Tracking-Pixel und Analytics: was Besucherdaten eines Kleinanzeigenportals nach US-Recht wirklich "sensibel" macht
Das Pixel fuer Marketing ist nicht das Pixel, das man glaubt
Ein Betreiber eines Anzeigenportals installiert ein Meta-Pixel, um zu messen, welche Anzeigen Inserenten bringen, fuegt Google Analytics hinzu, um zu sehen, welche Staedte am besten konvertieren, und setzt ein Chat-Widget auf die Seite, damit Besucher vor der Anmeldung Fragen stellen koennen. Jede dieser Entscheidungen ist eine vollkommen gewoehnliche Marketingentscheidung, wie sie jedes kleine Unternehmen ohne zweiten Gedanken trifft. Auf der Website eines Moebelhauses ist genau das der Fall: gewoehnliche Marketinginfrastruktur, und die Daten, die sie erzeugt, sind nur Browserverlauf.
Ein Kleinanzeigenportal ist kein Moebelhaus, und der Unterschied liegt weder im Ton noch in der Inhaltsrichtlinie. Er liegt darin, was die Seiten selbst offenbaren. Ein Besucher, der Zeit auf einer Seite fuer eine bestimmte Kategorie, ein bestimmtes Geschlecht oder eine bestimmte Orientierung von Anzeigen verbringt, browst nicht einfach nur, und jedes Werkzeug auf dieser Seite, das die URL an einen Anbieter meldet, uebertraegt mehr als einen Seitenaufruf. Es uebertraegt eine Schlussfolgerung ueber das Sexualleben oder die sexuelle Orientierung dieses Besuchers, und in einer wachsenden Zahl von US-Bundesstaaten hat diese Schlussfolgerung eine eigene Rechtskategorie mit eigenen Regeln.
Das ist nicht dieselbe Regel, die bereits hier fuer Betreiber behandelt wurde, die europaeische Besucher unter den besonderen Datenkategorien der DSGVO betreuen. Jener fruehere Beitrag betrifft ein einziges EU-weites Regelwerk, das unabhaengig vom Firmensitz gilt. Was folgt, ist der amerikanische Flickenteppich: eine Reihe von Landesgesetzen, die die meisten Betreiber nie mit ihrem eigenen Marketing-Stack abgeglichen haben, weil das Dokument, das ueblicherweise Aufmerksamkeit bekommt, der Onboarding-Fragebogen des Zahlungsdienstleisters ist, nicht das JavaScript-Schnipsel, das ein Marketingberater vor achtzehn Monaten in den Seitenkopf eingefuegt hat.
Der Grund, warum dies eine eigene Lektuere verdient, getrennt vom DSGVO-Beitrag, ist, dass die amerikanischen Regeln anders funktionieren, und zwar auf eine Weise, die aendert, was ein Betreiber tatsaechlich umsetzen muss. Manche Bundesstaaten verlangen nur ein Opt-out. Andere verlangen eine Einwilligung, bevor das Werkzeug ueberhaupt auslost. Dies falsch zu machen ist kein vergessenes Kaestchen auf einem Formular; es ist ein Chat-Widget oder ein Werbepixel, das auf einer Seite laeuft, auf der es von vornherein niemals haette laufen duerfen.
Was "sensible personenbezogene Information" bedeutet, und warum ein Portal automatisch darunterfaellt
Kaliforniens ueberarbeitetes Datenschutzgesetz, die CPRA, schuf eine Kategorie namens "sensible personenbezogene Information", die ueber gewoehnlichen personenbezogenen Daten steht und eigene Offenlegungs- und Opt-out-Regeln mit sich bringt. Die Kategorie umfasst die offensichtlichen Punkte, eine Sozialversicherungsnummer, Zugangsdaten zu einem Finanzkonto, praezise Geolokalisierung, aber sie umfasst auch ausdruecklich personenbezogene Informationen, die das Sexualleben oder die sexuelle Orientierung eines Verbrauchers offenbaren. Das ist keine gedehnte Lesart oder kreative Auslegung eines Anwalts. Es ist der Wortlaut des Gesetzes selbst, in derselben Liste wie ethnische Herkunft und genetische Daten.
Die Bedingung, die dies vom Theoretischen ins Automatische verwandelt, liegt darin, wie das Gesetz seinen Anwendungsbereich abgrenzt: Die zusaetzlichen Pflichten greifen, wenn das Unternehmen diese Information zu dem Zweck erhebt oder verarbeitet, Merkmale ueber einen Verbraucher abzuleiten. Die Website eines allgemeinen Einzelhaendlers leitet aus dem, was ein Kaeufer browst, in der Regel nichts ueber dessen Sexualleben ab, sodass diese Kategorie sie kaum beruehrt. Ein Portal, das in Kategorien nach Geschlecht und Orientierung gegliedert ist, ist vollstaendig um genau diese Art von Information herum aufgebaut. Die Schlussfolgerung ist kein Nebeneffekt des Geschaefts; sie ist die Navigationsstruktur der Seite selbst. Das ist der konkrete Grund, warum diese Kategorie einen Kleinanzeigenbetreiber automatisch erreicht, und zwar auf eine Weise, wie sie die meisten anderen Kleinunternehmen, die genau dieselben Marketing-Tags nutzen, nicht erreicht.
Virginias VCDPA und Colorados CPA verfolgen einen strengeren Ansatz als Kalifornien. Waehrend die CPRA einem Unternehmen erlaubt, sensible Daten zu verarbeiten und Verbrauchern erst danach das Recht einzuraeumen, diese Nutzung zu begrenzen, verlangen Virginia und Colorado, dass das Unternehmen die ausdrueckliche Einwilligung des Verbrauchers einholt, bevor sensible Daten ueberhaupt verarbeitet werden, nicht im Nachhinein und nicht ueber einen im Footer versteckten Link. Eine spezifische, informierte, aktive Zustimmungshandlung muss zuerst erfolgen. Fuer eine Seite, die ein Marketingpixel automatisch in dem Moment ausloest, in dem eine Seite laedt, ist das der Unterschied zwischen einem konformen Setup und einem, das diese Daten von Anfang an gar nicht haette erheben duerfen.
Zu Jahresbeginn hatten rund zwanzig Bundesstaaten umfassende Datenschutzgesetze dieser Art in Kraft, und seither sind weitere hinzugekommen, jedes mit einem eigenen Zeitplan des Inkrafttretens und eigenen kleinen Abweichungen darueber, was als sensibel gilt und welchem Modell, Opt-out oder vorherige Einwilligung, es folgt. Ein Betreiber kann sich nicht aussuchen, aus welchem Bundesstaat seine Besucher kommen. Ein Portal mit landesweitem Traffic baut in der Praxis nach der strengsten Regel, die auf irgendeinen Besucher zutreffen koennte, den es bekommen koennte, was in diesem Fall bedeutet, das Einwilligungsmodell, nicht das Opt-out-Modell, als Ausgangsbasis fuer die Gestaltung zu behandeln und nicht als Ausnahme, die man nur bei Bedarf beruecksichtigt.
Ein Pixel ist "Teilen", nicht "Verkaufen", und dieser Unterschied rettet einen nicht
Der haeufigste Grund, warum ein Betreiber annimmt, dass ihn nichts davon betrifft, ist einfach: Es fliesst kein Geld. Niemand verkauft eine Besucherliste an irgendjemanden. Diese Argumentation haelt gegen eine altmodische Vorstellung vom Datenverkauf stand und bricht zusammen gegenueber der Art, wie die CPRA das Problem tatsaechlich definiert. Das Gesetz schuf ein eigenes Konzept namens "Sharing", das speziell kontextuebergreifende Verhaltenswerbung abdeckt, also jede Vereinbarung, bei der ein Dritter Daten von deiner Seite nutzen kann, um genau diesem Besucher anderswo Werbung zu zeigen, egal ob dabei Geld fliesst oder nicht.
Ein Retargeting-Pixel einer Werbeplattform ist genau dafuer gebaut. Es erlaubt der Plattform, einen Besucher wiederzuerkennen, der auf einer bestimmten Seite deines Portals war, und ihm spaeter anderswo eine Anzeige zu zeigen, genau ueber die Verbindung, die das Gesetz erfassen sollte. Zu sagen, das sei "kein Verkauf", ist technisch korrekt und rechtlich irrelevant, weil das Recht auf das Teilen genau deshalb existiert, um diese Art von Vereinbarung zu erfassen, ohne dass ein Geldfluss nachgewiesen werden muss.
Die praktische Konsequenz ist eine zweite, eigenstaendige Offenlegungspflicht zusaetzlich zu der bereits beschriebenen Regel zu sensiblen personenbezogenen Informationen. Ein Unternehmen muss Verbrauchern eine Moeglichkeit geben, die Nutzung sensibler personenbezogener Informationen zu begrenzen, und eine gesonderte Moeglichkeit, dem Teilen fuer Verhaltenswerbung zu widersprechen. In der Praxis werden diese beiden Rechte meist in einem einzigen Link zusammengefasst, ueblicherweise mit "Ihre Datenschutzoptionen" beschriftet, damit ein Besucher nicht in zwei verschiedenen Footern suchen muss, um eines der beiden Rechte auszuueben. Zunehmend erwarten Bundesstaaten auch, dass ein Unternehmen automatisch ein Global-Privacy-Control-Signal beachtet, sodass der Browser eines Besuchers diesen Widerspruch aeussern kann, ohne dass er ueberhaupt etwas auf der Seite anklickt, und eine Seite, die nur einen manuellen Link anbietet und dieses Signal ignoriert, erfuellt den aktuellen Standard nicht.
Nichts davon beschraenkt sich auf Werbepixel. Ein Chat-Widget, das Transkripte bei einem Drittanbieter protokolliert, ein Analytics-SDK, das meldet, welche Anzeigenkategorien ein Besucher angesehen hat, und ein Session-Recording-Tool, das die Klicks eines Besuchers abspielt, verschieben alle dieselbe Art von seitenbezogenen Daten zu einem Anbieter ausserhalb des Unternehmens. Jedes verdient dieselbe Pruefung wie das Werbepixel, denn was die rechtliche Pflicht ausloest, ist, was die Daten offenbaren, nicht welche Abteilung um die Installation des Tools gebeten hat.
Die Lehre aus Grindr: das Leck ist selten das Werbenetzwerk, das man im Blick hatte
Im September 2026 erklaerte sich Grindr bereit, 26 Millionen Pfund zu zahlen, um eine Klage im Vereinigten Koenigreich beizulegen, die von rund 12.000 Anspruchstellern ueber die Kanzlei Austen Hays vor dem High Court von England und Wales eingereicht worden war. Der Vorwurf lautete, die App habe den HIV-Status von Nutzern, die Nutzung von PrEP sowie Informationen ueber deren Sexualleben oder sexuelle Orientierung ohne angemessene Einwilligung mit Drittanbietern geteilt, bezogen auf Datenpraktiken zwischen 2016 und 2020. Grindr beendete den Rechtsstreit ohne Schuldeingestaendnis und erklaerte, das eigene Datenschutzprogramm habe sich seit dem Eigentuemerwechsel in jenem Jahr wesentlich veraendert.
Das Detail, das die Aufmerksamkeit eines Betreibers verdient, ist nicht die Hoehe des Vergleichs. Es ist, wer die Anbieter waren: Localytics und Apptimize, beides gewoehnliche Produkt-Analytics-Unternehmen der Art, wie sie fast jede App oder Website nutzt, um Nutzerverhalten zu verstehen, keine Werbenetzwerke, die irgendjemand auf den ersten Blick als Hochrisiko markiert haette. Die Offenlegung entstand nicht durch einen bewussten Datenverkauf an einen Werbetreibenden. Sie entstand durch eine Standard-Analytics-Integration, die sich auf dieser besonderen Art von Plattform als Weiterleiter sensibler Kategoriedaten herausstellte, als gewoehnlicher Nebeneffekt der normalen Ereignisprotokollierung.
Das ist genau die Form des in den vorigen Abschnitten beschriebenen Risikos, die sich auf einer echten Plattform mit einer echten Zahl dahinter manifestiert. Niemand in diesem Unternehmen setzte sich hin und beschloss, Daten zur sexuellen Orientierung zu verkaufen. Ein Analytics-SDK verrichtete seine gewoehnliche Arbeit auf Seiten, auf denen diese gewoehnliche Arbeit eben bedeutete, eine sensible Schlussfolgerung zu uebertragen, und niemand hatte diese Verbindung kartiert, bevor sie zu einem zweijaehrigen Rechtsstreit wurde.
Dasselbe Muster zeigt sich naeher am eigenen Markt darin, wie amerikanische Sammelklagekanzleien derzeit Website-Betreiber verklagen, nicht nur App-Hersteller, und zwar nach bundesstaatlichen Abhoergesetzen wie dem California Invasion of Privacy Act und nach dem foederalen Video Privacy Protection Act, wegen ganz gewoehnlicher Chat-Widgets, Session-Recording-Tools und Tracking-Pixel, die aus voellig alltaeglichen Marketinggruenden installiert wurden. Dies ist ein aktives, kein abgeschlossenes Feld: Der Oberste Gerichtshof der USA erklaerte sich im Januar 2026 bereit, einen Fall zu pruefen, der klaeren wird, wie weit die Definition von "Verbraucher" im Videodatenschutzgesetz reicht, was bedeutet, dass die Grenzen dieser Offenlegung noch in Echtzeit gezogen werden und nicht durch eine Regel festgelegt sind, die ein Betreiber einfach einmal lesen und ablegen koennte.
Was vor der naechsten Marketingaenderung tatsaechlich einzurichten ist
Beginne mit einer Bestandsaufnahme, nicht mit einer Richtlinie. Liste jedes Drittanbieter-Tag auf der Seite auf, das Pixel, das Analytics-Snippet, das Chat-Widget, alles, was ein Marketingberater oder ein Plugin installiert hat, und notiere, auf welchen Seiten jedes davon ausloest. Die entscheidende Frage ist, ob eines davon auf einer nach Kategorie, Geschlecht oder Orientierung spezifischen Anzeigenseite ausloest, bevor der Besucher etwas getan hat, um dieser Verarbeitung zuzustimmen. Die meisten Betreiber haben diese Liste nie erstellt, weil keine einzelne Person fuer alle Tags der Seite zustaendig ist, und genau in dieser Luecke lebt diese Offenlegung.
Sobald die Liste steht, teile sie auf. Werkzeuge, die nur auf Konto-, Abrechnungs- oder allgemeinen Seiten der Website laufen muessen, sind die risikoarme Haelfte. Alles, was auf einer nach Kategorie oder Orientierung spezifischen Anzeigenseite ausloest, gehoert in eine gesonderte Gruppe, die nicht automatisch laden sollte, und die nur nach einer spezifischen, protokollierten Einwilligungshandlung laden sollte, nicht nach dem Klick auf einen generischen Cookie-Banner, der fuer eine gewoehnliche Einzelhandelsseite gebaut wurde. Ein Banner, der "wir verwenden Cookies" sagt, erfuellt unter einem Einwilligungsmodell fuer sensible Daten so gut wie nichts.
Fasse die beiden Offenlegungspflichten in einem einzigen sichtbaren Link zusammen, ueblicherweise beschriftet mit "Ihre Datenschutzoptionen", der sowohl das Recht abdeckt, die Nutzung sensibler personenbezogener Informationen zu begrenzen, als auch das Recht, dem Teilen fuer Verhaltenswerbung zu widersprechen, und stelle sicher, dass die Seite tatsaechlich ein Global-Privacy-Control-Signal des Browsers beachtet, nicht nur den manuellen Link anbietet. Das ist eine konkrete, umsetzbare Anforderung, keine vage Absichtserklaerung, und es lohnt sich, mit denjenigen, die die Seite gebaut haben, zu bestaetigen, dass dies korrekt verdrahtet ist, statt anzunehmen, ein Cookie-Consent-Plugin erledige das von selbst.
Behandle Session-Recording- und Bildschirmaufzeichnungstools als die risikoreichste Kategorie auf dieser Liste, und wenn das Unternehmen keinen klaren betrieblichen Grund hat, eines zu behalten, erwaege, es ganz zu entfernen, statt zu versuchen, es um das Risiko herum zu konfigurieren. Wird eines beibehalten, schliesse jede Kategorie- und Anzeigenseite von der Aufzeichnung aus, statt sich auf eine nachtraegliche Schwaerzung zu verlassen. Dieselbe Logik, die die Traffic-Strategie hin zu Suche und Empfehlungen statt bezahlten Werbeplattformen verschob, gilt hier aus einem zweiten Grund: weniger Werbepixel von Drittanbietern auf der Seite ist nicht nur eine Marketingentscheidung, es sind auch weniger Stellen, an denen Daten einer Kategorieseite zu einem nicht gepruften Anbieter durchsickern koennen. Diese Landkarte vor der naechsten Kampagne zu erstellen, ist billiger, als sie nach Eintreffen eines Anwaltsschreibens rekonstruieren zu muessen.
