Tracking & Einwilligung

Personenbezogene Daten gehen an Dritt-Tracker

Üblicher Schweregrad: hoch · Aufwand: mittel

Woran du es erkennst

Tracking-Anfragen an Drittanbieter enthalten personenbezogene Daten in Adresse oder Nutzlast — E-Mail-Adressen, Namen, Telefonnummern oder Kundennummern tauchen als Parameter oder Ereignis-Eigenschaften in den Messaufrufen auf.

Warum es zählt

Personenbezogene Daten in Tracking-Aufrufen verstoßen gegen die Datenminimierung (Art. 5 DSGVO), brechen meist auch die Bedingungen der Anbieter (Google Analytics verbietet sie ausdrücklich) und verteilen die Daten in Systeme, die weder dokumentiert noch vertraglich abgesichert sind — im Netzwerkprotokoll ist das trivial beweisbar.

So behebst du es

  1. Finde heraus, welcher Parameter oder welche Ereignis-Eigenschaft die Daten trägt, und stoppe die Übertragung — das Feld in der Tag-Konfiguration entfernen oder vor dem Verlassen der Seite irreversibel pseudonymisieren.
  2. Entferne die Daten an der Quelle: Baue Adressen und Datenschicht-Ereignisse nie aus Formularwerten, Kontodaten oder URL-Parametern mit E-Mail-Adressen oder Namen.
  3. Prüfe, woher die Daten stammen — oft ist es die Adresse einer Bestätigungsseite (…?email=…), die der Seitenaufruf-Tag an jeden konfigurierten Anbieter weitermeldet.
  4. Stelle sicher, dass für jeden empfangenden Anbieter ein Auftragsverarbeitungsvertrag besteht, und dokumentiere, welche Daten jedes Ereignis enthält.

Zum Nachlesen