Marketing, Cookies und Tracking

Nach Art. 4 Z 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel einer Verarbeitung entscheidet. Das ist regelmäßig das Unternehmen, das eine Kundendatenbank für Werbung nutzt oder festlegt, welche Zielgruppen eine Plattform ansprechen soll. Ein Marketingdienstleister kann Auftragsverarbeiter sein. Entscheidet die Plattform aber mit über Zwecke und Mittel, muss die Rollenverteilung gesondert geprüft werden.

Für jede Maßnahme gehört daher ein kurzer Datenfluss in die Unterlagen: Quelle der Daten, verwendete Identifikatoren, eingesetzte Tags oder Schnittstellen, Empfänger, Profilmerkmale, Zweck und Löschregel. Die Einordnung als „Marketingtool“ beantwortet keine dieser Fragen. Auch pseudonymisierte Kennungen bleiben personenbezogene Daten, wenn das Unternehmen oder ein Dienstleister die Person mit vertretbarem Aufwand wieder zuordnen kann.

Die Datenschutz-Governance sollte diese Prüfung mit der Freigabe neuer Tools verbinden. Bei Agenturen, Plattformen oder gemeinsamer Kampagnensteuerung ist außerdem zu klären, wer Betroffene informiert, Widersprüche entgegennimmt und Anfragen beantwortet.

Bei Cookies, Pixeln und vergleichbaren Technologien ist zunächst zu prüfen, ob Information auf dem Endgerät gespeichert oder von dort ausgelesen wird. § 165 Abs 3 TKG 2021 verlangt für die Ermittlung personenbezogener Daten durch Anbieter eines Dienstes der Informationsgesellschaft eine aktive Einwilligung auf Grundlage klarer und umfassender Informationen. Die eng begrenzte Ausnahme betrifft die technische Übertragung oder den unbedingt erforderlichen Zugriff, damit ein ausdrücklich gewünschter Dienst funktioniert.

Für einen Marketing-, Analyse- oder Retargeting-Tag reicht es deshalb nicht, dass der Tag „nur“ eine Kennung setzt oder die Daten an einen Dienstleister weitergibt. Der Anbieter muss vorab wissen, welchem Zweck er zustimmt. Nicht notwendige Technologien dürfen nicht bereits beim Seitenaufruf geladen werden. Die Ablehnung muss ohne unnötige Hürden möglich sein und darf nicht hinter einer gleichwertigen Auswahl verborgen werden.

Die Einwilligung nach dem TKG beantwortet zusätzlich nicht automatisch die DSGVO-Frage. Werden etwa IP-Adresse, Online-Kennung, Geräteinformationen oder Nutzungsdaten verarbeitet, braucht auch diese Verarbeitung eine geeignete Rechtsgrundlage nach Art. 6 DSGVO. Ein Banner sollte daher Zwecke, Anbieter, Kategorien und Widerruf verständlich abbilden, statt nur eine lange Liste technischer Bezeichnungen zu zeigen.

Für postalische Werbung, Newsletter, SMS und andere Kontaktwege sind die Regeln nicht identisch. Art. 6 DSGVO verlangt eine Rechtsgrundlage für die Verarbeitung. Bei Direktmarketing kann ein berechtigtes Interesse in Betracht kommen, wenn Interessen, Umfang, Erwartbarkeit und Eingriff der Maßnahme sorgfältig abgewogen werden. Die Information muss den Zweck klar nennen. Für elektronische Werbung gelten daneben die strengeren Vorgaben des § 174 TKG 2021.

Elektronische Post zu Zwecken der Direktwerbung ist grundsätzlich nur mit vorheriger Einwilligung zulässig. Die Ausnahme für eigene ähnliche Produkte oder Dienstleistungen setzt unter anderem voraus, dass die Kontaktinformation im Zusammenhang mit einem Verkauf oder einer Dienstleistung erhalten wurde und eine einfache, kostenfreie Ablehnung bei Erhebung und jeder Nachricht möglich ist. Die Prüfung muss den konkreten Empfängerkreis und den Inhalt der Nachricht erfassen.

Wer der Verarbeitung für Direktmarketing widerspricht, hat nach Art. 21 Abs. 2 DSGVO ein besonders starkes Recht. Die Daten dürfen für diesen Zweck dann nicht weiterverarbeitet werden. Das Unternehmen braucht deshalb eine funktionierende Sperrliste, die in CRM, Newsletter, Vertriebslisten und gegebenenfalls bei beauftragten Versanddienstleistern berücksichtigt wird. Der Beitrag zu Parteiaffinitäten im Direktmarketing zeigt, warum zusätzliche Vorsicht nötig ist, sobald aus Daten politische Interessen abgeleitet werden.

Profiling ist nach Art. 4 Z 4 DSGVO jede automatisierte Verarbeitung personenbezogener Daten zur Bewertung persönlicher Aspekte, insbesondere zur Analyse oder Vorhersage von Interessen, Verhalten oder wirtschaftlicher Lage. Schon die Zuordnung zu einer Zielgruppe kann darunterfallen. Nicht erst ein komplexes KI-Modell löst die Prüfung aus. Auch Regeln im CRM, Scores und zusammengeführte Online- und Offline-Daten können ein Profil bilden.

Unternehmen sollten für jedes Segment erklären können, welche Merkmale verwendet werden, warum sie für den Zweck erforderlich sind, aus welcher Quelle sie stammen und wann sie wieder entfallen. Sensible Daten oder aus ihnen abgeleitete Informationen dürfen nicht einfach als gewöhnliches Werbemerkmal behandelt werden. Das gilt besonders für politische, gesundheitliche oder andere Daten nach Art. 9 DSGVO.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung kann zusätzlich Art. 22 DSGVO auslösen. Eine personalisierte Werbung ist nicht automatisch eine solche Entscheidung. Die Schwelle darf aber nicht durch eine formale Bezeichnung umgangen werden. Wenn ein Score über Zugang, Preis, Leistung oder andere erhebliche Chancen entscheidet, braucht es eine vertiefte Prüfung, Information und gegebenenfalls menschliche Intervention. Für die erste Einordnung sollten Unternehmen Profilbildung und automatisierte Entscheidungen als getrennte Prüfschritte dokumentieren.

Art. 13 und 14 DSGVO verlangen Informationen, die eine betroffene Person tatsächlich verstehen kann. Eine Datenschutzerklärung sollte nicht nur den Namen einer Plattform nennen. Sie sollte erklären, welche Daten aus welchem Kontakt oder Besuch stammen, welche Zielgruppen gebildet werden, wie lange die Merkmale bestehen und ob Empfänger außerhalb des Europäischen Wirtschaftsraums eingebunden sind.

Bei Daten aus öffentlichen Quellen, Partnerlisten oder Datenanreicherungen ist Art. 14 DSGVO mitzudenken. Die Information darf nicht erst nach einer Beschwerde entstehen. Wer eine Interessenliste von einem Anbieter bezieht, muss Herkunft, Verwendungszweck und Widerspruchsweg dokumentieren. Das gilt auch, wenn die Liste nur für eine einzelne Kampagne verwendet wird.

Für den Website-Besuch müssen Datenschutzerklärung, Banner und tatsächliches Tag-Verhalten zusammenpassen. Ein Banner, das nur „Marketing“ auswählt, während in der Erklärung mehrere sehr unterschiedliche Anbieter und Zwecke stehen, erschwert eine informierte Entscheidung. Die Einordnung zu Cookie-Bannern bietet dazu einen verständlichen Ausgangspunkt.

Der Grundsatz der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt nicht, dass jedes Unternehmen denselben Papierumfang produziert. Es muss aber zeigen können, warum eine Maßnahme zulässig erschien und wie die Entscheidung umgesetzt wurde. Dazu gehören je nach Maßnahme das Verzeichnis der Verarbeitungstätigkeiten, eine Interessenabwägung, die Einwilligungsprotokolle, die Anbieterprüfung und der Ablauf für Widerruf und Widerspruch.

Bei umfangreicher systematischer Beobachtung oder einer Verarbeitung mit hohem Risiko kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Das ist keine automatische Folge jedes Webanalysewerkzeugs. Entscheidend sind unter anderem Umfang, Dauer, Systematik, sensible Daten, Verknüpfung mehrerer Quellen und die möglichen Folgen für betroffene Personen.

Praktisch bewährt sich eine Freigabeakte pro Kampagne oder dauerhaftem Datenfluss. Sie sollte die Datenflussgrafik, die Zweckbeschreibung, Rechtsgrundlage, Informationstext, Dienstleister, technische Aktivierung, Sperrlogik, Löschfrist und einen Test der Abmeldung enthalten. Bei Änderungen an Tags, Zielgruppen oder Empfängern muss die Prüfung aktualisiert werden.

Viele Risiken entstehen nicht durch eine einzelne ungewöhnliche Technologie, sondern durch kleine Brüche zwischen Planung und Betrieb. Ein Tag wird etwa im Manager als „notwendig“ eingestuft, obwohl er für Reichweitenmessung oder Werbung arbeitet. Oder ein Widerspruch wird im Newsletter-System gespeichert, aber nicht an die Werbeplattform weitergegeben.

Auch ein sorgfältiger Banner schützt nicht vor einem unzulässigen Profiling im CRM. Umgekehrt ist eine gute Datenschutzinformation kein Ersatz für die aktive Auswahl, wenn der Zugriff auf das Endgerät oder elektronische Werbung eine Einwilligung verlangt. Die Prüfung sollte deshalb an mehreren Stellen ansetzen.

Für die interne Prüfung genügt ein einfacher Ablauf. Zuerst wird die Maßnahme mit Zweck, Zielgruppe und Kontaktweg beschrieben. Danach werden Datenquelle, Technologie, Empfänger und Speicherorte erfasst. Im dritten Schritt werden die Rechtsgrundlagen und Informationstexte geprüft. Erst dann folgt die technische Aktivierung. Nach dem Start werden Auswahl, Widerruf, Widerspruch, Löschung und Auskunft mit realistischen Testfällen kontrolliert.

Der Rollen-Check unterstützt die erste Einordnung, ob das Unternehmen selbst Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher ist. Für eine vertiefte Prüfung sollten zusätzlich Verträge, Tag-Konfiguration, Kampagnenbriefing, Datenquellen und die vorgesehenen Lösch- und Sperrfristen vorliegen.

Wenn die Maßnahme bereits läuft, sollte das Unternehmen nicht nur den Bannertext ändern. Sinnvoller ist ein Abgleich zwischen Browser, Consent-Speicher, Tag-Manager, CRM, Versandtool und Plattform. So wird sichtbar, ob ein Widerruf oder Widerspruch tatsächlich bis zum letzten Empfänger wirkt.