Server-Side-Tracking

Und der Sinn hinter SST – Schutz der Privatsphäre

Eine kurze Einsicht. Keine Umfassende Recherche oder Analyse. Ein paar Gedanken.

📌 Hinweis zur Nutzung
Die rechtlichen Ausführungen dienen dem Verständnis der Risiken. Operative Umsetzungsdetails bleiben separaten Dokumentationen vorbehalten.

Was Datenschützer – und auch der „normale“ Mensch – fordern, ist Respekt vor der Privatsphäre. Doch wir leben noch in einer Zeit der maximalen Datenausbeute.

Und ist man ehrlich, dann ist ein Consent-Banner, selbst mit noch so feinen Einstellungsmöglichkeiten für den Besucher, einfach nur eine Barriere. Und diese Barriere will ich einfach nur hinter mir lassen.

Ich besuche eine Seite nicht, weil ich mir Gedanken um meine Privatsphäre machen will, sondern um einzukaufen oder mich zu informieren.

Was ist Server Side Tracking?

Grundsätzlich ist es erstmal nur eine Verlagerung der Datenerfassung auf die Serverseite. Weil der Server Hoheitsgebiet des Betreibers ist, entstehen andere rechtliche Implikationen: Der Betreiber liest keine Informationen aus dem Browser des Besuchers aus, um Daten zu erfassen.

Das alleine bedeutet noch keine Datenschutzkonformität, denn erfassen kann man auch serverseitig vielerlei Informationen, die die Privatsphäre des Besuchers sehr wohl berühren und die Datenschutzgrenzen überschreiten können.

Mit Server Side Tracking ist jedoch eine weitreichendere Lösung gemeint als nur die geografische Verlagerung der Datenerfassung von der Client- auf die Serverseite.

🔐 Ausgehend von: Keine Datenweitergabe an Dritte!
Client-Side:
Hier werden aktiv Informationen auf dem Gerät des Nutzers gespeichert (Cookies) oder ausgelesen (Fingerprinting). Laut TDDDG ist dafür zwingend eine Einwilligung erforderlich, es sei denn, es ist „unbedingt erforderlich“.
Server-Side:
Wenn der Server lediglich die Daten verarbeitet, die der Browser ohnehin im Rahmen einer HTTP-Anfrage mitschickt (z. B. IP-Adresse, User-Agent, Referrer), findet technisch gesehen oft kein Zugriff auf die Endeinrichtung statt.
⚖️ Die Folge: Wenn kein Zugriff auf das Endgerät erfolgt, greift die Einwilligungspflicht der TDDDG nicht. Man bewegt sich „nur“ noch im Bereich der DSGVO.

Eigentlich sollte Server-Side-Tracking eine Lösung sein, die dem Betreiber der Website die Möglichkeit gibt, einen Schnitt im Datenfluss zu erreichen, der die Privatsphäre des Nutzers respektiert statt Blind oder einer Art „Prinzip“ Daten weiter zu geben. SST sollte nicht als Proxy dienen, sondern als effektiver Filter.

Daher sollten sich Betreiber von Webinhalten erst einmal überlegen, was sie mit jeglicher Datenerfassung erreichen wollen und was wirklich wichtig ist.

⚠️
Denn: Auch wenn wir Daten anonymisiert weitergeben, werden diese Daten auf Drittservern in Kombination mit anderen Quellen zu Nutzerprofilen zusammengesetzt.
Wir sehen also: Wenn das Ziel die Vermeidung der Profilbildung ist, dann verfehlen wir auch mit Server-Side-Tracking das Ziel – und den Sinn der uns zur Verfügung stehenden Möglichkeiten.

Fingerprinting – Dynamic Ads / Meta-Pixel
Nutzerwiedererkennung trotz anonymisierter Tracking Daten


Wenn Sie dieses Werbesystem von Facebook nicht nutzen, dann könnte eine Datenweitergabe, auch in anonymisierter Form, völlig unnötig sein. Aus Datenschutzsicht sogar riskant.

Eine kurzer Gedanke hier: WIll ich Pixel / Meta beliefern, unter der blinden Annahme, dass sich der User von meinem Shop irgendwann zu Facebook bewegt?. (Kurzer Gedanke deswegen, weil das System nicht so trivial ist und nicht mit einem simplen Gedanken eine Umfassende Erklärung ermöglicht.)
Wenn ich mein Katalog nicht bei Meta liste, dann ist hier diese Datenübertragung völlig sinnfrei.

Next: Naive Annahme über die Integrität des Geschäfts;
Wenn überall auf der Welt Online Werbung ein Wettbieten um Schlagworte ist, und ich meinen Katalog doch bei Facebook liste, und Meta bereits mehrfach fragwürdige Praktiken an den Tag gelegt hat, wer versichert mir, für mich nachvollziehbar, dass Meta durch das Wissen über das Verhalten meines Besuchers, diesem nicht Produkte anderer Anbieter anzeigt?

Operational Ethics
Nutzung Schulmädchen Fotos für Threads Werbung
KI Training mit Raubkopien

Es zeigt sich in der Praxis fast ein globaler Blindeinsatz von Meta-Pixel durch Agenturen – für Ihre Kundenprojekte und Shopbetreiber selber..

Und vor allem:

Auch wenn keine PII Daten (wie z.B. E-Mail oder Name) aktiv gesendet werden, kann und ja, wird Meta mit hoher Wahrscheinlichkeit den Nutzer wiedererkennen.
Das liegt daran, dass Facebook nicht auf vollständige Daten aus einer Website angewiesen ist, sondern die Wiedererkennung auf verschiedenen Wegen realisiert werden kann.

Profilbildung – Ein paar Möglichkeiten

🔍 Einige (bekannte) Techniken zur Profilbildung
🖥️ Browser-Fingerprinting: Meta sammelt technische Signale wie IP-Adresse, Betriebssystem, Browser-Version, Bildschirmauflösung und sogar installierte Schriftarten. Diese Kombination ist oft so einzigartig wie ein Fingerabdruck.
🔓 Login-Status: Wenn ein Nutzer im selben Browser bei Facebook oder Instagram eingeloggt ist, verknüpft der Pixel die Website-Aktivität sofort mit dem Account – auch wenn du keine PII mitschickst.
📜 Historische Daten: Hat ein Nutzer früher einmal Daten auf einer anderen Seite hinterlassen, die Meta bereits verknüpft hat, erkennt das System das Gerät oder den Browser-Fingerabdruck wieder.
🕸️ Netzwerkeffekte: Selbst wenn ein Nutzer kein Facebook-Konto hat, können Daten durch Kontakte (z. B. Adressbuch-Uploads anderer) oder Besuche auf Millionen anderen Seiten mit Meta-Pixel zu einem „Shadow Profile“ zusammengefügt werden.

Ich will hier nicht von einem Schlupfloch sprechen. Denn auch wenn eins ganz klar existiert, ist die Ausnutzung nicht so präzise lokalisierbar. Aber ersichtlich ist eins:

Per Gesetz schieben wir der Datenerhebung ohne Zweckbestimmung und der Zustimmung des Daten-Subjekts zwar einen Riegel vor, verkennen in der Kette des Technologiestacks aber die Möglichkeiten, die vorhanden sind, das Gesetz praktisch wie eine Leerformel aussehen zu lassen.
Dabei ist die Leerformel nicht die Schuld oder Absicht eines der System-Teilnehmer.

Jetzt diskutieren wir im Rahmen des Datenschutzes Server-Side-Tracking, möchten gerne auf PII Daten und die Übermittlung vermeiden, lassen uns aber im nächsten Schritt auf einen Deal ein, der dem Bürger trotzdem die Privatsphäre nimmt.

Denn, entscheidend für den Schutz meiner Daten und Privatsphäre ist nicht das bloße vorhandensein meiner personenbezogenen Daten auf deinem Server, sondern der für marketingzwecke genutzte Teil meiner Informationen. Die am Ende der Kette dafür sorgen können, dass mir in einer Bedarfs- oder Notsituation – aufgrund meiner Ethnie, Gesinnung, Religion, Herkunft oder anderer Eigenschaften – gezielt Werbung von Produkten mit dynamisch auf meine Situation angepassten Preisen ausgespielt wird.

💧
Nein, die Welt geht nicht unter.
Du bist nicht unmoralischer als ich.
Wir können in Stein gemeißeltes nicht ad hoc ersetzen,
wir können es aber langsam abtragen,
denn steter Tropfen höhlt den Stein wirklich!

Verantwortung!

Was ist also die Konsequenz aus diesen Fakten, wenn wir realen Datenschutz erreichen wollen?
Und was ist mit der Tatsache, dass Du und ich wissen: Nutzerprofile werden dennoch gebildet?

Wir könnten es uns auch einfach machen. Und weiter verfahren, ähnlich diesem Muster.
Mit Server-Side-Tracking und der Weitergabe anonymisierter Daten.

Das aber, kann nicht die Herausforderung sein, der wir uns stellen sollten.

Es könnte ja sein, dass der Status-quo eines Tages jemand wichtigem auf die Füße fällt.

Weitere Einblicke zu Möglichkeiten: Daten-Souveränität