Nummer des autonomen Systems und den Namen des Providers; abgeschaltet bleibt die Aufschlüsselung Netzwerke leer. Vollständige verweisende Adresse speichern steuert nur Pfad und Query der verweisenden Seite — die verweisende Domain wird immer behalten, denn auf ihr baut der Bericht Quellen auf. Traffic-Typ erkennen schaltet die Prüfungen selbst ab und nicht bloß die Felder: keine Bereichsabfragen, kein Reverse DNS, keine Verhaltenszähler.

Ein Button setzt die Kombination, die für Rechtsräume mit strengen Anforderungen gedacht ist: nur Land, Netzwerk wird nicht gespeichert, vollständige verweisende Adresse wird nicht gespeichert, Erkennung des Traffic-Typs aus, Aufbewahrung 30 Tage. Was überlebt, ist die aggregierte Schicht — Land, Gerät, Browser, Betriebssystem, verweisende Domain, Kampagnen-Tags und der tägliche Besucherfingerabdruck. Letzterer wird bewusst behalten: Ohne ihn verschwindet der Begriff des eindeutigen Besuchers und mit ihm jede darauf gebaute Aggregation.

Zwei Folgen schneiden in beide Richtungen. Speichern schreibt die gecachte Konfiguration jedes Links und jeder veröffentlichten Bio-Seite im Workspace neu, sodass der nächste Klick unter dem neuen Modus erfasst wird und nicht erst nach dem Ablauf eines Caches — „ich habe Koordinaten abgeschaltet, und sie wurden noch einen Tag lang gesammelt“ ist keine akzeptable Antwort für eine Einstellung, deren Zweck das Nicht-Sammeln ist. Und die Änderung wirkt nicht rückwirkend: Bereits geschriebene Zeilen behalten das, womit sie geschrieben wurden. Die Filterung bleibt so oder so unberührt: Eine Traffic-Regel, die nach Stadt routet, routet weiterhin nach Stadt, auch wenn die Stadt nicht festgehalten wird — Regeln entscheiden, wohin ein Besucher geht, und nicht, was über ihn gespeichert wird.

Die Adresse: kürzen oder gar nicht behalten

Der übliche Weg der Branche ist das Kürzen — das letzte Oktett einer IPv4-Adresse auf null setzen, bei IPv6 ein breiteres Präfix — und er ist besser, als alles zu speichern. Er ist zugleich schwächer, als er klingt: Eine gekürzte Adresse bezeichnet immer noch ein Netz begrenzter Größe, engt einen Besucher aus einer Kleinstadt immer noch erheblich ein und lässt sich mit den übrigen Feldern derselben Zeile kombinieren. Kürzen senkt die Auflösung; es entfernt das Feld nicht aus dem System.

Die Alternative ist, sie gar nicht zu behalten. Hier existiert die Adresse innerhalb einer einzigen Funktion gerade lange genug für genau zwei Dinge und wird danach verworfen. Der Hash ist eine Einwegfunktion über Adresse, User Agent, Link-Domain und einen geheimen Salt, der täglich um Mitternacht UTC rotiert, wobei der vorherige Salt verworfen wird.

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

Daraus folgen zwei ehrliche Konsequenzen, und beide gehören in das Kundengespräch und nicht in eine Fußnote.

Erstens ist die Metrik eindeutige Besucher pro Tag. Weil der Salt jede Nacht rotiert, ist dieselbe Person morgen ein anderer Hash, ein Monatswert ist also eine Summe von Tageswerten und keine Zählung verschiedener Menschen. Ein Anbieter, der ohne Cookies exakte Monatswerte für eindeutige Besucher meldet, hält entweder eine Kennung länger vor, als er zugibt, oder er schätzt.

Zweitens lässt sich die Adresse hinterher für niemanden hervorbringen — nicht für Sie und nicht für eine Support-Anfrage. Das ist der Sinn des Entwurfs und zugleich eine Grenze, die man kennen sollte, bevor man einem Kunden eine Untersuchung zusagt, die sie voraussetzt.

Das Prinzip setzt sich an der Ausgabegrenze fort. Die öffentliche Statistikseite eines Links bekommt aus der Geo-Schicht nur Land und Stadt: keine Netzwerke, keinen Traffic-Typ, keinen Qualitätswert, keine Koordinaten — abgesichert durch einen Test auf den Antwortkörper und nicht durch eine Konvention. Was jede Aufschlüsselung preisgibt, steht in der Geo-Analytics-Dokumentation und auf der Seite zu Geografie und Traffic-Qualität.

Die Aufbewahrung ist eine Einstellung des Workspace

Lassen Sie das Feld für die Aufbewahrung leer für das Plattformmaximum von 730 Tagen, oder setzen Sie eine Zahl von Tagen.

Der Mechanismus wiegt schwerer als die Zahl. Der Wert reist in jedem Event mit, und der Ablauf im Speicher ist über diesen Wert ausgedrückt. Eine Zeile, die unter einer 30-Tage-Einstellung geschrieben wurde, wird nach 30 Tagen gelöscht, auch wenn der Workspace später auf 730 wechselt, denn es gilt die Einstellung, die zum Zeitpunkt des Schreibens galt.

Genau das macht aus der Aufbewahrung eine brauchbare Antwort statt einer vagen Beruhigung. „Wir behalten 90 Tage“ lässt sich vertreten, wenn die 90 beim Schreiben auf jede Zeile gestempelt werden; es lässt sich nicht vertreten, wenn damit ein Berichtsfilter über Zeilen gemeint ist, die tatsächlich zwei Jahre bleiben. Fragen Sie beim Vergleich von Plattformen nicht, wie lang die Aufbewahrungsfrist ist, sondern wo sie durchgesetzt wird — und getrennt davon, wie groß die Blicktiefe des Tarifs ist, denn auch diese Grenze gilt. Beides steht unter Besucherdaten und Datenschutzmodi.

Die Einwilligung betrifft die Daten, nicht die Weiterleitung

Die häufigste Verwechslung hier ist, die Weiterleitung selbst für den Gegenstand der Einwilligung zu halten. Wer auf einen Kurzlink tippt, hat darum gebeten, irgendwohin gebracht zu werden, und genau das zu tun ist die Dienstleistung. Fragen der Einwilligung hängen an zwei anderen Dingen: an dem, was über diesen Besuch festgehalten wird, und an jeder Technologie auf dem Gerät des Besuchers, die nicht unbedingt erforderlich ist.

Diese Sichtweise hat praktische Folgen. Es gibt kein seitenübergreifendes Mess-Cookie, denn der tägliche Hash ersetzt genau den Mechanismus, für den die meisten Einwilligungsregeln geschrieben wurden. Im Weiterleitungspfad gibt es genau ein Cookie — eine Erstbesuch-Markierung auf Ihrer eigenen Weiterleitungsdomain —, und es wird nur dann gesetzt, wenn eine Ihrer Regeln tatsächlich fragt, ob dies ein erster oder ein wiederholter Besuch ist. Die Antwort auf „setzen Ihre Links Cookies“ hängt damit an einer Konfiguration, auf die Sie zeigen können, und nicht an einer allgemeinen Richtlinie.

Tracking-Pixel sind die klare Ausnahme. Hängt ein Workspace einen Retargeting-Pixel an einen Link, gehören dieser Pixel und alles, was er setzt, dem Eigentümer des Pixels und dem Dritten und nicht dem Weiterleitungsdienst. Für diese Verarbeitung ist der Eigentümer des Links der Verantwortliche und muss sie offenlegen und jede nötige Einwilligung einholen — eine Agentur, die Pixel im Auftrag eines Kunden anhängt, sollte das im Kundenvertrag geregelt haben und es nicht erst bei einer Prüfung entdecken.

Die Rollen wiegen aus demselben Grund schwer. Für Klickdaten ist der Workspace oder Partner, der den Link angelegt hat, der Verantwortliche und die Plattform der Auftragsverarbeiter, also liegen Rechtsgrundlage, Datenschutzhinweis und jede Einwilligung beim Eigentümer des Links. Agenturen, die Links für Kunden betreiben, stehen häufiger in dieser Rolle, als sie erwarten — unser Agentur-Leitfaden zu Marken-Links behandelt das von der kaufmännischen Seite.

Die Unterlagen, nach denen eine Prüfung fragt

Zwei Dokumente leisten den größten Teil der Arbeit, und keines davon sollte improvisiert sein.

Ein Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung, die in Ihrem Auftrag erfolgt. Eine Prüfung liest ihn auf eine bestimmte Menge von Dingen hin: wer für welche Kategorie von Daten Verantwortlicher und wer Auftragsverarbeiter ist, die Kategorien betroffener Personen und personenbezogener Daten, die Sicherheitsmaßnahmen, die Frist zur Meldung von Verletzungen, den Übermittlungsmechanismus für Daten, die den Europäischen Wirtschaftsraum oder das Vereinigte Königreich verlassen, die Auditrechte und was am Ende des Vertrags mit den Daten geschieht. Unser DPA legt diese Bedingungen fest, darunter eine Meldefrist von 72 Stunden, Standardvertragsklauseln mit dem UK-Addendum, wo einschlägig, ein jährliches Auditrecht nach Ankündigung und die Löschung binnen 30 Tagen nach Ende des Exportfensters.

Eine Liste der Unterauftragsverarbeiter nennt die Dritten, die im Auftrag der Plattform Daten verarbeiten, wofür jeder davon eingesetzt wird und wo er Daten hält. Sie ist Teil des AVV und keine Marketingseite, und bewertet wird von einer Prüfung der Mechanismus darum herum: mindestens 30 Tage Vorlauf, bevor einer hinzukommt oder ersetzt wird, ein dokumentiertes Widerspruchsrecht und die Kündigung des betroffenen Teils ohne Nachteil, wo es keine zumutbare Alternative gibt. Unsere Liste der Unterauftragsverarbeiter veröffentlicht die aktuellen Anbieter mit Zweck und Datenstandort; die allgemeine Beschreibung steht in der Datenschutzerklärung.

Kann ein Anbieter nicht beide Dokumente vorlegen oder legt er eine Liste der Unterauftragsverarbeiter ohne Vorlauffrist vor, dann ist das der Befund — und nicht das Fehlen eines Zertifikatslogos.

Eine Checkliste für das Kundengespräch

1. Legen Sie die Feldliste für den tatsächlich benutzten Modus vor — nicht das Plattformmaximum, sondern das, was dieser Workspace heute schreibt.
2. Nennen Sie die Aufbewahrung in Tagen und wo sie durchgesetzt wird, unterschieden von der Blicktiefe des Tarifs, und sagen Sie, was gerade bindet.
3. Beantworten Sie die Frage nach der Adresse in einem Satz: vollständig gespeichert, gekürzt oder nicht gespeichert — und wenn nicht gespeichert, erklären Sie den täglichen Hash und den Tagescharakter eindeutiger Besucher.
4. Listen Sie die Cookies im Weiterleitungspfad auf und wodurch jedes gesetzt wird. „Keines, außer eine Erstbesuch-Regel ist konfiguriert“ schlägt „nur notwendige Cookies“.
5. Trennen Sie, was Sie anhängen, von dem, was die Plattform tut. Pixel, Tags Dritter und Analytics auf der Zielseite sind Ihre Verarbeitung und nicht die des Redirectors.
6. Übergeben Sie den AVV und die Liste der Unterauftragsverarbeiter, statt sie zusammenzufassen, und weisen Sie auf die Vorlauffrist für Änderungen hin.
7. Setzen Sie den Datenschutzmodus auf die strengste Stufe, mit der Ihr Reporting leben kann, und prüfen Sie dann, welche Aufschlüsselungen leer geworden sind — so finden Sie heraus, ob eine Einstellung gewählt oder bloß geerbt wurde.

Das Unbequeme an diesem Thema ist, dass Entscheidungen beim Schreiben in beide Richtungen endgültig sind. Daten, die Sie nicht erheben wollten, sind nicht zurückzuholen, wenn später jemand nach einer Aufschlüsselung nach Städten fragt, und Daten, die Sie erhoben haben, sind nicht mehr zu entsammeln, wenn später jemand fragt, warum Sie sie haben. Das spricht dafür, zu Beginn einer Zusammenarbeit bewusst zu entscheiden, statt eine Voreinstellung zu erben. Alles in Analytics funktioniert auch am strengen Ende der Skala; was sich ändert, ist, wie viel Sie vom Besucher sehen, und nicht, wie viel von der Kampagne.