Google ist nicht nur der unangetastete Marktführer unter den Suchmaschinenanbietern, sondern betreibt auch eine Reihe von weiteren Diensten, wie z. B. Gmail, YouTube, Chrome, Google Maps, PlayStore, Google Drive etc.
Neben dem Betrieb dieser größtenteils kostenlosen Dienste ist Google auch aus der Werbebranche nicht mehr wegzudenken. Alleine im letzten Jahr verzeichnete Google laut Geschäftsbericht des Mutterkonzerns Alphabet einen Werbeumsatz („Google advertising revenues“) von 79,38 Milliarden Dollar – was ca. 88% des Gesamtumsatzes entspricht. Werbeeinnahmen sind für Google also von existenzieller Bedeutung.
Werbung kann bei Google an verschiedenen Stellen geschaltet werden, z. B. innerhalb der eigenen Google-Dienste, aber auch auf Webseiten von Websitebetreibern, die Google gegen Entgelt eine entsprechende Werbefläche zur Verfügung stellen. Google verfügt auf diese Weise über ein riesiges Displaynetzwerk mit hoher Reichweite.
Die Frage ist nur: Wann wird welchem Nutzer innerhalb des Displaynetzwerks welche Werbung angezeigt?
Google Remarketing bis zum 15. Mai 2017
Google bietet werbetreibenden Unternehmen bereits seit einiger Zeit die Möglichkeit, eine bestimmte Werbung nur gegenüber solchen Nutzern auszuspielen, die in der Vergangenheit eine bestimmte Seite des werbetreibenden Unternehmens besucht haben.
Hat sich ein Internutzer in einem Onlineshop z. B. in der Vergangenheit für einen Laptop interessiert, könnte der Betreiber dieses Onlineshops nun Google damit beauftragen, diesem Nutzer auf völlig anderen Internetseiten innerhalb des Google-Displaynetzwerks, Werbung für diesen und ähnliche Laptops anzuzeigen.
In der Vergangenheit funktionierte dieses sog. „Remarketing“ vereinfacht dargestellt in etwa so:
- Der Betreiber einer Website nutzt bestimmte Tools von Google und passt hiermit den Quelltext seiner eigenen Website an. Dies führt dazu, dass Google bei allen Besuchern der Website künftig ein eigenes Cookie setzten und auslesen darf.
- Google verwendet dieses Cookie, um den Besucher auch auf anderen Seiten innerhalb des Google-Displaynetzwerks wiedererkennen zu können.
- Gleichzeitig kennzeichnet der Websitebetreiber bestimmte Unterseiten mit einem bestimmten Schlagwort, welches bei Aufruf der Seite durch einen Nutzer ebenfalls Google mitgeteilt wird.
- Schließlich teilt der Websitebetreiber Google mit, dass der Besuch von Seiten mit bestimmten Schlagwörtern eine bestimmte Werbekampagne auslösen soll.
- Besucht ein Nutzer daraufhin eine andere Website im Google-Displaynetzwerk, kann Google den Nutzer anhand des Cookies wiedererkennen. Gleichzeitig kann Google anhand der in der Vergangenheit zu dem Cookie übermittelten Schlagwörter und der verbundenen Werbekampagne dann die entsprechende Werbung ausspielen.
Voraussetzung für die Nutzung dieser Mechanismen ist, dass der Websitebetreiber, der eine Google-Remarketingkampagne auslösen möchte und hierfür den Quelltext seiner Website modifiziert, eine Einwilligung der Websitebesucher einholt (vgl. diesen Blogbeitrag). In der Praxis wird regelmäßig versucht, diese Einwilligung durch die Verwendung von sog. Cookie-Bannern einzuholen.
Obwohl diese Form des Remarketings bereits sehr ausgefeilt klingt, stoßen Remarketingkampagnen in der Praxis oftmals an Grenzen. So ist es im Rahmen von Google Remarketingkampagnen bislang z. B. nicht möglich, einen Nutzer über verschiedene Endgeräte hinweg wiedererkennen zu können. Auch der Wechsel des Browsers kann bereits dazu führen, dass der Nutzer nicht wiedererkannt wird. Dies will Google nun ändern.
Das neue Cross-Device Remarketing ab dem 15. Mai 2017
Ab dem 15. Mai 2017 erweitert Google alle Remarketingkampagnen um eine sog. Cross-Device Funktionalität. Das bedeutet, dass Google sich nun auch in die Lage versetzen will, Internetnutzer geräteübergreifend bewerben zu können.
Doch woher weiß Google, welche verschiedene Endgeräte ein und demselben Nutzer gehören?
Die Antwort ist relativ einfach – zumindest wenn der Nutzer über einen eigenen Google-Account verfügt, um die eingangs erwähnten Google-Dienste (Google Suche, Gmail, YouTube, Chrome, Google Maps, PlayStore, Google Drive etc.) noch besser bzw. überhaupt nutzen zu können: Meldet sich ein Nutzer zeitlich versetzt auf mehreren Endgerät auch nur für eine logische Sekunde mit seinem Google Account an, ist Google in der Lage die auf den Endgeräten gespeicherten Remarketingcookies bzw. die Endgeräte an sich zusammenzuführen und den Nutzer künftig geräteübergreifend innerhalb des Display-Netzwerks zu bewerben.
Google selbst sieht die Rechtsgrundlage für die Zusammenführung der Endgeräteinformationen in einer Einwilligung der Nutzer, welche diese gegenüber Google abgegeben haben und verweist insofern auf eine Änderung der Einstellungsmöglichkeiten aus dem Jahr 2016:
„Does Google have consent from end users for this new feature?
In 2016, Google rolled out a new, opt-in set of controls for how their data is used across Google. Only users who have opted in to this new control will be included for cross-device remarketing through this feature.“
Auf die Frage, ob Websitebetreiber, die Remarketingfunktionen von Google nutzen bzw. nutzen möchten, im Rahmen der Umstellung Änderungen an ihrer Datenschutzerklärung vornehmen müssen, weicht Google jedoch aus:
„Do I need to update my privacy policy?
Because laws across countries and territories vary, and because Google Analytics can be used in many ways, Google is unable to provide the exact language you need to include in your privacy policy.“
Eigene Einschätzung
Google macht Ernst. Ab dem 15. Mai 2017 werden die Remarketingfunktionen erheblich erhöht und erlauben eine geräteübergreifende Wiedererkennung bestimmter Nutzer zu Werbezwecken.
Derzeit sieht es so aus, als würde die neue Funktion alle bestehenden und auch künftigen Remarketingkampagnen betreffen, ohne dass Werbetreibenden eine Wahlmöglichkeit gelassen wird, diese Funktion zu nutzen oder nicht.
Ob die von Google eingeholte Einwilligung in diese Form der Datenverwendung von den Aufsichtsbehörden als wirksam erachtet wird, muss sich in Zukunft zeigen. Tatsächlich besteht das von Google erwähnte „Opt-in“ wohl in der Zustimmung zu einem Text „Datenschutz und Bedingungen“ der den Nutzern im Rahmen der erstmaligen Registrierung angezeigt wird und der zwei Optionen zulässt: Abbrechen oder zustimmen.
Abb. 1: Google-Text zu „Datenschutz und Bedingungen“, denen Nutzer im Rahmen der Registrierung eines Google Kontos zustimmen müssen
Stimmen Nutzer zu, sind die Funktionen der personalisierten Werbung standardmäßig eingeschaltet. Nutzer haben aber die Möglichkeit, diese Funktionen auch abzuschalten.
Abb. 2: (Vor-)Einstellungen eines frisch registrierten Google-Kontos
Selbst wenn diese Einwilligung als wirksam erachtet werden sollte, ist es Websitebetreibern, die Google-Remarketingtechnologien nutzen, gleichwohl zu empfehlen, die Nutzer in der eigenen Datenschutzerklärung zumindest über diese weitergehende Datenverarbeitung zu informieren, die durch die Beauftragung der Remarketingkampagne ausgelöst bzw. genutzt wird (wenngleich auch die Frage gestellt werden könnte, ob diese Datenverarbeitung nicht ausschließlich Google zuzurechnen ist).
Fazit
Die Rechtsunsicherheit der Nutzung von Remarketingtechnologien wird ab dem 15. Mai 2017 weiter erhöht. Websitebetreiber müssen nicht nur wie bisher eine wirksame Einwilligung der eigenen Besucher in die Nutzung der klassischen Remarketingtechnologien einholen, sondern nun ggf. auch noch auf die neue geräteübergreifende Datenverarbeitung hinweisen.
Nutzer der Google Remarketingtechnologien sollten unbedingt die Reaktionen der Aufsichtsbehörden auf diese Änderung im Blick behalten und ggf. entsprechend reagieren.
Zudem sollte insgesamt der Umgang mit Remarketingtechnologien noch einmal überprüft werden:
- Enthält die Datenschutzerklärung einen Text, der transparent über die Datenverarbeitung informiert, die durch die Nutzung von Remarketingtechnologien bereits durch Aufruf der Website ausgelöst wird (Setzen bzw. Auslesen eines Third-Party-Cookies, ggf. Nutzung von Browser-Fingerprints und Übermittlung der IP-Adresse an Google etc.)?
- Kann dieser Text auch als Einwilligungstext u.a. im Sinne der Google-Einwilligungsrichtlinie dienen und existiert ein entsprechendes Tracking-Banner?
- Werden dem Nutzer Widerspruchsmöglichkeiten bzw. Widerrufsmöglichkeiten im Hinblick auf die Einwilligung aufgezeigt?
- Ist das Tracking-Banner möglichst rechtssicher konfiguriert oder dient das Banner nur als Feigenblatt?