Klar eingeordnet - DSGVO-Einwilligung für Tracking

Dieser Überblick ordnet das Thema DSGVO-Einwilligung für Tracking verständlich ein. Klicks sind kein Beleg: Eine DSGVO-Einwilligung zählt nur, wenn die Person eine echte, informierte Wahl hatte und sie ebenso leicht widerrufen kann wie erteilen.

Die Tracking-Einwilligung ist gemäß GDPR nur dann gültig, wenn die Person eine echte, informierte Wahl hat. Ein Banner, das anstupst, verwirrt, Ablehnung verbirgt oder sachfremde Zwecke bündelt, kann Klicks sammeln, aber möglicherweise keine gültige Einwilligung.

Dies ist für die Analyse wichtig, da viele Website-Tracking-Tools auf Cookies oder ähnlichen Technologien basieren. In Europa und im UK erfordern nicht wesentliche Analyse- und Werbetechnologien häufig eine Einwilligung, bevor sie ausgeführt werden können.

Der GDPR-Einwilligungsstandard

Der EDSA erklärt eine gültige Einwilligung als frei gegeben, spezifisch, informiert und eindeutig, mit der Möglichkeit, die Einwilligung später zu widerrufen (FAQ zur Einwilligung des EDSA). Seine Einwilligungsrichtlinien bieten eine tiefergehende Interpretation (EDPB-Richtlinien 05/2020).

Für das Tracking bedeutet das:

• Frei gegeben: Nutzer müssen die Möglichkeit haben, ohne unfairen Druck abzulehnen.
• Spezifisch: Unterschiedliche Zwecke erfordern unterschiedliche Auswahlmöglichkeiten.
• Informiert: Benutzer benötigen klare Informationen darüber, welche Daten erfasst werden, wer sie erhält und warum.
• Eindeutig: Die Einwilligung erfordert eine klare positive Handlung.
• Widerrufbar: Der Widerruf muss jederzeit möglich sein und sollte so einfach sein wie die Erteilung einer Einwilligung.

Vorab angekreuzte Kästchen, Schweigen, Inaktivität oder „Weitersurfen“ sind keine zuverlässigen Einwilligungsmechanismen.

Einwilligung ist nicht dasselbe wie Mitteilung

Eine Datenschutzerklärung allein begründet noch keine Einwilligung. Der Hinweis sagt den Leuten, was Sie tun. Bei der Einwilligung wird vor einer bestimmten Verarbeitungstätigkeit um Erlaubnis gebeten.

Für Analysen sollte ein gültiger Einwilligungsfluss Folgendes erklären:

• Welche Analysetools werden ausgeführt?
• Ob Cookies oder ähnliche Technologien verwendet werden.
• Welche Zwecke gelten: Analyse, Werbung, Personalisierung, A/B-Tests, Session Replay.
• Ob Daten an Dritte weitergegeben werden.
• Ob Daten international übertragen werden.
• Wie die Person ablehnen oder zurücktreten kann.

Wenn auf dem Banner steht „Wir verwenden Cookies, um Ihr Erlebnis zu verbessern“ und gleichzeitig Werbepixel, Verhaltensprofile und Conversions-APIs geladen werden, ist es unwahrscheinlich, dass die Einwilligung informiert oder spezifisch ist.

Cookie-Banner-Fehler

Zu den häufigsten Problemen gehören:

• „Akzeptieren“ wird nur auf der ersten Ebene angezeigt.
• „Ablehnen“ in den Einstellungen ausblenden.
• Verwendung von Ablehnungstasten mit geringem Kontrast.
• Vorauswahl von Analyse- oder Werbeschaltern.
• Bündelung von Analysen und Werbung in einem Switch.
• Laden von Trackern vor Zustimmung.
• Den Rückzug schwerer machen als das Akzeptieren.
• Berechtigtes Interesse als Workaround für einwilligungspflichtige Cookies behandeln.

Die EDPB-Cookie-Banner-Taskforce meldete Bedenken hinsichtlich Praktiken wie vorab angekreuzte Kästchen und Ablehnungsoptionen, die schwerer zu finden sind als Akzeptanzoptionen (EDPB-Bericht PDF).

Analytics-Einwilligung in der Praxis

Ein konformes Analyse-Setup beginnt vor dem Banner-Design:

1. Inventarisieren Sie alle Tags, Cookies, SDKs, Pixel und Skripte.
2. Klassifizieren Sie jeden Zweck.
3. Entscheiden Sie, welche Tools unbedingt erforderlich und welche optional sind.
4. Blockieren Sie optionale Tools, bis die erforderliche Einwilligung erteilt wird.
5. Speichern Sie den Zustimmungsstatus, ohne ihn für zusätzliche Nachverfolgung zu verwenden.
6. Bieten Sie eine dauerhafte Möglichkeit, Präferenzen zu ändern.
7. Protokollieren Sie genügend Einwilligungsnachweise, um die Einhaltung nachzuweisen.

Für einige Instrumente zur Messung der Zuschauerzahlen mit geringem Risiko gestatten bestimmte Regulierungsbehörden enge Ausnahmen, wenn strenge Bedingungen erfüllt sind. CNIL beschreibt beispielsweise Bedingungen für Zielgruppenmessungs-Tracker, die von der Einwilligung ausgenommen sein können, wenn sie sich auf die Messung der Zielgruppe im Namen des Herausgebers beschränken (CNIL). Gehen Sie nicht davon aus, dass jedes Analysetool geeignet ist.

Widerruf muss echt sein

Der Entzug ist der Punkt, an dem Einwilligungsprogramme scheitern. Wenn die Annahme nur einen Klick erfordert, sollte das Ablehnen oder Zurückziehen nicht das Durchsuchen einer Fußzeile, das Anmelden bei einem Konto, das Versenden einer E-Mail an den Support oder das Navigieren durch ein Labyrinth von Schaltern erfordern.

Gute Praxis:

• Behalten Sie einen sichtbaren Link zu Cookies oder Datenschutzeinstellungen bei.
• Lassen Sie Benutzer Kategorien einzeln deaktivieren.
• Stoppen Sie die zukünftige Nachverfolgung nach dem Widerruf.
• Vermeiden Sie dunkle Muster im Einstellungsfeld.
• Erklären Sie, ob zuvor erhobene Daten gespeichert oder gelöscht werden.

Privacy-First-Alternative

Das sauberste Einwilligungsbanner ist das, das Sie nicht benötigen, da Ihre Website keine optionalen Tracker verwendet. Cookieslose, datenschutzorientierte Analysen können wichtige Geschäftsfragen mit aggregierten Daten, ohne Werbe-IDs, ohne standortübergreifendes Tracking, ohne vollständigen IP-Speicher und ohne Profilerstellung beantworten.

Sie müssen noch die lokalen ePrivacy-Regeln und deren genaue Umsetzung überprüfen. Eine Reduzierung der Nachverfolgung ist jedoch zuverlässiger als der Versuch, eine manipulative Einwilligungsschnittstelle rechtlich akzeptabel zu machen.

Einwilligung ist kein Growth Hack. Es ist eine Entscheidung des Benutzers. Wenn Ihre Analysestrategie nur dann funktioniert, wenn Benutzer zum Akzeptieren gedrängt werden, sagt Ihnen die Strategie bereits etwas.

Einwilligungsnachweis

Wenn Sie sich auf die Einwilligung verlassen, bewahren Sie genügend Beweise auf, um nachzuweisen, was passiert ist, ohne ein neues Tracking-Problem zu schaffen. Zu den nützlichen Aufzeichnungen gehören die Einwilligungsversion, der Zeitstempel, akzeptierte oder abgelehnte Kategorien, die Sprache der Benutzeroberfläche und der Mechanismus, der zum Ändern von Präferenzen verwendet wird. Vermeiden Sie die Speicherung unnötiger Identifikatoren ausschließlich zum Zweck des Einwilligungsnachweises.

Überprüfen Sie die Einwilligung auch nach größeren Änderungen. Das Hinzufügen eines neuen Anzeigenanbieters, eines neuen Session Replaytools oder eines neuen Analysezwecks kann eine neue Auswahl erfordern, da die alte Einwilligung die neue Verarbeitung möglicherweise nicht abdeckt.

Zustimmung zur Qualitätssicherung vor der Veröffentlichung

Testen Sie die Einwilligung wie eine Produktfunktion. Laden Sie die Website in einem neuen Browserprofil und vergewissern Sie sich, dass optionale Analyse-, Werbe-, Wiedergabe- und Personalisierungsskripte vor einer Auswahl nicht ausgelöst werden. Klicken Sie auf „Ablehnen“ und vergewissern Sie sich, dass sie blockiert bleiben. Klicken Sie für eine Kategorie auf „Akzeptieren“ und stellen Sie sicher, dass nur diese Kategorie geladen wird. Anschließend widerrufen Sie die Einwilligung und bestätigen, dass zukünftige Seitenladevorgänge den neuen Status respektieren.

Bewahren Sie Screenshots oder Protokolle für jeden Status auf. Dies liefert die gleichen Beweise für Technik, Recht und Marketing. Es erkennt auch subtile Fehler, wie z. B. das Auslösen eines Pixels durch einen Tag-Manager vor der Initialisierung des Consent Managers oder ein serverseitiges Ereignis, das nach dem Widerruf der Browser-Einwilligung fortbesteht.

Checkliste zur Einwilligungsüberprüfung

Testen Sie die Einwilligung im Browser, nicht nur in den Bannereinstellungen. Überprüfen Sie vor jeder Wahl, nach der Ablehnung, nach der Einwilligung zur reinen Analyse, nach der Einwilligung zum Marketing und nach dem Widerruf Netzwerkaufrufe, Cookies, lokale Speicherung, Pixel, Tag-Manager-Trigger, SDKs und serverseitige Ereignisse.

Wenn Sie sich auf eine enge Analyseausnahme verlassen, dokumentieren Sie die genaue Konfiguration: Zweck der Zielgruppenmessung, keine Wiederverwendung von Werbung, kein Cross-Site-Tracking, begrenzte Kennungen, kurze Aufbewahrung, Zugriff nur für Herausgeber und klare Benutzerinformationen. Wenn optionale Tags immer noch vor einer gültigen Auswahl ausgelöst werden, ist die Einwilligungsebene kosmetisch.

Häufig gestellte Fragen

Was macht eine Cookie-Einwilligung nach der DSGVO ungültig?

Eine Einwilligung, die nicht freiwillig, spezifisch, informiert, unmissverständlich und widerrufbar ist, gilt nicht als gültig. Vorausgewählte Kästchen, Schweigen, Untätigkeit oder "durch weiteres Surfen" zählen nicht als verlässliche Mechanismen. Die EDPB legt diese Bedingungen in ihrem Einwilligungsleitfaden fest.

Zählt eine Datenschutzerklärung als Einwilligung?

Eine Datenschutzerklärung ist eine Mitteilung, keine Einwilligung. Mitteilung sagt den Menschen, was man tut, während Einwilligung um Erlaubnis bittet, bevor eine bestimmte Verarbeitung beginnt. Ein Banner, das nur auf die Datenschutzerklärung verweist, überspringt die aktive Handlung, die die DSGVO verlangt.

Kann berechtigtes Interesse die Einwilligung für Cookies ersetzen?

Berechtigtes Interesse ersetzt die Einwilligung nicht, wenn ein Cookie sie rechtlich verlangt. Berechtigtes Interesse als Umgehung zu nutzen zählt zu den häufigen Cookie-Banner-Fehlern. Nicht notwendige Analytics- und Werbetechnologien in Europa und Großbritannien brauchen in der Regel weiterhin eine Einwilligung, bevor sie laufen.

Warum bemängeln Regulierungsbehörden versteckte Ablehnen-Buttons?

Die EDPB Cookie Banner Taskforce berichtete über Bedenken bei Ablehnen-Optionen, die schwerer zu finden sind als Akzeptieren-Optionen. "Ablehnen" in den Einstellungen zu verstecken oder einen kontrastarmen Ablehnen-Button zu verwenden untergräbt die Anforderung der Freiwilligkeit. Ablehnung soll genauso zugänglich sein wie Zustimmung.

Was sollte ein Einwilligungsprozess Nutzern mitteilen, bevor Analytics lädt?

Ein Einwilligungsprozess sollte erklären, welche Analytics-Tools laufen werden, ob Cookies oder ähnliche Technologien genutzt werden, und welche Zwecke gelten. Zu diesen Zwecken gehören Analytics, Werbung, Personalisierung, A/B-Tests und Session Replay. Der Prozess sollte auch abdecken, ob Daten an Dritte gehen oder international übertragen werden, und wie jemand ablehnen oder widerrufen kann.

Erfüllen alle Analytics-Tools die Voraussetzungen für eine Einwilligungsausnahme?

Nur ein enger Kreis tut das. Die CNIL beschreibt beispielsweise Bedingungen für Audience-Measurement-Tracker, die ausgenommen sein können, wenn sie sich auf die Messung der Zielgruppe im Auftrag des Publishers beschränken. Bei jedem anderen Analytics-Tool sollte man annehmen, dass es eine Einwilligung braucht, bis das Gegenteil bewiesen ist.

Wie einfach sollte der Widerruf einer Einwilligung sein?

Genauso einfach wie das Erteilen. Wenn Zustimmen einen Klick braucht, sollten Ablehnen oder Widerrufen nicht bedeuten, sich durch eine Fußzeile zu wühlen, sich in ein Konto einzuloggen, den Support anzuschreiben oder sich durch ein Labyrinth aus Schaltern zu arbeiten.

Was zählt als gute Nachweisführung für Einwilligung?

Sinnvolle Aufzeichnungen umfassen die Einwilligungsversion, den Zeitstempel, akzeptierte oder abgelehnte Kategorien, die Sprache der Oberfläche und den Mechanismus, mit dem Präferenzen geändert wurden. Vermeide es, zusätzliche Kennungen nur zum Nachweis der Einwilligung zu speichern, denn das schafft ein neues Tracking-Problem.

Wann deckt eine alte Einwilligung neues Tracking nicht mehr ab?

Ein neuer Werbeanbieter, ein Session-Replay-Tool oder ein neuer Analytics-Zweck kann eine neue Entscheidung erfordern. Die zuvor erteilte Einwilligung deckt möglicherweise keine Verarbeitung ab, die es zum Zeitpunkt der Zustimmung noch gar nicht gab.

Was sollte ein Einwilligungs-QA-Test vor dem Launch prüfen?

In einem frischen Browserprofil bestätigen, dass optionale Analytics-, Werbe-, Replay- und Personalisierungs-Skripte nicht laufen, bevor eine Entscheidung getroffen wurde. Auf Ablehnen klicken und prüfen, dass sie blockiert bleiben, dann eine Kategorie akzeptieren und bestätigen, dass nur diese lädt, dann widerrufen und prüfen, ob künftige Seitenaufrufe den neuen Status respektieren.