Cookie Opt-In Beispiel

Blogbeitrag, geschrieben am 08.12.2020 von Matthias Eger

Im Rahmen der DSGVO gibt es einige neue Punkte zu beachten. Einer dieser Punkte ist der Cooke Opt-In, welcher den Cookie-Consent ablöst. Ich biete Lösungen in Kürze hier im Marketplace an.

Vorab: Ich distanziere mich von rechtlichen Beratungen, da ich diese nicht leisten kann und darf. Ich präsentiere hiermit lediglich einen möglichen technischen Lösungsansatz, mit dem sich ein Cookie-Opt-In beispielhaft realisieren lassen kann.

Die Herausforderung

Bevor eine externe Komponente wie das Nutzertracking, ein Livechat oder externes Kontaktformular eines Drittanbieters aktiviert und genutzt werden darf, muss der Nutzer sein Einverständnis geben. Warum? Weil bei der Kontaktaufnahme mit den Servern des Drittanbieters bereits persönliche Daten übertragen werden, obwohl direkt noch keine Verwendung stattgefunden hat. Im einfachsten Fall ist das die IP-Adresse, die an den Server des Drittanbieters gesendet wird. Ja, auch hier sei wieder erwähnt, dass das bereits beim Besuch einer Webseite stattfindet. Das ist ein anderes Thema und wird gesondert behandelt. Eine Verlinkung wird folgen.

Die mögliche Lösung

Bevor also Aufrufe an die Server von Drittanbietern gesendet werden, muss eine Einwilligung erfolgen. Diese Einwilligung muss der Besucher oder Nutzer einer Applikation selbst vornehmen. Diese Einwilligung muss zudem jederzeit widerrufbar sein. Das heißt, das der Status Quo gespeichert werden muss. Dazu bietet es sich an, die getätigten Opt-Ins in einer Datenbank zu speichern und diese an einer eindeutige ID zu koppeln. Da bereits beim Besuch einer Webseite eine ID (z. B. PHP Session ID oder andere) generiert wird, verwenden wir in diesem Beispiel diese.

Vor der Nutzung einer Applikation, wird der Besucher einer Webseite oder Nutzer eine Applikation zuerst nach seiner Einwilligung zur Speicherung und Verarbeitung personenbezogener Daten gefragt. Vorher etablierte sich eine Opt-Out-Lösung, die allgemein als "Cookie-Consent" bezeichnet wurde. Hier war es lediglich notwendig, den Nutzer auf die Verwendung von Cookies und notwendige Abmelde-Funktionen hinzuweisen. Diese wurden oft in der Datenschutz-Seite auf Homepages untergebracht und waren doch oft ziemlich versteckt.

Die Folge ist, dass nun ein Opt-In notwendig ist. Ohne Opt-In, dürfen personenbezogene Daten nicht erfasst und gespeichert werden.

Zu unterscheiden sind Mechanismen, welche für den Betrieb einer Applikation notwendig sind sowie Funktionen, die personenbezogene Daten gezielt erfassen, um sie beispielsweise im Nachgang auszuwerten. In der gezeigten Eingabemaske werden diese zwei Segmente schlicht durch "Benötigt" und "Optional" getrennt. Die benötigten Funktionen sind notwendig, da die Applikation sonst nicht verwendet werden kann. Beispielsweise werden die hier gesetzten Einstellungen ebenfalls als "notwendige" Cookies gespeichert.

Optionale Funktionen dienen der Verbesserung von Usability oder der zielgerichteten Ausrichtung einer Applikation. Dazu sind Bewegungsdaten wie das Nutzungsverhalten und die Nutzungsintensität interessant. Im Zuge dessen werden keine werblichen Inhalte (auch keine personenbezogene Inhalte, z. B. Name, Geburtstag) an die Nutzer ausgespielt. Personalisierte Inhalte sind möglich, z. B. wenn dazu notwendige Daten pseudonymisiert oder anonymisiert werden können. Die Zuschlüsselung erfolgt dabei über ID's, die an einer Verarbeitungsstelle keinen Rückschluss auf die jeweilige Person (Nutzer) zulassen.

Für die Verarbeitung dieser Daten ist eine Zustimmung des jeweiligen Nutzers notwendig. In diesem Beispiel handelt es sich um Maßnahmen zur Datenerfassung, die für eine inhaltliche Verbesserung der Applikation herangezogen werden. Die vom Nutzer erfassten Daten werden zusätzlich anonym erfasst. Das heißt, dass beispielsweise auch IP-Adressen (z. B. von 192.168.0.100 auf 192.168.XXX.XXX) verschleiert werden.

In diesem Beispiel werden erst nachdem der Nutzer den Haken gesetzt und auf den Button "Aktuelle Einstellung verwenden" geklickt hat, werden die jeweiligen Javascript-Aufrufe geladen und die Verbindungen zu Drittanbietern aufgebaut. Die Verwendung von sogenannten On-Premise-Lösungen kann die Umsetzung im Rahmen der DSGVO vereinfachen. Das Tracking-Werkzeug Matomo beispielsweise, kann auch auf eigenen Servern installiert und in Betrieb genommen werden.

Die gezeigte Eingabemaske wird über einen eigenen Javascript- und CSS-Aufruf geladen. Das Programm kann vollständig auf eigenen Servern gespeichert und betrieben werden. Ein Drittanbieter für den Cookie-Optin-Dialog muss somit nicht eingeschaltet werden. Der Erfassung der Optins erfolgt per Eingabemaske und die Übergabe per Javascript-Aufruf. Dieser speichert die Optins in einer Datenbank, die ebenfalls auf eigenen Servern betrieben werden kann. Dadurch befinden sich alle erfassten Daten in der Hand des Betreibers. Die Verantwortung über diese Daten hat stets der Betreiber.

Wichtig ist zu verstehen, dass für alle Drittanbieter-Funktionen im Idealfall ein Opt-On vorliegen muss. Auch bei eingebundenen Videos, Kontaktformularen oder anderen Inhalten von externen Anbietern, werden unter Umständen personenbezogene Daten übermittelt. Dies darf nur in Zustimmung des Nutzers geschehen. Besteht kein Opt-In, sollte der jeweilige Inhalt nicht geladen werden.

Strategie

Wissen

Visualisierung

Automatisierung

IT-Foundation

Content

E-Commerce

Tracking

Team

Karriere und Jobs

Neuigkeiten

Cookie Opt-In Beispiel

Matthias Eger Design Studio