Datenschutz beim Opt-in

Auswirkungen des EuGH-Urteils

von - 12.03.2020
Wie sicher sind Ihre Daten?
Wenig Vertrauen: Derzeit glauben nur 27 Prozent der Nutzer, dass ihre persönlichen Daten im Internet sicher sind.
(Quelle: Bitkom, 10/2019 (n = 1.004); rundungsbedingt nicht 100 Prozent )
Bedeutet das jetzt, dass man ruhig abwarten kann, bis der Hausjurist oder der externe Datenschutzberater seitens eines Abmahners oder eines neuen Gerichtsentscheids auch bezüglich dieser Punkte widerlegt wird? Ganz im Gegenteil: Marketing-Manager müssen jetzt handeln. Marketing mit herkömmlichen, auf Cookies basierenden Methoden wird ab sofort stark erschwert. Wer das Cookie-Urteil des EuGH umsetzt, muss mehr Dinge als früher im Auge behalten. Einwilligungspflichtige Cookies dürfen vor der Einwilligung nicht mehr gesetzt werden. Die Einwilligung muss laut Gesetz aktiv, informiert, explizit, konkret und freiwillig sein sowie dokumentiert werden. Auch das Ändern und Löschen von gegebenem Consent muss für den Nutzer genauso einfach ablaufen wie das Einwilligen.
Die Auswirkungen des Urteils werden in Kürze für viele Marketing-Manager sichtbar werden, die nun versuchen, von implizitem auf expliziten Consent umzustellen. Eine aktuelle Studie ergab, dass impliziter Consent bisher auf bis zu 95 Prozent Zustimmung kam, während expliziter Consent nur 37 Prozent erreicht. Das bedeutet: Wer auf Cookie-Tracking angewiesen ist und jetzt erst auf expliziten Consent umstellt, der kann einen erheblichen Teil seiner Marketing-Daten verlieren.
Do-Not-Track-Funktionen im Browser sowie Adblocker machen den Online-Werbern das Leben zusätzlich schwer. Google will die neue Version seines Browsers Chrome mit speziellen Funktionen zum Schutz vor Cookies und Trackern ausstatten. Der Browser verfügt bereits über eine Erweiterung, die es den Nutzern ermöglicht, ein Verfallsdatum für ihre personenbezogenen Daten festzulegen. Apple hat mit der Intelligent Tracking Prevention (ITP) beispielsweise im Browser Safari eine Anti-Cookie-Strategie umgesetzt, die zielgerichtete Werbung nahezu im Keim erstickt.
Drei wichtige Punkte für eine übergreifende Daten- und Consent-Strategie
1. Daten- und Lösungsarchitektur im gesamten Unter­nehmen skizzieren:
  • Welche Lösungen sammeln personenbeziehbare Daten?
  • Welche Teile der Kommunikation sind ePVO-relevant?
  • Welche Abteilungen arbeiten mit diesen Daten?
  • Was ist erforderlich, um meine Mediendienste anzuzeigen?
  • Was unterliegt einem Einwilligungserfordernis?
  • Welche Ergebnisse erzielt das Unternehmen, basierend auf den zur Verfügung stehenden Daten?
  • Wie optimiere ich Datenfluss und Technologie-Architektur?
  • Wie kann ich datenschutzkonform die Consents maximieren?
  • Welche Daten müssen erhoben und welche historischen Daten können gelöscht werden?
2. Datenflussdiagramme zu Opt-ins erstellen:
  • Welche Lösungen müssen bezüglich des Consents miteinander verzahnt werden?
  • Was passiert, wenn Nutzer über einen Kanal eine Daten­löschung für einen anderen einfordern?
  • Welche Lösungen sammeln Consent und wie bekomme ich die Information rechtlich sicher von einer zur anderen Lösung?
3. Verwendete Anbieter analysieren:
  • Sind alle Anbieter, die mit personenbeziehbaren Daten arbeiten, DSGVO-konform?
  • Sind Auftragsverarbeitungsvertrag (AVV), technisch-organisatorische Maßnahmen (TOMs), Erklärungen des Anbieters zum Umgang mit PII-Daten (Persönlich identifizierende Information) und Sicherungsmaßnahmen zur Abwehr von unbefugtem Zugriff auf dem neuesten Stand? (Stichwort: Vertragsprüfung)
  • Zusätzlich bei SaaS-Lösungen: Wo werden die Daten gespeichert (Server-Standort, Sicherheitslevel des Rechenzentrums, Ausfallsicherheit und Anbindung an die TK-Infrastruktur)? Wie sind diese Speicher gegen Hackerangriffe gesichert? Werden Daten verschlüsselt gespeichert? Gibt es für die Anbieter externe Zertifizierungen, Penetrationstests und Ähnliches?
Verwandte Themen