Lange hat sie sich angek\u00fcndigt und ihren Schatten weit voraus geworfen. Die DSGVO galt vor ihrem Inkrafttreten als Schreckgespenst einer ganzen Branche \u2013 der Untergang des Online Marketings stand bevor. Doch was nun seit fast einem Jahr Bestand hat, hat die Online-Marketing-Landschaft bei weitem nicht so grundlegend ver\u00e4ndert, wie bef\u00fcrchtet. Denn wer gewissenhaftes Marketing betreibt und Transparenz auch schon vor dem 25. Mai 2018 unter seinen Grundwerten auff\u00fchrte, der hatte auch keine horrenden Bu\u00dfgelddrohungen oder gar den Niedergang seines Unternehmens zu bef\u00fcrchten.<\/p>\n
Die DSGVO soll, anders als ihr Ruf, als Harmonisierer auftreten und das Online-Marketing zumindest in Europa ausbalancieren. Die Grundverordnung vereinheitlicht die Verarbeitung von personenbezogenen Daten f\u00fcr Zwecke des Marketings und stellt mal klare, mal weniger klare Regeln auf. Die Reaktionen darauf sind gemischt und reichen von stillem Gehorsam bis hin zu blankem Entsetzen. Auf jeden Fall ist der DSGVO nicht zu entkommen, nein, sie ist gekommen, um zu bleiben.<\/p>\n
Doch gerade vor dem Hintergrund eines stetig sinkenden Vertrauens der Endverbraucher bedingt durch allzu aggressives personalisiertes Targeting, macht die DSGVO das Online-Marketing nicht zum Gl\u00fccksspiel, sondern bietet vielmehr die Chance f\u00fcr einen Neustart.<\/p>\n
Die Datenschutzgrundverordnung er\u00f6ffnet ein neues Kapitel f\u00fcr das digitale Marketing und r\u00fcckt eine Sache ganz klar in den Fokus: personenbezogene Daten. Sie sind der Dreh- und Angelpunkt der Grundverordnung und werfen nach wie vor Fragen auf. Als Leitsatz soll jedoch gelten: Gehe mit den Daten deiner Nutzer verantwortungsvoll um!<\/p>\n
Dabei ist die Definition von personenbezogenen Daten denkbar einfach. Bei personenbezogenen Daten handelt es sich um \u201ealle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen\u201c (Art. 4 Nr. 1 DSGVO). Was das hei\u00dft? Dass jede Information, die einer nat\u00fcrlichen Person zugeordnet ist, eine personenbezogene Information ist.<\/p>\n
Eine nat\u00fcrliche Person wird beispielsweise direkt oder indirekt \u00fcber die Zuordnung zu einer Kennung wie Name, Nummer, Standort oder Online-Kennung identifizierbar. Insofern versteht die DSGVO alle Daten als personenbezogen, die eine Person eindeutig identifizieren. Hier ist es v\u00f6llig unerheblich, ob es sich um berufliche, private oder Details aus dem \u00f6ffentlichen Leben handelt. Denn es kommen auch Fotos, Adressen (auch E-Mail), Bankverbindungen und medizinische Informationen hinzu. Ferner gelten auch Beitr\u00e4ge in sozialen Netzwerken sowie biometrische und genetische Daten als \u201epersonenbezogen\u201c.<\/p>\n
Wichtig ist, dass jede Verarbeitung personenbezogener Daten einer entsprechenden Rechtsgrundlage bedarf. Dies kann im Fall von Tracking, Retargeting und Profiling nach Ansicht der Aufsichtsbeh\u00f6rden nur eine Einwilligung sein. Doch wie kommt es zur Einwilligung?<\/p>\n
Eine rechtskr\u00e4ftige und DSGVO-konforme Einwilligung muss zahlreiche Kriterien erf\u00fcllen, die es auch auf den Usecase von Webseiten und Apps anzuwenden gilt. Ma\u00dfgeblich ist dabei immer die Perspektive des Nutzers und was dieser rational erwarten und verstehen kann.<\/p>\n
Zu diesen Kriterien geh\u00f6rt allen voran die Freiwilligkeit. Hierbei muss die Person eine echte Wahlfreiheit haben und die Datenverarbeitung ablehnen oder annehmen k\u00f6nnen.<\/p>\n
Hier sind die klassischen Fragen nach dem wer, was, warum und wie lange ausschlaggebend. So will der Nutzer u.a. wissen, wer die Daten bekommt, aber auch zu welchem Zweck diese gesammelt werden und wie lange diese gespeichert werden. Auch das Land, welches die Daten verarbeitet, sowie die Rechtsgrundlage auf deren Basis die Daten erhoben werden, ist zu nennen. Ferner m\u00fcssen die Datenschutzerkl\u00e4rung des Technologie-Anbieters sowie die Information \u00fcber Drittanbieter offengelegt werden.<\/p>\n
Nur wer diese Informationen erh\u00e4lt, kann der Verarbeitung personenbezogener Daten auch explizit zustimmen. Etwas schwieriger gestaltet sich der Begriff des \u201eberechtigten Interesses\u201c, bei dem es darum geht, \u00fcber welche Services der Nutzer von vornherein Bescheid wei\u00df bzw. sich im Klaren dar\u00fcber sein muss, dass zum korrekten Ausf\u00fchren des jeweiligen Dienstes diese oder jene Daten erhoben werden \u201em\u00fcssen\u201c.<\/p>\n
Ein blo\u00dfes Weitersurfen des Users gilt demnach nicht als Einwilligung. Denn diese muss nach wie vor explizit erfolgen. Dar\u00fcber hinaus gilt es den User dar\u00fcber zu informieren, welcher Drittanbieter, welche Daten erh\u00e4lt. Sind beispielsweise Facebook oder Google im Spiel, muss dies granular aufgelistet sein. Allgemeine Hinweise und pauschale Angaben sind nach der DSGVO ein unn\u00f6tiges Risiko.<\/p>\n
Willigt der Nutzer nicht ein, so muss technisch sichergestellt sein, dass keine Daten erhoben oder verarbeitet werden. Als Leitsatz gilt: Keine Datenverarbeitung vor Opt-In. Ebenfalls unterliegen Website-Betreiber der Nachweispflicht im Falle einer Pr\u00fcfung. S\u00e4mtliche Einwilligungen m\u00fcssen dokumentiert und die Historie vollst\u00e4ndig vorzulegen sein. Dabei sollten diverse Eckdaten mitgeschrieben werden, wie etwa Timestamp, User-Agent, Version der Texte und Logfiles, die best\u00e4tigen, dass vor dem Opt-In keine Cookies ausgespielt wurden.<\/p>\n
Den letzten Eckpfeiler f\u00fcr eine DSGVO-konforme Einwilligung<\/a> ist der Opt-Out bzw. das Widerrufsrecht zur Verarbeitung personenbezogener Daten. Dies muss jederzeit und ohne Begr\u00fcndung m\u00f6glich sein. Ebenfalls gilt es diese Informationen und den tats\u00e4chlichen Widerrufs-Vorgang so einfach wie m\u00f6glich zu gestalten. Von umst\u00e4ndlichen Weiterleitungen ist dringend abzuraten. Denn sobald der Opt-Out vorliegt, gilt es s\u00e4mtliche Marketing-Ma\u00dfnahmen, die vom User widerrufen worden sind, sofort einzustellen. Mehr erfahren<\/a><\/p>\n Das mag zun\u00e4chst nach einem Haufen Arbeit klingen, doch ist die DSGVO nicht dazu gedacht, den Webseiten-Betreiber zu knebeln. Ganz im Gegenteil, sie bietet die M\u00f6glichkeit im gegenseitigen Einvernehmen und dank hoher Aussagekraft ein transparentes und tats\u00e4chliches Consumer-First-Marketing nebst Hyper-Personalisierung zu erm\u00f6glichen.<\/strong><\/p>\n Doch wie kann ich personenbezogene Daten nach wie vor im Performance-Marketing nutzen? Was muss ich dabei beachten?<\/p>\n Die DSGVO mag auf den ersten Blick tonnenschwer auf den Schultern der Online-Marketer lasten, doch sie st\u00f6\u00dft auch neue T\u00fcren auf.<\/p>\n Sehen wir uns also die drei h\u00e4ufigsten Anwendungsf\u00e4lle an \u2013 das Profiling, das Retargeting und das Tracking.<\/p>\n Das Profiling ist eine automatisierte Verarbeitung personenbezogener Daten. Diese werden beispielsweise daf\u00fcr verwendet, bestimmte pers\u00f6nliche Aspekte im Zusammenhang mit einer nat\u00fcrlichen Person zu nutzen. Zweck ist es, das individuelle Verhalten beispielsweise unter Zuhilfe eines Algorithmus vorherzusagen und Entscheidungen abzuleiten.<\/p>\n Im Grunde ben\u00f6tigt man auch hier in der regel eine Einwilligung, insbesondere, wenn sog. Cookie-Matching stattfindet. Werden hingegen die Daten dazu genutzt, ein Gruppenverhalten zu prognostizieren, kann man sich ggfs. auch auf eine Interessenabw\u00e4gung berufen. Eine Einwilligung ist jedoch in jedem Fall der sicherere Weg. Nat\u00fcrliche Personen haben unter dem Begriff des Profiling bestimmte Rechte. Dies ist unter anderem das Recht auf \u201eVergessenwerden\u201c, aber auch das Recht auf ausreichende Informationen. Ferner gilt es das Recht auf L\u00f6schung der Daten einzuhalten und eine Kopie der personenbezogenen Daten kostenlos zur Verf\u00fcgung zu stellen. Auch der Erhalt der Daten in einem elektronisch h\u00e4ufig verwendeten Format ist zu gew\u00e4hrleisten, sowie das Widerspruchsrecht und das Recht, das Profiling zu beenden.<\/p>\n Ben\u00f6tige ich f\u00fcr Profiling eine Nutzer-Einwilligung?<\/a><\/p>\n Beim Einsatz von Retargeting handelt es sich um Werbe-Cookies. Diese bed\u00fcrfen in jedem Falle einer Einwilligung.<\/p>\n Denn die allgemeine Rechtslage beim Retargeting unterscheidet sich nicht von anderen Targeting-Verfahren. Sofern personenbezogene Daten erhoben oder verarbeitet werden, darf dies nur bei vorliegender Einwilligung passieren. Dabei ist der Umstand, dass sich eine konkrete Person f\u00fcr ein konkretes Produkt interessiert, bereits personenbezogen. Ist der User angemeldet oder erfolgt eine Identifikation des Users im Nachgang, wenn er wieder auf der Seite landet, handelt es sich um personenbezogene Daten. In jedem Fall bedarf es also einer Zustimmung zur Verarbeitung des Surf- und Kaufverhaltens zu Marketingzwecken.<\/p>\n Liegt keine Einwilligung vor, d\u00fcrfen anonyme oder pseudonyme Informationen \u00fcber den Nutzer nicht mit seinen realen Daten oder seinem Nutzerprofil kombiniert werden. Eine L\u00f6schung muss erfolgen, sobald sich der Kunde wieder auf der Website befindet. Nutzungsprofile zu Werbezwecken d\u00fcrfen erstellt werden, wenn sie pseudonymisiert sind und keinen R\u00fcckschluss auf die reale Person zulassen. Ferner muss ein Widerspruchsrecht angeboten und diesem Folge geleistet werden. Die Integration eines transparenten Hinweises in der Datenschutzerkl\u00e4rung runden diesen Vorgang ab.<\/p>\n Ben\u00f6tige ich f\u00fcr Retargeting nach DSGVO eine Nutzer-Einwilligung?<\/a><\/p>\n Der Einsatz einer Tracking-Technologie in Zeiten von DSGVO bedarf laut Ansicht der Aufsichtsbeh\u00f6rden immer eine Einwilligung. Wer Tracking und Marketing \u00fcber personenbezogene Daten nutzen will, sollte sich vorab die Frage stellen, ob er daf\u00fcr \u00fcberhaupt ein Tracking Tool ben\u00f6tigt und wenn ja, ob es zwingend ein Third-Party-Tool sein muss.<\/p>\n Grunds\u00e4tzlich muss jeder, der Daten verarbeitet oder speichert gem\u00e4\u00df den Regelungen de DSGVO agieren. F\u00fcr die Verwendung von Third Party Technologien bedeutet das: Nutze ich als Webseitenbetreiber eine Third Party Technologie, die nicht DSGVO-konform ist, ist meine Webseite es automatisch auch nicht.<\/p>\n Anl\u00e4sslich des Safer Internet Days \u00fcberpr\u00fcfte das BayLDA die Webseiten bayerischer Top-Unternehmen. Im Fokus stand dabei die Frage, ob diese Webseiten die DSGVO beim Thema Consent Management sauber umsetzen (Einholen und Dokumentation der User-Einwilligungen). Das Ergebnis war ern\u00fcchternd: Keine einzige der untersuchten Webseiten trackt DSGVO-konform. Mehr erfahren<\/a><\/p>\n Damit Tracking datenschutzkonform umgesetzt werden kann, sollten folgende Punkte ber\u00fccksichtigt und eingehalten werden:<\/p>\n Der achtlose Umgang mit Daten bis hin zu gro\u00dfem Datenmissbrauch hat in j\u00fcngster Zeit zu Skandalen mit enormen Medienecho und nicht zu sch\u00e4tzendem Schaden gef\u00fchrt. Den gr\u00f6\u00dften Schaden hat dabei jedoch das Vertrauensverh\u00e4ltnis zu den Usern genommen. Hinsichtlich des Datenschutzes ist es zu einem gro\u00dfen Vertrauensbruch zwischen Marketer und User gekommen, den die DSGVO nun kitten k\u00f6nnte.<\/p>\n Der User will ausf\u00fchrlich \u00fcber die Erfassung und die Weiterverarbeitung personenbezogener Daten informiert werden und bekommt dieses Recht nun zugesprochen. Dies bedeutet jedoch nicht das Ende des Online Marketings, wie wir es kennen. Der Marketer muss die Privatsph\u00e4re und den respektvollen Umgang mit personenbezogenen Daten in den Fokus stellen, was durchaus eine verbesserte Kommunikation mit dem User zur Folge haben wird. Doch auch wenn Unternehmen bereits DSGVO-konform<\/a> handeln, ist es ihr Auftrag, dies auch zu beweisen und dar\u00fcber aktiv zu informieren. Wer sich dem widersetzt riskiert nicht nur erhebliche Bu\u00dfgelder, sondern gef\u00e4hrdet das Vertrauensverh\u00e4ltnis zu seinen Kunden zunehmend und schadet nicht nur sich selbst, sondern auch der gesamten Branche.<\/p>\n Die neue Datenschutzgrundverordnung g\u00e4ngelt den Marketer nicht, da die Kommunikation zwischen Unternehmen und User bei der Einhaltung der neuen Richtlinien nur dazugewinnen kann. Denn je besser das Gef\u00fchl und die Erfahrungen der User sind, desto eher teilen sie in Zukunft ihre personenbezogenen Daten mit dem Marketer. Nur wer bewusst und umsichtig seine Tracking-Mechanismen unter die Lupe nimmt und diese entsprechend anpasst, muss den langen Arm des Gesetzes nicht mehr f\u00fcrchten, sondern kann sich \u00fcber entscheidende Wettbewerbsvorteile durch gesteigertes Vertrauen in sein Unternehmen freuen.<\/p>\nMehr Rechte f\u00fcr den User!<\/h2>\n
Wer sind wir und wenn ja wie viele? Die DSGVO und das Profiling<\/h3>\n
\nWebseiten-Betreiber m\u00fcssen ihr Profiling nun jedoch nicht komplett auf links drehen, aber eine rechtzeitige Pr\u00fcfung des Profiling ist gerade im Hinblick auf geahndete Verst\u00f6\u00dfe anzuraten.<\/p>\nVergissmeinnicht! Oder doch? Die DSGVO und das Retargeting<\/h3>\n
F\u00e4hrtenlesen erlaubt? Tracking unter der Lupe<\/h3>\n
\n
Alles wird gut! Und besser!<\/h2>\n