Usercentrics Consent Management Platform & Cookie Banner

Es ist wichtig, die Einwilligung des Website-Besuchers auf Seiten des Servers, sowie auf Seiten des Kunden zu speichern. Dies resultiert aus der Dokumentationspflicht und der Nachweispflicht bezüglich der Einwilligung. Die Einwilligungsdaten werden nach Möglichkeit auf Servern in der EU gespeichert. Das CMP sollte auch in der Lage sein, das Bereitstellen von Einwilligungsdaten vor Ort anzubieten.

Dem Benutzer sollte zunächst sowohl die Möglichkeit der Zustimmung als auch der Ablehnung gegeben werden. Ein Cookie-Banner, das dem Nutzer keine andere Wahl lässt, als zuzustimmen, erfüllt die Anforderungen an eine freiwillig erteilte Zustimmung nicht und ist somit nicht DSGVO-konform.

Es sollte möglich sein, die zustimmungspflichtigen Technologien erst nach einem gültigen Opt-in zu laden.

Nach dem Opt-out sollten die Technologien nicht mehr geladen werden, nicht einmal das Opt-out selbst. Die Übermittlung des Nutzers an eine externe Website eines Drittanbieters zur Abmeldung ist nicht sinnvoll und stellt keine einfache Abmeldung dar.

Der CMP sollte auch Huckepack-Konstellationen erkennen und abdecken.

Dies sind Cookies, die automatisch Daten an andere verknüpfte Cookies übertragen, welche nicht auf der Website selbst sind. Hierbei handelt es sich z.B. um Affiliate-Cookies, die teilweise neu geladen werden.

Der CMP sollte anbieten, die Benutzeroberfläche anzupassen zu können. Denn nur so kann sichergestellt werden, dass sich die Website-Besucher nicht durch Cookie-Popups und Banner irritiert und verärgert fühlen. Das könnte dazu führen, dass die aufwendig gestalteten CI- und UI/UX-Aufwendungen vereitelt würden.

Die Zustimmungspflicht sollte nicht nur für Cookies, sondern auch für andere Web-Technologien wie Plug-Ins und integrierte Inhalte (z.B. eingebettete YouTube-Videos, Google-Schriften) gelten.

Die Verpflichtung zur Einholung der Zustimmung kann sich aus Faktoren ergeben, die beispielsweise eine Datenübermittlung in ein Drittland wie die USA zur Folge haben. In jedem Fall unterliegen sie der Informationspflicht nach Art. 13 DSGVO.

Damit der CMP nicht zum nächsten "Daten-Oktopus" wird, sollten die Kundendaten während der Verarbeitung separat gespeichert werden.

Dies kann dadurch erfolgen, dass die Daten des Benutzers weder verfolgt noch verlinkt werden. Das heißt: wenn der identische Benutzer auf einer Website seine Zustimmung gibt, sollte der CMP standardmäßig nicht dazu in der Lage sein, diese Zustimmung als Zustimmung für eine andere Website zu verwenden.

Diese Profilerstellung bedarf gemäß Art. 21 DSGVO ihrerseits einer Zustimmung.

Das „iab Transparency“ and „Consent Framework“ ist die erste Möglichkeit, eine Zustimmung global zu übertragen. Der gewählte CMP sollte den iab-Standard unterstützen, da in Zukunft personalisierte Werbung nur noch mit ConsentID in der Angebotsanfrage gesteuert wird.

Die CMP-Software sollte agnostisch entwickelt werden. Das bedeutet, dass sie mit jedem Cookie-Management und Webseiten-System kompatibel ist. 

Da der Verantwortliche der Informationspflicht nachkommen muss, ist es sinnvoll, die rechtlich relevanten Texte der Web-Technologien (automatisch) in die allgemeine Datenschutzerklärung integrieren zu können, z.B. durch einen iFrame.

Es ist sehr wichtig, die Richtlinien für das Laden von Cookies kontrollieren und ändern zu können. In einigen Fällen kann es sein, dass ein Unternehmen eine „sanfte“ Einstellung vornehmen möchte – z.B. um bestimmte Technologien wie reine Webanalysecookies ohne Zustimmung zu laden. Wenn ein Urteil einer Datenbehörde dies jedoch verbietet, muss ein schneller Wechsel zu einer Null-Cookielast-Einstellung möglich sein.

Der alleinige Geschäftszweck des Dienstleisters sollte darin bestehen, die jeweilige Zustimmung einzuholen, damit sich die Nutzung des CMP auf Art. 6c DSGVO stützen kann. Verfolgt ein Anbieter darüber hinaus weitere Geschäftszwecke, kann davon ausgegangen werden, dass die Einwilligungsdaten ebenso für diese Geschäftszwecke verwendet werden. Daher wird entweder eine Eigenentwicklung mit einem separaten neutralen Unternehmen oder ein externer Anbieter mit Privacy-by-Design empfohlen.

Das Prinzip der Konkretheit kann als Voraussetzung für eine granulare Zustimmung zu bestimmten auf der Webseite verwendeten Technologien ausgelegt werden. Außerdem sollte aus dem Prinzip des Minimalismus heraus eine Zustimmung nur für eine Technologie eingeholt werden, die tatsächlich auf der Website verwendet wird. Die Zustimmung zu einer vollständigen Liste von über 350 Anbietern, wie sie die iab-Lösung vorschreibt, ist schwer zu rechtfertigen.