Muss vor dem Start von Social-Media-Werbung in Europa ein Einwilligungsmechanismus für Besucher eingerichtet werden?

Muss vor dem Start von Social-Media-Werbung in Europa ein Einwilligungsmechanismus für Besucher eingerichtet werden?

Muss vor dem Start von Social-Media-Werbung in Europa ein Einwilligungsmechanismus für Besucher eingerichtet werden? Wenn die Werbung auf eine eigenständige Website führt und dort Werbepixel, Retargeting-Tags oder ähnliche Tracking-Technologien eingesetzt werden, sollte der Einwilligungsmechanismus in der Regel vor Kampagnenstart eingerichtet werden. Entscheidend ist nicht nur, ob ein Pop-up angezeigt wird, sondern ob das Tracking tatsächlich unterbleibt, solange Besucher noch nicht eingewilligt haben. Dass eine Anzeige die Prüfung der Plattform besteht, bedeutet nicht, dass die Datenverarbeitung auf der Landingpage bereits rechtskonform ist.

„Werbung in Europa schalten“ bedeutet jedoch nicht automatisch, dass „jede Website ein Pop-up anzeigen muss“. Eine Website, die lediglich Seiten darstellt und keine nicht notwendigen Tracking-Technologien einsetzt, ist anders zu beurteilen als eine Website mit Tools zur Werbeattribution und zum Zielgruppenabgleich. Zunächst sollte geklärt werden, welche Daten die Website erfasst und an wen sie diese übermittelt. Anschließend lässt sich entscheiden, welche Form des Einwilligungsmanagements erforderlich ist.

Entscheidend ist nicht der Unternehmensstandort, sondern der Zielmarkt

Wenn ein chinesisches Unternehmen Waren oder Dienstleistungen für Nutzer in der EU anbietet oder deren Verhalten innerhalb der EU beobachtet, kann es in den Anwendungsbereich von Artikel 3 der Datenschutz-Grundverordnung (DSGVO) fallen. Ein im Ausland befindlicher Server oder eine englischsprachige Website begründen für sich genommen keine Ausnahme. Dass eine Website für Nutzer in Europa erreichbar ist, führt jedoch nicht zwangsläufig zur gleichen Bewertung.

Tracking-Technologien unterliegen außerdem Artikel 5 Absatz 3 der ePrivacy-Richtlinie und den Umsetzungsvorschriften der einzelnen Länder. Das Speichern oder Auslesen von Informationen auf dem Endgerät eines Nutzers erfordert in der Regel eine vorherige Einwilligung. Ausgenommen sind unter anderem Vorgänge, die für die Übertragung einer Nachricht oder für die Bereitstellung eines vom Nutzer ausdrücklich angeforderten Dienstes unbedingt erforderlich sind. Werbetracking lässt sich in der Regel nicht allein deshalb als unbedingt erforderlich einstufen, weil es die Erfolgsmessung erleichtert.

Europa ist kein einheitlicher Rechtsraum. Für das Vereinigte Königreich sind zusätzlich die dortigen Datenschutzgesetze und die Privacy and Electronic Communications Regulations (PECR) zu berücksichtigen. Auch die konkreten Anforderungen an Benutzeroberflächen und Ausnahmen können sich von Land zu Land unterscheiden. Bei der Projektplanung sollten daher die Länder, in denen Werbung geschaltet wird, ausdrücklich aufgeführt werden, statt lediglich „europäischer Markt“ anzugeben.

Zuerst das Tracking erfassen, dann das Pop-up gestalten

Ein häufiges Risiko bei Websites von Außenhandelsunternehmen sind über verschiedene Stellen verteilte Tags: Die Website-Vorlage enthält ein Statistik-Plugin, die Werbeagentur ergänzt das Meta-Pixel, und Chat-Tools sowie eingebettete Videos stellen ebenfalls Verbindungen zu Drittanbietern her. Wird im Tag-Manager nur ein Werbe-Tag deaktiviert, ist damit nicht zwangsläufig verhindert, dass Daten über andere Wege weiter übermittelt werden.

Vor dem Start sollte eine vollständige Bestandsaufnahme erstellt werden: Name und Zweck des Tools, Seiten, auf denen es ausgelöst wird, ausgelesene oder gespeicherte Informationen, Empfänger sowie die Frage, ob eine vorherige Einwilligung erforderlich ist. Funktionen wie Warenkorb und Anmeldesicherheit sollten anhand ihrer tatsächlichen Erforderlichkeit bewertet werden. Zugriffsanalysen, Werbeattribution und Retargeting sollten nicht pauschal unter „für den normalen Betrieb der Website erforderlich“ freigegeben werden.

Verwendet eine Anzeige ein Lead-Formular innerhalb der Plattform, ohne Nutzer auf eine eigenständige Website zu leiten, ist ein Website-Pop-up möglicherweise nicht der zentrale Aspekt dieser Nutzerstrecke. Hinweise zur Erfassung von Leads, zu Datenverwendungszwecken und Speicherfristen sowie zur anschließenden Werbung sind dennoch erforderlich. Das bedeutet nicht, dass keinerlei Datenschutzpflichten bestehen.

Die Einwilligungsauswahl mit den tatsächlichen Datenflüssen verknüpfen

In der Regel lässt sich eine Consent-Management-Plattform (CMP) mit den Skripten der Website und dem Tag-Manager verbinden. Bei Tracking-Technologien, für die eine Einwilligung erforderlich ist, sollte der Standardzustand „nicht eingewilligt“ sein: Sie werden erst aktiviert, nachdem Besucher der entsprechenden Kategorie zugestimmt haben. Eine Ablehnung, das Schließen des Fensters oder eine ausbleibende Auswahl darf nicht als Zustimmung gewertet werden.

Die Benutzeroberfläche sollte die Zwecke klar erläutern und gut auffindbare Möglichkeiten zum Ablehnen und zum Ändern der Einstellungen bieten. Eine Ablehnung darf nicht in mehreren Menüebenen verborgen sein. Nicht notwendige Kategorien sollten nicht vorausgewählt sein, und das weitere Navigieren auf der Website gilt nicht als wirksame Einwilligung. Ein Link zur Datenschutzerklärung ersetzt keine aktive Auswahl. Bei Angeboten in verschiedenen Sprachmärkten muss die Erklärung außerdem verständlich sein.

Der Einwilligungsstatus sollte auf der Landingpage, den Produktseiten, in Formularen und im Checkout berücksichtigt werden. Außerdem sollten geeignete Einwilligungsnachweise und eine Möglichkeit zum Widerruf vorgesehen sein. Der Widerruf sollte ebenso einfach möglich sein wie die Einwilligung; danach ist das entsprechende Tracking einzustellen. Nachweise sollten nicht unbegrenzt gespeichert werden, und zum Nachweis einer Einwilligung sollten keine zusätzlichen, nicht relevanten personenbezogenen Daten erhoben werden.

Serverseitiges Tracking ist keine Abkürzung, um die Einwilligung zu umgehen. Tools wie die Meta Conversions API ändern lediglich den Übermittlungsweg; Datenherkunft, Rechtsgrundlage der Verarbeitung und Informationspflichten müssen weiterhin geprüft werden. Auch eine gehashte E-Mail-Adresse wird dadurch nicht automatisch zu anonymen Daten.

Bei der Abnahme der Kampagne die Ablehnung testen, nicht nur die Zustimmung

Testen Sie mit einem Browser ohne gespeicherte Einwilligungsdaten die Fälle: keine Auswahl, Ablehnung, teilweise Zustimmung, vollständige Zustimmung und Widerruf. Prüfen Sie Cookies, den Browserspeicher und Netzwerkanfragen, um festzustellen, ob Werbeereignisse vorzeitig übermittelt werden. Ein Screenshot des Pop-ups belegt nicht, dass die Blockierung funktioniert. Manche Skripte setzen keine Cookies und können dennoch Geräte- oder Zugriffsdaten übertragen.

Rufen Sie die Website außerdem über echte Werbelinks auf und prüfen Sie die mobile Darstellung, Seiten in verschiedenen Sprachen und Weiterleitungspfade. Achten Sie besonders auf das Absenden von Formularen: Wer Kontaktdaten eingibt, um ein Angebot zu erhalten, stimmt damit nicht automatisch der Aufnahme in eine Werbezielgruppe oder dem Erhalt langfristiger Werbebotschaften zu. Die jeweiligen Zwecke sollten getrennt erläutert und die Rechtsgrundlage der Verarbeitung geprüft werden.

Nach der Aktivierung des Einwilligungsmechanismus können die von der Plattform erfassten Conversions zurückgehen. Das sollte nicht sofort als Verschlechterung der Werbewirkung bewertet werden. Die Bewertung kann anhand von Bestellungen im Backend, qualifizierten Anfragen und Vertriebsnachverfolgung erfolgen. Dabei ist zu berücksichtigen, dass die Attributionsabdeckung begrenzt ist. Nicht autorisiertes Tracking darf nicht wieder freigeschaltet werden, nur um die Berichte zu vervollständigen.

Website und Kampagnen sollten über dieselbe Abnahme-Checkliste abgestimmt werden

易营宝 bietet integrierte Dienstleistungen für intelligente Website-Erstellung, mehrsprachige Websites, SEO und Social-Media-Werbung im Ausland. Bei solchen Projekten sollte das Einwilligungsmanagement Bestandteil der Übergabe-Checkliste zwischen Website-Erstellung und Kampagnenstart sein, statt nachträglich ein Plugin zu installieren. Das Website-Team ist für das Laden der Skripte und die Zugänge auf den Seiten zuständig, das Kampagnenteam legt den Zweck der Ereignisse fest, und das Unternehmen bestätigt die Grenzen der Datennutzung. Bei Bedarf sollte eine mit dem Zielmarkt vertraute juristische Fachperson die Umsetzung prüfen.

Die wichtigste Frage vor dem Start lautet: „Welche Daten verlassen die Website noch, nachdem Besucher auf ‚Ablehnen‘ geklickt haben?“ Eine Antwort auf Grundlage tatsächlicher Tests bringt den Status einer überprüfbaren Umsetzung näher als die Aussage „Das Einwilligungs-Pop-up ist bereits installiert“.