DSGVO: Verwaltung der Einwilligung der Nutzer

1) Ziel und Bereich

Erstellen Sie einen einheitlichen, überprüfbaren und benutzerfreundlichen Prozess für die Verwaltung von Einwilligungs- und Kommunikationspräferenzen, der mit der DSGVO und ePrivacy kompatibel ist und für alle Oberflächen gilt: Web, mobile Apps/SDKs, E-Mail/SMS/Push, Affiliate-Landings, Streams/soziale Netzwerke, Vendor-Tags.

2) Grundprinzipien

Freier, konkreter, informierter und eindeutiger Ausdruck des Willens (ohne Presse/Zugangskonvention).
Getrennte Ziele: Analytics, Personalisierung, Marketing, Geolokalisierung, A/B-Tests, Tags von Drittanbietern - separate Kippschalter.
Ein Widerruf ist so einfach wie eine Einwilligung. Keine „Quests“ für die Ablehnung.
Keine dunklen Muster. Keine visuellen Verzerrungen/Locker.
Nachweisbarkeit. Protokolle, Versionen von Texten, Screenshots der UI-Variante, Hashes von Richtlinien.
Minimierung und Standard-Datenschutz.

3) Rechtsgrundlage (kurzes Handbuch)

Art. 6 (1) (a) Zustimmung: Marketing, Personalisierung, Analyse mit Identifikatoren, nicht unzulässige Cookies/SDK.
Art. 6 (1) (b) Vertrag: die für die Erbringung der Dienstleistung erforderlichen Vorgänge (unbedingt erforderliche Cookies).
Art. 6 (1) (f) Berechtigtes Interesse (LIA): eingeschränkte Leistungsmessungen mit starken Garantien und Widerspruchsrecht.
Art. 8 Kinder: Alter für die Zustimmung des Kindes - die Schwelle des Landes; bei Minderjährigen ein Vermarktungsverbot.
Art. 9 Besondere Kategorien: Biometrie/Gesundheit - außerhalb der Vermarktung; einzelne Rechtsgrundlagen/Verbote.
ePrivacy: Speicherung/Zugriff auf das Gerät (Cookies/Local Storage/SDK) - nur „unbedingt notwendig“ ohne Einwilligung; Der Rest ist einvernehmlich.

4) Rollen und RACI

DPO/Head of Compliance - Richtlinien, DPIA, Reklamations-/Risikokontrolle. (A)

Legal - Texte, Lokalisierung von Anforderungen, Grundmatrix. (R)

Produkt/UX - Banner/Präferenzzentrum, Anti-Dunkelmuster. (R)

Engineering/CMP Owner - Integration von CMP/SDK, API, Versionen, GPC/DNT. (R)

CRM/Marketing - Segmentierung nach Zustimmungsflags, Suppression. (R)

Data/Analytics - De-Identification-Modi, Tracking-Einschränkungen. (C)

InfoSec - Verschlüsselung, Schlüssel, RBAC/ABAC zu den Zustimmungsprotokollen. (C)

Internal Audit - Stichproben von Beweisen, CAPA. (C)

5) Taxonomie der Einwilligungen und Präferenzen

Funktional (ohne Zustimmung): unbedingt notwendig (Authentifizierung, Warenkorb, Guthaben, Schutz vor Missbrauch).

1. Analytik (IDs/geräteübergreifend)

2. Personalisierung von Inhalten/Spielen

3. Marketing (E-Mail/SMS/Push/in-arr/Telematik) - Kanäle getrennt

4. Remarketing/Anzeigen (einschließlich Pixel/SDK von Drittanbietern)

5. Geolokalisierung lax (Stadt/Region)

6. A/B-Test (wenn Kennungen verwendet werden)

7. Affiliate-Tags/Affiliate-Pixel

6) CMP UX-Muster (Web/Mobile)

Erste Ebene (Banner): kurzes Ziel + „Alles akzeptieren“, „Alles ablehnen“, „Anpassen“ - gleiche Sichtbarkeit.
Zweite Schicht (Panel): Kippschalter nach Kategorie und Umkehrung „Mehr“ (Anbieter, Ziele, Fristen).
Präferenzzentrum (im Konto): Marketingkanäle (E-Mail/SMS/Push/Telefon) - getrennt; Link „Alles abbestellen“.
Feedback/Änderung: in 1-2 Klicks von jedem Bildschirm; ändert nicht den Zugriff auf die erforderlichen Funktionen.
Verfügbarkeit: Kontrast, Tastatur, Screen-Reader, Locals.
GPC/“ Do Not Track“: Das globale Signal wird so interpretiert, dass es alles andere als unbedingt notwendig ablehnt.
Mobiles SDK: In-App-CMP + Systemberechtigungen (OS-Prompts) → Synchronisierung mit dem Serverprofil.

7) IAB TCF 2. 2 (Implementierungsrahmen)

Unterstützung für Ziel/Feature-Stack, Vendor-Liste, String TC auf Kundenseite.
Speichern von TC-String, Version, Vendor-Sheet; Mupping in unsere Fahnen.
Tag/SDK sperren, bis TC (prior consent) empfangen wird.
Respekt für den Status von „Deny All“ und Permissionen von Anbietern.
Für Nicht-TCF-Märkte - „Custom“ CMP mit der gleichen UX und Protokollierung.

8) Minderjährige und Schutzbedürftige

Wenn das Alter <Marktschwelle - keine Marketingkanäle und Personalisierung; analytica - nur unbedingt notwendig/PII-frei.
Altersüberprüfung vor dem Herunterladen von Marketing-SDKs/Pixeln.
SE/RG-Flaggen: bei Selbstausschluss - erzwungene Marketingunterdrückung unabhängig von der Einwilligung.

9) Privatsphäre, Lagerung und Retention

Minimierungsmodell: Speichern Sie Fakten von Aktionen (accept/deny/withdraw), Textversionen, TC-String/Hashes und nicht „rohe“ Cookie-IDs.
Retention: Solange das Ziel/die Beziehung + das Timing auf dem Markt gültig ist (in der Regel ≤ 24 Monate ohne Aktivität für das Marketing).
Zugriff: RBAC, unveränderliche Protokolle (WORM), Zeit ist in UTC.
Löschung: Widerruf → sofortige Stop-Processing; cron reinigt unbenutzte ID/SDK-Caches.

10) Daten und Nachweise (Mindestmodell)

consent_id, user_id/device_id, market, locale,
ui_variant_id, policy_version, tcf_string, vendors[],
purpose_id, lawful_basis{consent    contract    legit_interest},
status{accept    deny    withdraw}, source{web    app    email    sdk    api},
captured_at_utc, ip_hash, ua_hash, gpc{true    false},
evidence{banner_screenshot_id, copy_hash}, expires_at

Artefakte: Hash des Richtlinientextes und des Banners, Screenshot der Variante, Liste der aktiven Tags/SDKs zum Zeitpunkt der Zustimmung.
Links: 'consent _ id' ↔ CRM/Ads-Ereignisse für die Rückverfolgbarkeit von Suppression.

11) API/SDK und Tag-Sperre

Edge/CMP-SDK: vor der Auswahl - wir laden nur die unbedingt notwendigen Skripte.

• `GET /consents? user_id=...`
• `POST /consents` (create/withdraw)
• „POST/Marketing/Präferenzen“ (Kanalflaggen)
• `POST /gpc/signal`
• Tag Manager Guards: Regeln "fire if consent. purpose. marketing == true».
• E-Mail/SMS: Newsletter nur per 'Marketing. email = = true' und „double opt-in“ (bei Bedarf Markt).

12) Kompatibilität mit CRM/Anzeigen/Affiliates

Suppression-Threads: Feedback → Aktualisierung von Suppression in CRM, Ads, Affiliate-Feeds (Batch + Near-Real-Time).
UTM/Postback: nur technische Parameter übertragen; die Zustimmung wird nicht ohne gesonderte Rechtsgrundlage an Partner „weitergegeben“.
Affiliates: sind verpflichtet, den gleichen SMR/Disclaimer anzuzeigen; Ohne diese sind die Leads nicht qualifiziert.

13) Prozesse und Fälle

Widerruf per Brief: In jeder E-Mail „Unsubscribe all“ und „Customize“. Abmeldung - sofort, Bestätigung auf der Seite/im Brief.

DSAR/Fälle: aktuelle Zustimmungsflags anzeigen, Aktivitätsprotokoll; Ausfuhr ohne PII durch Dritte

Änderung der Ziele: Neuer Zweck → neuer Antrag auf Zustimmung (nicht „rückwirkend“).
A/B-Test: Änderung der CMP-UI - Version/Bildschirm in Artefakte, Audit auf keine dunklen Muster.
Incidents: falsches Laden eines Tags ohne Zustimmung → sofortige Takedown, Log-Audit, CAPA.

14) KPI/KRI und Dashboard

Opt-in Rate nach Zielen/Märkten/Geräten

Withdraw/Änderungsrate und Median „Time-to-Withdraw-Apply“

GPC Honor Rate (Anteil korrekt verarbeiteter GPC-Signale)

Tag Firing Violations (Starts ohne Zustimmung)

Suppression Integrity (Marketing bei Rückruf = 0)

Complaint Rate и Regulatory Findings

Auditability Score (% der Datensätze mit vollständigem Artefaktpaket)

15) Checklisten

Vor dem Start

• Eine Matrix von Gründen und Zielen ist vereinbart (Legal/DSB).
• CMP unterstützt „Alles ablehnen“, GPC, locales.
• Der Tag Manager sperrt alle nicht notwendigen Tags bis zur Zustimmung.
• Bevorzugtes Zentrum mit Kanälen (E-Mail/SMS/Push/Telefon).
• Kommunikation mit CRM/Anzeigen/Affiliates für Suppression.
• Versionen der Texte/Screenshots in WORM.

In Operationen

• Überwachung von Verstößen gegen die Firing- und GPC-Regeln.
• DSAR antwortet mit aktuellen Flags und einem Magazin.
• Beschwerden und Vorfälle - SLA und CAPA.

Audit/Verbesserungen

• Vierteljährliche Stichproben von Aufzeichnungen auf Vollständigkeit der Beweise.
• A/B-Revue von CMP auf dunkle Muster.
• Aktualisierung der lokalen/rechtlichen Texte.

16) Vorlagen (Schnelleinfügungen)

17) Technischer Rahmen und Veranstaltungen

События: `consent_banner_shown`, `consent_given/denied/withdrawn`, `gpc_detected`, `tag_fired_blocked`, `marketing_unsubscribed`, `dsar_fulfilled`.
Fichy: automatisches Lesen von GPC; SDK-Gates; server-side consent cache; Integritätsprüfungen Tag Manager; „PII-free“ -Export für Analysen.
Tests in CI/CD: Tag-Lock-Linter, Migration von Versionsschemata, CMP-Bildschirmtests.

18) Risiken und Prävention

Unvollständige Blockierung von Tags. → Regeln im Tag Manager „deny by default“.
Abhängigkeit von Anbietern. → Liste der Anbieter/Ziele/Gerichtsbarkeiten, DPA und Audit.
Dunkle Muster. → Design-Revue und Kontrolle der Gleichwertigkeit der Tasten.
Mangel an Beweisen. → Screenshots, Hashes von Texten, WORM-Protokolle.
Nicht übereinstimmende Status in CRM/Ads. → Ein einziger Suppressionsdienst + tägliche Abstimmungen.

19) 30-tägiger Implementierungsplan

Woche 1

1. Genehmigen Sie die Ziel-/Basenmatrix und die Texte (locales).
2. CMP auswählen/konfigurieren (TCF 2. 2 + benutzerdefinierte Ziele).
3. Spezifizieren Sie das Daten- und Artefaktmodell, aktivieren Sie WORM.

Woche 2

4. Integrieren Sie CMP/SDK, Tag Manager „deny by default“, GPC.
5. Aufbau eines Preference Centers und einer Suppression API für CRM/Ads.
6. Bereiten Sie A/B-Varianten des Banners vor, Bildschirmbefestigung.

Woche 3

7. Pilot 10-20% des Verkehrs: Opt-in/Withdraw/GPC Honor Messung.
8. Retro durch Beschwerden/Vorfälle; Bearbeitungen von UX/Texten.
9. Affiliates mit der obligatorischen CMP-Schicht verbinden.

Woche 4

10. Vollständige Veröffentlichung; KPI/KRI Dashboards und Alerts einschließen.
11. Vierteljährlicher Plan für Audits und CAPAs.
12. Plan v1. 1: Server-Consent-Cache, automatische Marktberichte.

20) Verwandte Abschnitte

Altersüberprüfung und Altersfilter

Werbestandards und Verbote/Disclaimer und Wahrhaftigkeit der Werbung

Transparenz der Bonusbedingungen

Compliance von Affiliates und Partnern

Datenlokalisierung nach Jurisdiktion

Verantwortungsvolles Spielen und Grenzen/Selbstausschluss/Realitätschecks

Regulatorische Berichte und Datenformate/Interne und externe Audits