# Browser-fingerprinting: databeskyttelse uden cookie > Browser-fingerprinting forklaret: hvordan det fungerer, hvorfor § 25 TDDDG og § 165 TKG også kan gælde uden cookie, og hvor grænsen til serveren går. Quelle: https://whovisit.app/da/blog/browser-fingerprinting-databeskyttelse-uden-cookie Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) "Vi bruger ingen cookies" lyder som et frikort. Det gælder kun, hvis der heller ikke ellers gemmes noget på enheden eller udlæses fra den. Browser-fingerprinting er den mest kendte teknik, der klarer sig uden cookie og alligevel gør besøgende genkendelige. Denne artikel forklarer, hvordan den fungerer, hvordan retten indplacerer den, og hvad den adskiller sig fra en forespørgsel på serveren på. ## Hvad fingerprinting er Ved fingerprinting kombinerer et script mange kendetegn ved en enhed til et mønster, som kun sjældent forekommer to gange. Typiske byggesten er browserversion, operativsystem, skærmopløsning, tidszone, sprogindstillinger, installerede skrifttyper og særegenheder ved grafikudgangen. Mønstret virker som et id-kort, den besøgende aldrig har udstedt. Det kan ikke bare slettes som en cookie, fordi det ikke er gemt nogen steder. Det opstår ved hvert besøg på ny af de samme kendetegn. To arter bør du holde ud fra hinanden: - **Aktivt.** Et script i browseren forespørger egenskaber målrettet, for eksempel via programmeringsgrænseflader til skærm, skrifttyper eller grafik. - **Passivt.** Serveren analyserer kun det, browseren under alle omstændigheder sender med ved hver sidehentning, for eksempel browsertypen i forespørgslens hoved og IP-adressen. ## Hvorfor § 25 TDDDG også kan gælde uden cookie Den tyske regel gælder ikke kun for lagring, men også for "adgang til oplysninger, der allerede er gemt i slutudstyret". Ordlyden finder du på [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html). Den, der med et script udlæser kendetegn ved enheden, får adgang til sådanne oplysninger. Det er grunden til, at reglen forklares i detaljer i [§ 25 TDDDG: cookies og tracking i Tyskland](https://whovisit.app/blog/tdddg-paragraf-25-cookies). Datenschutzkonferenz har i sin [Orientierungshilfe für Telemedien](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) udviklet en linje hertil. Derefter forudsætter en adgang en målrettet overførsel af browseroplysningerne, som ikke alene udløses af slutbrugeren. Aktivt fingerprinting falder således under samtykkepligten, ren passiv analyse af det, der under alle omstændigheder sendes, efter denne læsning ikke. Det er tilsynsmyndighedernes opfattelse, spørgsmålet er ikke overalt besvaret ens i retsvidenskaben. På europæisk plan rækker linjen videre. Det Europæiske Databeskyttelsesråd har i sine [retningslinjer 2/2023](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) om anvendelsesområdet for art. 5, stk. 3 i e-databeskyttelsesdirektivet fastslået, at fingerprinting falder inden for dets anvendelsesområde. Også indsamling af oplysninger via forespørgslens headerfelter eller cachingmekanismer kan høre dertil, hvis det bruges til fingerprinting eller tracking (pkt. 43). ## Østrig og Schweiz **Østrig.** § 165 Abs. 3 TKG 2021 kræver et samtykke til indhentning af data, med undtagelser for det teknisk nødvendige. Datenschutzbehörde læser bestemmelsen bredt. Hvordan den er opbygget, forklarer [Cookies i Østrig: § 165 TKG 2021 forklaret](https://whovisit.app/blog/cookies-oesterreich-tkg-165). **Schweiz.** Den føderale databeskyttelses- og offentlighedskommissær nævner i sin vejledning om cookies udtrykkeligt browser-fingerprinting som eksempel på "lignende teknologier", hvor intet gemmes på enheden. For dem gælder de samme krav til information og afvisningsmulighed som for cookies. Mere om det i [Website-tracking i Schweiz: revDSG og FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## Og GDPR? Desuden gælder GDPR, så snart en person kan bestemmes ud fra fingerprintet. Det er ved et mønster, der skal genkende besøgende over flere besøg, som regel tilfældet. Fingerprintet er så et online-kendetegn i betydningen art. 4, nr. 1 GDPR. Den, der bruger det til tracking eller reklameformål, har brug for et retsgrundlag, i praksis som regel samtykket. Hvornår den legitime interesse i stedet bærer, viser [Legitim interesse efter GDPR: de 3 prøvetrin](https://whovisit.app/blog/berechtigtes-interesse-dsgvo). ## Afgrænsning: forespørgslen på netindehaveren på serveren En virksomhedsgenkendelse via netindehaveren bag IP-adressen arbejder anderledes. Den udlæser ingen egenskaber ved enheden og skaber ingen kendetegn, der senere genfinder en besøgende. Serveren slår i det offentlige netregister op, hvem nettet tilhører. Derefter kasseres IP-adressen. Hvordan det forløber teknisk, beskriver [Hvordan fungerer virksomhedsgenkendelse? Teknik i 6 trin](https://whovisit.app/blog/firmenerkennung-website-technik). Om det dermed sikkert ligger uden for § 25 TDDDG, er alligevel ikke en selvfølge. Det Europæiske Databeskyttelsesråd fastslår i de nævnte retningslinjer (pkt. 54 og 55), at art. 5, stk. 3 også kan gælde ved tracking alene ud fra IP-adressen, så vidt denne stammer fra brugerens slutudstyr. Ment er sporingen af navigationen. At en anvendelse berører artiklen, betyder efter rådet ikke, at et samtykke altid er nødvendigt, undtagelserne skal vurderes enkeltvis. Af forsigtighed indlæser nogle udbydere, også Whovisit, scriptet først efter samtykke til en statistikkategori. ## Tjekliste for din hjemmeside 1. Opstil, hvilke scripts der udlæser egenskaber ved enheden. Det omfatter analyse-, svindelbeskyttelses- og reklameværktøjer. 2. Spørg hver udbyder, om den bruger fingerprinting, og til hvilket formål. 3. Kontrollér, om formålet er "strengt nødvendigt" i undtagelsens betydning. Svindelbekæmpelse argumenteres delvist sådan, men skal fortolkes snævert og afklares med din databeskyttelsesrådgivning. 4. Indlæs alt, der ikke er nødvendigt, først efter samtykke. 5. Beskriv teknikken forståeligt i privatlivspolitikken. "Vi bruger ingen cookies" rækker ikke dertil. ## Ofte stillede spørgsmål **Er fingerprinting forbudt?** Nej. Men det kræver som regel et samtykke, hvis det handler om tracking eller reklame. Til svindelbekæmpelse og sikkerhed forfægtes delvist en undtagelse, som fortolkes snævert. **Rækker "Do Not Track" eller en reklameblokering som beskyttelse for besøgende?** Det beskytter den enkelte, men erstatter ikke dine pligter. Ansvarlig forbliver hjemmesidens driftsherre. **Falder analysen af user-agent under § 25?** Efter Datenschutzkonferenz' linje ikke, hvis serveren kun udnytter det, browseren under alle omstændigheder sender med. Sammensættes værdien til fingerprinting eller tracking, kan vurderingen falde anderledes ud, som retningslinjerne fra Det Europæiske Databeskyttelsesråd viser.