Was ist die DSGVO und wie wirkt sie sich auf Ihr Unternehmen aus?

Wir sollten uns alle mit der DSGVO und den Auswirkungen einer Consent-Management-Plattform auf Ihr Unternehmen befassen. Das Schlachtfeld zwischen Kundeneinwilligung und berechtigtem Interesse ist hart. Als das Vereinigte Königreich seinen DSGVO-Standard für die Erfassung und Verarbeitung von Verbraucherdaten durch Unternehmen verabschiedete, hat es weltweit Schockwellen ausgelöst. Es war jedoch nur der erste derartige Standard. Kanada hat seitdem einen eigenen Standard herausgegeben, ebenso wie der Bundesstaat Kalifornien .

Was ist DSGVO?

DSGVO definiert: DSGVO steht für die Datenschutz-Grundverordnung. Es ist das strengste Datenschutz- und Sicherheitsgesetz der Welt. Obwohl sie von der Europäischen Union (EU) entworfen und in Kraft gesetzt wurde, trägt die DSGVO eine schwere rechtliche Verantwortung für Organisationen auf der ganzen Welt, wenn sie Daten über EU-Bürger sammeln. Die DSGVO trat am 25. Mai 2018 in Kraft.

Bald werden Updates für Apple- und Google-Betriebssysteme Daten weiter anonymisieren, was es für Unternehmen schwieriger macht, zu verstehen, wie Benutzer ihre Websites gefunden haben. Dies beunruhigt Facebook sehr , da sein Hauptumsatztreiber sein Anzeigenprodukt ist – und ohne eine ordnungsgemäße Zuordnung können Unternehmen nicht sagen, wie effektiv eine Anzeige auf Facebook oder seinen anderen Eigenschaften wie Instagram wirklich ist. Es wird bald die Grundlage dafür sein, dass alle Unternehmen eine Consent-Management-Plattform einsetzen.

Auswirkungen der Datenschutz-Grundverordnung (DSGVO) auf Online-Unternehmen

Aber schauen wir uns zunächst die DSGVO an, die ursprüngliche Datenschutzrichtlinie für Verbraucher. Alle anderen ziehen ähnliche Sprache und Anwendungsfälle heran und machen die DSGVO zu einer Standardrichtlinie. Es gibt insbesondere zwei Abschnitte, die Vermarkter bei der DSGVO-Dokumentation kennen müssen:

• DSGVO Artikel 6(1)(a) – Einwilligung als Rechtsgrundlage für die Datenverarbeitung: Die betroffene Person hat der Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke zugestimmt;
• DSGVO Artikel 6 Absatz 1 Buchstabe f – Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, es sei denn, diese Interessen werden durch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die dies erfordern, überwogen Schutz personenbezogener Daten, insbesondere wenn es sich bei der betroffenen Person um ein Kind handelt.

Diese beiden Artikel schlüsseln auf, was als Einholung von Einwilligungen und Einholung berechtigter Interessen bekannt ist. Lassen Sie uns sicherstellen, dass Sie beides gut verstehen.

Wie Ihr Unternehmen DSGVO-konform werden kann: Kundeneinwilligung ein für alle Mal klären

Um DSGVO-konform zu werden, ist die Zustimmung des Kunden erforderlich.

Die Zustimmung des Kunden gilt als Goldstandard der Datenerfassung: Ein Verbraucher muss auf eine Schaltfläche klicken (die nicht vorausgefüllt werden kann), um zu erklären, dass er damit einverstanden ist, seine Informationen an das Unternehmen weiterzugeben. Eine Consent-Management-Plattform rationalisiert den Prozess der Einholung von Einwilligungen.

Sie haben diese zweifellos auf einer Vielzahl von Websites gesehen, die Sie kürzlich besucht haben. Hier ist ein Beispiel von der Future of Commerce-Website von SAP:

Die Einwilligung des Kunden erfordert, dass der Kunde – jeder einzelne – der Erhebung und Verarbeitung seiner Daten physisch zustimmt.

Tatsächlich verlangen die SMS - TCPA-Richtlinien etwas Ähnliches für das Textnachrichten-Marketing.

Ähnlich wie die Anforderung der Kundeneinwilligung, kein Kästchen vorab zu aktivieren und eine physische Zustimmung zu verlangen, erfordern TCPA-Richtlinien auch eine physische Zustimmung zum Senden von Textnachrichten, und diese Zustimmung kann nicht vorab überprüft werden. Darüber hinaus muss die Sprache für die Vereinbarung Informationen darüber enthalten, wie oft ein Benutzer Nachrichten erhält und wie er alle Nachrichten abbestellen und stoppen kann.

Die DSGVO steht also nicht allein mit dieser Forderung nach einem eher manuellen Einwilligungsprozess. Unternehmen können sich dafür entscheiden, abzuwarten, aber die Notwendigkeit einer Consent Management-Plattform ist die Schrift auf der DSGVO-Wand.

So erstellen Sie eine DSGVO-konforme Datenschutzerklärung und definieren legitime Interessen

Berechtigtes Interesse ist innerhalb der DSGVO eher eine Grauzone und wird daher von vielen Vermarktern bevorzugt. Das Hinzufügen einer Anforderung für eine manuelle Vereinbarung für die Datenerfassung fügt einer Website Reibung hinzu, und Reibung kann die Konversion stark reduzieren. Es ist verständlich, dass es Widerstände gegen die Implementierung einer Consent-Management-Plattform geben kann, aber am Ende wird es etwas sein, das sowohl Verbrauchern als auch Unternehmen einen Mehrwert bietet.

Das Information Commissioner's Office (ICO), eine in Großbritannien ansässige unabhängige Behörde, die Unternehmen bei der Anwendung der britischen Datenschutzgesetze wie der DSGVO anleitet , hat Unternehmen Anleitungen zur Erstellung einer DSGVO-konformen Datenschutzrichtlinie und zur Auslegung berechtigter Interessen angeboten. ICO erklärt :

1. Die Verarbeitung ist nicht gesetzlich vorgeschrieben, hat aber einen eindeutigen Nutzen für Sie oder andere;
2. Es gibt eine begrenzte Auswirkung auf die Privatsphäre des Einzelnen;
3. Die Person sollte vernünftigerweise erwarten, dass Sie ihre Daten auf diese Weise verwenden; und
4. Sie können oder wollen der Person nicht die volle Kontrolle im Voraus geben (dh Zustimmung) oder sie mit störenden Zustimmungsanfragen belästigen, wenn sie der Verarbeitung wahrscheinlich nicht widersprechen werden.

Dies macht das berechtigte Interesse weitaus flexibler als die Zustimmung des Kunden.

Wann Einwilligung vs. berechtigtes Interesse: Eine praktische Bewertung des berechtigten Interesses

Basierend auf unserer bisherigen Aufschlüsselung von Einwilligung und berechtigtem Interesse denken Sie vielleicht, dass es in allen Fällen einfach einfacher ist, berechtigtes Interesse zu verwenden. Das stimmt nicht unbedingt. Tatsächlich hat das ICO deutlich gemacht, dass Sie berechtigte Interessen nicht als Standard-Sammelmethode für Ihr Unternehmen verwenden können.

Obwohl berechtigtes Interesse ein flexibles Konzept ist und oft relevant ist, gilt es nicht für alles und Sie können es nicht als Standardgrundlage für Ihre gesamte Verarbeitung verwenden.

Aus diesem Grund bitten die meisten Websites um Zustimmung, wenn Sie auf der Website landen. Eine Consent-Management-Plattform macht diesen Prozess nahtlos.

Wann können Sie also berechtigtes Interesse geltend machen? Glücklicherweise bietet das ICO einen dreiteiligen Test an, um festzustellen, ob ein berechtigtes Interesse für Ihr Projekt, Ihre Website usw. bestehen kann.

1. Zweckprüfung – Besteht ein berechtigtes Interesse an der Verarbeitung? Beim Zwecktest müssen Sie sich fragen, ob die Datenerhebung ethisch und legal ist und sowohl Ihrem Unternehmen als auch dem Verbraucher zugute kommt. Und dann müssen Sie den Zweck, diese Daten ohne Zustimmung (oder aus berechtigtem Interesse) verarbeiten zu wollen, klar angeben.
2. Erforderlichkeitsprüfung – ist die Verarbeitung für diesen Zweck erforderlich? Mit der Erforderlichkeitsprüfung müssen Sie nachweisen, dass es keinen anderen weniger invasiven Weg gibt, um Ihr Ziel zu erreichen, und sicherstellen, dass die Verarbeitung zur Erreichung Ihrer Ziele verhältnismäßig ist.
3. Abwägungstest – wird das berechtigte Interesse durch die Interessen, Rechte oder Freiheiten des Einzelnen außer Kraft gesetzt? Schließlich müssen Sie im Rahmen der Abwägungsprüfung sicherstellen, dass die Verarbeitung der Daten nicht die Rechte und Freiheiten des Einzelnen beeinträchtigt.

Gut – dieser dreiteilige Test ist also nicht so hilfreich. Schauen wir uns stattdessen ein paar Beispiele an.

Anwendung des dreiteiligen Tests: DSGVO-Beispiele für berechtigte Interessen

Die folgenden Szenarien werden vom ICO in seiner Dokumentation angeboten , um Unternehmen dabei zu helfen, besser zu verstehen, wie der dreiteilige Test anzuwenden ist und welche Datenerhebungs- und Informationspraktiken letztendlich zu verwenden sind.

Der Wohltätigkeitsfall.

Eine Wohltätigkeitsorganisation möchte Spendenmaterial per Post an Personen senden, die in der Vergangenheit an sie gespendet haben, aber zuvor keine Einwände gegen den Erhalt von Marketingmaterial von ihnen erhoben haben.

Der Zweck der Wohltätigkeitsorganisation des Direktmarketings zur Beschaffung von Mitteln zur Förderung ihrer Sache ist ein berechtigtes Interesse.

Die Wohltätigkeitsorganisation prüft dann, ob das Versenden des Mailings für ihren Spendenzweck erforderlich ist. Sie beschließt, dass die Verarbeitung von Kontaktdaten zu diesem Zweck erforderlich ist und das Mailing ein verhältnismäßiges Mittel zur Spendenansprache darstellt.

Die Wohltätigkeitsorganisation erwägt den Abwägungstest und berücksichtigt, dass die Art der verarbeiteten Daten nur Namen und Adressen sind und dass es für diese Personen vernünftig wäre, aufgrund ihrer früheren Beziehung zu erwarten, dass sie Marketingmaterial per Post erhalten.

Die Wohltätigkeitsorganisation stellt fest, dass die Auswirkungen eines Fundraising-Mailings auf diese Personen wahrscheinlich minimal sind, enthält jedoch Details in dem Mailing (und jedem nachfolgenden) darüber, wie Einzelpersonen den Erhalt von Postmarketing in Zukunft ablehnen können.

Der Business-Seminar-Fall der DSGVO.

Einzelpersonen nehmen an einem Geschäftsseminar teil und der Organisator sammelt Visitenkarten von einigen der Delegierten.

Der Veranstalter stellt fest, dass er ein berechtigtes Interesse am Netzwerken und am Wachstum seines Unternehmens hat. Sie beschließen auch, dass zu diesem Zweck das Sammeln von Kontaktdaten der Delegierten von Visitenkarten erforderlich ist.

Nach Abwägung von Zweck und Notwendigkeit beurteilt der Organisator dann, dass die Ausgewogenheit für ihre Verarbeitung spricht, da es vernünftig ist, dass Delegierte, die Visitenkarten übergeben, erwarten können, dass ihre geschäftlichen Kontaktdaten verarbeitet werden und die Auswirkungen auf sie gering sein werden. Der Veranstalter stellt außerdem sicher, dass er den Delegierten Datenschutzinformationen einschließlich Einzelheiten zu ihrem Widerspruchsrecht zur Verfügung stellt. Anschließend sammelt der Organisator die Kontaktdaten der Teilnehmer und fügt sie seiner Datenbank für Geschäftskontakte hinzu.

Es gibt keine Lücken im berechtigten Interesse: Es geht um ethische Datenpraktiken

Auf dem Zaun darüber, was zu verwenden? Beginnen Sie mit dem Goldstandard der Zustimmung. Erweitern Sie von dort aus das berechtigte Interesse, aber tun Sie immer Ihr Bestes, um im Voraus zu erklären, welche Daten gesammelt werden und für welche Zwecke. Schließlich sollten Sie den Empfängern von Marketingmaterial immer erlauben, sich von einer Liste mit gesendeten Informationen abzumelden – auch wenn diese Informationen auf einer Einwilligung oder einem berechtigten Interesse beruhen. Beginnen Sie mit dem Aufbau einer Consent-Management-Plattform, indem Sie festlegen, wie Ihr Unternehmen Einwilligungen und Daten als Praxis behandeln wird.

Mit anderen Worten: Behandeln Sie Verbraucherdaten so, wie Sie Ihre behandeln möchten. Die DSGVO verlangt von Unternehmen, dass sie einfach etwas gründlicher darüber nachdenken, welche Daten sie sammeln, wenn dies erforderlich ist, und wie sie dies auf ethische Weise tun können.

Einige Unternehmen heben diesen Standard auf eine neue Ebene und nutzen ethische Datenerfassung und Transparenz als eigenständige Marketingtaktik. Schauen wir uns zum Beispiel Lush an. Sie haben Datenethik zu einer Säule ihrer Unternehmenswerte gemacht.

„Heute sind sich die Menschen mehr denn je bewusst, wie wichtig ihre persönlichen Daten sind. In seiner einfachsten Form sind es die Tweets, die du postest, die Fotos, die du hochlädst, die Leute, denen du DM schickst. In seiner dunkelsten Form ist es ein Tracker Ihrer Identität, ein Algorithmus, der entscheidet, ob Sie auf einer Abschussliste stehen sollten. Wir sind davon überzeugt, dass Datenschutz ein grundlegendes Menschenrecht ist. Bei der ethischen Datenrichtlinie geht es darum sicherzustellen, dass alle Mitarbeiter- und Kundendaten von Lush sicher und transparent sind. Unsere Kunden und Mitarbeiter haben das Recht zu erfahren, was wir über sie halten.“

Da immer mehr Länder, Staaten und dergleichen DSGVO-ähnliche Standards übernehmen, werden wir wahrscheinlich sehen, dass immer mehr Unternehmen Best Practices für digitale Ethik als interne Werte übernehmen und diese dann als Marketingfutter verwenden. Dies ist das ideale Ziel von Datenschutz- und Datenschutzrichtlinien für Verbraucher. Die Integration einer Consent-Management-Plattform ist eine transparente Investition in die Achtung Ihrer Kunden.