Arbeitsbereich

Leitfaden · Europäische Vorschrift

DSGVO für Websites mit Anzeigen, ohne Juristendeutsch erklärt

Wenn Ihre Website Besuche aus Europa erhält und Anzeigen zeigt, gelten für diese Besuche die DSGVO und die Cookie-Regeln, auch wenn das Unternehmen brasilianisch ist. Dieser Leitfaden zeigt, für wen das Gesetz gilt, was eine gültige Einwilligung ist, was ein Fehler kostet und was Google von denen verlangt, die AdSense und Ad Manager nutzen.

Meine Website jetzt prüfenLeitfaden lesen
  • ✓Basiert auf dem offiziellen Text der Verordnung und den Leitlinien des EDSA
  • ✓Praktische Beispiele dafür, was erlaubt ist und was nicht
  • ✓Lesen der Website, ohne etwas zu verändern
6Rechtsgrundlagen für die Verarbeitung personenbezogener Daten
4%des weltweiten Jahresumsatzes, die Obergrenze der höchsten Strafen
2018Jahr, in dem die DSGVO anzuwenden begann
3Regionen in der Einwilligungsrichtlinie von Google: EWR, Vereinigtes Königreich und Schweiz

Was es ist

Das europäische Gesetz, das entscheidet, wie die Daten von Menschen verwendet werden dürfen

Die DSGVO (Datenschutz-Grundverordnung, auf Englisch GDPR) ist die Verordnung (EU) 2016/679. Sie wurde im April 2016 verabschiedet und gilt seit dem 25. Mai 2018 in allen Ländern der Europäischen Union und auch im übrigen Europäischen Wirtschaftsraum (Island, Liechtenstein und Norwegen).

Das Gesetz schützt personenbezogene Daten, also alle Informationen, die mit einer identifizierbaren Person verknüpft sind. Für eine Website umfasst das auch Dinge, die technisch wirken: IP-Adresse, Cookie-Kennungen, Geräte-IDs und den Browserverlauf, der zur Auswahl von Anzeigen genutzt wird.

Wer entscheidet, warum und wie Daten verwendet werden, ist der Verantwortliche. Fast immer ist das der Inhaber der Website. Wer die Daten in seinem Namen verarbeitet, wie ein E-Mail- oder Hosting-Tool, ist der Auftragsverarbeiter. Werbenetzwerke handeln für einen Teil der Nutzung oft als eigenständige Verantwortliche.

Die DSGVO geht Hand in Hand mit der ePrivacy-Richtlinie (2002/58/EG), die sich speziell mit Cookies befasst. In der Praxis lautet die Regel: Cookies zu speichern oder zu lesen, die nicht unbedingt notwendig sind, wie Anzeigen- und Analyse-Cookies, erfordert eine vorherige Einwilligung. Und diese Einwilligung muss dem Maßstab der DSGVO entsprechen.

Checkliste

Was Sie erfüllen müssen

Das sind die Punkte, die das Gesetz, die europäischen Behörden und Google von einer Website mit Werbung verlangen, die Besucher aus dem EWR hat.

  1. Eine von Google zertifizierte CMP verwenden

    Seit dem 16. Januar 2024 verlangen AdSense und Ad Manager eine von Google zertifizierte CMP mit IAB-TCF-Integration, um im EWR personalisierte Anzeigen auszuspielen. Ohne sie darf dieser Traffic nur nicht personalisierte oder eingeschränkte Anzeigen erhalten.

    Beispiel

    Klicken Sie in AdSense in der Seitenleiste auf Datenschutz & Mitteilungen und erstellen Sie die Mitteilung zu europäischen Bestimmungen, oder wählen Sie eine andere CMP aus der Liste von Google.

  2. Holen Sie die Einwilligung vor den Werbe-Cookies ein

    Nicht notwendige Cookies dürfen erst nach einer eindeutigen Handlung des Besuchers gesetzt werden. Laut EDPB gelten vorausgewählte Kästchen, Scrollen oder einfaches Weitersurfen nicht als Einwilligung.

    Beispiel

    Lassen Sie alle Zwecke abgewählt, bis die Person auf eine Option klickt.

  3. Machen Sie Ablehnen und Widerrufen gleich einfach

    Die meisten europäischen Behörden werten ein Banner ohne Ablehnen-Option auf derselben Ebene wie der Akzeptieren-Button als Verstoß. Auch der spätere Widerruf der Einwilligung muss so einfach sein wie die Erteilung.

    Beispiel

    Nutzen Sie die Mitteilung von Google mit 3 Buttons, die auf dem ersten Bildschirm Einwilligen, Nicht einwilligen und Optionen verwalten zeigt, und einen festen Link im Footer, über den die Auswahl wieder geöffnet werden kann.

  4. Senden Sie Consent Mode v2 an die Google-Tags

    Wenn die Website Google Analytics oder Google Ads nutzt, verlangt Google, die Einwilligung der Besucher aus dem EWR einzuholen und die Signale ad_user_data und ad_personalization zu senden. Der Standardbefehl muss vor jedem Tag laufen, der Daten sendet.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. Sagen Sie, wer die Daten erhält

    Die Einwilligungsrichtlinie von Google verlangt, dass die Website jedes Unternehmen nennt, das aufgrund der Google-Produkte Daten erheben oder verwenden kann. Außerdem müssen leicht auffindbare Informationen dazu bereitstehen, wie jedes Unternehmen diese Daten nutzt.

    Beispiel

    Haben Sie in der Datenschutzerklärung einen Abschnitt Werbepartner mit Google und jedem Werbenetzwerk, das auf der Website läuft.

  6. Bewahren Sie den Nachweis der Einwilligung auf

    Nach der DSGVO muss die Website beweisen, dass die Einwilligung erteilt wurde. Die Richtlinie von Google verlangt außerdem, ein Protokoll der erhobenen Einwilligungen aufzubewahren.

    Beispiel

    Prüfen Sie im CMP-Dashboard, ob das Einwilligungsprotokoll aktiv ist und wie lange es aufbewahrt wird.

  7. Sperren Sie die Inhalte nicht für Besucher, die ablehnen

    Die EDPB-Leitlinien besagen, dass der Zugang zum Dienst nicht vom Akzeptieren von Cookies abhängen darf. Eine Website, die alles bis zum Klick auf Akzeptieren verbirgt, erhält keine freiwillige Einwilligung.

    Beispiel

    Wer ablehnt, kann den Artikel weiterlesen und sieht gegebenenfalls nicht personalisierte oder eingeschränkte Anzeigen.

  8. Beantworten Sie Anfragen innerhalb eines Monats

    Wenn ein Besucher Auskunft, Berichtigung oder Löschung seiner Daten verlangt, muss die Antwort grundsätzlich innerhalb eines Monats und kostenlos erfolgen. Bei Zweifeln zu Einzelfällen fragen Sie Ihre Rechtsberatung.

    Beispiel

    Geben Sie in der Datenschutzerklärung eine E-Mail-Adresse nur für Datenschutzanfragen an.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Für personalisierte Google-Anzeigen im EWR muss die CMP auf der Liste von Google stehen, und dies sind die offiziellen Seiten zum Auswählen und Einrichten.

Für wen es gilt

Ihre Website in Brasilien kann auch unter die DSGVO fallen

Das Gesetz schaut nicht nur darauf, wo das Unternehmen sitzt. Es schaut darauf, wo die Personen sind, deren Daten genutzt werden.

Unternehmen in der Europäischen Union

Jedes in der EU niedergelassene Unternehmen unterliegt der DSGVO, egal wo die Daten verarbeitet werden oder wo die Server stehen.

Unternehmen außerhalb Europas

Artikel 3 erfasst alle außerhalb der EU, die Personen in der EU Produkte oder Dienstleistungen anbieten oder ihr Verhalten dort beobachten. Personalisierte Anzeigen und Tracking-Cookies sind ein klares Beispiel für Beobachtung.

Brasilianische Website mit europäischem Publikum

Ein Blog auf Portugiesisch mit Besuchen aus Portugal oder eine englische Website mit Traffic aus Deutschland muss diese Besuche nach den europäischen Regeln behandeln, auch mit brasilianischer Firmennummer und Server in Brasilien.

Vereinigtes Königreich und Schweiz

Haben eigene Gesetze, ähnlich der DSGVO (UK GDPR und das Schweizer Datenschutzgesetz). Für Google folgen die drei Gebiete derselben Einwilligungsrichtlinie.

Rechtsgrundlagen

Die 6 Rechtsgrundlagen des Artikels 6

Jede Verwendung personenbezogener Daten braucht eine Rechtsgrundlage, die vor Beginn gewählt wird. Für Anzeigen-Cookies ist die Grundlage in der Praxis die Einwilligung.

Einwilligung

Die Person stimmt frei und klar zu. Das ist die Grundlage, die für nicht essenzielle Cookies und personalisierte Anzeigen verlangt wird.

Vertrag

Die Daten sind nötig, um einen Vertrag mit der Person zu erfüllen, etwa eine Bestellung zu liefern oder ein Abonnement zu führen.

Rechtliche Verpflichtung

Ein Gesetz verpflichtet, die Daten aufzubewahren oder zu verwenden, wie Rechnungen und Buchhaltungsunterlagen.

Lebenswichtige Interessen

Das Leben der Person oder einer anderen Person schützen. Gilt selten für Inhaltswebsites.

Öffentliches Interesse

Aufgaben im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt. Wird von öffentlichen Stellen genutzt, fast nie von Publishern.

Berechtigtes Interesse

Ein echtes Interesse des Unternehmens, das die Rechte der Person nicht übergeht, wie die Sicherheit der Website. Ersetzt nicht die Einwilligung, die für Anzeigen-Cookies verlangt wird.

Gültige Einwilligung

Freiwillig, spezifisch, informiert und unmissverständlich

Die DSGVO definiert die Einwilligung als freiwillige, spezifische, informierte und unmissverständliche Willensbekundung der Person, abgegeben durch eine Erklärung oder eine eindeutige bestätigende Handlung. Jedes dieser Wörter hat praktische Wirkung auf den Cookie-Banner.

Freiwillig heißt, dass es eine echte Wahl gibt. Die Schaltfläche zum Ablehnen muss so gut sichtbar sein wie die zum Akzeptieren, und Ablehnen darf keinen Nachteil bringen. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) sagen, dass das Sperren des Inhalts, bis die Person Cookies akzeptiert, die sogenannte Cookie-Wall, keine freiwillige Einwilligung ergibt.

Spezifisch und informiert heißt, dass die Person weiß, wofür jede Nutzung dient und wer die Partner sind, die die Daten erhalten. Unmissverständlich heißt, dass es eine klare Handlung gab: Vorausgewählte Kästchen, Schweigen, Weitersurfen oder Scrollen zählen nicht als Einwilligung.

Schließlich verlangt Artikel 7, dass der Widerruf der Einwilligung so einfach ist wie ihre Erteilung. In der Praxis braucht die Website einen dauerhaften Link oder eine Schaltfläche, etwa Cookie-Einstellungen im Footer, die die Optionen jederzeit wieder öffnet. Und der Verantwortliche muss nachweisen können, dass die Person eingewilligt hat, deshalb führt die CMP ein Protokoll jeder Auswahl.

Pflichten der Website

Was eine Website mit Anzeigen für europäische Besucher haben muss

  1. Erfassen, was die Website erhebtListen Sie die Cookies, Tags und Werbepartner auf, die auf jeder Seite laden. Ohne diese Übersicht bleiben Banner und Datenschutzerklärung unvollständig.
  2. Einen Einwilligungsbanner vor den Cookies zeigenNutzen Sie eine CMP, die Anzeigen- und Analyse-Cookies bis zur Auswahl der Person blockiert, mit Schaltflächen zum Akzeptieren und Ablehnen auf gleicher Ebene.
  3. Eine klare Datenschutzerklärung veröffentlichenErklären Sie, wer der Verantwortliche ist, welche Daten genutzt werden, wofür, mit welcher Rechtsgrundlage, wie lange, mit welchen Partnern und wie die Person ihre Rechte ausübt.
  4. Die Rechte der Personen erfüllenHaben Sie einen Kanal für Anträge auf Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch und Widerruf der Einwilligung. Die Antwort muss unverzüglich kommen, in der Regel innerhalb eines Monats.
  5. Dokumentieren und Risiken bewertenFühren Sie ein Verzeichnis der Verarbeitungstätigkeiten. Wenn die Datennutzung ein hohes Risiko darstellt, wie Überwachung in großem Umfang, führen Sie eine Folgenabschätzung (DPIA) durch.
  6. Die Reaktion auf Vorfälle vorbereitenEine Datenpanne mit Risiko für Personen muss der Behörde innerhalb von 72 Stunden gemeldet werden, nachdem das Unternehmen davon Kenntnis erlangt hat.
  7. Prüfen, ob ein Vertreter in der EU nötig istUnternehmen außerhalb der EU, die über Artikel 3 unter die DSGVO fallen, müssen unter Umständen einen Vertreter in der Union benennen. Klären Sie mit der Rechtsabteilung, ob Ihr Fall unter die Ausnahmen fällt.

Durchsetzung und Strafen

Wer kontrolliert und was ein Fehler kostet

Jedes Land hat seine Datenschutzbehörde, wie die CNIL in Frankreich und die CNPD in Portugal. Sie nehmen Beschwerden entgegen, ermitteln und verhängen Sanktionen.

Geldbußen von bis zu 20 Millionen Euro oder 4 %

Für die schwersten Verstöße, wie die Nutzung von Daten ohne Rechtsgrundlage oder die Missachtung der Einwilligung, liegt die Obergrenze bei 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.

Geldbußen von bis zu 10 Millionen Euro oder 2 %

Für Organisationsmängel, wie nicht geführte Verzeichnisse oder nicht durchgeführte Folgenabschätzung, wenn verlangt, liegt die Obergrenze bei 10 Millionen Euro oder 2 % des weltweiten Umsatzes.

Weitere Maßnahmen

Die Behörde kann verwarnen, die Korrektur des Banners anordnen, eine Datenverarbeitung einschränken oder verbieten. Bei einem nur wahrscheinlichen Verstoß kann sie lediglich eine Warnung aussprechen.

Kriterien für die Höhe

Die Geldbuße berücksichtigt Schwere, Dauer, ob Vorsatz oder Fahrlässigkeit vorlag, was zur Schadensminderung getan wurde und wie kooperativ das Unternehmen mit der Behörde war.

Zeitleiste

Die Termine, die eine Website mit Anzeigen am meisten betreffen

Von der Cookie-Regel bis zur Anforderung einer von Google zertifizierten CMP.

  1. 2002

    ePrivacy-Richtlinie

    Schafft die europäischen Regeln für Cookies und elektronische Kommunikation, später verschärft, um vor dem Speichern nicht essenzieller Cookies eine Einwilligung zu verlangen.

  2. 27. April 2016

    DSGVO wird verabschiedet

    Die Verordnung (EU) 2016/679 wird genehmigt, mit einer Frist von zwei Jahren, damit Unternehmen sich anpassen können.

  3. 25. Mai 2018

    DSGVO gilt

    Die Regeln zu Einwilligung, Rechten und Geldbußen werden angewendet. Im selben Monat veröffentlicht Google Aktualisierungen für Publisher und Werbetreibende.

  4. 2020

    Leitlinien 05/2020 des EDSA

    Der europäische Ausschuss konkretisiert die gültige Einwilligung: Cookie-Walls, Scrollen und vorausgewählte Kästchen genügen nicht.

  5. 16. Januar 2024

    Zertifizierte CMP bei Google

    Für personalisierte Anzeigen im EWR und im Vereinigten Königreich verlangen AdSense, Ad Manager und AdMob eine von Google zertifizierte, in das TCF integrierte CMP.

  6. 31. Juli 2024

    Schweiz kommt in die Regel

    Die Anforderung einer zertifizierten CMP mit TCF gilt nun auch für Besucher aus der Schweiz.

AdSense und Ad Manager

Was Google von denen verlangt, die europäische Besucher haben

Die Richtlinie zur Einwilligung von Nutzern in der EU von Google gilt für den EWR, das Vereinigte Königreich und die Schweiz. Sie verlangt eine rechtlich gültige Einwilligung für Cookies, wo das Gesetz es fordert, eine Einwilligung zur Nutzung von Daten in personalisierten Anzeigen, die Nennung aller Partner, die Daten erhalten, das Protokollieren der Auswahl und klare Anleitungen zum Widerruf der Einwilligung.

Seit dem 16. Januar 2024 braucht die Website, um in diesen Regionen personalisierte Anzeigen zu erhalten, eine von Google zertifizierte, in das TCF von IAB Europe integrierte CMP. Die Datenschutzmeldung von AdSense und Ad Manager selbst ist eine der zertifizierten Optionen.

Ohne zertifizierte CMP kann der europäische Traffic nur nicht personalisierte oder eingeschränkte Anzeigen erhalten, die weniger einbringen. Im AdSense-Dashboard erscheint das als eingeschränkte Anzeigenpersonalisierung im EWR, im Vereinigten Königreich und in der Schweiz. Wenn die Website auch Google Analytics oder Google Ads nutzt, trägt der Consent Mode die Auswahl des Banners zu diesen Tags.

Google kann die Nutzung der Produkte einschränken oder aussetzen, wenn die Richtlinie nicht eingehalten wird. Deshalb ist der richtige Banner zugleich eine rechtliche Frage und eine Umsatzfrage.

In der Praxis

Was bei Banner und Cookies erlaubt ist und was nicht

Echte Beispiele für Konfigurationen, die auf Websites mit Anzeigen vorkommen.

Erlaubt

  • Schaltflächen Alle akzeptieren und Alle ablehnen nebeneinander, gleich groß und gleich hervorgehoben
  • Essenzielle Cookies, wie Warenkorb oder Login, ohne Einwilligung laden
  • Die TCF-Meldung nur Besuchern aus dem EWR, dem Vereinigten Königreich und der Schweiz zeigen
  • Einen Link Cookie-Einstellungen im Footer, der die Optionen jederzeit wieder öffnet
  • Die Werbepartner auf der zweiten Ebene des Banners auflisten, mit dem Zweck jedes einzelnen
  • Nicht personalisierte Anzeigen für alle anbieten, die ablehnen

Nicht erlaubt

  • Anzeigen-Cookies speichern, bevor die Person den Banner beantwortet hat
  • Das Ablehnen auf einem anderen Bildschirm verstecken, während das Akzeptieren hervorgehoben ist
  • Die Kästchen für Zwecke schon angekreuzt lassen
  • Scrollen oder Weitersurfen als Einwilligung behandeln
  • Den gesamten Inhalt sperren, bis die Person Cookies akzeptiert
  • Ein gewöhnliches Cookie-Plugin ohne Google-Zertifizierung für personalisierte Anzeigen nutzen

Häufige Fehler

Fehler, die auf brasilianischen Websites mit europäischem Traffic am häufigsten vorkommen

Fast alle bleiben unbemerkt, weil die Website weiter funktioniert und die Anzeigen weiter erscheinen.

Annehmen, dass das Gesetz für Brasilien nicht gilt

Das Unternehmen ist brasilianisch, aber der Besucher ist in Portugal. Für diesen Besucher gelten die europäischen Regeln und die Richtlinie von Google.

Banner, der nur informiert

Eine Leiste mit dem Text Diese Website verwendet Cookies und einer Schaltfläche OK holt keine Einwilligung ein. Die Cookies wurden schon vor dem Klick gespeichert.

Tags laden vor der Auswahl

Der Anzeigencode oder Analytics steht oben auf der Seite, über der CMP. Die Cookies werden in den ersten Sekunden ohne Einwilligung gespeichert.

Allgemeine Datenschutzerklärung

Text von einer anderen Website kopiert, ohne Google, die Werbepartner, die Rechtsgrundlagen und den Widerruf der Einwilligung zu nennen.

Kein Weg, die Meinung zu ändern

Nach dem ersten Klick findet der Besucher den Banner nicht mehr. Die Einwilligung zu widerrufen wird schwieriger, als sie zu erteilen.

Europäische Meldung für die ganze Welt

Besuchern aus Brasilien oder den Vereinigten Staaten das TCF zu zeigen, ist nicht verlangt und senkt ohne Not den Umsatz dieser Besucher.

In ConsentMode

Was die Prüfung zur DSGVO auf Ihrer Website kontrolliert

  • Öffnet die Website als Besucher aus Europa und als Besucher von außerhalb und zeigt im Screenshot, wo der Banner erscheint und wo nicht.
  • Prüft, ob Anzeigen- oder Analyse-Cookies vor jedem Klick im Banner gespeichert werden.
  • Erkennt die CMP, liest den TCF-String und prüft, ob sie auf der Liste der von Google zertifizierten CMPs steht.
  • Prüft, ob die Schaltfläche zum Ablehnen auf der ersten Ebene liegt und ob es einen Link gibt, um die Einstellungen wieder zu öffnen.
  • Liest die Datenschutzerklärung und weist darauf hin, was fehlt: Google, Werbepartner, Cookies und Widerruf der Einwilligung.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zur DSGVO

Meine Website ist brasilianisch und auf Portugiesisch. Gilt die DSGVO für mich?

Sie gilt für die Besuche aus Europa, wenn Sie bei diesen Besuchern Anzeigen- oder Tracking-Cookies nutzen. Für das Publikum in Brasilien gilt die LGPD. Deshalb nutzt die richtige Konfiguration Regionen: europäische Regeln für Europäer, lokale Regeln für den Rest.

Brauche ich eine Einwilligung für Google Analytics?

In Europa gelten Analyse-Cookies nicht als unbedingt notwendig, sie erfordern daher in der Regel eine vorherige Einwilligung. Der Consent Mode hilft, diese Auswahl zu respektieren, ohne die gesamte Messung zu verlieren.

Kann ich das berechtigte Interesse für personalisierte Anzeigen nutzen?

Zum Speichern und Lesen von Anzeigen-Cookies verlangt die europäische Cookie-Regel eine Einwilligung. Außerdem verlangt Google für personalisierte Anzeigen im EWR, im Vereinigten Königreich und in der Schweiz eine Einwilligung. In der Praxis ist die Einwilligung der sichere Weg.

Ist eine Cookie-Wall verboten?

Die Leitlinien des EDSA sagen, dass die Bindung des Zugangs zum Inhalt an die Annahme von Cookies keine freiwillige Einwilligung ergibt. Manche Länder diskutieren alternative Modelle, etwa zu bezahlen, um ohne Anzeigen zu surfen, aber das erfordert eine juristische Prüfung im Einzelfall.

Wie lange gilt eine Einwilligung?

Die DSGVO legt keine einheitliche Frist fest. Viele Behörden empfehlen, nach einigen Monaten erneut zu fragen, und auch das TCF von IAB Europe hat eigene Regeln. Prüfen Sie die Leitlinien des Landes Ihres Publikums und die Ihrer CMP.

Ersetzt ConsentMode eine Anwältin, einen Anwalt oder eine CMP?

Nein. ConsentMode ist eine schreibgeschützte Prüfung. Es zeigt, was die Website für jede Art von Besucher tut, mit Screenshots und einem Korrekturplan. Die juristische Entscheidung und der Banner bleiben bei Ihrem Team und Ihrer CMP.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, was europäische Besucher auf Ihrer Website sehen

Die Prüfung öffnet die Website als Besucher aus Europa, kontrolliert Banner, Cookies und TCF und zeigt genau, was zu beheben ist.

Audit starten