Ich bin kein Jurist, und dieser Artikel stellt keine Rechtsberatung dar. Ich bin Marketer und muss Kampagnen so gestalten, dass ihre Datenflüsse einem Kunden, einem Nutzer und einer für den Datenschutz verantwortlichen Person erklärt werden können. Wenn eine Situation strittig ist, sensible Daten oder umfangreiches Profiling betrifft oder ein hohes Risiko für Menschen besteht, ziehen Sie einen Juristen oder Datenschutzbeauftragten hinzu.
Das größte Missverständnis besteht darin, dass DSGVO gleichbedeutend mit Einwilligung sei. Die Einwilligung ist nur eine von mehreren Rechtsgrundlagen. Für jeden Zweck frage ich zuerst: Was genau tun wir, mit welchen Daten, warum, wie lange, an wen geben wir sie weiter und was kann eine Person vernünftigerweise erwarten?
Fünf Schritte vor jeder Marketingfunktion
- Zweck: Bearbeiten einer Anfrage, Versand eines Newsletters, Messung des Traffics und Remarketing getrennt behandeln.
- Daten: nur erheben, was der Zweck erfordert.
- Regel: die Rechtsgrundlage der DSGVO und die besondere Regel für den jeweiligen Kanal bestimmen, etwa für kommerzielle Kommunikation oder Cookies.
- Information: der Person klar mitteilen, wer was warum und an wen übermittelt, wie lange die Daten gespeichert werden und welche Rechte sie hat.
- Abläufe: Nachweise, Sicherheit, Löschung, Widerspruch, Widerruf und Dienstleisterverwaltung einrichten.
Die grundlegenden Prinzipien und Rechtsgrundlagen finden sich in den Artikeln 5 und 6 der Datenschutz-Grundverordnung. Dazu gehören Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit.
Einwilligung muss eine echte Wahl sein
Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Ein vorausgefülltes Kästchen oder Schweigen reicht nicht aus. Vermischen Sie nicht verschiedene Zwecke in einem vagen Satz, und der Widerruf darf nicht schwieriger sein als die Erteilung der Einwilligung. Der Europäische Datenschutzausschuss erläutert die Bedingungen und Beispiele in seinen Leitlinien 05/2020 zur Einwilligung.
Bei einem Formular sollten Sie den Wortlaut der Einwilligung, den Zeitpunkt, die Quelle und die Version dokumentieren. Double-Opt-in hilft dabei, eine Adresse zu verifizieren und die Anmeldung zu dokumentieren, repariert jedoch keine vage oder erzwungene Einwilligung.
Kommerzielle Kommunikation in Tschechien
Für E-Mail- und SMS-Regeln gilt nicht allein die DSGVO. Nach den aktuellen FAQ der tschechischen Datenschutzbehörde zum Gesetz Nr. 480/2004 Slg. dürfen kommerzielle Mitteilungen mit vorheriger Einwilligung oder unter der Kundenausnahme für eigene ähnliche Produkte und Dienstleistungen des Absenders versendet werden, sofern der Kunde bei der Erhebung der Adresse und in jeder Nachricht eine klare und kostenlose Möglichkeit zur Ablehnung hatte. Eine öffentlich zugängliche Adresse ist keine automatische Einladung zum Versand von E-Mails.
In der Praxis sollten Sie unterscheiden:
- eine für eine Bestellung oder Dienstleistung notwendige Servicenachricht,
- kommerzielle Kommunikation an einen Kunden im Rahmen der gesetzlichen Ausnahme,
- einen Newsletter oder eine andere auf Einwilligung basierende Marketingkommunikation.
Jede Nachricht muss in Inhalt, Empfänger und Abmeldemöglichkeit zu ihrer Kategorie passen. Die technische Seite erläutere ich im Artikel zum E-Mail-Marketing.
Cookies und Messskripte
In Tschechien gilt für nichttechnische Cookies seit 2022 ein Opt-in. Die tschechische Datenschutzbehörde erklärt, dass nichttechnische Cookies ohne aktive Einwilligung deaktiviert bleiben müssen, während für den Dienst notwendige technische Cookies keine Einwilligung benötigen. Akzeptieren und Ablehnen müssen gleich einfach und auf derselben Ebene möglich sein; siehe die offiziellen Fragen und Antworten zu Cookies.
Ordnen Sie Tools nach ihrer tatsächlichen Funktion ein, nicht nach dem Namen des Dienstleisters:
- für den angeforderten Dienst erforderlich,
- Analyse,
- Personalisierung,
- Werbung und Remarketing.
Ein Einwilligungsbanner ist erst fertig, wenn es die relevanten Skripte technisch blockiert, die Auswahl weitergibt und eine spätere Änderung ermöglicht. Prüfen Sie die Implementierung im Browser vor der Einwilligung, nach der Ablehnung und nach der Zustimmung. Tools über Google Tag Manager müssen dieselbe Auswahl respektieren; der Container selbst macht die Verarbeitung nicht rechtmäßig.
Lead-Magneten, Webinare und Formulare
Wenn jemand ein E-Book oder eine Webinar-Registrierung anfordert, benötigen Sie die Daten, um den versprochenen Inhalt bereitzustellen. Ein weiterer Newsletter ist ein separater Zweck, sofern er nicht wesentlicher Bestandteil der Dienstleistung ist. Beschreiben Sie ihn separat und bieten Sie eine echte Wahlmöglichkeit. Erheben Sie keine Telefonnummer, Berufsbezeichnung oder Unternehmensgröße nur deshalb, weil ein Marketingtool diese Felder anbietet.
Geben Sie dem Formular einen kurzen Hinweis und einen Link zur vollständigen Richtlinie. Eine Webinaraufzeichnung kann Namen, Stimmen, Bilder oder Chatbeiträge erfassen; informieren Sie die Teilnehmer vorher und legen Sie Zugriffs- und Aufbewahrungsfristen fest. Die praktische Webinarproduktion beschreibe ich im WebinarJam-Leitfaden.
Zielgruppen, Remarketing und Datenweitergabe
Eine Custom Audience oder Conversion API ist nicht bloß der technische Upload einer Liste. Erfassen Sie Datenquelle, Zweck, Rechtsgrundlage, Transparenz, die Rollen der Parteien, Übermittlungen außerhalb der EU und die Aufbewahrungsfrist. Verwenden Sie die aktuellen Vertragsbedingungen und Dokumentationen der Plattform. Eine gehashte E-Mail bleibt personenbezogenes Datum, wenn sie einer Person zugeordnet werden kann.
Verwenden Sie keine besonderen Kategorien personenbezogener Daten oder abgeleitete Vulnerabilitäten ohne fachkundige Prüfung. Bei umfangreichem Tracking oder Profiling sollten Sie prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
Dienstleister und interne Zugriffe
Listen Sie jedes System auf, das Daten erhält: Formulare, CRM, E-Mail-Dienst, Hosting, Analytics, Chat, Werbeplattform und Backups. Definieren Sie für jedes System Rolle, Vertrag, Datenstandort, Unterauftragsverarbeiter, Sicherheit, Aufbewahrungseinstellungen und Offboarding-Verfahren. Gewähren Sie Zugriff entsprechend der Aufgabe, nicht automatisch an die gesamte Agentur.
Rechte, Löschung und Backups
Ein Unternehmen muss die Daten einer Person systemübergreifend finden und gegebenenfalls Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Übertragbarkeit bearbeiten können. Löschung bedeutet nicht, jedes Backup blind umzuschreiben. Nutzen Sie ein Aufbewahrungskonzept, bei dem ein Backup normalerweise nicht verwendet wird, mit der Zeit abläuft und bei einer Wiederherstellung dokumentierte Anfragen erneut angewendet werden.
Eine abgemeldete Adresse muss möglicherweise auf einer begrenzten Sperrliste verbleiben, damit sie nicht erneut zu einem Versand hinzugefügt wird. Speichern Sie dafür nur das erforderliche Minimum und beschränken Sie den Zugriff.
Checkliste
- Hat jeder Zweck eine eigene Beschreibung und Rechtsgrundlage?
- Ist die besondere Regel für E-Mail, Cookies oder Werbung erfüllt?
- Erheben wir nur notwendige Daten und haben wir eine Aufbewahrungsfrist festgelegt?
- Sind die Informationen zum Zeitpunkt der Erhebung klar?
- Können wir die Einwilligung dokumentieren und ebenso einfach widerrufen?
- Werden Skripte vor einer Auswahl tatsächlich blockiert?
- Haben wir Verträge, Zugriffskontrollen und eine Dienstleisterliste?
- Können wir Anfragen zu Rechten und einen Sicherheitsvorfall bearbeiten?
Verstecken Sie die DSGVO nicht im Footer. Eine gute Konfiguration beseitigt das Datenchaos, verbessert das Marketing und erleichtert den Wechsel von Dienstleistern. Für ein technisches und Marketing-Audit nutzen Sie die Kontaktseite; ein qualifizierter Jurist oder Datenschutzbeauftragter muss die rechtliche Schlussfolgerung in einem komplexen Fall bestätigen.