Be­ha­vi­oral Targeting: Ver­hal­tens­be­zo­ge­ne Werbung im Internet

Wer im Netz nach Stütz­strümp­fen sucht, wird vor­aus­sicht­lich kein Skate­board kaufen. Für Werbende heißt das: Ent­spre­chen­de Anzeigen laufen ins Leere. Ein solcher Streu­ver­lust ver­ur­sacht unnötige Kosten. Welche In­ter­es­sen sich einzelnen In­ter­net­nut­zern zuordnen lassen, ist somit von zentraler Bedeutung – sowohl für On­line­händ­ler als auch für Wer­be­dienst­leis­ter.

Die Ef­fek­ti­vi­tät ziel­ge­rich­te­ter Werbung de­mons­trie­ren Such­ma­schi­nen­an­bie­ter wie Google. Hier dienen Keywords als Indiz für die Nut­zer­inten­ti­on. Wer nach Hotels in Barcelona sucht, ist mit hoher Wahr­schein­lich­keit auch für ent­spre­chen­de Werbung emp­fäng­lich. Gelingt On­line­händ­lern die pass­ge­naue Aus­rich­tung ihrer Anzeigen, werden diese nicht als störend empfunden. Mitunter lässt sich sogar ein Mehrwert ableiten.

Auch Wer­be­for­men außerhalb der Such­ma­schi­ne stützen sich auf Nut­zer­si­gna­le, um die An­zei­gen­re­le­vanz für po­ten­zi­el­le Kunden zu erhöhen. Rückt dabei das Verhalten des Nutzers in den Mit­tel­punkt, spricht man von Be­ha­vi­oral Targeting. Doch dieses ist bei Ad­ver­ti­sern genauso beliebt wie bei Da­ten­schüt­zern um­strit­ten.

Fehlt On­line­wer­bung die Relevanz, bleiben auch die Klicks aus. Um Streu­ver­lus­te zu mi­ni­mie­ren, setzen Ad­ver­ti­ser daher zunehmend auf Targeting (die direkte Ziel­grup­pen­an­spra­che). Hier bieten sich ver­schie­de­ne Mög­lich­kei­ten, dem Nut­zer­inter­es­se auf die Spur zu kommen. Die ein­fachs­te Form der Ziel­grup­pen­an­spra­che stellt das Content Targeting dar. Dabei werden Anzeigen auf das re­dak­tio­nel­le Umfeld ab­ge­stimmt. Während Werbung für Steak­mes­ser auf einer In­for­ma­ti­ons­sei­te zur veganen Ernährung de­plat­ziert erscheint, könnten Ad­ver­ti­ser hier mit Anzeigen für So­ja­gra­nu­lat oder He­fe­flo­cken durchaus punkten. Se­man­ti­sches Targeting geht noch einen Schritt weiter und versucht the­ma­ti­sche Un­ter­schie­de innerhalb einer Web­prä­senz aus­zu­lo­ten, um Werbung treff­si­cher in der richtigen Rubrik zu plat­zie­ren. Werden Kriterien wie Alter, Ge­schlecht, Beruf, Einkommen oder be­ruf­li­che Stellung als Ori­en­tie­rung her­an­ge­zo­gen, spricht man von so­zio­de­mo­gra­fi­schem Targeting. Hingegen nimmt Geo­tar­ge­ting den Standort eines Nutzers ins Visier. Dabei kommen tech­ni­sche Verfahren der Geo­lo­ka­li­sie­rung zum Einsatz. Bei so­ge­nann­tem tech­ni­schen Targeting werten Werbende den digitalen Fin­ger­ab­druck eines Web­sei­ten­be­su­chers aus. Jeder In­ter­net­nut­zer hin­ter­lässt Spuren im Netz. Neben der IP-Adresse enthält vor allem der User-Agent-String – eine Kennung, mit der sich jeder Browser im Internet ausweist – zahl­rei­che In­for­ma­tio­nen, über die sich Nutzer im Internet iden­ti­fi­zie­ren lassen. Au­to­ma­tisch auslesbar sind der Brow­ser­na­me, die Ver­si­ons­num­mer, das ver­wen­de­te Be­triebs­sys­tem sowie Sprach- und Schrift­ein­stel­lun­gen. Darüber hinaus liefern Ja­va­Script und Flash de­tail­lier­te In­for­ma­tio­nen über in­stal­lier­te Plug-ins. Da In­ter­net­nut­zern nur wenige Mittel zur Verfügung haben, sich gegen tech­ni­sches Targeting zu schützen, steht dieses Verfahren der Nut­zer­da­ten­er­fas­sung bei Ver­brau­chern und Da­ten­schüt­zern in der Kritik. Wird der digitale Fin­ger­ab­druck eines Nutzers verwendet, um diesen über mehrere Webseiten hinweg zu verfolgen und dessen Verhalten auf­zu­zeich­nen, spricht man von Be­ha­vi­oral Targeting. Dieses muss sich jedoch nicht zwangs­läu­fig auf die Browser-Signatur stützen. Ge­läu­fi­ger ist ein Nutz­ertrack­ing mittels Cookies. Die kleinen Text­da­tei­en werden auf dem Endgerät des Nutzers hin­ter­legt und er­mög­li­chen ein Be­ha­vi­oral Targeting auch ohne die Aus­wer­tung des Browser-Strings. Der Einsatz von Cookies gilt als die „saubere“ Art der Nut­zer­da­ten­er­fas­sung, da diese bei Bedarf über die Browser-Ein­stel­lun­gen blockiert werden können.

Um die Relevanz von Anzeigen zu erhöhen, versuchen Wer­be­trei­ben­de, möglichst viele In­for­ma­tio­nen über das Verhalten po­ten­zi­el­ler Kunden zu sammeln, indem sie deren In­ter­ak­tio­nen mit the­men­re­le­van­ten Websites nach­ver­fol­gen. Vor­aus­set­zung dafür ist, dass ein In­ter­net­nut­zer, der einmal eine relevante Website besucht hat, auch bei späteren Besuchen oder auf anderen Websites als derselbe Nutzer iden­ti­fi­ziert werden kann. Die Wer­be­wirt­schaft setzt dabei in erster Linie auf Cookie-Tech­no­lo­gien und an­ony­mi­sier­te Nut­zer­pro­fi­le.

Cookies geben Web­sei­ten­be­trei­bern und Wer­be­dienst­leis­tern de­tail­lier­te In­for­ma­tio­nen darüber, welche Webseiten ein In­ter­net­nut­zer aufruft und zu welchen In­ter­ak­tio­nen es dort kommt. Werden diese Daten an einem zentralen Ort zu­sam­men­ge­führt, spricht man von einem Nut­zer­pro­fil. Dieses erlaubt je nach De­tail­grad der ge­sam­mel­ten Daten Rück­schlüs­se auf Pro­dukt­in­ter­es­sen, Kauf­ab­sich­ten und die Frei­zeit­ge­stal­tung – wertvolle In­for­ma­tio­nen, die Wer­be­trei­ben­den helfen, Web­sei­ten­be­su­cher konkreten Kun­den­grup­pen und maß­ge­schnei­der­ten Nut­zer­ka­nä­len zu­zu­ord­nen. Um de­tail­lier­te Nut­zer­pro­fi­le zu erstellen, bedienen sich Web­sei­ten­be­trei­ber Analyse-Tools wie Google Analytics, Piwik oder eTracker. Diese werden mittels Tracking-Code in den Quelltext einer Website in­te­griert und er­mög­li­chen so eine um­fas­sen­de Analyse der Nut­zer­be­we­gung. Dem deutschen Da­ten­schutz werden Web­ana­ly­se-Tools in der Stan­dard­kon­fi­gu­ra­ti­on jedoch meistens nicht gerecht. Web­sei­ten­be­trei­ber, die Nut­zer­pro­fi­le da­ten­schutz­kon­form anlegen möchten, sollten daher si­cher­stel­len, dass sie entweder über eine explizite Ge­neh­mi­gung durch den Nutzer verfügen oder Daten aus­schließ­lich an­ony­mi­siert erfassen. Wie sich der Tracking-Code beliebter Analyse-Tools ent­spre­chend anpassen lässt, findet sich im wei­ter­füh­ren­den Artikel zum Thema Web­ana­ly­se und Da­ten­schutz.

Im Rahmen von Wer­be­maß­nah­men bleibt Be­ha­vi­oral Targeting selten auf einzelne Websites be­schränkt. Um Nutzern pass­ge­naue Anzeigen aus­zu­spie­len, schließen Wer­be­ver­mark­ter wie Google diverse On­line­platt­for­men zu Wer­be­netz­wer­ken zusammen. Während kleinere Anbieter mit aus­ge­wähl­ten Ko­ope­ra­ti­ons­part­nern arbeiten, steht das Google-Dis­play­netz­werk prin­zi­pi­ell jedem Web­sei­ten­be­trei­ber offen. Es umfasst heute mehr als zwei Millionen Websites und erreicht somit über 90 Prozent der In­ter­net­nut­zer weltweit. Wer­be­ver­mark­ter wie Google Dou­ble­Click, Facebook, Ad Pepper, Trade­Dou­bler, Ligatus und viele mehr fungieren als Ver­mitt­ler zwischen Ad­ver­ti­sern und Pu­blishern: Ko­ope­rie­ren­de Web­sei­ten­be­trei­ber stellen Wer­be­flä­chen bereit, die von den Ver­mark­tern je nach Bedarf mit Text- und Bild­an­zei­gen ihrer Wer­be­kun­den besetzt werden. Die Aus­lie­fe­rung der Wer­be­mit­tel erfolgt zentral durch einen oder mehrere Adserver. Dabei handelt es sich um da­ten­bank­ba­sier­te Ma­nage­ment­sys­te­me, die mit der Ver­wal­tung von Wer­be­flä­chen im Internet betraut sind. Adserver sind zuständig für die Spei­che­rung und Aus­lie­fe­rung von Wer­be­mit­teln und er­mög­li­chen über messbare Größen wie Im­pres­sio­nen und Klicks eine Aus­wer­tung des Wer­be­er­folgs. Statt Wer­be­ban­ner inklusive Link zum Anbieter direkt in den HTML-Code einer Website ein­zu­bin­den, wird die Wer­be­flä­che mit einem Script versehen. Dieses ver­an­lasst den Browser des Nutzers, eine Anfrage an den Adserver zu stellen (Adrequest). Dort werden ein­ge­hen­de Anfragen mit be­stehen­den Nut­zer­pro­fi­len ab­ge­gli­chen. Lässt sich der Web­sei­ten­be­su­cher iden­ti­fi­zie­ren, sucht der Adserver eine dem Targeting ent­spre­chen­de Anzeige aus und sendet ein Ant­wort­pa­ket an den Browser zurück. Die Auswahl der Wer­be­an­zei­ge erfolgt somit parallel zum Aufbau der Website und für jeden Besucher in­di­vi­du­ell. Kommt es zum Klick auf ein Wer­be­ban­ner, wird der Nutzer zunächst an den Adserver wei­ter­ge­lei­tet, dieser pro­to­kol­liert die Nut­zer­inter­ak­ti­on und leitet schließ­lich an die Website des Werbenden weiter. Wer­be­netz­wer­ke er­stre­cken sich über weite Teile des Internets und liefern so ein um­fas­sen­des Bild der Surf­ge­wohn­hei­ten po­ten­zi­el­ler Kunden. Daten, die auf einer Part­ner­sei­te erfasst wurden, werden über Adserver zentral verwaltet und stehen zur Aus­rich­tung von An­zei­gen­kam­pa­gnen im ganzen Wer­be­netz­werk zur Verfügung. Das er­mög­licht Wer­be­trei­ben­den per­so­na­li­sier­te Wer­be­stra­te­gien wie das Re­tar­ge­ting, bei dem In­ter­net­nut­zer gezielt mit Anzeigen zu den Produkten kon­fron­tiert werden, für die sie zuvor Interesse gezeigt haben.

Pre­dic­ti­ve Be­ha­vi­oral Targeting („pre­dic­ti­ve“ = vor­aus­schau­end) ist eine Variante der ziel­ge­rich­te­ten Werbung, bei der anonymen Nut­zer­grup­pen bestimmte Attribute aufgrund sta­tis­ti­scher Prognosen zu­ge­schrie­ben werden. Dabei kann es sich um so­zio­de­mo­gra­fi­sche Ei­gen­schaf­ten wie Alter, Ge­schlech­ter­ver­tei­lung, Einkommen und Aus­bil­dungs­ni­veau handeln sowie um psy­cho­gra­fi­sche Merkmale wie Motive, Ein­stel­lun­gen, Kennt­nis­se und In­ter­es­sen. Bei der Er­stel­lung von Vor­her­sa­ge­mo­del­len stützen sich Werbende auf In­for­ma­tio­nen zum Surf­ver­hal­ten, Umfragen oder Daten aus Kun­den­ver­wal­tungs­sys­te­men.

Neben de­skrip­ti­ver Statistik, Click-Stream-Analysen und mul­ti­va­ri­an­ter Verfahren kommen dabei zunehmend auch Data-Mining-Methoden zum Einsatz, um die kon­ti­nu­ier­lich an­wach­sen­den­den Da­ten­ber­ge nach Trends und Quer­ver­bin­dun­gen zu durch­su­chen. Ziel des Pre­dic­ti­ve Be­ha­vi­oral Tar­ge­tings sind sta­tis­ti­sche Nut­zer­pro­fi­le (so­ge­nann­te Personas), nach denen sich Web­sei­ten­be­su­cher klas­si­fi­zie­ren lassen.

Effektiv ist Werbung nur dann, wenn sie die dafür vor­ge­se­he­ne Ziel­grup­pe erreicht. Hat eine Anzeige keine Relevanz für In­ter­net­nut­zer, ist es un­wahr­schein­lich, dass es zum Klick kommt. Die Aussicht auf eine Con­ver­si­on rückt in weite Ferne. Ad­ver­ti­ser sprechen in diesem Zu­sam­men­hang von einer Fehl­streu­ung. Ziel­ge­rich­te­te Werbung hilft, diesen Streu­ver­lust zu re­du­zie­ren und somit den Wer­be­er­folg zu erhöhen. Ziel des Be­ha­vi­oral Tar­ge­tings ist eine Stei­ge­rung der Con­ver­si­on-Rate als zentrale Kennzahl bei der Bewertung von Online-Wer­be­maß­nah­men.

Der Schlüssel zum Erfolg ist dabei das Interesse des Nutzers. Werbung, die zur richtigen Zeit am richtigen Ort erscheint, bietet einen Mehrwert. Dieser führt zum Klick und im besten Fall zur Con­ver­si­on. Gelingt dies nicht beim ersten Mal, ist der Kunde nicht verloren. In­ter­net­nut­zer, die per­so­na­li­sier­ter Werbung zustimmen (Opt-in) bzw. nicht explizit wi­der­spre­chen (Opt-out), lassen sich in re­gel­mä­ßi­gen Abständen erneut adres­sie­ren. Cookies er­mög­li­chen es Wer­be­trei­ben­den, Kunden durchs Netz zu begleiten und diesen passende Produkte oder Dienst­leis­tun­gen erneut ins Ge­dächt­nis zu rufen.

Ver­brau­cher­schüt­zer be­ob­ach­ten das massive Da­ten­sam­meln durch Konzerne und Wer­be­ver­mark­ter mit Miss­trau­en. Methoden wie das Be­ha­vi­oral Targeting stehen dabei im Fokus. Kritiker sehen die Gefahr, dass ver­hal­tens­be­zo­ge­ne Daten mit per­so­nen­be­zo­ge­nen Daten verknüpft werden. Zwar betonen namhafte Größen der Branche kon­ti­nu­ier­lich, Per­so­nen­da­ten aus­schließ­lich an­ony­mi­siert zu erfassen, doch für den Betreiber eines On­line­shops stellt es theo­re­tisch nur einen geringen Mehr­auf­wand dar, die Er­geb­nis­se der Web­ana­ly­se mit den Angaben aus Kun­den­da­ten­ban­ken ab­zu­glei­chen.

Das deutsche Da­ten­schutz­recht gibt dies­be­züg­lich klare Re­ge­lun­gen vor: Per­so­nen­be­zo­ge­ne Nut­zer­pro­fi­le dürfen nur dann angelegt werden, wenn eine aus­drück­li­che Ge­neh­mi­gung des Nutzers vorliegt. Für die Spei­che­rung und Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten gilt somit ein Verbot mit Er­laub­nis­vor­be­halt. Aus­ge­nom­men davon sind Targeting-Maßnahmen, bei denen die Ver­bin­dung zum in­di­vi­du­el­len Nutzer nicht ohne er­heb­li­chen Mehr­auf­wand her­ge­stellt werden kann. Gemäß deutschem Da­ten­schutz­recht sind pseud­ony­mi­sier­te Nut­zer­pro­fi­le im Rahmen von Werbe- oder Markt­for­schungs­maß­na­men oder zur be­darfs­ge­rech­ten Ge­stal­tung von Web­an­ge­bo­ten zulässig, solange der Nutzer vorab über die Da­ten­ver­ar­bei­tung in­for­miert wird und die Mög­lich­keit des Wi­der­spruchs besteht.

Kommt Be­ha­vi­oral Targeting ohne Ein­wil­li­gung des Nutzers zum Einsatz, hängt die da­ten­schutz­recht­li­che Be­ur­tei­lung davon ab, ob es sich bei den erhobenen Daten um per­so­nen­be­zo­ge­ne im da­ten­schutz­recht­li­chen Sinne handelt. Diese werden im Bun­des­da­ten­schutz­ge­setz § 3 fol­gen­der­ma­ßen definiert:

„Per­so­nen­be­zo­ge­ne Daten sind Ein­zel­an­ga­ben über per­sön­li­che oder sachliche Ver­hält­nis­se einer be­stimm­ten oder be­stimm­ba­ren na­tür­li­chen Person (Be­trof­fe­ner)“

Kon­kre­ti­siert wird diese De­fi­ni­ti­on auf der Website der Lan­des­be­auf­trag­ten für Da­ten­schutz und In­for­ma­ti­ons­frei­heit Nordrhein-Westfalen (LfD NRW). Als Beispiele für Ein­zel­an­ga­ben über per­sön­li­che oder sachliche Ver­hält­nis­se finden sich hier:

• Name, Alter, Fa­mi­li­en­stand und Ge­burts­da­tum
• Anschrift, Te­le­fon­num­mer und E-Mail-Adresse
• Konto- und Kre­dit­kar­ten­num­mern
• Kfz-Kenn­zei­chen und Kraft­fahr­zeug­num­mern
• Per­so­nal­aus­weis- und So­zi­al­ver­si­che­rungs­num­mern
• Vor­stra­fen
• Kran­ken­da­ten und ge­ne­ti­sche Daten
• Zeugnisse und ver­gleich­ba­re Wert­ur­tei­le

Als einer be­stimm­ten Person zugehörig sind diese Ein­zel­an­ga­ben dann zu be­trach­ten, wenn die Daten in Ver­bin­dung mit dem Namen der Person erfasst werden oder sich dieser Zu­sam­men­hang aufgrund der Daten un­mit­tel­bar her­stel­len lässt. Dem LfD NRW zufolge gilt eine Person als be­stimm­bar, wenn ihre Identität un­mit­tel­bar oder mittels Zu­satz­wis­sen fest­ge­stellt werden kann. Ein­zel­an­ga­ben zu ju­ris­ti­schen Personen (Firmen oder Vereinen) gelten hingegen nicht als per­so­nen­be­zo­ge­ne Daten. Das Gleiche gilt für rein sta­tis­ti­sche Daten ohne Bezug zum konkreten Nutzer.

Rechtlich um­strit­ten ist bislang, unter welchen Umständen IP-Adressen als per­so­nen­be­zo­ge­ne Daten be­trach­tet werden müssen. Da­ten­schüt­zer sehen die grund­sätz­li­che Be­stimm­bar­keit der Person hinter einer IP-Adresse (zum Beispiel durch den Internet-Service-Provider) als Indiz für einen Per­so­nen­be­zug und raten daher zur An­ony­mi­sie­rung von IP-Adressen. Bestärkt wird diese Ein­schät­zung vom Ge­ne­ral­an­walt des Eu­ro­päi­schen Ge­richts­hofs (EuGH). Dieser rät dem Bun­des­ge­richts­hof in einer Stel­lung­nah­me vom 12.05.2016, IP-Adressen als per­so­nen­be­zo­ge­nes Datum nach § 12 Abs. 1 Te­le­me­di­en­ge­setz zu be­trach­ten.

Auch Cookies liefern u. U. Daten, die auf die Identität eines Nutzers schließen lassen. Grund dafür ist deren ver­knüp­fen­de Ei­gen­schaft. Die EU-Da­ten­schutz­richt­li­nie für die elek­tro­ni­sche Kom­mu­ni­ka­ti­on 2002/58/EG sowie die als Cookie-Richt­li­nie be­zeich­ne­te Er­wei­te­rung 2009/136/EG sehen daher vor, dass In­ter­net­nut­zer über die In­stal­la­ti­on von Cookies und den Ver­ar­bei­tungs­zweck der erfassten Daten in­for­miert werden müssen. Zudem ist eine Ein­wil­li­gung er­for­der­lich. Die prak­ti­sche Umsetzung dieser Vorgabe wird in den Mit­glieds­län­dern jedoch un­ter­schied­lich ge­hand­habt. Was Web­sei­ten­be­trei­ber und Wer­be­ver­mark­ter hier­zu­lan­de beachten sollten, ist Thema des wei­ter­füh­ren­den Artikels zur Umsetzung der EU-Cookie-Richt­li­nie in Deutsch­land.