FingerprintJS

Was ist FingerprintJS

FingerprintJS ist eine kommerzielle Browser Identifikationsplattform von FingerprintJS, Inc. (Chicago, USA). Sie stellt ein JavaScript SDK bereit, das eine breite Auswahl an Browser und Geraetesignalen sammelt, um eine stabile visitorId zu erzeugen. Die Open Source Bibliothek FingerprintJS liefert einen Fingerprint Hash, der vollständig im Browser berechnet wird, während FingerprintJS Pro serverseitige Verarbeitung nutzt, um höhere Genauigkeit zu liefern und Identifier über Sitzungen, Geräte und Inkognitofenster hinweg zu deduplizieren. Hauptanwendungen sind Betrugserkennung, Account Übernahme Schutz, Zahlungsrisiko Scoring, Bot Abwehr und Schutz vor Scraping.

Welche Daten und Signale FingerprintJS erfasst

FingerprintJS liest eine Kombination stabiler Signale: User Agent, installierte Schriften, Canvas und WebGL Rendering, Audio Kontext, Bildschirmauflösung und Farbtiefe, Zeitzone, Sprachheader, Plattform, Hardware Concurrency, Gerätespeicher, Plugins, Touch Support, Math und DOM Features. FingerprintJS Pro verarbeitet zusätzlich die Besucher IP, verhaltensbezogene Signale und Persistenzvektoren (localStorage, IndexedDB, Service Worker Speicher), um die Identität auch nach Löschung von Cookies aufrechtzuerhalten. Die resultierende visitorId ist ein probabilistischer Identifier und gilt nach DSGVO als personenbezogenes Datum, weil sie eine natuerliche Person ausmacht.

DSGVO und ePrivacy Implikationen

FingerprintJS benötigt zwar keine Cookies, fällt aber unter Art. 5(3) der ePrivacy Richtlinie: das Auslesen von Informationen aus dem Endgerät zu Identifikationszwecken erfordert eine vorherige informierte Einwilligung, sofern der Zugriff nicht zwingend zur Bereitstellung eines vom Nutzer ausdrücklich angeforderten Dienstes erforderlich ist. EDPB Leitlinien 2/2023 stellen klar, dass Fingerprinting Techniken in Bezug auf die Einwilligung wie Cookies behandelt werden. Antifraud Anwendungen können sich teilweise auf die Ausnahme der unbedingten Erforderlichkeit stützen, die Schwelle ist jedoch eng: die Identifikation muss auf Sicherheit beschränkt, dem Risiko angemessen sein und darf nicht für Marketing, Analytics oder Profiling genutzt werden.

Einwilligungspflicht und Rechtsgrundlage

Für die meisten kommerziellen Einsätze ist die Rechtsgrundlage Einwilligung (Art. 6(1)(a) DSGVO) in Verbindung mit der ePrivacy Einwilligungspflicht. Für rein sicherheitsbezogene Anwendungen (Betrugsprävention auf einem Login oder Checkout, der explizit vom Nutzer initiiert wurde) stützen sich manche Verantwortliche auf das berechtigte Interesse (Art. 6(1)(f) DSGVO), abgesichert durch eine dokumentierte Interessenabwägung. Auch dort ist Transparenz Pflicht: Nutzer müssen in der Datenschutzerklärung über das Geräte Fingerprinting, die erfassten Daten, die Speicherdauer und ihr Widerspruchsrecht informiert werden.

Datentransfers und Hosting

Standardmäßig verarbeitet FingerprintJS Pro Daten in den USA. Kunden in der EU sollten den EU Region Endpoint konfigurieren, um Identifikationsdaten innerhalb des EWR zu halten. Transfers in die USA sind durch Standardvertragsklauseln nach Art. 46(2)(c) DSGVO abgedeckt und erfordern ein Transfer Impact Assessment, das FISA 702 und Executive Order 14086 berücksichtigt. Der von FingerprintJS angebotene AVV legt die Pflichten von Verantwortlichem und Auftragsverarbeiter fest und verweist auf die SCC.

So setzen Sie FingerprintJS DSGVO konform ein

Für einen rechtskonformen Einsatz: binden Sie das SDK an Ihre Consent Management Platform, sodass das Skript erst nach erteilter Einwilligung geladen wird (oder ausschließlich auf sicherheitskritischen Flows, wenn Sie sich auf berechtigtes Interesse stützen); aktivieren Sie die EU Region für FingerprintJS Pro; dokumentieren Sie die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten; führen Sie eine DSFA durch, wenn Fingerprinting mit automatisierten Entscheidungen oder grossangelegtem Profiling kombiniert wird; unterzeichnen Sie den FingerprintJS AVV und bewahren Sie die SCC auf; aktualisieren Sie Ihre Datenschutzerklärung mit einer klaren Beschreibung der Fingerprinting Technologie, der Speicherdauer der visitorId und der Nutzerrechte einschließlich Widerspruchs und Löschrecht.