Wie sollte die Cookie-Richtlinie einer B2B-Website den Zweck des Trackings erläutern?

Ein Einkaufsleiter öffnet eine B2B-Website, durchsucht Produktspezifikationen, lädt Unterlagen herunter und sendet anschließend eine Anfrage. Während dieses Vorgangs kann die Website Analysetools, Werbe-Tags und Formular-Plugins verwenden: Welche Aktivitäten werden erfasst? An wen werden die Daten weitergegeben? Sind die Kernfunktionen weiterhin nutzbar, wenn Besucher das Tracking ablehnen? Diese Fragen betreffen nicht nur das Besuchererlebnis, sondern auch die Frage, ob Qualitätskontroll- und Sicherheitsteams den tatsächlichen Betrieb der Website überprüfen können.

Beim Verfassen einer Cookie-Richtlinie für B2B-Websites geht es nicht in erster Linie darum, die Formulierung „zur Verbesserung des Nutzungserlebnisses“ ausführlicher zu gestalten. Vielmehr müssen Tracking-Zwecke, technische Vorgänge und die Wahlmöglichkeiten der Besucher nachvollziehbar miteinander verknüpft sein.

Zunächst klären, was die Website tatsächlich nachverfolgt

Cookies sind kleine Datendateien, die eine Website im Browser speichert. Tracking ist jedoch nicht auf Cookies beschränkt. Auch Technologien wie Pixel-Tags, lokaler Speicher und Skripte von Drittanbietern können dazu dienen, Geräte zu erkennen oder Aktivitäten zu erfassen. Die Richtlinie sollte ihren Anwendungsbereich erläutern, damit nicht nur Cookies im Titel genannt werden, während im Text tatsächlich verwendete ähnliche Technologien fehlen.

Zu den typischen Tracking-Szenarien auf B2B-Websites zählen das Aufrechterhalten des Anmeldestatus, das Speichern von Spracheinstellungen, das Zählen der Besuche von Produktseiten, das Messen von Werbekonversionen sowie das Erfassen von Downloads und Anfragen. Diese Vorgänge sind nicht gleichermaßen erforderlich: Ein Speichermechanismus für Sicherheitsprüfungen und eine Kennung für Werbe-Retargeting sollten nicht pauschal als „für den Betrieb der Website erforderlich“ eingestuft werden.

Mitarbeiter der Qualitätskontrolle können mit den Entwicklertools des Browsers, dem Tag-Management-System und der Liste der Website-Plugins beginnen und anhand von Tests auf den tatsächlichen Seiten prüfen, welche Technologien auf der Startseite, den Produktseiten, Download-Seiten und Anfrageseiten geladen werden. Besondere Aufmerksamkeit verdienen mehrsprachige Websites, Werbe-Landingpages und eingebettete Formulare, da sie unterschiedliche Drittanbieterdienste aufrufen können.

Tracking-Zwecke so erläutern, dass Besucher sie verstehen

Eine brauchbare Cookie-Richtlinie sollte Lesern vermitteln, „welche Technologien verwendet werden, warum sie eingesetzt werden, wohin die Daten fließen und welche Wahlmöglichkeiten bestehen“. Die Technologien können nach ihrem Zweck gruppiert und mit konkreten Angaben zu jeder einzelnen ergänzt werden, statt nur abstrakte Kategorien aufzulisten.

Je näher die Beschreibung am tatsächlichen Verhalten ist, desto leichter lässt sie sich intern prüfen. Beispielsweise ist „Wir verwenden Analyse-Cookies, um die Besuche von Produktseiten und Downloads von Unterlagen zu zählen und so zu verstehen, welche Inhalte auf Interesse stoßen“ klarer als „zur Optimierung unserer Dienste“. Wenn ein Tool außerdem Besuchsdaten mit übermittelten Anfragedaten verknüpft, sollten auch der Zweck der Verknüpfung, die betroffenen Daten und die Empfänger erläutert werden. Der allgemeine Hinweis „Wir analysieren den Website-Traffic“ reicht nicht aus.

Bei Werbe- oder Analysediensten von Drittanbietern sollte die Richtlinie zudem die Datenkategorien nennen, die diese Dienstleister möglicherweise erhalten, und erläutern, wie Besucher weitere Datenschutzinformationen einsehen können. Ob Besucher auf anderen Websites Retargeting-Anzeigen sehen können, sollte ebenfalls anhand der tatsächlichen Konfiguration erklärt werden. Es darf nicht pauschal davon ausgegangen werden, dass alle Werbe-Tags ausschließlich der Messung von Konversionen dienen.

Der Einwilligungsmechanismus darf nicht auf den Text beschränkt bleiben

Die Richtlinienseite und das Cookie-Banner müssen zusammenwirken. Bei Websites, die sich an Besucher in der EU oder im Vereinigten Königreich richten, ist in der Regel eine wirksame Einwilligung einzuholen, bevor nicht notwendige Cookies gesetzt oder ähnliche Technologien eingesetzt werden. Die konkreten Anforderungen und Ausnahmen für notwendige Technologien sollten anhand der geltenden Region und des tatsächlichen Zwecks beurteilt werden. Bei der Verarbeitung personenbezogener Daten ist außerdem die Rechtsgrundlage nach den einschlägigen Datenschutzgesetzen zu prüfen. Für andere Märkte sollten ebenfalls die örtlichen Vorschriften geprüft werden, statt dieselben Einstellungen unverändert weltweit anzuwenden.

Aus Sicht des Sicherheitsmanagements lassen sich mehrere Zustände prüfen:

• Besucher hat noch keine Auswahl getroffen: Prüfen, ob nicht notwendige Tags für Analyse und Werbung bereits geladen wurden oder Kennungen gespeichert haben.
• Besucher lehnt ab: Sicherstellen, dass die Ablehnungsoption leicht zu finden ist und nach der Ablehnung kein nicht notwendiges Tracking mehr ausgelöst wird.
• Besucher stimmt zu: Prüfen, ob die tatsächlich aktivierten Kategorien mit den Beschreibungen in der Benutzeroberfläche übereinstimmen und ob eine Einwilligung in Analyse nicht standardmäßig auch Werbe-Tracking aktiviert.
• Besucher widerruft die Einwilligung: Einen leicht auffindbaren Zugang zu den Präferenzeinstellungen bereitstellen und das Verhalten der Tags nach dem Widerruf prüfen. Gleichzeitig sollte klargestellt werden, dass der Widerruf nicht automatisch alle zuvor rechtmäßig verarbeiteten Daten löscht.

Auch Einwilligungsnachweise sollten verwaltet werden. Dazu gehören beispielsweise der Zeitpunkt der Auswahl, die geltende Richtlinien- oder Konfigurationsversion und das Ergebnis der Auswahl; die Aufbewahrungsfrist ist nach den geltenden Vorschriften festzulegen. Verwenden Sie keine vorausgewählten Optionen und verstecken Sie die Ablehnung nicht in mehreren Menüebenen. Ob ein Cookie tatsächlich notwendig ist, sollte anhand seiner konkreten Funktion beurteilt werden und nicht anhand der Bezeichnung eines Marketing- oder Technik-Tags.

Die Richtlinie anhand des Anfrageprozesses prüfen und sicherstellen, dass sie der Praxis entspricht

Angenommen, die Website gewinnt über Werbung die Aufmerksamkeit von Einkäufern, die eine Produktseite besuchen und anschließend ein Anfrageformular ausfüllen. Die Richtlinie sollte mindestens getrennt erläutern, ob Werbe-Tags Besuche oder Konversionen erfassen, ob Analysetools Seiteninteraktionen messen, ob Formulardaten in ein Kundenmanagementsystem übertragen und ob diese Informationen miteinander verknüpft werden. Die Cookie-Richtlinie kann auf die Datenschutzerklärung verweisen, doch ein Verweis wie „Weitere Informationen finden Sie in der Datenschutzerklärung“ sollte die notwendigen Erläuterungen zum Tracking nicht ersetzen.

Bei der Abnahme können Qualitätskontroll- und Sicherheitsteams diesen Ablauf in einem privaten Browserfenster mit drei Zuständen – Einwilligung, Ablehnung und Widerruf – erneut durchlaufen. Dabei sollten sie Netzwerkanfragen, gespeicherte Daten und das Auslösen von Tags prüfen und anschließend mit der Liste in der Richtlinie vergleichen. Nicht identifizierbare Anfragen sollten zu ihrem Plugin oder Anbieter zurückverfolgt werden. Nach Klärung ihres Zwecks kann entschieden werden, ob sie beibehalten, angepasst oder entfernt werden.

Auf Websites für internationales Marketing kommen häufig neue Analysetools, Werbeplattformen und Formulare von Drittanbietern hinzu. Bei der Nutzung eines Dienstes wie 易营宝, der Website-Erstellung, SEO und Werbemarketing abdeckt, sollten Unternehmen dennoch mit dem Dienstleister klären, wie die einzelnen Tools standardmäßig konfiguriert sind, wer die Daten erhält und welche Einstellungen kontrolliert werden können. Die Verfügbarkeit einer Funktion auf der Plattform bedeutet nicht, dass die Website dieses Tracking auch tatsächlich aktiviert hat. Maßgeblich für die Richtlinie ist die tatsächliche Implementierung.

Die Cookie-Liste in ein fortlaufend gepflegtes Verzeichnis überführen

Eine Cookie-Richtlinie ist kein Text, den man vor dem Start fertigstellt und danach zu den Akten legt. Neue Werbe-Pixel, der Austausch von Analysetools, Änderungen der Speicherdauer oder der Eintritt in neue Zielmärkte können eine erneute Prüfung der Informations- und Einwilligungsmechanismen erforderlich machen. Es empfiehlt sich, für jede Technologie eine verantwortliche Person aus dem Fach- oder Technikbereich zu benennen, Anbieterinformationen, Konfigurationsänderungen und Testergebnisse aufzubewahren und regelmäßige Überprüfungen einzuplanen.

Lassen sich der Zweck einer Technologie nicht erklären, der Datenfluss eines Anbieters nicht nachvollziehen oder die Abweichungen zwischen Richtlinie und tatsächlichem Verhalten nicht klären, sollte das betreffende nicht notwendige Tracking zunächst ausgesetzt werden. Anschließend ist eine Prüfung durchzuführen. Fragen zu grenzüberschreitenden Datenübermittlungen, anwendbarem Recht und Einwilligungsanforderungen sollten außerdem je nach konkreter Geschäftstätigkeit mit Rechts- oder Datenschutzfachleuten erörtert werden. Eine klare Cookie-Richtlinie ist kein bloßer Haftungsausschluss, sondern eine Erklärung gegenüber Besuchern, die sich technisch überprüfen lässt.