Interaktiv-Trends 2021/2022 (8): Consent wird zum neuen Datengold

Consent Management, das Verwalten von Einwilligungen der Besucher zu den verschiedenen Tracking- und Datenverarbeitungsvorgängen, ist inzwischen zur eigenen Software-Disziplin geworden. Ursache dafür sind die vielen rechtlichen Bestimmungen, die genau festlegen, wann der Einsatz von Cookies und anderen Tracking-Methoden der Zustimmung des Nutzers bedarf.

Eine Consent Management Platform (CMP) löst dabei nur die technische Aufgabe. Von größerer Bedeutung ist aber die Frage, wann eine Zustimmung eingeholt werden muss. Gefolgt von der Frage, wie der gesamte Prozess so gestaltet werden kann, dass möglichst wenige Nutzer verloren gehen. Denn meist sind die erhobenen Daten ja geschäftskritisch.

Der juristische Blick

Zunächst ist es aus juristischer Sicht völlig belanglos, ob Daten mittels eines Cookies oder einer anderen Technologie gesammelt werden. Die wichtigsten Regeln:

• Berechtigtes Interesse: Für ausschließlich funktionale Cookies (Warenkorb etc.) muss kein gesondertes Einverständnis eingeholt werden. Auch ein User-Tracking, das allein zum Zwecke der Besucherstatistik und Website-Optimierung erfolgt, fällt unter ein "berechtigtes Interesse". Sobald aber mehr als eine reine Zählung der Besucher angestrebt wird - wenn etwa Interessens-, Verhaltens- oder Besucherprofile erstellt werden sollen - ist das berechtigte Interesse verbraucht.
  
  
• Einwilligung und Zustimmung: Für alle anderen Tracking-Cookies muss eine informierte Einwilligung vorliegen. Dabei müssen bestimmte Vorschriften eingehalten werden: Voreinstellungen zugunsten des trackenden Unternehmens sind nicht zulässig. Bei Consent-Bannern muss laut BGH auf gleicher Ebene auch die Widerrufs- bzw. Ablehnungsoption gegeben sein.
  
  
• Datenweitergabe: Daten dürfen ohne weitere Zustimmung durchaus an Dritte, etwa den Anbieter einer Trackinglösung, weitergegeben werden. Allerdings gilt das nur, wenn der Diensteanbieter einen Auftragsverarbeitungsvertrag geschlossen hat, der bestimmten Kriterien entspricht. Wesentlich ist dabei unter anderem: Der Auftragsverarbeiter muss der Weisung des Auftraggebers unterliegen, der Auftraggeber muss die volle Kontrolle über die Daten behalten (diese also notfalls auch löschen können). Und der Auftragsverarbeiter darf die Daten nicht zu anderen Zwecken (zum Beispiel zu eigenen Zwecken) nutzen.
  
  
• Export ins Ausland: Zuletzt dürfen die Daten auch an einen Auftragsverarbeiter mit Sitz im nicht europäischen Ausland weitergereicht werden. Allerdings muss es dann geeignete Garantien dafür geben, dass dort auch ein vergleichbares Datenschutzniveau wie hierzulande eingehalten wird und betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.

Die Zukunft der Einwilligungen

Die Rechtsprechung tendiert dabei dazu, Clickbaiting bei Einwilligungen zunehmend zu sanktionieren. Die derzeit allgegenwärtigen "Alle Cookies akzeptieren"-Banner dürften daher bald aussterben. Neben der Verwendung einer beweissicheren Consent Management Platform (CMP) wird es daher bald von entscheidender Bedeutung sein, möglichst wenig Einwilligungen zu benötigen und diese geschickt einzuholen. Europäische Analytics-Lösungen lassen sich beispielsweise ganz ohne Einwilligung einsetzen, während die bekannten US-Pendants nicht ohne umfangreiche Disclaimer auskommen.
Daneben wird es entscheidend sein, die Angebote so umzugestalten, dass eine Registrierung für den Nutzer möglichst attraktiv wird. Denn bei dieser Gelegenheit lassen sich elegant die nötigen Zustimmungen einholen. Das Zustimmungsmanagement wird daher in Zukunft eng an den Aufbau eines Kundenbeziehungsmanagements geknüpft sein.