Consent-konformes Werbetracking: Was ohne Einwilligung erlaubt ist

Die Rechtslage im digitalen Werbetracking ist komplexer, als Bannerlösungen vermuten lassen. Zwei Ebenen greifen ineinander: der Zugriff auf Informationen im Endgerät und die anschließende Verarbeitung personenbezogener Daten.

Hinweis: redaktionelle Einordnung, keine Rechtsberatung. Für die konkrete Umsetzung ziehen Sie bitte fachkundigen Rat hinzu.

Zwei Ebenen, zwei Prüfungen

Ebene 1 – Zugriff auf das Endgerät. Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf sind nach § 25 TDDDG grundsätzlich einwilligungspflichtig. Ausgenommen sind Vorgänge, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Das betrifft Cookies genauso wie vergleichbare Techniken – etwa Local Storage oder Device Fingerprinting.

Ebene 2 – Verarbeitung personenbezogener Daten. Erst danach stellt sich die Frage nach der Rechtsgrundlage nach DSGVO. Eine Einwilligung auf Ebene 1 ersetzt nicht automatisch die Prüfung auf Ebene 2 – und umgekehrt.

Die praktische Konsequenz: Werbetracking mit Wiedererkennung braucht in aller Regel eine Einwilligung. Der Versuch, es über berechtigtes Interesse zu begründen, trägt bei Zugriff auf das Endgerät nicht.

Was ohne Einwilligung möglich ist

Auch ohne Consent ist Werbung nicht unmöglich – sie ist nur anders:

• Kontextbezogene Auslieferung. Die Anzeige richtet sich nach dem Seiteninhalt, nicht nach dem Nutzer. Auf Fachangeboten ist das häufig wirksamer als Verhaltensdaten.
• Aggregierte Zählung ohne Wiedererkennung. Abrufe und Auslieferungen lassen sich zählen, solange kein Profil entsteht und keine Kennung gesetzt wird.
• Serverseitige Auswertung technisch erforderlicher Angaben. Grobe Merkmale wie Sprache oder Gerätetyp, die ohnehin mit der Anfrage übertragen werden, in aggregierter Form.
• Sitzungsbezogene Häufigkeitsbegrenzung ohne dauerhaften Identifier – eingeschränkt, aber besser als keine Begrenzung.

Nicht möglich ohne Einwilligung: geräteübergreifendes Capping, Retargeting, Profilbildung, personalisierte Zielgruppen und die Weitergabe von Identifiern an Dritte.

Die Rolle des TCF

Das Transparency & Consent Framework von IAB Europe standardisiert, wie Einwilligungen zwischen Website, Consent-Tool und Werbepartnern übertragen werden. Ein Consent-Management-Tool speichert die Entscheidung in einer kodierten Zeichenkette, die nachgelagerte Systeme auslesen können. Das schafft technische Vergleichbarkeit – es ersetzt aber nicht die Prüfung, ob die konkrete Einwilligung wirksam eingeholt wurde. Freiwilligkeit, Informiertheit, einfache Widerrufbarkeit und ein gleichwertig gestalteter Ablehnen-Weg bleiben die entscheidenden Kriterien.

Anforderungen an das Einwilligungsbanner

• Ablehnen muss auf der ersten Ebene genauso leicht möglich sein wie Zustimmen
• Keine voreingestellten Häkchen für nicht erforderliche Zwecke
• Zwecke und eingesetzte Partner müssen benannt und erreichbar dokumentiert sein
• Der Widerruf muss jederzeit und ebenso einfach möglich sein wie die Erteilung
• Die Entscheidung muss protokolliert und nachweisbar sein

Was das für die Auslieferung bedeutet

Ein AdServer sollte zwei Betriebsarten beherrschen und die Entscheidung nicht dem Zufall überlassen:

1. Mit Einwilligung: vollständige Messung, Wiedererkennung, Capping über Sitzungen hinweg, Conversion-Zuordnung.
2. Ohne Einwilligung: kontextbezogene Auswahl, keine Kennung, keine Profilbildung, aggregierte Zählung – Werbung wird ausgeliefert, aber nicht personalisiert.

Fehlt das Consent-Signal, ist der zweite Modus die sichere Voreinstellung. In unserer Plattform wird das Signal beim Abruf übergeben; ohne gültige Einwilligung werden keine wiedererkennenden Kennungen gesetzt, und Kampagnen mit personenbezogenem Targeting nehmen an der Auswahl nicht teil.

Was Publisher konkret tun sollten

• Einwilligungsquote pro Angebot messen und im Reporting sichtbar machen
• Auslieferungswege für beide Modi testen, nicht nur den Fall mit Zustimmung
• Verzeichnis der eingesetzten Dienste aktuell halten und in der Datenschutzerklärung abbilden
• Auftragsverarbeitungsverträge mit allen Technologiepartnern schließen
• Widerruf technisch durchreichen – nicht nur im Banner speichern

Fazit

Datenschutzkonforme Werbung ist kein Verzicht auf Vermarktung, sondern eine andere Architektur: kontextstark statt profilgetrieben, transparent statt implizit. Wer beide Betriebsarten sauber implementiert, ist gegenüber Aufsicht und Kunden auskunftsfähig – und verliert deutlich weniger Inventar, als der erste Blick auf die Einwilligungsquote vermuten lässt.