Marketing ohne Cookies - ein Bauplan

Wer auf Cookies für sein Marketing angewiesen ist, braucht spätestens jetzt eine Strategie für die Post-Cookie-Ära, wer noch keine hat, muss jetzt eine entwerfen. Doch es muss die richtige sein. Denn wie schräg man liegen kann und welches Debakel folgt, verwechselt man strategische Fehler mit einer Strategie - das hat jetzt eine große Marke gezeigt. Doch wie kommt man an die richtige Strategie?

Zunächst muss man als Marke sehen, aus welchen Richtungen Cookies unter Beschuss stehen. Es sind vor allem drei:
1. Die DSGVO: Viele wittern Punkt zwei dieser Auflistung als Hauptfeind der Cookies. De facto ist es die DSGVO und ihr Verbot von Profilbildung und ihre Absage ans Basteln von Marketingstrategien anhand von persönlichen Nutzerdaten-Bruchstücken. Wenn dafür Cookies zur Verwendung kommen, greift die DSGVO.
2. Das Urteil gegen Planet 49: (mehr dazu hier) Es stellt fest, brutal verknappt formuliert, dass alle Formen von Cookies grundsätzlich der aktiven Nutzer-Zustimmung bedürfen.
3.Browser: Die kassieren immer rigoroser ab Werkseinstellung Cookies. Safari und Chrome gehen (nicht nur aus uneigennützigem Interesse) immer klarer gegen 3rd-Party-Cookies vor.
In dieser Aufzählung sind die NutzerInnen nicht erwähnt, die ebenfalls keine Lust auf Werbung haben: Jeder Zweite nutzt einen Blocker, wie iBusiness einmal hochgerechnet und inzwischen auch nachgewiesen hat (siehe unsere Analyse von 2018).

Wie aber müssen Marken, Advertiser und Agenturen nun vorgehen, wenn sie so weiter werben wollen wie vorher - nur halt ohne Cookies. Nicht alle Rezepte, die aktuell im Umlauf sind, verschreiben wirksame Medikamente, manche verschweigen die Nebenwirkungen. Hier eine Schritt-für-Schritt-Anleitung für mögliche Szenarien von Post-Cookie-Geschäftsmodellen im datengesteuerten Marketing.

Der erste Checkpunkt: Berechtigtes Interesse vorhanden?

Es gibt einen spannenden Aspekt des Planet-49-Urteils gegen Cookies. Quasi für Kenner. Und der betrifft vor allem das Retargeting, das gesamte Display-Marketing und vor allem die Affiliate-Branche. Denn der BGH hat sich praktisch nicht zum Punkt des 'berechtigten Interesses' geäußert. Diese Formulierung geht auf Art. 6 Abs. 1 der DSGVO zurück und wird von allen hier gerade genannten Geschäftsmodellen wie ein Schutzschild vor sich gehalten. Doch der BGH hat eben nicht gesagt, dass dieses Interesse eine Rechtfertigung ist. Das Gericht hat es nur (noch) nicht explizit abgelehnt oder ausdrücklich als Cookie-Rechtfertigung bestätigt.

Damit befindet sich jedes Geschäftsmodell, das sich auf das berechtigte Interesse beruft, nun in einem Schwebezustand. Einerseits steht damit nur eine erfolgreiche, höchstrichterlich entschiedene Klage zwischen der Existenz von Affiliate-Marketing und dessen Aus. Andrerseits wird auch kaum eine Fanpage in Deutschland juristisch haltbar betrieben und es passiert praktisch nichts. Oder anders gesagt: Wer 'berechtigstes Interesse' glaubhaft machen kann, steht immer noch auf unsicherer Grundlage.

Die iBusiness-Risiko-Analyse verschiedener Geschäftsmodelle

E-Commerce: Alles, was man an Cookies für einen Kaufvertrag in einem Shop braucht (Warenkorb, Checkout), ist juristisch sicher - was darüber hinausgeht aber nicht. Was sich der/die Kunde/In angesehen hat, woher er kam und wie lange er wo in meinem Shop war, bedarf der ausführlichen und dokumentierten aktiven Einwilligung. Display-Advertising: Hat sich bisher auf berechtigtes Interesse gestützt, befindet sich aber nun im expliziten Schwebezustand. Entscheiden sich Verbraucher zu einer Klage, die sie durch alle Instanzen führen, kann sich die Branche warm anziehen. Denn laut Martin Bahr "kann ein Netzwerk kaum nachweisen und mit berechtigtem Interesse verargumentieren, wer da alles Nutzerdaten weitergeleitet bekommt." Affiliate: Der angeführte Status des berechtigten Interesses bleibt juristisch wackelig - aber lässt sich aufgrund des BGH-Urteils nicht klären. Retargeting: Argumentiert ebenfalls mit berechtigtem Interesse - finaler Status aufgrund BGH-Urteil ebenfalls ungeklärt Tracking: Wackeliger Statuts, BGH-Urteil ohne Beitrag zur Klärung

Das 'berechtigte Interesse' kann also schnell aufs Glatteis führen. Und wer 'berechtigtes Interesse' nicht glaubhaft machen kann, darf keine Cookies ohne Nutzer-Einwilligung setzen - und selbst wenn man die hat, ist man ganz schnell wieder auf dem Glatteis.

Wie es nicht geht - berechtigtes Interesse und Consent als Weg auf das Glatteis

Um das deutsche Cookie-Problem zu verstehen, muss man das TCF2 grob kapieren. So kurz wie möglich gesagt, war mit dem BGH-Urteil gegen Planet 49   klar, dass die cookiebasiert werbende Branche künftig ihr Marketing basierend auf dieser technischen Lösung, dem IAB TCF 2.0 - dem Transparency and Consent Framework   - abzuwickeln hätte. Dieses Framework besteht unter anderem aus einem Stückchen Information, einer ID, die generiert wird und verschlüsselt den abgefragten Consent eines Nutzers beinhaltet - so können Systeme miteinander darüber kommunizieren, welche Werbung sie welchem Nutzer vorsetzen dürfen. Und ausgerechnet dieses Framework wollte das große Affiliate-Netzwerk Awin    nicht unterstützen, wie es im September angekündigt hat (siehe iBusiness) - damit war klar, dass Awin sein cookiefrei kaum denkbares Display-Affiliate-Business nicht mehr zukunftssicher abzuwickeln können würde. Kein Wunder, dass das Netzwerk zehn Tage später zurückruderte.


Dennoch hat Awins kurzer Urlaub im Zustand des Boykotts in der Branche die Frage aufgeworfen: Wieso tat Awin das? Nach eigener Aussage begreift sich Awin als reiner Affiliate-Marketeer - deswegen will es vielleicht den Status des aus 'berechtigtem Interesse' Handelnden keinesfalls verlieren, auf den sich Affiliates berufen. TCF2 deutet aber auf weitergehende Interessen als nur die 'berechtigte' Affiliate-Attribution hin - wer TCF2 unterstützt, will eventuell Retargeting betreiben (mal als Beispiel). Awin wollte also möglicherweise das Display-Affiliate-Geschäft opfern, für das TCF2 essentiell ist und boykottierte symbolisch den Standard, damit Datenschützer sehen konnten: "Schaut mal, Datenschützer - wir wollen nur Geschäftsmodelle mit berechtigtem Interesse betreiben, wir brauchen gar keinen Datenaustausch-Standard, also bitte seid nett zu uns!"

Was auch immer das befremdliche Manöver motiviert hatte, keine zwei Wochen später kam die 180-Grad-Wende, weil die Publisher doch die eine oder andere Frage zum Kurs von Awin aufgeworfen hätten, erklärte das Unternehmen. Möglich, dass das Netzwerk realisiert hatte, dass es ohne seine Publisher nicht geht, eventuell gab es auch hausintern eine Ansage, da der Axel-Springer-Konzern selbst an der Gestaltung von TCF2 mitgewirkt hatte - wie sieht es da aus, wenn eine Tochter aus der Reihe tanzt? Was auch der Grund war: Awin war nicht in der Lage, den eigenen Kurs zu halten und ruderte zurück.

Das Problem mit dem Consent - und wieso man trotzdem darauf setzen sollte

Auf Glatteis steht man aber auch schnell, wenn man auf das Consent-Tool setzt und die Nutzer zu den Cookies zustimmen lässt - was in etwa so viel Aufwand und noch weniger Spaß macht, als bei seinem Laptop die Energiespar-Optionen zu verwalten.

Publisher versuchen nun zunehmend intensiver, vom Nutzer pauschale Zustimmungen für Seiten-Netzwerke zu erhalten: Diesen Weg geht aktuell die NetID-Stiftung  , die es erlauben soll, verschiedene Online-Angebote mit denselben Login-Daten zu nutzen. Ähnliches versucht der Springer-Verlag aktuell alleine aufzubauen.

Springer   besitzt viele Töchter mit auf Datenweitergabe beruhendem Geschäftsmodell und holt sich deshalb beim Betreten einer seiner Seiten beim Nutzer eine Erlaubnis für den gesamten Seitenverbund ein - der Nutzer muss dem seitenübergreifenden Erfassen und Zusammenführen seiner Daten zustimmen. Dieser sichere Boden des Zustimmungs-Ökosystems gibt aber schnell wieder nach.

Zum Beispiel immer dann, wenn Webseiten Nutzer-Daten über einen Verbund verschiedener Seiten hin erfassen: Will Springer den Nutzer tracken, der sich zwischen Bild.de und Welt.de hin- und herbewegt, braucht der Verlag die ausdrückliche Einwilligung des Nutzers für dieses 'Bewegungs-Tracking'. Und wenn künftig neue Seiten und Dienste zu diesem Publishing-Verbund hinzustoßen, braucht es dafür neue explizite Einwilligungen des Nutzers, dass man auch auf diesen neuen Reichweiten tracken und erfassen darf. Aktuell versucht man bei Springer, dieses Problem durch pauschale Formeln zu lösen - der Nutzer muss anfangs der Datenweitergabe an "Töchter und Partner" zustimmen. Das ist rechtlich nicht wirksam (weil zu wenig konkret), aber besser als ohne jede Einwilligung dazustehen.

Consent einzuholen ist technisch sauber, für den Nutzer weitgehend transparent, juristisch wacklig, aber immerhin zielgerichtet auf Zustimmung aus.

Wege, um im Glatteis einzubrechen: So geht es nicht

Da viele Publisher, Agenturen und Dienstleister genau wissen, dass das mit dem Consent ganz schön knifflig ist und Reichweite kostet, setzen sie auf andere Wege. Immer wieder, wenn der Gesetzgeber etwas reguliert, kommt dann die Hoffnung auf die technische Lösung ins Spiel.

Technische 'Lösungen' - Die Methode der Advertising-Greyhats

Auch beim Angriff auf Cookies kommen die technischen Advertising-Dienstleister des Weges und bieten eine technische Lösung an: Browser löschen und blocken Cookies immer effektiver? Da wird dann ein Supercookie zusammenprogrammiert, das sich mit Zähnen und Klauen im Cache verbeißt. Dumm nur: Werden 3rd-Party-Cookies ganz verboten, darf man das natürlich nicht mehr. Also Schluss mit Tracking- und Werbe-Cookies ohne Consent? Quatsch!

Kurz nachdem sich abzuzeichnen begann, dass auf die 3rd-Party-Cookies eine schwere Zukunft zukam, machte ein Vorschlag der üblichen Kreativität die Runde: "Nutzen wir doch die 1st-Party-Cookies zum Tracking." In diesem Szenario werden 1st- statt der 3rd-Party-Cookies für ein seitenübergreifendes Tracking verwendet. Technisch betrachtet ist das machbar, strategisch läuft es auf einen eher formellen Workaround hinaus: Ein Nutzer landet auf einer Advertiser-Landing-Page, weil er beim Publisher eine Affiliate-Ad geklickt hat. Die Landingpage des Advertisers bekommt eine URL, in der als Info steht, woher der Nutzer gerade kommt. Nun wird diese URL-Extension als First-Party-Cookie im Browser des Nutzers gespeichert. Dann übergibt der Advertiser diese Informationen an den Publisher/Affiliate, indem er ein Pixel auf seiner Seite einbaut, dass diese Daten übergibt. Ein Workaround, der im Prinzip die schwer zu löschenden First-Party-Cookies in Verbindung mit Pixeln dazu nutzt, die Arbeit von 3rd-Party-Cookies zu machen. Doch viele Experten gehen davon aus, dass wir dieses Szenario nun oft erleben werden.

Doch nachhaltig erscheint der Tausch von einem Cookie gegen das andere nicht: Es ist im Prinzip so, als würde man auf eine Feier gehen, auf der Wodka-Flaschen verboten sind, und Wodka in einer Orangensaft-Flasche mitbringen: Technisch gesehen leistet man keinen Verstoß - denn man hat keine Wodkaflasche mitgebracht. De facto jedoch verstößt man gegen den Sinn der Regelung: Dass der Veranstalter keine Besoffenen auf seiner Feier will. Die Annahme, damit davonzukommen, ruht allein auf der Tatsache, dass es um die Flasche/Cookie geht statt um den Wodka/Datentransfer. Und genau deswegen wird die Branche mit diesem Workaround scheitern: Die EPrivacy-Richtlinie hat nichts gegen Cookies. Sie hat etwas gegen den eingeschmuggelten Alkohol, den Datentransfer, von dem der Nutzer nichts weiß. Nur die Zustimmung des Nutzers wird helfen, rechtssicher zu agieren. Und selbst technisch erscheint der Workaround von fragwürdiger Erfolgsaussicht: Apples Browser Safari hat standardmäßig eine Intelligent Tracking Prevention aktiviert: Einen Cookie-Blocker, der sogar vor First-Party-Cookies nicht haltmacht, wenn sein Machine Learning erspürt, dass diese Cookies zu Tracking-Zwecken missbraucht werden. Diese Funktion allein legt nahe, dass die Branche unzureichend strategisch in ihren Maßnahmen gegen das Cookie-Sterben denkt.

Doch in technischen Dimensionen zu denken, um das Cookie-Problem zu lösen, ist nicht automatisch dumm. Man muss es nur etwas anders machen - weniger in Richtung Nutzer-Täuschung und mehr in Richtung Zukunft.

Statt Mogel-Cookies - Neue Marketing- und Targetingtechnologien

Neue KI-gestützte Targeting-Methoden können ganz ohne Cookies auskommen und dennoch hohe Relevanz bei den Werbe-Einblendungen generieren. iBusiness hat ihnen einmal eine ganze Analyse gewidmet: KI-basiertes Umfeld-Targeting, Kampagnen-Klone, Generative Adversarial Networks oder neuartige Schwarmanalysen sind DSGVO-konform und hochwahrscheinlich auch mit der EPrivacy-Linie vereinbar. "Etwa kontextuelles Targeting würde dann nicht mehr ablaufen wie früher", sagt Friederike Scholz, Head of Product bei der auf KI-Technologie spezialisierten Agentur Semcona   : "Hier versteht man was auf einer Seite steht, inklusive des Sentiments, der positiven oder negativen Behandlung eines Themas und steuert entsprechende Ads aus - dabei ist dann gleich das Problem der Brand Safety mitgelöst. Es lassen sich inhaltlich stimmige Dienstleistungen neben einem Artikel bewerben." Foren ließen sich so urbar machen, weil die KI die Kontexte und Stimmungen erkennt, die entsprechende Ads dann auffangen können.

Technisch sind neue cookiefreie Werbe-Tools schon machbar, aus Nutzerperspektive bleibt es zwar Werbung (nervig) - aber besser aussteuerbar unter höherer Vermeidung inhaltlicher Fehlschüsse, juristisch unbedenklich, weil nicht personalisiert.

Und dann gibt es noch eine Methode, die wir der Vollständigkeit halber nennen wollen:

Abwarten, tun als ob nichts geschieht:

Bei dieser Methode steckt man den Kopf in den Sand, setzt weiter Cookies und hofft darauf, dass alles gut geht. De facto ist es bis zu einem gewissen Grad der Zustand der gesamten Internet-Branche oder der jeder einzelnen Facebook-Fanpage: Man kann im Grunde nicht operieren, ohne wissentlich oder unwissentlich gegen eine der Vorschriften zu verstoßen, die hier gelten. Damit sind nicht Cookies gemeint, sondern alles von den fälligen Hinweisen an Nutzer, über potenzielle Abmahn-Gründe bis zur Impressumspflicht und natürlich auch den Cookie-Hinweisen. In dem Moment, in dem sich ein Datenschützer oder Wettbewerbshüter mit der Leselupe über die Seite hockt, wird er etwas finden.

Man kann damit durchaus überleben. Zum Beispiel wenn man 1. Google heißt oder Facebook. Der auf neue Medien spezialisierte Anwalt Dr. Martin Bahr von der Kanzlei Dr. Bahr   geht davon aus, dass Planet-49-Urteil und DSGVO "auf absehbare Zeit keinen der US-Anbieter wirklich zum Einlenken bewegen. Das ist weniger eine juristische, denn eine rechtspolitische Antwort." Oder 2. man zeigt guten Willen. Also das, was Facebook gar nicht tut, sondern lieber mit dem Rückzug aus Europa droht. Guter Wille ist, die Regeln so gut es geht zu befolgen. Damit steht man zwar immer noch auf Glatteis, aber man hat Spikes unter den Schuhen und steht schön fest und breitbeinig da. Dann kann man dem Datenschützer, der auch ein Mensch ist und vielleicht gar keinen Streit sucht, etwas anbieten: Schau mal, ich habe mich bemüht - können wir auf die Strafe verzichten?

Wie geht guter Wille?

• Eine Webseite wägt genau ab, welche Elemente sie benötigt und welche nicht.
• Sie schmeißt Social-PlugIns hinaus, wenn diese nicht essentiell für das soziale/reichweitengetriebene Geschäftsmodell sind.
• Sie verwendet eine andere Trackinglösung als Analytics, wenn sie kein Adwords einbindet.
• Ansonsten nutzt sie die Elemente weiterhin und bemüht sich um größtmöglichen Nutzerschutz: Sie weist auf jede Form der Datenverwendung durch die eingesetzten Skripte hin, die ihr bekannt ist.
• Sie bemüht sich auch im Wissen, dass nie eine Antwort aus den USA kommen wird, um eine Joint-Controller-Vereinbarung von Facebook oder Google (verwendet sie deren Dienste onsite).
• Sie setzt Zwei-Klick-Lösungen ein, wo es keine Alternative gibt: So operiert man weiterhin nicht vollständig rechtskonform, aber baut Klagehürden um sich auf.

Denn, unglaublich, aber wahr: Die Erfahrung mit der DSGVO zeigt, dass die Datenschützer niemandem den Laden auseinandernehmen, der eine grundsätzliche Bemühung um den Nutzer demonstriert. Selbst bei Verstößen bleibt es hier oft bei Ermahnungen. Auch 99% der Nutzer werden keine Lust auf eine Beschwerde empfinden, wenn Seiten ihren Datenschutzrespekt unter Beweis stellen.

Wohin die Reise geht: Trends für 2020-2025

Die E-Privacy-Regelung soll die nächste Seite im Maßnahmen-Katalog gegen Cookies aufschlagen - wann sie kommt und ob sie so kommen wird, wie vorgesehen, ist noch ungewiss. Doch bis dahin ist sicher aufgestellt, wer eine Handvoll Entwicklungen erwartet und darauf entsprechend reagiert.

Trend eins: Verstärkte Abhängigkeit von Publisher-Daten

1st-Party-Daten beherrschen den Markt - Ursache sind das absehbare Aus für das legale Setzen von Cookies und die DSGVO. Werbe-Genres wie Programmatic oder Targeting existieren damit zunehmend nur noch, wenn Daten juristisch sauber gesammelt und personenunabhängige Profile gebildet werden. 3rd-Party nimmt einen langsamen Abschied.

Trend zwei: GAFA-Machtzuwachs: Machtkonzentration in den Walled Gardens

Die großen Internetkonzerne wie Google  , Amazon  , Facebook   und Apple   (und natürlich auch die Netflixe   und Spotifys   und weitere) gewinnen Daten-Macht. Advertiser und Agenturen müssen immer öfter bei ihnen anklopfen und mit Geldscheinen in der Hand um Nutzerkontakte bitten.

Trend drei: Portalvielfalt als Lösung

Wer Cookies sauber setzen und zugleich möglichst viel Customer Journey im Blick haben will, muss das Spiel der Großen spielen - und möglichst viele Datenquellen besitzen: Wer nur auf der eigenen Homepage seine 1st-Party-Daten schürfen kann, gerät ins Hintertreffen gegenüber Netzwerken, die den Nutzer auf verschiedenen Portalen tracken können.

Trend vier: Druck für europäische Technologie-Dienstleister - und ein Funken Hoffnung

DSGVO und Cookie-Richtlinie lassen den Druck auf die Dienstleister im europäischen Geltungsbereich der Reglementierungen wachsen - jedoch wächst analog dazu der Standortvorteil mit: Wer konform zu gängigen Richtlinien in Europa Cookies setzen, tracken und auswerten kann, hat immerhin ein gutes Argument in der Tasche.

Trend fünf: Konzentration bei den Technologie-Dienstleistern und Publishern

Lokale europäische Marktteilnehmer werden gezwungen sein, Technologien, Reichweiten und jedwede Pflastersteine, die sie von der Customer Journey des Kunden im Blick haben, zusammenzuwerfen, um mithalten zu können. Pro Sieben Sat.1   und RTL   machen dies im Gewand des Verbundes D-Force   vor, ein Joint Venture, das die Reichweiten beider Mediakonzerne kombiniert und so etwa ein übergreifendes Frequency Capping erlaubt: Statt den gleichen Nutzer beispielsweise zehn Mal bei RTL und zehn Mal bei Pro Sieben anzusprechen, können Marken den gleichen Nutzer in beiden Netzwerken mit einem Kontaktlimit von insgesamt zehn Impressions kontakten und Streuverluste verkleinern.

Vor diesem Hintergrund gibt es vier mögliche Szenarien für die Post-Cookie-Ära: