Einwilligung gilt nicht ewig

Sobald ein Besucher eine Wahl getroffen hat, sollten Sie sie speichern, damit er nicht auf jeder Seite belästigt wird. Doch eine gespeicherte Entscheidung gilt nicht unbegrenzt. Umstände ändern sich, Tools kommen hinzu, und eine längst getroffene Entscheidung entspricht womöglich nicht mehr dem, was der Besucher heute wählen würde. Diese Checkliste hilft Ihnen, sinnvolle Regeln für Ablauf und erneute Abfrage festzulegen.

Was die Regeln sagen (und was nicht)

Die DSGVO legt kein festes Ablaufdatum für die Einwilligung fest. In der Praxis füllen Hinweise der Aufsichtsbehörden die Lücke. Die französische CNIL empfiehlt zum Beispiel, die Entscheidung des Besuchers rund sechs Monate zu speichern, bevor erneut gefragt wird, und sagt, dass die Laufzeit der Tracking-Cookies selbst 13 Monate nicht überschreiten sollte. Andere Behörden haben keine genauen Zahlen festgelegt. Prüfen Sie die für Ihr Publikum maßgebliche Behörde und dokumentieren Sie den von Ihnen gewählten Zeitraum.

Checkliste 1: Die Standardlaufzeit festlegen

• Wählen Sie eine Einwilligungslaufzeit und schreiben Sie sie auf. Sechs bis zwölf Monate sind ein üblicher Bereich; wählen Sie das kürzere Ende, wo Ihre Aufsichtsbehörde es nahelegt.
• Speichern Sie das Datum der Entscheidung, nicht nur die Entscheidung selbst.
• Wenden Sie dieselbe Laufzeitlogik auf das Cookie oder den Speichereintrag an, der den Einwilligungsnachweis enthält.
• Stellen Sie sicher, dass die gespeicherte Entscheidung serverseitig oder in Ihrer Logik abläuft, nicht nur im Browser.

Checkliste 2: Auslöser für erneute Abfragen definieren

Fragen Sie den Besucher unabhängig vom Alter der gespeicherten Entscheidung erneut, wenn:

• Sie einen neuen Zweck hinzufügen. Eine neue Datennutzung war von der früheren Entscheidung nie abgedeckt.
• Sie einen neuen Anbieter oder Partner hinzufügen, der Daten auf eine bisher nicht offengelegte Weise verarbeitet.
• Sich Ihre Datenschutz- oder Cookie-Richtlinie wesentlich ändert.
• Sich die Banner-Version ändert und damit die angebotenen Wahlmöglichkeiten.
• Die gespeicherte Entscheidung fehlt, beschädigt oder nicht lesbar ist.

Koppeln Sie das an eine Einwilligungs-Versionsnummer, die Sie erhöhen, sobald eines der obigen Ereignisse eintritt. Eine gespeicherte Entscheidung mit älterer Version löst das Banner aus.

Checkliste 3: Die Besuchererfahrung schützen

• Fragen Sie innerhalb einer einzelnen Sitzung nicht per Timer erneut.
• Fragen Sie einen Besucher, der abgelehnt hat, nicht erneut, nur um ihn zu zermürben; respektieren Sie eine Ablehnung für den gesamten Zeitraum, sofern kein echter Auslöser eintritt.
• Halten Sie im Footer einen dauerhaften Link bereit, damit Besucher ihre Meinung jederzeit ändern können, ohne auf den Ablauf zu warten.
• Machen Sie den Widerruf der Einwilligung so einfach wie ihre Erteilung.

Checkliste 4: Sonderfälle behandeln

• Gelöschte Cookies. Das Banner erscheint wieder. Das ist zu erwarten; versuchen Sie nicht, es mit Fingerprinting zu umgehen.
• Mehrere Domains oder Subdomains. Entscheiden Sie, ob eine Entscheidung zwischen ihnen geteilt wird, und machen Sie das Verhalten einheitlich.
• Apps. Speichern Sie die Entscheidung und ihr Datum im App-Speicher und fragen Sie nach SDK-Updates, die neue Datennutzungen hinzufügen, erneut.
• Regionswechsel. Wechselt ein Besucher in eine andere Rechtsordnung, prüfen Sie, ob Ihre Regeln anders greifen sollten.

Checkliste 5: Nachweise aufbewahren

• Erfassen Sie für jede Einwilligung Zeitstempel, Banner-Version und Entscheidung.
• Führen Sie ein Änderungsprotokoll, wann und warum Sie Laufzeit oder Versionsnummer geändert haben.
• Überprüfen Sie die Einstellungen jedes Quartal zusammen mit Ihrem Cookie-Inventar.

Wo FlexyConsent ins Spiel kommt

FlexyConsent ist von IAB Europe und IAB Canada zertifiziert, unterstützt IAB TCF 2.4 und Google Consent Mode v2 und deckt Regionen wie die EU, den EWR, das Vereinigte Königreich, US-Bundesstaaten, Kanada und Québec ab. Welche Plattform Sie auch nutzen: Prüfen Sie, wie sie die Entscheidung speichert und was eine neue Abfrage auslöst, und gleichen Sie das mit den oben aufgestellten Regeln ab.

Wichtigste Erkenntnisse

• Einwilligung sollte ablaufen; es gibt keine einheitliche gesetzliche Zahl, also wählen Sie einen Zeitraum, schreiben Sie ihn auf und prüfen Sie die Hinweise Ihrer Aufsichtsbehörde.
• Fragen Sie erneut, wenn sich Zwecke, Anbieter, Richtlinien oder Banner-Optionen ändern, mithilfe einer Einwilligungs-Versionsnummer.
• Belästigen Sie Besucher, die abgelehnt haben, nicht ohne echten Auslöser.
• Halten Sie eine jederzeit verfügbare Möglichkeit bereit, die Einwilligung zu ändern oder zu widerrufen.
• Erfassen Sie Zeitstempel, Version und Entscheidung und überprüfen Sie die Regeln jedes Quartal.