Was ist eine Consent Management Platform (CMP)?

Was ist eine Consent Management Platform?

Eine Consent Management Platform (CMP) ist eine technische Lösung zur Verwaltung von Einwilligungen auf Websites. Sie informiert Besucher über einwilligungsrelevante Technologien und Dienste, ermöglicht eine Auswahl und kann dafür sorgen, dass unterstützte Dienste entsprechend der getroffenen Entscheidung freigegeben oder blockiert werden.

Eine CMP ist deshalb mehr als ein sichtbarer Cookie-Hinweis. Entscheidend ist die Verbindung zwischen der Auswahl im Banner und der tatsächlichen technischen Ausführung auf der Website.

Warum kann eine Website eine CMP benötigen?

Websites binden häufig Analyse-, Marketing-, Tracking- und externe Dienste ein. Dazu können beispielsweise Webanalyse, Werbe- und Conversion-Technologien, Videos, Karten, Captchas, externe Schriftarten oder weitere Drittanbieter gehören. Je nach technischer Umsetzung werden Informationen auf dem Endgerät gespeichert oder ausgelesen und personenbezogene Daten verarbeitet.

Ob eine Einwilligung erforderlich ist, muss für den jeweiligen Vorgang geprüft werden. Eine CMP hilft dabei, erforderliche Einwilligungen abzufragen und die Entscheidung technisch umzusetzen.

§ 25 TDDDG: Speichern und Auslesen auf Endeinrichtungen

§ 25 Abs. 1 TDDDG sieht grundsätzlich eine Einwilligung vor, wenn Informationen in der Endeinrichtung des Endnutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden. Die Einwilligung muss auf klaren und umfassenden Informationen beruhen. § 25 Abs. 2 TDDDG enthält Ausnahmen, insbesondere für technisch unbedingt erforderliche Vorgänge zur Bereitstellung eines vom Nutzer ausdrücklich gewünschten digitalen Dienstes.

Damit ist nicht jedes Cookie automatisch einwilligungspflichtig. Maßgeblich sind Zweck und technische Funktion.

DSGVO: Rechtsgrundlage für personenbezogene Daten

Werden personenbezogene Daten verarbeitet, benötigt die Verarbeitung zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO. Wird die Verarbeitung auf eine Einwilligung gestützt, sind insbesondere die Anforderungen des Art. 7 DSGVO zu beachten. Dazu gehört auch, dass eine Einwilligung widerrufbar sein muss.

Zusätzlich bestehen Informations- und Transparenzpflichten. Die Datenschutzerklärung und die Consent-Oberfläche müssen deshalb zur tatsächlichen technischen Verarbeitung der Website passen.

Wann muss die Entscheidung technisch berücksichtigt werden?

Wenn ein Dienst eine vorherige Einwilligung benötigt, darf seine Freigabe nicht bereits stattfinden, bevor der Besucher zugestimmt hat. Ein Banner allein genügt nicht, wenn einwilligungsbedürftige Technologien unabhängig von der Auswahl bereits laden.

Eine CMP verbindet deshalb die Benutzerentscheidung mit der technischen Steuerung: ablehnen, zustimmen, individuell auswählen, später ändern und widerrufen.

Welche Aufgaben übernimmt eine CMP?

• Darstellung eines Consent-Banners mit verständlichen Auswahlmöglichkeiten,
• Verwaltung von Kategorien wie notwendig, Statistik, Marketing oder externe Medien,
• Verwaltung einzelner Dienste und Zwecke,
• Speicherung und technische Berücksichtigung der Consent-Entscheidung,
• Blockierung unterstützter einwilligungsbedürftiger Dienste bis zur Freigabe,
• erneutes Öffnen und Ändern der Einstellungen,
• Widerruf einer Einwilligung,
• Abstimmung zwischen eingesetzten Diensten und Datenschutzhinweisen.

Cookie Banner und Consent Management Platform sind nicht dasselbe

Ein einfacher Cookie-Hinweis kann nur informieren. Eine Consent Management Platform geht weiter: Sie verwaltet die Entscheidung des Besuchers und verbindet sie mit der technischen Ausführung. Genau diese technische Berücksichtigung ist bei einwilligungsbedürftigen Diensten entscheidend.

Was passiert, wenn eine erforderliche Einwilligung fehlt?

Werden einwilligungsbedürftige Speicher- oder Zugriffsvorgänge ohne wirksame Einwilligung durchgeführt, kann ein Verstoß gegen das TDDDG vorliegen. Werden dabei personenbezogene Daten ohne passende Rechtsgrundlage verarbeitet, kann zusätzlich die DSGVO betroffen sein.

Mögliche Folgen hängen vom Einzelfall ab und können Beschwerden, aufsichtsbehördliche Maßnahmen, Anordnungen zur technischen Anpassung und – bei entsprechenden Voraussetzungen – Bußgeldverfahren umfassen. Das bloße Fehlen eines bestimmten CMP-Produkts bedeutet jedoch nicht automatisch einen Rechtsverstoß; entscheidend ist, ob die Website die gesetzlichen Anforderungen tatsächlich erfüllt.

Welche Website-Bereiche sind häufig betroffen?

Besonders zu prüfen sind Analyse und Tracking, Marketing- und Werbetechnologien, eingebettete Videos, Karten, Social-Media-Inhalte, Captchas, externe Schriftarten und weitere Drittanbieter-Ressourcen. Auch hier ist immer die konkrete technische Einbindung maßgeblich.

Einwilligung ändern und widerrufen

Eine auf Einwilligung gestützte Verarbeitung muss widerrufbar sein. Deshalb sollte der Besucher seine Consent-Einstellungen nicht nur beim ersten Aufruf sehen, sondern später einfach wieder öffnen, ändern oder widerrufen können.

PrivacyBox als Consent Management Platform

PrivacyBox verbindet Consent-Banner, Kategorien, Dienstesteuerung und den erneuten Zugriff auf die Consent-Einstellungen. Unterstützte externe Dienste können abhängig von der Auswahl des Besuchers kontrolliert behandelt werden.

Mehr zur PrivacyBox Consent Management Platform (CMP)