Tracking der Besucher: Zulässig oder unzulässig?

Das Tracking von Besuchern einer Veranstaltung bietet vielfältige Möglichkeiten für Veranstalter, aber auch Sponsoren und Sicherheitsbehörden: Dem Besucher bspw. einer Messe können gezielt Informationen geschickt werden. Dem Besucher bspw. eines Festivals oder Volksfestes kann signalisiert werden, in welchen Bereichen es bereits überfüllt ist. Mit Blick auf die Sicherheit der Veranstaltung lassen sich Besucherdichte und -ströme überwachen.

Für die juristische Betrachtung gibt es einen wesentlichen Unterschied: Ist der Besucher durch irgendein Kriterium identifizierbar, oder bleibt er komplett anonym?

Solange der Besucher anonym bleibt und es zu keiner (!) Datenerhebung kommt, ist das Tracking unproblematisch.

Personenbezogene Daten beim Tracking

Aber wenn durch das Tracking auch nur ein Datum mit Personenbezug erhoben wird, durch das der Besucher identifizierbar werden kann, kommt das Datenschutzrecht ins Spiel.

Man denke hier an das Tracking auf der Webseite: Hier wird regelmäßig die IP-Adresse des Webseitenbesuchers erfasst, und die IP-Adresse ist ein personenbezogenes Datum im Sinne des Datenschutzrechts.

Das Tracking im Zusammenhang mit personenbezogenen Daten wird durch das Datenschutzrecht nicht unmöglich, es bringt nur einige Hürden mit sich: Denn derjenige, der das Tracking einsetzt, muss u.a. prüfen:

• Wer ist der verantwortliche Datenverarbeiter? (ist man alleine verantwortlich, oder ggf. gemeinsam verantwortlich mit bspw. Sponsoren, oder beauftragt man einen Auftragsverarbeiter?)
• Zu welchem Zweck werden welche Daten erhoben?
• Welche Rechtsgrundlage ist für den jeweiligen Zweck geeignet?
  • Bei der Einwilligung ist zu beachten, dass der Betroffene unmissverständlich informiert wird, wohinein er einwilligen soll.
  • Beim berechtigten Interesse sollte bedacht werden: Je weniger üblich und gewöhnlich die Datenverarbeitung ist, desto schwieriger wird es, das berechtigte Interesse zu begründen.
• Wo werden diese Daten wie lange gespeichert?
  An wen werden die Daten weitergegeben (gibt es eine Weitergabedokumentation)?
• Wann werden die Daten gelöscht?
• Wann wird der Betroffene wie informiert?
• Sind besondere technische oder organisatorische Maßnahmen notwendig?