Datenschutz & DSGVO

Laut DSGVO und TTDSG müssen Cookie-Banner: Vor dem Setzen nicht-essentieller Cookies informieren und Einwilligung einholen, eine echte Ablehnungsmöglichkeit bieten (gleich prominent wie 'Akzeptieren'), die Zwecke und eingesetzten Tools auflisten, und den Widerruf jederzeit ermöglichen. 'Cookie-Walls' (kein Zugang ohne Consent) sind in Deutschland umstritten.

Ja, unter Bedingungen: Nutzen Sie die EU-Datenresidenz-Option (Daten werden in der EU verarbeitet), aktivieren Sie IP-Anonymisierung (standardmäßig in GA4), schließen Sie ein Data Processing Agreement mit Google ab, und holen Sie Consent ein bevor GA4 geladen wird. Ohne Cookie-Consent darf GA4 nicht feuern.

First-Party Data sind Daten die Nutzer Ihnen direkt geben: E-Mail-Adressen, Kaufhistorie, Formulareinträge, CRM-Daten. Im Gegensatz zu Third-Party Cookies (die von Browsern blockiert werden) gehören First-Party-Daten Ihnen, sind DSGVO-konform nutzbar und werden immer präziser. Sie sind die Grundlage für Lookalike Audiences, Custom Audiences und personalisiertes Marketing.

Vier Maßnahmen: 1) First-Party Data aufbauen — E-Mail-Liste, CRM, Kundendatenbank. 2) Server-Side Tracking implementieren — funktioniert ohne Third-Party Cookies. 3) Conversion API bei Meta und Enhanced Conversions bei Google aktivieren. 4) Contextual Targeting testen — Anzeigen basierend auf Seiteninhalt statt Nutzerprofil.

Ja, wenn der Nutzer in die Nutzung zu Werbezwecken eingewilligt hat (Opt-in). Die E-Mail-Adressen werden vor dem Upload gehasht — Meta sieht nur den Hash, nicht die Klardaten. Wichtig: Dokumentieren Sie die Einwilligung und nehmen Sie die Nutzung für Custom Audiences explizit in Ihre Datenschutzerklärung auf.

Für jedes eingesetzte Tool angeben: Name des Tools und Anbieter, Zweck der Datenverarbeitung, welche Daten erhoben werden, Rechtsgrundlage (meist Art. 6 Abs. 1 lit. a DSGVO — Einwilligung), Speicherdauer der Cookies, und Link zur Datenschutzerklärung des Anbieters. Tools: Datenschutz-Generator von e-recht24.de oder ein spezialisierter Anwalt.

Bußgelder bis zu 4 % des Jahresumsatzes oder 20 Mio. € (je nachdem was höher ist). In der Praxis: Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände sind häufiger. Dazu kommen Reputationsschäden und der Verlust von Kundenvertrauen. Die Aufsichtsbehörden haben 2024/25 verstärkt Online-Tracking kontrolliert.

Die CAPI selbst ist datenschutzfreundlicher als das Browser-Pixel, weil Sie kontrollieren welche Daten gesendet werden. Dennoch: Consent einholen bevor Sie Events senden, nur notwendige Parameter übermitteln (Event-Name, Wert — keine unnötigen Nutzerdaten), gehashte E-Mails für Matching verwenden, und den Einsatz in der Datenschutzerklärung dokumentieren.

Erlaubt: 1) A/B-Test verschiedener Banner-Designs (Position, Farben, Text). 2) Den Mehrwert erklären ('Wir zeigen Ihnen relevantere Inhalte'). 3) Granulare Optionen anbieten (Nutzer akzeptieren eher wenn sie wählen können). Nicht erlaubt: Dunkel-Patterns wie versteckte Ablehnung, vorausgewählte Checkboxen oder 'Nur Akzeptieren'-Buttons. Typische Consent Rates: 60–80 % mit fairem Design.

Ja. Sobald eine Agentur Zugriff auf personenbezogene Daten hat (Ad Accounts mit E-Mail-Listen, CRM, Analytics), ist ein AVV nach Art. 28 DSGVO Pflicht. Die meisten Agenturen haben einen Standard-AVV. Prüfen Sie: Sind die technischen und organisatorischen Maßnahmen (TOMs) beschrieben? Ist der Umfang der Verarbeitung definiert?