Jetzt wird's ernst: Der Strategie-Guide für Advertising ohne Cookies

Hatten noch im Februar acht von zehn Marketers keinen Plan für die Post-Cookie-Ära (iBusiness berichtete), so war das Thema nun prominent auf der Dmexco   besetzt, mit fast zwanzig Vorträgen, die sich nahezu ausschließlich um das Überleben in der Post-Cookie-Ära drehten - und Dutzenden mehr Referaten, die das Thema ebenfalls am Rand oder als Teilaspekt aufgriffen. Es wäre eine gute Nachricht für die Werbebranche - und auch die KundInnen der Dienstleister, wenn die Dmexco hier als Urknall funktioniert. Denn noch immer drücken sich viel zu viele Marketing-Experten um die bittere Erkenntnis: Cookies werden nicht nur sterben - sie röcheln bereits. Und es gibt keinen technischen Ersatz für sie, außer einer Privacy-fokussierten neuen Marketing-Strategie. Mühsam, ja - aber auch machbar. So geht's:

Was in der letzten Staffel geschah: Die Geschichte des Cookie-Todes in Kurzfassung

Es gibt keinen einzelnen Mörder des Cookies, sein Tod ist eher ein multikausales 'Mord im Orient-Express'-Szenario. Zum einen haben die NutzerInnen immer stärkeren Gebrauch von Blockadetools gemacht, die Browserhersteller haben dieses Bedürfnis aufgefangen und (nicht ohne eigene Agenda) standardmäßig eingeschaltete Datenschutz-Tools implementiert. Dann hat die DSGVO die Privacy-Hürde massiv erhöht und ein wegweisendes Urteil gegen einen Cookies verschleudernden Glücksspielanbieter das Übrige getan.

Aktuell wartet die Branche noch auf Godot, der die EPrivacy-Regelung mit angehängtem Sargnagel für das Cookie im Gepäck hat - aber Handlungsbedarf besteht schon seit längerem. Wer noch auf Cookies setzt oder hofft, sie durch technische Alternativen ersetzen zu können, muss aufwachen.

Eine der massivsten Reaktionen auf den Anti-Cookie-Trend war Googles   Ankündigung, den 3rd-Party-Cookies die Unterstützung zu versagen und künftig ein Maßnahmenbündel namens Privacy-Sandbox zu etablieren. Das soll die Daten der NutzerInnen schützen und zugleich gezieltes Marketing weiter erlauben - via KI, neuer Technologien und vor allem Kohorten-Analyse. In der Privacy Sandbox wird bereits ein wichtiger Effekt erahnbar, den das Cookie-Aus haben wird: Große Internetfirmen mit massiven Ökosystemen gewinnen an Macht, da sie sauber die unbedenklichen First-Party-Daten sammeln können. Sie werden quasi zu potentiellen Dealern, die den Datensüchtigen die Bedingungen diktieren, zu denen sie ihren Stoff bekommen. Doch ganz so schlimm wird das nicht werden - zumindest nicht für alle, glauben Experten.

Die große Gefahr: Abhängigkeit von und Machtzuwachs für die GAFAs

Für den Werber, der heute Reichweite bei US-amerikanischen Giganten einkauft, wird sich beispielsweise kaum etwas ändern, glaubt Christian Bennefeld , Datenschutz-Aktivist und Seriengründer (eTracker   , eBlocker  ) : "Er wird seine Zielgruppen adressieren und erreichen, wie bisher auch schon. Denn Google  , Facebook   und Co. können selbst Re-targeting-Maßnahmen anbieten, ohne dass der deutsche Werbekunde dafür Daten liefern (und sich dadurch gesetzeswidrig verhalten) muss." Schlecht sehe es hingegen für den deutschen und europäischen Werbemarkt aus. Hier setzen viele Anbieter alleine auf Profilbildung über 3rd-Party-Cookies, konstatiert Bennefeld - und die würden bald ihre Targeting-Möglichkeiten verlieren. "Kurz: Europäische Werbe-Anbieter werden die Leidtragenden sein, weil sie Innovationen verschlafen und keine Alternativen zum Cookie-Profil-basierten Targeting entwickelt haben. Profiteure sind die amerikanischen Giganten."

In der Zukunft wird es wichtiger denn je sein, eigene Datenbestände zu sammeln, zu pflegen und in aktivierbaren Reservoiren zu verwalten. Je größer der Ökokosmos ist, in dem man dabei sammeln kann, desto besser. Kooperationen und der Aufbau eigener Publishing-Kosmen gewinnen an Bedeutung. Mit Nutzerzustimmung gesammelte 1st-Party-Daten werden Gold wert sein - sie machen aber auch Arbeit.

First-Party-Daten aktivieren

Zwar sind First-Party-Daten bereits bei vielen Marken vorhanden, doch können die ihre Daten nicht unmittelbar nutzen. Oftmals liegt eine komplexe Silo-Situation vor. Konkret bedeutet dies, dass Daten sich unverbunden und verstreut in mehreren Bereichen des Unternehmens befinden. Die Verbindung und damit Aktivierung benötigt Zeit, so dass Unternehmen sich jetzt vorbereiten müssen, um nicht unter hohem Druck zu stehen, wenn das Cookie-Aus von der Phantom-Bedrohung zum akuten Problem wird.

Zusätzlicher Handlungsbedarf für eine First-Party-Strategie kommt von anderer Stelle: Denn selbst sauber (mit Consent) gesammelte 3rd-Party-Cookies sind mit Vorsicht zu genießen: Über die letzten Jahre hat durch regulatorische und technische Restriktionen ein schleichender Verlust der Datenqualität stattgefunden. Schon heute sind nur noch 30-40 Prozent der Daten aktivierbar. Hinzu kommt, dass man ungewollt vorsegmentiert: Da nur noch Chrome 3rd-Party-Cookies erlaubt (bis 2023), sammelt man spezifische Nutzerdaten einer spezifischen Klientel - und eben nicht über die volle Bandbreite der Browsernutzer hinweg. Besser man setzt auf die Daten und Cookies ersten Grades.

Ein First-Party-Datenbestand kann durch Cookieless Tracking gesichert werden. Die Vorteile sind vollständige Datenkontrolle, keine Abhängigkeit von Third-Party-Anbietern, gelungene Privacy Compliance sowie eine einheitliche Cross-Channel Anbindung. Die Herausforderung: Hinreichende Skalierbarkeit der Daten sowie ein notwendiger Consent der UserInnen. Klassisches Cross-Site Tracking muss substituiert werden. Beim Einsatz von First-Party-Daten gelingt dies durch den User-Login auf der jeweiligen Website.

Zwei Must-Haves existieren bei der Implementierung einer 1st-Party-Strategie:

• Eine zentrale Customer Data Platform (CDP), die die Datenbestände von Unternehmen aus den unterschiedlichen Quellen (E-Commerce, CRM, POS, Online, Offline) aggregiert und normalisiert. Durch den Einsatz der CDP ist eine Integration mit allen Advertising Plattformen möglich und die Grundlage für skalierbares, Cookieless Tracking geschaffen.
  
• Mehrwert. Um mit den verfügbaren First-Party-Daten zu arbeiten, ist die Erteilung des Consent durch die UserInnen notwendig. Ohne kann nur ein aggregiertes, nicht zusammenhängendes Tracking entstehen. Die Profil-Generierung setzt damit nicht nur die Einwilligung des Users oder der Userin, sondern ebenso das Vertrauen in eine permanente Datennutzung voraus. Ziel ist daher, durch das Bereitstellen von individuellen Mehrwerten für die Kunden und Kundinnen deren Consent zu gewinnen. Die individuellen Mehrwerte werden durch intelligente Onsite- und Offsite-Ansprachen generiert. Um KundInnen bessere oder günstigere Angebote bieten zu können, sind Daten essenziell - insofern müssen die Anreize passend gestaltet werden.

Fallstrick beim Consent: "Ich habe doch ein CMP"

Doch selbst, wenn man Consents sammelt und verwaltet, ist man nicht automatisch gegen alles gefeit: Zwar könnte man denken, die geforderten Dienste zur Verwaltung von Einwilligungen seien doch längst verfügbar und weit verbreitet. Hier gilt es aber zu beachten: Mehrere Aufsichtsbehörden für den Datenschutz haben sich in einer Handreichung zu datenschutzkonformen Einwilligungen auf Webseiten (Anforderungen an Consent-Layer) auch zu den bereits auf dem Markt verfügbaren Consent Management Plattformen (CMP) geäußert. Dabei stellten sie fest:

• Zur Implementierung einer umfassenden Einwilligungslösung werden zunehmend Consent-Management-Tools eingesetzt. Die Hersteller dieser Tools werben häufig damit, dass mit ihnen datenschutzkonforme oder DSGVO-konforme Einwilligungen auf der Webseite eingeholt werden.
  
• Diese Werbeversprechen sind allerdings mit Vorsicht zu genießen, denn die Webseite hat zahlreiche Konfigurationsmöglichkeiten.
  
• Durch den Einsatz des Consent-Tools wird also keinesfalls automatisch eine datenschutzkonforme Einwilligungen eingeholt.

Ebenso kann man nicht einfach davon ausgehen, dass ein CMP alle Anforderungen an die im neuen TTDSG eingeführten "Dienste zur Verwaltung von (nach § 25 Absatz 1 TTDSG) erteilten Einwilligungen" erfüllt. Solche Dienste erfordern eine Anerkennung im Sinne des neuen Datenschutzgesetzes. Diese Anerkennung hat aber bisher kein CMP, zumal es die Rechtsverordnung als Kriterienkatalog noch nicht gibt.

"Brauche ich alles nicht!": Fallstrick Technik

Eine der häufigsten Lösungen, die sich Marketer anstelle einer First-Party-Strategie für das Cookie-Aus zurechtlegen, ist die technische Alternative: Man nutzt Fingerprinting, verwendet 1st-Party-Cookies so, als seien es 3rd-Party-Cookies und und und - die Fantasie der Adtechs wächst mit der Strenge der Datenschutzauflagen. De facto ist aber jede technische Lösung keine Lösung.

Man erhält einen Workaround, der vielleicht kein Cookie ist - aber trotzdem die gleichen Probleme hat. Bedeutet: Wer nun das Thema Cookies trotzdem gedanklich "zu den Akten legen möchte" und glaubt, mit den Cookie-Alternativen, die zum Beispiel in der Werbewirtschaft diskutiert und entwickelt werden, sei alles anders, muss umdenken.

Die Aufsichtsbehörden für den Datenschutz haben bereits vor Jahren in einer Orientierungshilfe klargestellt: "Verantwortliche müssen sicherstellen, dass die Einwilligung nicht nur das Setzen von einwilligungsbedürftigen Cookies umfasst, sondern alle einwilligungsbedürftigen Verarbeitungstätigkeiten, wie zum Beispiel Verfahren zur Verfolgung der Nutzer durch Zählpixel oder diverse Fingerprinting-Methoden, wenn diese nicht aufgrund einer anderen Rechtsgrundlage zulässig sind."

Deshalb müssen alle Anforderungen an Management und Einwilligung von Cookies auch von Cookie-Alternativen erfüllt werden, wenn diese dem gleichen Zweck dienen sollen, also zum Beispiel dem Tracking und der verhaltensbasierten Online-Werbung. Es gibt also technischen Ersatz, aber keinen technischen Ausweg aus der Datenschutz- und Abmahnfalle. Das kann nur die mühsamere, aber deutlich lohnendere Strategie, eigene Daten mit sauberem Consent zu sammeln.

So geht's: Die einzigen wahren Optionen

Das Schöne an den nachhaltigen Strategien ist, dass sie die meiste Arbeit am Anfang machen - dann aber mit jedem Jahr besser funktionieren: Die Datenbestände wachsen und werden vergleichbar, die Silos sind geöffnet und die Verwaltung läuft runder - und man ist immer weniger gezwungen, fehlende Reichweiten einzukaufen, wenn der eigene Bestand wächst. Drei Schritte sind essentiell, um diesen Weg erfolgreich zu gehen.

• Der Aufbau eigener Ökosysteme, in denen sich die Nutzer bewegen und rechtlich sauber verwertbare Daten hinterlassen,
  
• das Akkumulieren von Einwilligungen zu Marketing-Maßnahmen wie Newsletter-Marketing, Push-Nachrichten und allen anderen nutzer-/kundenbindenden Tools,
  
• der Verzicht auf ausschließlich datenbasiertes Marketing (falls möglich) zugunsten von ungezielten Maßnahmen oder neue Marketing-Formen auf KI-Basis (das iBusiness ausführlich beleuchtet hat in den Analysen Zu schlau für die DSGVO oder KI versus Corona).

Oft wird darauf verwiesen, dass manche Geschäftsmodelle - besonders Dinge wie ein Affiliate-Business - nicht ohne weiteres durch selbst die beste Strategie ersetzbar sind - man brauche halt Cookies. Doch auch für diesen Fall gibt es eine Lebensversicherung, die mächtiger ist, als sie zunächst klingt.

Das unterschätzte Tool - Der gute Wille

Guter Wille ist, die Regeln so gut es geht zu befolgen und nur dort, wo es das eigene Geschäftsmodell nicht zulässt, 3rd-Party-Daten und -Cookies zu sammeln. Damit steht man zwar meistens mangels klarer Regeln und Urteile immer noch im Nebel auf Glatteis, aber man hat eine Nebelleuchte in der Hand und Spikes unter den Schuhen. Dann kann man dem Datenschützer, der des Weges kommt und am Ende des Tages auch ein Mensch ist und nicht zwingend Streit sucht, etwas anbieten: Schau mal, ich habe mich bemüht - können wir auf die Strafe verzichten?

Wie geht guter Wille?

• Eine Webseite wägt genau ab, welche Elemente sie benötigt und welche nicht.
• Sie schmeißt Social-Plugins hinaus, wenn diese nicht essentiell für das soziale/reichweitengetriebene Geschäftsmodell sind.
• Sie verwendet eine andere Trackinglösung als Analytics, wenn sie kein Adwords einbindet.
• Ansonsten nutzt sie die Elemente weiterhin und bemüht sich um größtmöglichen Nutzerschutz: Sie weist auf jede Form der Datenverwendung durch die eingesetzten Skripte hin, die ihr bekannt ist.
• Sie bemüht sich auch im Wissen, dass nie eine Antwort aus den USA kommen wird, um eine Joint-Controller-Vereinbarung von Facebook oder Google (sie verwendet deren Dienste onsite).
• Sie setzt Zwei-Klick-Lösungen ein, wo es keine Alternative gibt: So operiert man weiterhin nicht vollständig rechtskonform, aber baut Klagehürden um sich auf.

Denn, unglaublich, aber wahr: Die Erfahrung mit der DSGVO zeigt, dass die Datenschützer niemandem den Laden auseinandernehmen, der eine grundsätzliche Bemühung um den Nutzer oder die Nutzerin demonstriert. Selbst bei Verstößen bleibt es hier oft bei Ermahnungen. Auch 99 Prozent der NutzerInnen werden keine Lust auf eine Beschwerde empfinden, wenn Seiten ihren Datenschutzrespekt unter Beweis stellen.

Vor dem Hintergrund all dieser Entwicklungen werden drei Mega-Trends die Zukunft des Marketings in der Post-Cookie-Ära und dem neuen Zeitalter der Privacy bestimmen.

Trend eins: Machtkonzentration in den Walled Gardens

Die großen Internetkonzerne wie Google  , Amazon  , Facebook   und Apple   (und natürlich auch die Netflixe   und Spotifys   und weitere) gewinnen Datenmacht. Advertiser und Agenturen müssen immer öfter bei ihnen anklopfen und Advertising-Ressourcen einkaufen.

Trend zwei: Portalvielfalt und Log-ins als Lösung

Wer Cookies sauber setzen und zugleich möglichst viel Customer Journey im Blick haben will, muss möglichst viele Datenquellen selbst besitzen: Der Aufbau eigener Publishing-Netzwerke und Login-Ökosysteme wird zum Gebot.

Trend drei: Druck und Hoffnung für Europas Technologie-Dienstleister

DSGVO und Cookie-Richtlinie setzen EU-Dienstleister unter Druck, aber analog wächst der Standortvorteil mit: Wer rechtskonform tracken und auswerten kann, darf mit der Privacy-Karte wedeln.