ClientJS

Was ist ClientJS?

ClientJS ist eine kostenlose, quelloffene JavaScript Bibliothek, die einen digitalen Fingerabdruck des Besucherbrowsers erstellt. Statt eine Kennung in einem Cookie zu speichern, liest sie viele Eigenschaften von Browser und Gerät aus und kombiniert sie zu einem gehashten, wahrscheinlich eindeutigen Wert. Entwickler binden sie ein, um wiederkehrende Geräte für Zwecke wie Betrugsprävention, Analyse oder Personalisierung zu erkennen.

Welche Daten und Signale werden erfasst?

ClientJS sammelt Attribute wie User Agent, Betriebssystem, Browser und Version, Sprache, Bildschirmauflösung und Farbtiefe, installierte Schriftarten und Plugins, Zeitzone sowie Canvas und WebGL Rendering Signaturen. Keines davon identifiziert allein eine Person, doch ihre Kombination ergibt einen Fingerabdruck, der ein Gerät herausstellen kann. Die Bibliothek setzt keine Cookies und läuft vollständig im Browser.

DSGVO und ePrivacy Implikationen

Ein Browser Fingerabdruck ist eine persistente Kennung, die einen Nutzer von einem anderen unterscheiden kann, und damit ein personenbezogenes Datum nach der DSGVO, auch ohne zugeordneten Namen. Das Auslesen von Geraetemerkmalen zum Aufbau des Fingerabdrucks fällt unter Artikel 5(3) der ePrivacy Richtlinie, den die europäischen Aufsichtsbehörden als Fingerprinting und nicht nur Cookies umfassend auslegen. Daher ist vor dem Ausführen von ClientJS in der Regel eine vorherige Einwilligung erforderlich.

Einwilligungsanforderungen

Da Fingerprinting wie ein nicht notwendiges Cookie behandelt wird, müssen Sie vor dem Erzeugen des Fingerabdrucks eine freiwillige, spezifische, informierte und eindeutige Einwilligung einholen, sofern er nicht für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt erforderlich ist. Blockieren Sie den ClientJS Code bis zur über eine Consent Management Plattform erteilten Einwilligung, protokollieren Sie diese und lassen Sie ein ebenso einfaches Ablehnen oder Widerrufen wie Zustimmen zu.

Datentransfers

ClientJS läuft lokal und sendet keine Daten an einen Bibliotheksanbieter, sodass Transfers davon abhaengen, was Ihr eigenes Backend mit dem Fingerabdruck macht. Wenn Sie den Fingerabdruck an Server außerhalb des Europäischen Wirtschaftsraums übermitteln, etwa an einen Betrugs oder Analyseanbieter in den USA, benötigen diese Transfers eine gültige Garantie nach Kapitel V der DSGVO und ein Transfer Impact Assessment. Führen Sie über jeden Empfänger klar Buch.

Praktische Compliance Schritte

Behandeln Sie den Fingerabdruck als Tracking Kennung: deklarieren Sie ihn in Ihren Cookie und Datenschutzhinweisen, koppeln Sie ihn an die Einwilligung und legen Sie eine Aufbewahrungsfrist fest, nach der er gelöscht wird. Dokumentieren Sie Zweck und Erforderlichkeit, bevorzugen Sie wo möglich weniger eingreifende Alternativen und führen Sie angesichts des hohen Risikos eine DSFA durch. Prüfen Sie die Umsetzung bei jeder Änderung der Nutzung oder Weitergabe des Fingerabdrucks.