Cookie Opt-In Beispiel.

Die Herausforderung.

Bevor eine externe Komponente wie Nutzertracking, ein Livechat oder ein externes Kontaktformular eines Drittanbieters aktiviert und genutzt werden darf, muss der Nutzer sein Einverständnis geben. Warum? Weil bei der Kontaktaufnahme mit den Servern des Drittanbieters bereits persönliche Daten übertragen werden, obwohl noch keine eigentliche Verwendung stattgefunden hat. Im einfachsten Fall ist das die IP-Adresse, die an den Server des Drittanbieters gesendet wird.

Die mögliche Lösung.

Bevor Aufrufe an die Server von Drittanbietern gesendet werden, muss eine Einwilligung erfolgen — und zwar durch den Besucher oder Nutzer selbst. Diese Einwilligung muss zudem jederzeit widerrufbar sein. Das heißt: Der Status quo muss gespeichert werden. Dazu bietet es sich an, die getätigten Opt-Ins in einer Datenbank zu speichern und an eine eindeutige ID zu koppeln. Da beim Besuch einer Webseite ohnehin eine ID generiert wird (z. B. die PHP-Session-ID), verwendet dieses Beispiel genau diese.

Vor der Nutzung wird der Besucher zuerst nach seiner Einwilligung zur Speicherung und Verarbeitung personenbezogener Daten gefragt. Vorher hatte sich eine Opt-Out-Lösung etabliert, allgemein als „Cookie-Consent" bezeichnet: Es genügte, auf die Verwendung von Cookies und die Abmelde-Funktionen hinzuweisen — oft versteckt auf der Datenschutz-Seite. Die Folge: Nun ist ein Opt-In notwendig. Ohne Opt-In dürfen personenbezogene Daten nicht erfasst und gespeichert werden.

Benötigt und Optional — zwei Segmente.

Zu unterscheiden sind Mechanismen, die für den Betrieb einer Applikation notwendig sind, und Funktionen, die personenbezogene Daten gezielt erfassen, um sie beispielsweise im Nachgang auszuwerten. In der gezeigten Eingabemaske werden diese zwei Segmente schlicht durch „Benötigt" und „Optional" getrennt. Die benötigten Funktionen sind Pflicht, da die Applikation sonst nicht verwendet werden kann — die hier gesetzten Einstellungen werden zum Beispiel selbst als „notwendige" Cookies gespeichert.

Optionale Funktionen dienen der Verbesserung der Usability oder der zielgerichteten Ausrichtung einer Applikation. Dazu sind Bewegungsdaten wie Nutzungsverhalten und Nutzungsintensität interessant. Werbliche Inhalte werden dabei nicht ausgespielt, auch keine personenbezogenen Inhalte wie Name oder Geburtstag. Personalisierte Inhalte sind möglich, wenn die dazu notwendigen Daten pseudonymisiert oder anonymisiert werden — über IDs, die an einer Verarbeitungsstelle keinen Rückschluss auf die jeweilige Person zulassen.

Für die Verarbeitung dieser Daten ist die Zustimmung des Nutzers notwendig. In diesem Beispiel geht es um Datenerfassung zur inhaltlichen Verbesserung der Applikation. Die Daten werden zusätzlich anonym erfasst — IP-Adressen werden etwa verschleiert (aus 192.168.0.100 wird 192.168.XXX.XXX).

Erst nachdem der Nutzer den Haken gesetzt und auf „Aktuelle Einstellung verwenden" geklickt hat, werden die jeweiligen JavaScript-Aufrufe geladen und die Verbindungen zu Drittanbietern aufgebaut. Sogenannte On-Premise-Lösungen können die Umsetzung im Rahmen der DSGVO vereinfachen: Das Tracking-Werkzeug Matomo etwa lässt sich auch auf eigenen Servern installieren und betreiben.

Alles in der Hand des Betreibers.

Die gezeigte Eingabemaske wird über einen eigenen JavaScript- und CSS-Aufruf geladen. Das Programm kann vollständig auf eigenen Servern gespeichert und betrieben werden — ein Drittanbieter für den Opt-In-Dialog ist nicht nötig. Die Opt-Ins landen per JavaScript-Aufruf in einer Datenbank, die ebenfalls auf eigenen Servern läuft. Dadurch befinden sich alle erfassten Daten in der Hand des Betreibers — und die Verantwortung über diese Daten liegt stets beim Betreiber.

Wichtig ist zu verstehen: Für alle Drittanbieter-Funktionen muss im Idealfall ein Opt-In vorliegen. Auch bei eingebundenen Videos, Kontaktformularen oder anderen Inhalten externer Anbieter werden unter Umständen personenbezogene Daten übermittelt. Das darf nur mit Zustimmung des Nutzers geschehen. Besteht kein Opt-In, sollte der jeweilige Inhalt nicht geladen werden.