Online-Marketing bietet Unternehmen vielfältige Möglichkeiten zur gezielten Kundenansprache. Gleichzeitig stellt der Datenschutz hohe Anforderungen an den Einsatz von Cookies, Tracking-Tools und Analyse-Instrumenten. Dieser Beitrag zeigt, welche datenschutzrechtlichen Vorgaben beim Online-Marketing zu beachten sind.
Was ist Online-Marketing und warum ist es wichtig?
Online Marketing umfasst alle digitalen Marketingaktivitäten im Internet. Unter den Begriff fallen unter anderem:
- Social Media Marketing
- Influencer Marketing
- Suchmaschinenmarketing
- Affiliate-Marketing
Digitales Marketing ist besonders erfolgversprechend, weil es sich häufig um personalisierte Werbung handelt. Die Werbung erreicht nur ausgewählte Nutzergruppen, was entsprechend konkrete Angaben über den jeweiligen Nutzer voraussetzt.
Diese Angaben werden mithilfe von verschiedenen Tools auf unterschiedlichen Wegen gesammelt und analysiert. Der Erfolg von digitalem Marketing lässt sich genauer bestimmen als der Erfolg von Offline-Werbung. Über entsprechende Tools können Unternehmen auswerten, wie Nutzer auf eine bestimmte Werbung reagiert haben, und die Werbestrategie entsprechend anpassen.
Welche Rolle spielen Drittlandtransfers beim Online-Marketing?
Für die statistische Erfassung und Auswertung von Webseitennutzern, Reichweitenmessungen oder die Platzierung von personalisierter Werbung benötigt man entsprechende Tools und Plugins. Große Anbieter wie Google oder Meta haben ihre Server meist in den USA. Wer die gängigen Analyse-Tools nutzt, übermittelt personenbezogene Daten wie die Geräte-ID, die IP-Adresse und Informationen zum Surfverhalten von Nutzern auf direktem Weg in die USA.
Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework (DPF) ein Angemessenheitsbeschluss der EU-Kommission für die USA. Datenübermittlungen an US-Unternehmen, die unter dem DPF zertifiziert sind, können auf dieser Grundlage erfolgen. Allerdings sind nicht alle US-Anbieter zertifiziert. Für Transfers an nicht-zertifizierte Unternehmen müssen Datenexporteure weiterhin auf andere Garantien wie Binding Corporate Rules oder Standardvertragsklauseln (sog. SCCs) zurückgreifen. In diesem Fall bleibt auch die Pflicht bestehen, nach Klausel 14 der SCCs eine Datentransfer-Folgenabschätzung (Transfer Impact Assessment – TIA) vorzunehmen.
Unternehmen sollten daher bei jedem eingesetzten Online-Marketing-Tool prüfen, ob der jeweilige Anbieter unter dem DPF zertifiziert ist. Ist das nicht der Fall, muss der Exporteur sich vergewissern, dass sein Vertragspartner in der Lage ist, die Pflichten aus den SCCs zu erfüllen. Unternehmen müssen das TIA dokumentieren, um es der zuständigen Aufsichtsbehörde im Zweifel vorlegen zu können. Im Gegensatz zum klassischen Offline-Marketing bringt Online-Marketing also eine erhebliche datenschutzrechtliche Verantwortung mit sich.
Was ändert das TDDDG für das Online-Marketing?
Neben der DSGVO muss auch das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) beim Online-Marketing beachtet werden. Das TDDDG hat seit Mai 2024 das bisherige TTDSG abgelöst und ist immer dann einschlägig, wenn es um das Auslesen oder die Speicherung von Informationen auf Endgeräten mit Internetanschluss (z.B. Handys, Tablets oder PCs) geht. Da das TDDDG keinen Personenbezug voraussetzt, geht es über den Anwendungsbereich der DSGVO hinaus.
Die Schutzgüter der Gesetze sind unterschiedlich. Während die DSGVO die informationelle Selbstbestimmung schützt, dreht sich beim TDDDG alles um die Gewährleistung der Privatsphäre. Hinzu kommt, dass die Legitimationsmöglichkeiten der Gesetze voneinander abweichen. Eine rechtmäßige Datenverarbeitung im Sinne der DSGVO muss nicht zwangsläufig eine zulässige Datenverarbeitung nach § 25 TDDDG sein.
Wie funktioniert die 2-Stufen-Prüfung beim Datenschutz im Online-Marketing?
Wer Online-Marketing betreibt, sollte nicht nur die DSGVO, sondern auch das TDDDG im Blick haben. Unternehmen sollten prüfen, ob sie personenbezogene Daten nach der DSGVO verarbeiten und ob personenbezogene oder nicht-personenbezogene Daten beim Zugriff auf ein Endgerät abgegriffen oder gespeichert werden.
Wenn die Datenverarbeitung den Anwendungsbereich der DSGVO und des TDDDG berührt, sollte eine 2-Stufen-Prüfung vorgenommen werden. Unternehmen müssen zunächst prüfen, ob eine Einwilligungspflicht oder Einwilligungsfreiheit nach dem TDDDG vorliegt. Anschließend sollten sie sicherstellen, dass eine rechtmäßige Verarbeitung von personenbezogenen Daten im Sinne der DSGVO erfolgt.
Für die Verwendung von Tracking-Technologien und Cookies wird man häufig zwei Einwilligungen einholen müssen. Eine Bündelung der Einwilligungen ist möglich. Wichtig ist, dass dem Nutzer klar ist, dass er durch das einmalige Betätigen einer Schaltfläche mehrere Einwilligungen abgibt. Die Wirksamkeit der Einwilligung aus § 25 Abs. 1 S. 1 TDDDG richtet sich nach denselben Maßstäben wie die Einwilligung aus Art. 6 Abs. 1 lit. a DSGVO. Grundsätzlich ist es auch denkbar, die Verarbeitung von Daten über das individuelle Verhalten von Nutzern im Einzelfall auf vertragliche Verpflichtungen nach Art. 6 Abs. 1 lit. b DSGVO oder auf überwiegende berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO zu stützen.
Welche Datenschutz-Pflichten gelten beim Social Media Marketing?
Social Media Marketing ist ein fester Bestandteil des Online-Marketings. Unternehmen können auf ihre Accounts auf Plattformen wie Facebook, Instagram, LinkedIn oder TikTok kaum verzichten. Die Zielgruppenanalyse übernehmen die Anbieter der Plattformen meist selbst, und nur ein Bruchteil der Informationen gelangt an die Betreiber des Social Media Accounts.
Die datenschutzrechtlichen Pflichten treffen den Account-Betreiber und den Anbieter der Social Media Plattform gemeinsam. Sie sind nach Art. 26 DSGVO gemeinsam Verantwortliche. Wer einen Unternehmensaccount auf den gängigen Social Media Plattformen betreibt, unterliegt Informationspflichten und sollte auf seinem Account unbedingt auf eine Datenschutzerklärung und ein Impressum verweisen.
Welche Rolle spielen Cookies beim Affiliate Marketing?
Mit Affiliate Marketing ist die Zusammenarbeit eines Webseitenbetreibers mit einem Unternehmen gemeint. Das Unternehmen nutzt Werbemöglichkeiten auf der Webseite und zahlt an den Betreiber eine Provision, wenn ein Nutzer auf die Anzeige klickt oder einen Kauf abschließt. Das Konzept basiert auf der Analyse des Nutzerverhaltens.
Um die Provision berechnen zu können, muss erfasst werden, über welche Webseite der Nutzer den jeweiligen Onlineshop besucht und was er kauft. Die Datenerhebung erfolgt regelmäßig über Cookies. Dabei handelt es sich nicht um Cookies, die technisch notwendig sind, um den Grundbetrieb einer Webseite zu gewährleisten. Beim Affiliate Marketing werden Cookies genutzt, die Nutzer umfassend tracken und als Instrumente zur Umsatzsteigerung fungieren. Auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und einen entsprechenden Cookie-Banner dürfen Unternehmen somit nicht verzichten.
Wie sollte die Website hinsichtlich Datenschutz und Cookies gestaltet werden?
Der Einsatz von Online-Marketing-Tools wirkt sich auf die Gestaltung der Website aus. Die Datenschutzerklärung sollte umfassende Angaben zu den verwendeten Tracking- und Analyse-Tools enthalten. Unternehmen müssen Besucher auf ihrer Website darüber informieren, welche Daten zu welchem Zweck erhoben und gegebenenfalls weitergegeben werden. Da Unternehmen den Einsatz der Tools in der Regel auf Einwilligungen stützen müssen, darf der Hinweis auf das Widerrufsrecht nicht fehlen. Wenn Unternehmen Social Media Accounts haben, können die individuellen Datenschutzhinweise ebenfalls in die Datenschutzerklärung auf der Website eingebunden werden. Wichtig ist, dass die Gestaltung im Sinne von Art. 12 DSGVO präzise, transparent und verständlich erfolgt.
Ein Cookie-Banner ist ebenfalls unerlässlich. Dabei sollten Betreiber von Websites genau hinschauen, denn die Consent Tools müssen bestimmte Voraussetzungen erfüllen:
- Der „Ablehnen“-Button muss gleichwertig neben dem „Zustimmen“-Button platziert sein
- Die Einwilligung muss freiwillig, informiert und unmissverständlich sein
- Vorausgewählte Checkboxen sind unzulässig
- Die Datenschutzkonferenz (DSK), das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, hat sich in ihrer Orientierungshilfe für Anbieter digitaler Dienste ausdrücklich für einen „Ablehnen“-Button neben dem „Zustimmen“-Button in Cookie-Bannern ausgesprochen.
Datenschutz ist im Online-Marketing unverzichtbar
Der Erfolg des Online-Marketings basiert zu einem großen Teil auf der Erfassung und Auswertung von Nutzerdaten. Mit der Verwendung von entsprechenden Analyse- und Tracking-Tools sowie Cookies kommt eine erhebliche datenschutzrechtliche Verantwortung, die Unternehmen in keinem Fall unterschätzen sollten.
Unternehmen, die Online-Marketing betreiben, müssen die Vorgaben der DSGVO und des TDDDG gleichermaßen berücksichtigen – von der Rechtsgrundlage über die Datenschutzerklärung bis hin zum Cookie-Banner. Eine frühzeitige Auseinandersetzung mit den datenschutzrechtlichen Anforderungen ist daher essenziell.
Guten Tag,
Sie schreiben zutreffend zum Social Media Marketing :
„Wer einen Unternehmensaccount auf den gängigen Social Media Plattformen betreibt, unterliegt somit Informationspflichten und sollte auf seinem Account unbedingt auf eine Datenschutzerklärung und ein Impressum verweisen.“
Dazu wäre zu ergänzen, dass vorgenannte Pflichten nicht nur Unternehmen, sondern auch deren angestellte Mitarbeiter spiegelbildlich treffen, wenn und soweit sich diese auf ihren privaten (!) Social Media Accounts als Markenbotschafter ihres Unternehmens betätigen.
Ein Aspekt, der bislang in der Praxis – mangels Rechtsprechung (?) – kaum berücksichtigt wird. Im Hinblick auf die für die Beteiligten gegebenen Risiken sollte dies Bestandteil jeden strategischen Social Media Marketings sein. Denn aus rechtlicher Perspektive sind Mitarbeiter als Markenbotschafter auch „Influencer“ im Sinne der für diese geltenden Vorschriften (für „typische“ Influencer existiert umfängliche Rechtsprechung).
Da haben Sie natürlich recht. Mitarbeiter werden häufig als Repräsentanten des Unternehmens wahrgenommen. Es ist in diesem Zusammenhang hilfreich, wenn Unternehmen sog. Social Media Guidelines (konkrete Handlungsempfehlungen zum Verhalten in sozialen Medien) festlegen. Nähere Informationen dazu finden Sie in diesem Artikel: Social Media Guidelines.
Dankeschön für den Link und den – wie ich finde – gelungenen Artikel zu den SMG.