Im Zuge der jüngsten Änderungen im Schweizer Datenschutzrecht stellt sich für viele Marketer die Frage, wie sie das Thema Cookie Consent korrekt umsetzen können. In diesem Blog werden wir die wichtigsten Punkte beleuchten, die es zu berücksichtigen gilt.
Cookies – also kleine Textdateien, die beim Besuchen einer Website über deren Server auf des jeweilige Endgerät des Nutzers übertragen werden – werden gemeinhin zu den wichtigsten Ressourcen im Online-Marketing gezählt und dabei zu verschiedenen Zwecken eingesetzt. Manche Varianten dienen lediglich der Sicherstellung der störungsfreien Funktionsweise der jeweiligen Seite und sind somit eher technisch-funktioneller Natur, andere zielen hingegen auf die Personalisierung von Inhalten, die Auswertung des Nutzerverhaltens oder die Generierung von passenden Werbeanzeigen ab und sind daher auch rechtlich gesondert zu betrachten.
Als in der Praxis besonders wichtige Kategorie lassen sich Tracking-Cookies hervorheben, durch die Zugriff auf eine ganze Reihe an zum Teil sehr sensiblen Informationen erlangt werden kann (zum Beispiel auf die IP-Adresse, Suchverläufe, zuvor besuchte Websites, getätigte Transaktionen usw.). Häufig handelt es sich dabei um sogenannte Drittanbieter-Cookies, die in weitläufigere Werbenetzwerke eingebunden sind. Die dabei gesammelten Daten, die oftmals personenbezogener Natur sind, werden auf diese Weise abseits des eigentlichen Website-Betreibers auch an zusätzliche Akteure weitergereicht. Ihrer gerade aus Sicht von Marketing-Verantwortlichen unbestreitbaren Nützlichkeit zum Trotz wirft die Verwendung von Tracking Cookies natürlich Fragen im Hinblick auf die Wahrung der Privatsphäre der User auf, die immer lauter nach entsprechenden Lösungen im Sinne des Prinzips “Cookie Consent” verlangen.
Inhalt
Das Prinzip Cookie Consent: Tracking nur mit ausdrücklicher Zustimmung der Nutzer
Für Website-Betreiber, Marketer und Werbetreibende stellen Tracking-Cookies eine massive Arbeitserleichterung dar, erlauben sie doch eine effektivere Nutzung von Analyse-Tools (wie etwa Google Analytics), eine genauere Auswertung von Marketing-Kampagnen sowie Konversionszielen, eine engere Verknüpfung mit Social-Media-Plattformen sowie das Schalten von individuell auf das Nutzerprofil zugeschnittener Werbung über verschiedene Seiten hinweg. Diesen Vorteilen steht allerdings das Interesse der Internet-User an Transparenz und Schutz der Privatsphäre gegenüber, die daher zu Recht auf das Eigentum an ihren persönlichen Daten und das Cookie-Consent-Prinzip pochen.
Dem zunehmenden Druck aus Politik und Zivilgesellschaft sind die Gesetzgeber in vielen Teilen der Welt (Europa, Teile der USA, Kanada, Brasilien usw.) bereits durch den Erlass beziehungsweise die Aktualisierung von den neuen Realitäten der digitalen Sphäre entsprechenden Datenschutzgesetzen nachgekommen. Inhaltlich orientieren sich diese Regelungen häufig am bereits erwähnten Prinzip des Cookie Consent, also der Zustimmungspflicht für das Setzen von bestimmten Arten von (Tracking-)Cookies. Dabei lässt sich zwischen restriktiveren (Notwendigkeit einer expliziten Zustimmung) und liberaleren Herangehensweisen (Option der Ablehnung) unterscheiden. Zu den legislativen Vorgaben zum Thema Cookie Consent verschärfend hinzu tritt der Umstand, dass auch Anbieter weit verbreiteter Browser wie Firefox oder Chrome zunehmend auf die grundsätzliche Verbannung von Drittanbieter-Cookies setzen.
Cookie Consent im Rahmen der EU-Datenschutzgrundverordnung (DSGVO)
Als Paradebeispiel für den Trend zu verschärften gesetzlichen Standards für den Umgang mit Cookies gilt die Datenschutz-Grundverordnung der Europäischen Union (kurz DSGVO), die bereits im Mai 2018 in Kraft getreten ist. Auch dieser Akt widmet sich der Verarbeitung von personenbezogenen Daten (hierzu zählen bereits die IP-Adressen von Usern) und baut wiederum auf dem Cookie-Consent-Prinzip auf. Die DSGVO zielt darauf ab, sicherzustellen, dass Internetnutzer stets die Kontrolle über die Übermittlung, Verarbeitung und Weitergabe der einschlägigen Informationen behalten. Um Tracking-Cookies, die personenbezogene Daten erheben, überhaupt setzen zu dürfen, muss also zuvor die ausdrückliche Zustimmung des Users (Cookie Consent) eingeholt werden.
Die DSGVO – die im Übrigen nicht nur innerhalb der EU gilt, sondern für sämtliche Webseiten, die von Nutzern aus dem Hoheitsgebiet der Europäischen Union besucht werden und daher globale Relevanz besitzt – überträgt die Verantwortung für die Umsetzung des Cookie-Consent-Grundsatzes dem Betreiber der jeweiligen Website. Dieser muss einerseits maximale Transparenz im Hinblick auf Zweck und Eigenschaften (technische Daten, Bestandsdauer, Anbieter, exakte Funktion usw.) der von ihm gesetzten Cookies bereitstellen, darf es aber andererseits nicht bei einer reinen Aufklärung und Informationsbereitstellung belassen. Vielmehr sehen sich Website-Eigentümer in der Praxis auch dazu verpflichtet, zusätzlich eine differenzierte digitale Schaltfläche zur Erlaubnis oder Ablehnung der Cookie-Übertragung einzubauen. All diese Elemente werden üblicherweise in einem sogenannten Cookie-Consent-Banner zusammengeführt.
Cookie Consent und die Rechtslage in der Schweiz
Als Nicht-EU-Staat kommt der DSGVO in der Schweiz keine direkte juristische Verbindlichkeit zu. Faktisch legen die engen wirtschaftlichen Bande zwischen der Eidgenossenschaft und der Europäischen Union, die auch in den digitalen Bereich ausstrahlen, jedoch eine gewisse rechtliche Konvergenz nahe. Vor diesem Hintergrund ist auch die bevorstehende Novellierung des Schweizer Datenschutzgesetzes (DSG) zu verstehen, das in seiner aktuellen Fassung ursprünglich aus dem Jahr 1993 stammt und daher in weiten Teilen als veraltet gilt. Die aktualisierte Version des Gesetzes soll im September 2023 in Kraft treten und will die hiesige Rechtsordnung stärker an die durch die DSGVO etablierten Standards heranführen, ohne diese gänzlich zu kopieren.
Das novellierte DSG bezieht sich ausschliesslich auf die Daten von natürlichen Personen (Unternehmen sind somit beispielsweise ausgenommen) und umfasst vereinfacht gesagt die Tatbestände der Erhebung, Sicherung, Nutzung, Abänderung, Publikation, Übermittlung und Löschung der einschlägigen Informationen. Ziel ist der verbesserte Schutz von Persönlichkeitsrechten unter den Bedingungen des digitalen Zeitalters. Zu den wichtigsten Elementen der DSG-Neufassung zählt die Informationspflicht, also die obligate Aufklärung von Usern über die erhobenen Daten und deren weitere Verarbeitung. In diesem Sinn hält das Cookie-Consent-Prinzip also demnächst auch in der Schweiz Einzug.
Die Konsequenzen des Cookie-Consent-Prinzips für die Praxis
Welche Konsequenzen das neue DSG in der digitalen Marketingbranche in der Schweiz entfalten wird, wird sich in vollem Umfang erst in der gelebten Praxis zeigen. Viele Fachleute gehen aber davon aus, dass sich mit dem Inkrafttreten des Gesetzes mit 1. September 2023 auch hierzulande der Cookie-Consent-Grundsatz nach europäischem Vorbild etablieren wird. Im Klartext bedeutet dies, dass Website-Betreiber in der Schweiz sich ebenfalls darauf einstellen sollten, ihre Nutzer in Zukunft durch ein Cookie-Banner mit den relevanten Informationen aufklären zu müssen. Dies gilt unter dem Vorbehalt, dass (Tracking-)Cookies als Träger von personenbezogenen Daten klassifiziert werden können, wovon jedoch analog zum Gebrauch des Begriffes in der Europäischen Union auszugehen ist.
Für Marketer hat die Einführung des Cookie-Consent-Prinzips zunächst den Nachteil, dass sich das Tracking und die Web-Analyse – und damit auch die empirisch fundierte Realisierung von Conversions – bald ein Stück weit schwieriger gestalten dürften als zuvor. Dies hängt mit der (nicht unbegründeten) Erwartung zusammen, dass Cookie-Consent-Banner von Usern als nervig empfunden werden beziehungsweise eine einfache Möglichkeit bereitstellen, die Datennachverfolgung mit nur einem Klick zu unterbinden. Durch geschicktes Gegensteuern lässt sich das Ausmass des Datenverlustes aber eindämmen – mögliche Ausgleichsmassnahmen bestehen zum Beispiel in der benutzerfreundlichen und sich harmonisch in das Markenprofil einfügenden Gestaltung des Cookie-Consent-Banners oder dessen Anpassung an die jeweilige Zielgruppe. Solange man sämtliche rechtliche Vorgaben berücksichtigt und sich gleichzeitig an Best-Practice-Beispielen erfolgreicher Unternehmen orientiert, lassen sich analytische Schärfeverluste erfahrungsgemäss auf ein erträgliches Mass reduzieren.
Sie möchten mehr über Cookie Consent erfahren? Gerne beraten wir Sie persönlich.
