Consent Management Plattformen gegen Abmahngefahr

Update: 9. April 2022: Mit Einführung von GA4 (Google Analytics 4) ändert sich auch einiges beim Integrieren des GTM und somit des Consent Managements. Während Universal Analytics (GA3) auf Sitzungen (sessions) basierte setzt GA4 auf Events. Google hat allerdings angekündigt, GA4 in Zukunft um den Fokus „Sitzungsumfang“ zu erweitern.

Consent Management Plattformen dienen nach der Einführung der DSGVO (Datenschutz Grundverordnung) bzw. der General Data Protection Regulation (GDPR) [EN] gegen Abmahngefahr und haben weltweit viele Veränderungen im digitalen Ökosystem mit sich gebracht. Fragen, Zweifel und Bedenken bezüglich der Definition und Handhabung persönlicher Daten gehören dazu. Websites und Unternehmer sehen sich mit neuen Regeln für die Definition, Sammlung, Speicherung und Verwendung der persönlichen Daten von Bürgern konfrontiert.

Im Mittelpunkt dieses Beitrags steht die Zustimmung der Benutzer, die Sie einholen müssen, wenn Sie Cookies verwenden und Daten für Marketing- und Werbezwecke sammeln möchten. Dies stellt eine ziemliche Herausforderung dar. Es gibt viele Verpflichtungen, sowohl rechtliche als auch technische, die dabei stören können.

Zum einen muss die Einwilligung selbst, bestimmte Kriterien erfüllen:

• Einwilligung vor dem Speichern***
• Spezifisch und eindeutig erläutert
• Entscheidung jederzeit änderbar
• Einspruchsrecht anbieten

*** Immer wieder sehen wir Consent Management Darstellungen die bereits messen (siehe screen shot), egal ob man vorher zugestimmt hat! Und ein reiner button „OK“ oder „Fortfahren“ reicht auch nicht mehr aus.

Darüber hinaus benötigst du für jeden Verarbeitungszweck eine separate Einverständniserklärung und du musst es den Besuchern leicht machen, ihre Meinung zu ändern und ihre Zustimmung zurückzuziehen. Hinzu kommt die Forderung nach Transparenz über den gesamten Prozess, die von vielen Unternehmen noch ignoriert wird.

Komplex wird es für Websites, die zahlreiche AdTech-Partner (z.B. Google, Facebook aber auch AdRoll, Criteo oder viele weitere) haben. Die Verpflichtungen bezüglich der Zustimmung sind noch komplexer. In Anbetracht der großen Anzahl und der Granularität der Genehmigungen, die eingeholt und aufgezeichnet werden müssen, erfordert der gesamte Prozess ein sorgfältiges und solides Management. Ein Tool zur Simplifizierung und Automatisierung aller Aktivitäten ist gefragt.

Warum ein Tool für Consent Management gegen Abmahnungen verwenden?

Ein Consent Tool bietet den Website-Betreibern ein Werkzeug, um die Einwilligungen der Nutzer zu sammeln und zu bearbeiten, die Anfragen der Betroffenen zu verwalten und alle bezogenen Daten an die jeweiligen Anzeigenpartner (sofern zugestimmt) weiterzuleiten. Das Tool gibt Websites die Möglichkeit, die Nutzer darüber zu informieren, welche Arten von Daten gesammelt werden und ihre Zustimmung für bestimmte Verarbeitungszwecke einzuholen. Darüber hinaus können die Websites eine bessere Transparenz bei der Datenerfassung und Verwaltung bieten. Alles in allem hilft es Unternehmen, den Prozess des Einwilligungsmanagements zu vereinfachen und ihren „privacy-first“-Ethos zu bekräftigen.

Somit ist die Einholung der Zustimmung deiner Besucher zur Erfassung ihrer Daten ein wirksamer und sicherer Weg, die DSGVO-Konformität zu erreichen. In Deutschland, Österreich und der Schweiz liegt die Adoptionsrate wie in UK/US (s.u.) unter 50% und damit steigt die Abmahngefahr gerade in Deutschland durch Datenschutzbehörden täglich.

Die Frage ist: Wann muss meine Website ein CMP implementieren? Um die Antwort zu finden, stelle fest, ob deine Website eine dieser Aktionen durchführt:

• Verarbeitung personenbezogener Daten*: Anwendung personenbezogener Daten für Zwecke wie Statistik, Demographie, Remarketing, Inhaltspersonalisierung, Verhaltenswerbung, Analytik, E-Mail-Marketing
• Automatisierung der Entscheidungsfindung: zum Beispiel Profiling
• Datenübermittlung ins Ausland: gilt vor allem für Organisationen, die Daten von EU-Bürgern außerhalb der EU verarbeiten
• Besondere Datenkategorien verwenden: z.B. über ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten etc.
  * Bereits ein Anfrageformular zählt hierzu.

Services bei Oplayo anfragen?

Wenn einer dieser Punkte auf dein Unternehmen zutrifft, benötigst du die Zustimmung der Bürger oder Einwohner der EU/EWR-Länder. Die Beschaffung eines CMP ist auf den ersten Blick eine schnelle und einfache Lösung. In der Wirklichkeit wird es massiv komplex. Z.B.: darf der User ein eingebettetes YouTube Video überhaupt ansehen, wenn er zuvor bestimmten Cookies oder Verfahren nicht zugestimmt hat? Kann er oder sie das nun nachholen und welche Auswirkungen darf dies für weitere YouTube Videos auf der Seite haben? Alle oder garkeins?

Wie passt Google in all dies hinein?

Unserer Erkenntnis nach befindet sich z.B. Googles CMP (bekannt als Funding Choices) auf nur 12 Websites in den Top 10K der US-amerikanischen und britischen Websites (Stand: Mai 2020) und steht damit auf Platz 35 der meistgenutzten CMPs in USA und UK. Nicht nur das, sondern das ist sogar ein Rückgang von seinem Höchststand von 30 Websites im April 2019. Angesichts der Tatsache, dass Googles Ad-Tech-Produkte fast immer die Nummer 1 beim Marktanteil sind, ist diese Position für Google zweifellos enttäuschend. Googles Rang ist sogar noch überraschender, wenn man bedenkt, dass ihr verlagsseitiger Anzeigenserver (Google Ad Manager, früher DFP) mit Abstand der Anzeigenserver Nr. 1 in den USA und Großbritannien ist, und es logisch wäre, ein CMP zu verwenden, das  bereits in den eigenen Anzeigenserver integriert ist. Google hatte jedoch eine Reihe von Fehltritten bei der Einführung, darunter die Beschränkung bei Verlagspublishern auf 12 Anbieterpartner, bevor es diese Haltung etwa einen Monat später wieder umkehrte. Funding Choices befand sich nach dem GDPR-Datum (Mai 2018) noch mehr als vier Monate lang in der Beta-Phase, so dass sie die Gelegenheit verpassten, ein Produkt massenhaft auf den Markt zu bringen, bevor andere Marktanteile gewinnen konnten. Man würde ein CMP mit mehr Funktionalität und einer besseren Benutzeroberfläche von Google erwarten, aber im Grunde ist es nur eine Liste von Werbe-Partnern, ohne Einblick in die von den einzelnen Anbietern gesammelten Daten und ohne die Möglichkeit, nach Anbieter oder Anwendungsfall abzulehnen. Die Eingabeaufforderung sah auf allen Websites nahezu identisch aus, was darauf hindeutet, dass auch die Anpassung begrenzt ist. Das bedeutet nicht, dass Google keine Möglichkeit findet, sein Angebot zu verbessern und die Verlage davon zu überzeugen, sie stattdessen zu nutzen. Wenn wir irgendetwas über die Ad-Technologie wissen, dann, dass du nicht ausschließen kannst, dass Google ein gutes Produkt anbietet, es kostenlos macht und eine massenhafte Akzeptanz zur Norm wird.

Wie sieht die Zukunft der CMPs bei Abmahngefahr aus?

Da das GDPR nicht verschwindet, erwarten wir, dass die CMPs bleiben werden, und wir werden wahrscheinlich im kommenden Jahr noch viele weitere digitale Agenturen und Netzwerke/Börsen sehen, die CMPs beim IAB registrieren. Wie bereits oben erwähnt, erwarten wir auch, dass Google seine CMPs verbessern und eine nahtlose Integration mit dem Google Ad Manager (ehemals DFP) und anderen nachgelagerten Anzeigenpartnern anbieten wird. Angesichts der Tatsache, dass z.B. OneTrust auf 524 Websites der Publisher vorkommt, hat Google jedoch einen steilen Aufstieg vor sich, um diesen Markt zu gewinnen. Letztlich würden Verlage mit einem beliebigen Anteil an europäischem Traffic von der Implementierung eines CMP profitieren, insbesondere wenn die vielversprechenden Ergebnisse von Mediavine, Quantcast und Purchasing für die Branche zutreffen. Darüber hinaus ist die Einführung eines CMP ein proaktiver Schritt, um zu zeigen, dass du die GDPR im Auge behältst und versuchst, ehrlich zu bleiben, wodurch das Risiko einer hohen Geldstrafe für dich verringert wird.

Worauf sollte man bei einem CMP achten?

Bevor du die auffälligen Merkmale und großen Versprechungen der einzelnen Anbieter in Betracht ziehst, solltest du niemals deren Kernfunktionen für das Consentmanagement vergessen. Sie sind vielleicht nicht so auffällig, aber es sind die Effektivität und die DSGVO-Konformität, die wichtig sind und nicht ein paar coole Funktionen. Wenn es um das Thema Consentmanagement geht, haben sich die Anbieter in der Regel dafür entschieden, sich auf die Erteilung der Einwilligung und das Scannen von Cookies zu konzentrieren. Obwohl beide Elemente sicherlich wichtig sind, ist es am besten, nach einer Plattform zu suchen, die den gesamten Lebenszyklus des Besuchers abdecken kann. Man kann einen Cookie-Scan als den ersten Schritt des gesamten Prozesses sehen. Tatsächlich aber halten immer mehr Organisationen und Unternehmen diesen Schritt für überflüssig, da sie genau wissen, welche Art von Cookies auf ihrer Website erscheinen und zu welchem Zweck. Anstatt einen Scan durchzuführen, brauchen sie sich also nur an die Marketingabteilung zu wenden. Deshalb ist es sicherer, davon auszugehen, dass der Lebenszyklus der Besucher tatsächlich früher beginnt, wenn man das Zustimmungs-Pop-up erstellt, um eine ordnungsgemäße Einholung der Zustimmung sicherzustellen.

CMP und Google Tag Manager

Jedes CMP bietet einen Code an den man „nur noch“ auf seiner Website einbauen muss. Diese Lösung darf als unzureichend und unflexibel erachtet werden. Die Konfiguration eines CMP mit dem Google Tag Manager bietet mehr Flexibilität und Granularität bei der Anpassungsform der Einwilligungen und beim Tracking.

Was ist der Consent Mode? Oder – darf ich doch etwas messen ohne Zustimmung?

Consent Mode = User messen ohne Einwilligung. Mit dieser Methode können zumindest die User an sich, ohne sonstigen Details (z.B. demographische Merkmale) in Google Analytics gezählt werden. Ist das erlaubt? Google sagt ja. Cookiebot sagt auch ja. Es gibt aber auch andere Meinungen im Web. Da wird weder Rechtsanwälte noch Datenschützer sind und auch keine Rechtsberatung anbieten dürfen, klären wir nur auf und überlassen die Entscheidung unseren Kunden.

CMP zur Auswahl und unsere Empfehlung gegen Abmahngefahr

#3 – Piwik PRO

Mit einer starken Präsenz in der Europäischen Union (Polen, Frankreich, Deutschland, Niederlande) und Büros in den USA betont Piwik PRO (die Story hier) die Einhaltung der strengsten Datenschutzstandards auf beiden Seiten des Atlantiks, einschließlich GDPR und HIPAA. HIPAA wurde 2013 gegründet und bedient datenschutzsensitive Kunden wie Banken und Unternehmen des öffentlichen (Gesundheits-)Sektors. AdTech- und MarTech-Experten gründeten Piwik PRO im Jahr 2013 aufgrund des Fehlens eines Analysestacks, das sowohl leistungsstark als auch datenschutzfreundlich war. Die Produktreihe verbindet Datenschutz durch Design, flexibles Hosting und vollständiges Dateneigentum mit Funktionen und Support auf Unternehmensebene. Das Team von Piwik PRO besteht aus erfahrenen Analytikexperten und Ingenieuren, die eine Vielzahl erfolgreicher Implementierungen beraten und durchgeführt haben. Als Technologiepartner teilen sie ihr Fachwissen, passen Produkte und Dienstleistungen an spezielle Ziele an und unterstützen von Anfang bis Ende. Wie jedes CMP ist auch Piwik PRO proprietär.

#2 – OneTrust

OneTrust ist eine populäre Plattform für das Datenschutzmanagement, die Unternehmen dabei unterstützt, Verantwortlichkeit und Einhaltung globaler Vorschriften zu verwalten. Sie hat ihren gemeinsamen Hauptsitz in Atlanta, Georgia, und in London, England. Obwohl sie erst 2016 gegründet wurde, ist sie dafür bekannt, eine schnell wachsende und zuverlässige Plattform zu sein. Mit dem CMP von OneTrust kann man aus verschiedenen professionell gestalteten Vorlagen entscheiden, um allen Anforderungen an die Benutzeroberfläche gerecht zu werden und dabei Sprache und Branding anzupassen. Unter Verwendung von sofort einsatzbereiten Vorlagen zur Unterstützung von GDPR, CCPA, IAB TCF v2 sowie von nativen Anwendungen zeigt der Banner Schaltflächen zum „Akzeptieren“, „Ablehnen“, „Präferenzen wählen“ oder „Zwecke anzeigen“. Der Banner verweist auf ein sauberes Präferenzzentrum, in dem die Benutzer die Zustimmung nach Zweck einfach umschalten und die Kontrollkästchen für die Zustimmung der einzelnen Anbieter anklicken können. OneTrust bietet auch ein Tool an, mit dem du in wenigen Schritten kostenlos ein individuelles CMP erstellen kannst; wähle aus sofort einsatzbereiten Vorlagen, passe den Inhalt des Preference Centers an die Zwecke und Stacks an, lege den Umfang für ein globales oder EU-Publikum fest und installiere dann einfach durch Kopieren und Einfügen des Codeschnipsels auf einer Website. Die Integration per Plug-Ins erscheint uns für die meisten Websites als zu komplex.

#1 – Cookiebot

Oplayos Empfehlung, Cookiebot, ist eine von Cybot entwickelte Lösung für die Zustimmung zu Cookies und Online-Tracking. Das Unternehmen hat seinen Hauptsitz in Kopenhagen, Dänemark. Es liefert automatisierte ePrivacy-Dienste, die es Website-Betreibern ermöglichen, die Privatsphäre ihrer Besucher zu respektieren und zu schützen. Cookiebot gehört zu den besten und beliebtesten CMP, weswegen Cookiebot inzwischen auch auf mehr als 30.000 Websites vertreten ist. Cookiebot deckt die GDPR/ePR und CCPA vollständig ab und ist zudem extrem anpassbar. Dazu kommt, dass Cookiebot die automatisch generierten Cookie-Richtlinien ständig updated, was für weniger Arbeit sorgt. 45 Sprachen werden unterstützt und der User kann sogar seine Zustimmung herunterladen und aufbewahren, was Datenschützer freuen dürfte. Ein weiterer Vorteil für Cookiebot sind die Addons von Entwicklern die eine Integration für CMS wie z.B. WordPress sehr einfach macht. Auch die Konfiguration ist über Plugins möglich. Das alles zu einem günstigen Preis.
Darstellung nachfolgend ist eine Version von Cookiebot 2.0 wobei der user noch Auswahl im Startscreen vornehmen kann (Kundenwunsch):

Und hier eine Version 2.0 wie wir sie mit oder ohne branding präferiert umsetzen:

Wie bei allen CMPs darf außer bei Notwendig keine Auswahl voreingestellt sein
(also quasi schon ein Häkchen dran 🙂 )
Anwendungsfälle und Bereitstellungsumfang
Cookiebot wird auf vielen von uns betreuten Websites verwendet, um den GDPR-Bestimmungen in der Europäischen Union zu entsprechen. Mit Cookiebot können Verwaltungs-/Entwicklungsteams die von ihren Websites und Anwendungen verwendeten Cookies kategorisieren und beschreiben, welche Art von Informationen diese Cookies verfolgen. Cookiebot ermöglicht es Admins und Entwicklungsteams auch, einen Zustimmungsdialog anzubieten, wenn Benutzer ihre Websites besuchen. Schließlich überprüft Cookiebot diese Cookies regelmäßig, falls Cookies versehentlich hinzugefügt oder in irgendeiner Weise verändert wurden.
Vor- und Nachteile
+ Beschreiben und kategorisieren der von einer Website oder Anwendung verwendeten Cookies
+ Cookies, die von Websites oder Anwendungen verwendet werden, werden monatlich überprüft und ein Bericht über die verwendeten Cookies zur Verfügung gestellt.
+ Ein Zustimmungsmanagement der verwendeten Cookies wird angeboten, um die GDPR-Bestimmungen zu erfüllen.
– Die Organisation der Umgebungen, in denen Cookiebot verwendet wird, erfordert eine Lernkurve und etwas Gewöhnung.
– Die Anzeige der Cookie-Präferenzen der Benutzer ist gewöhnungsbedürftig. Das Design dürfte ein Update vertragen
Cookiebot bietet eine smarte Lösung, die nicht nur den Cookie-Einwilligungsbanner für deine Benutzer umfasst, sondern auch die Cookies selbst verwaltet und deine Websites und Anwendungen überprüft. Soweit uns bekannt ist, bieten Alternativen nicht all diese Lösungen. Mit der Cookie-Zustimmung kannst du den Banner nach deinen Wünschen konfigurieren und designen.

Integrations-Beispiele

Fazit

Cookies und deren Management Plattformen werden voraussichtlich noch für eine lange Zeit bestehen bleiben. Gleichzeitig wird die Umsetzung der DSGVO immer wichtiger und die Nachfrage nach Transparenz ist ein Bereich womit man einfach und schnell bei datenschutzorientierten Besuchern punkten kann. Das Angebot an CMPs ist ebenfalls groß und verschieden, was Funktionen und Preise angeht.

Erfahre mehr über die Philosophie von Oplayo in diesem PDF

Bei der Auswahl eines Online-Marketing Beratungs- und Serviceunternehmens oder eines Performance Marketing Teams achten Sie zumindest auf diese Auszeichnungen:

Oplayo ist nun auch ein autorisiertes Beratungsunternehmen für „Digitale Markterschließung“ und „Digitalisierte Geschäftsprozesse“ 
Lassen Sie sich von uns beraten wie Sie davon profitieren können!

Photo by Oleg Magni on Pexels