Das neue Cookie-Urteil und Sie (oder: Bundesgerichtshof zur Einwilligung in telefonische Werbung und Cookie-Speicherung)
Der Bundesgerichtshof hat neulich (28.5.2020) ein neues Urteil verkündet, welches besagt, dass das Einwilligen von Cookies auf Webseiten vom Nutzer ausgehen muss. Das heißt, keine vorausgefüllten Check-boxen oder bloße Banner. Der User muss aktiv den Cookies zustimmen. Dies ist im prinzip nicht Neues und deckt sich mit dem EUGH Urteil von vor ein paar Jahren.
Um dieses Urteil und das des EUGH umzusetzen gibt es viele Tools auf dem Markt.
Diese Tools nennen sich Consent Management Platform (CMP), aber was genau ist das? Wie funktionieren sie und braucht man sie?
Was ist ein CMP?
Die E-Privacy Verordnung oder Datenschutz-Grundverordnung (DSGVO) besagt, dass künftig Nutzer darüber informiert werden müssen, für welche Zwecke ihre Daten erhoben und vom wem sie verarbeitet werden. Außerdem muss angeboten werden diese Erhebung teilweise oder ganz abzulehnen, sogenanntes "Opt-Out".
Um dies und die Nutzung von Cookies zur Datenerhebung zu verwalten, abzufragen und zu dokumentieren, sind Consent Management Platforms (CMP) gemacht worden.
CMPs funktionieren, indem sie die Daten, welche sie auf den Webseiten ihrer Kunden erheben in einer zentralen Datenbank speichern, welche allen Mitgliedern/Kunden es ermöglicht Daten ihrer Kunden über Kaufverhalten für z.B. Werbung zu gebrauchen.
Sind CMPs effektiv?
Studien von Quantcast und Purch haben ergeben, dass zwischen 70%-90% aller Nutzer "Opt-in" auswählen, also die Cookies akzeptieren, dies zeigt, dass CMPs zumindest die Aktivität nicht negativ beeinflussen, denn die meisten Nutzer geben die, laut DSGVO, notwendige Einwilligung.
Auswahl der richtigen CMP
Um die richtige Entscheidung bei der Auswahl eines CMPs zu treffen müssen einige Punkte beachtet werden. Ein CMP sollte ermöglichen, die datenschutzrelevanten Texte der verwendeten Technologien einzubinden, worin aufgrund der DSGVO sämtliche Informationen über Technologien und deren Parameter zu nennen sind. Dies schließt auch Plug-Ins, Hosting-Anbieter und eingebundene Inhalte, wie z.B. Videos, mit ein.
Auch ist in der DSGVO eine Nachweispflicht verankert, weshalb gute CMPs die Einwilligungen (Engl.: Consent) der Nutzer auch auf den Servern des Webseitenbetreibers speicher, sodass die möglich Entlastung gegenüber einer Behörde garantiert ist.
Die gilt natürlich nur für Technologien, welche tatsächlich im Einsatz auf der Webseite sind, eine Pauschaleinwilligung is laut dem Konkretheitsprinzip der DSGVO nicht möglich.
Der Ladevorgang der einwilligungspflichtigen Technologien darf erst nach der Einwilligung geschehen und es dürfen ausschließlich jene geladen werden, zu weichen der Nutzer zugestimmt hat.
Dies gilt natürlich auch für Opt-Outs. Ab dem Zeitpunkt des Widerrufs, dürfen die abgelehnten externen Technologien keine Daten mehr erheben.
Ein weiterer Punkt, ist dass die CMP das IAB Transparency & Consent Framework unterstützt. Diesem Framework folgen bereits viele große Werbetechnologie-Unternehmen. In der Zukunft wird personalisierte Werbung im digitalen Anzeigenhandel nur noch mit Consent-ID aussteuerbar sein. Es ist zu erwarten, dass sich darüber hinaus noch weitere Standards entwickeln. Ihre CMP sollte daher so entwickelt sein, dass sie auch kommende Standards und Anforderungen erfüllen kann.
Außerdem, sollte ein gutes CMP in der Lage sein, sich dem individuellen Design der Webseite anzupassen ohne den Nutzer zu irritieren, auch wenn diese verändert wird (z.B. Design und Layout).
Es ist auch empfehlenswert den Serverstandort in der EU zu haben, um rechtliche Komplikationen zu vermeiden und Sicherheit zu garantieren.
Zu beachten gilt es auch, dass die Profile für jeden Nutzer separat für jede Webseite angelegt werden müssen. diese Informationen können nicht ohne weiteres auf andere Webseiten übertragen werden und ein CMP Anbieter sollte ausschließlich die Einholung der Einwilligung verfolgen. Ansonsten könnte unterstellt werden, dass die Consent-Daten auch für andere Geschäftszwecke genutzt werden, die wiederum selbst eine Einwilligung erforderlich machen.
Ein anderes Beispiel: OneTrust
OneTrust wirbt damit, dass sie die größte und meist benutzte CMP auf dem Markt sind. Es wird u.a. von der Forrester New Wave™ empfohlen, im vierten Quartal 2018 OneTrust empfahl und beschrieb, wie OneTrust seiner Konkurrenz im Bereich Vision un Ausführung voraus sei. 2019 wurde OneTrust von Fast Company als eine der " World's Most Innovative Companies" gekührt.
Mit über 2500 Kunden weltweit in über 200 Ländern ist OneTrust in der Lage Ihnen zu helfen Datenschutz Richtlinien für die DSGVo der EU, den California Consumer Privacy Act (CCPA), die Brasilianische LGPD und mehr einzuhalten.
OneTrust bietet kostenlose Demo Versionen und Test Versionen an.
Ein Beispiel: usercentrics
usercentrics wirbt mit seiner Individualität, Transparenz und einfachen Bedienbarkeit. Sie sind Marktführer in dem Berich des Consent Managements und die Kosten betragen 9$/Monat. Hierbei ist zu beachten, dass es keine Gratis-Version oder Demo gibt.
Als Partner von E-Recht24 ist usercentrics immer auf dem neuesten Stand was Datenschutz angeht.
(https://usercentrics.com/de/) → Link als Button einfügen
Ein weiteres Beispiel: Consent Manager
Consent Manager wirbt damit, dass ihre Kunden höhere Acceptance-Raten und niedriger Bounce-Raten als mit anderen CMPs haben. So sind Seitenbetreiber in der Lage das Meiste aus ihrer Webseite herauszuholen, im Bezug auf z.B. Werbung.
Consent Manager bietet außerdem die Möglichkeit mehrere Solutions simultan auf Ihrer Webseite zu testen, um so automatisch anzupassen welche der Solutions das beste Ergebnis bringt.
Fazit
Es ist natürlich Ihnen selbst überlassen, ob Sie sich entscheiden eine Consent Management Platform zu benutzen, oder ob Sie selber Ihre Webseite manuell DSGVO-Konform halten wollen, aber mit diesen Tipps und dem Wissen aus diesem Artikel sind Sie gut darauf vorbereitet eine informierte Entscheidung für Ihre Webseite zu treffen.
wichtig ist im Endeffekt nur, dass Ihre Webseite sich an geltendes Recht hält, ansonsten kann es sehr schnell sehr teuer werden, sollten die Behörden feststellen, dass sich Ihre Webseite nicht an die DSGVO hält (20.000€ Strafe für den ersten Verstoß wie in dem ersten Urteil 2018 festgelegt wurde).
Es ist also äußerst wichtig für Sie und Ihr Unternehmen sich immer auf dem neuesten Stand zu halten und unnötige Kosten durch Strafen zu vermeiden.