DSGVO und Funnels: Was du wirklich brauchst

Vorweg und ohne Umschweife: Dieser Artikel ist keine Rechtsberatung. Wir bauen Software, wir sind keine Anwälte. Was hier steht, ist eine praktische Übersicht dessen, worauf es bei Funnels ankommt, geschrieben nach bestem Wissen. Ob deine konkrete Seite alles erfüllt, hängt an deinen Inhalten, deinen Einstellungen und deinem Geschäft. Im Zweifel lass es prüfen.

Mit dieser Einschränkung: Vieles ist weniger kompliziert, als es wirkt, wenn man die Fälle auseinanderhält.

Der wichtigste Unterschied

Fast alle Missverständnisse kommen daher, dass zwei Dinge vermischt werden:

Verarbeitung zur Erfüllung dessen, was jemand will. Wer ein Formular absendet, um ein Angebot zu bekommen, erwartet, dass du seine Angaben dafür benutzt. Dafür braucht es keine Einwilligung, nur einen Hinweis.

Verarbeitung für deine Zwecke. Werbemails, Retargeting, Auswertung mit Drittanbietern. Dafür brauchst du in der Regel eine Einwilligung.

Wenn du diese beiden auseinanderhältst, klärt sich das meiste von selbst.

Das Einwilligungsbanner

Wann du eines brauchst

Sobald du etwas nachlädst oder speicherst, das nicht technisch notwendig ist. Meta-Pixel, Google Analytics, eingebettete Videos von einem fremden Server, Schriften von einem CDN.

Kein Banner nötig, wenn nichts davon läuft. Ein Fenster, das nach nichts fragt, ist eine Zumutung ohne Zweck und macht die Seite schlechter, ohne irgendetwas zu verbessern.

Wie es aussehen muss

Ablehnen so leicht wie zustimmen. Zwei gleich große, gleich sichtbare Knöpfe. Ein "Alle akzeptieren" in Farbe und daneben ein grauer Textlink ist der verbreitetste Fehler, und er macht die Einwilligung angreifbar: Sie ist dann nicht mehr freiwillig.

Nichts vor der Entscheidung laden. Wenn das Pixel schon geladen ist, während der Banner noch fragt, ist die Frage sinnlos.

Nach Kategorien fragen, wenn du mehrere Dienste hast. Wer nur der Statistik zustimmen will, soll das können.

Widerruf muss möglich sein, und zwar so leicht wie die Zustimmung. Ein Link im Fuß jeder Seite genügt.

Nicht die Seite blockieren. Ein Banner, der die Bedienung unmöglich macht, bis man zustimmt, ist selbst ein Problem.

Was gespeichert werden sollte

Zeitpunkt, Kategorien und die Version des Textes. Sonst kannst du später nicht sagen, worin jemand eingewilligt hat.

Tracking

Reichweitenmessung ohne Cookies

Es gibt einen Mittelweg, den viele nicht kennen: eine Messung, die keine Cookies setzt, keine geräteübergreifende Wiedererkennung erlaubt und weder IP noch Browserkennung dauerhaft speichert.

So etwas lässt sich in vielen Fällen auf das berechtigte Interesse stützen und braucht dann kein Banner. Der praktische Gewinn ist groß: Du siehst deine Zahlen auch von den Leuten, die dem Pixel widersprechen.

Wichtig ist, dass die Zusage dann auch stimmt. Wenn deine Datenschutzerklärung sagt, es würden keine IP-Adressen gespeichert, darf das nicht doch irgendwo passieren.

Meta-Pixel und Conversions API

Beides braucht eine Einwilligung. Die verbreitete Annahme, die serverseitige Conversions API sei "datenschutzfreundlicher" und komme ohne Einwilligung aus, ist falsch. Sie übermittelt dieselben Daten über einen anderen Weg. Der Vorteil ist technischer Natur, kein rechtlicher.

Wenn du beides parallel nutzt, achte auf eine gemeinsame Ereigniskennung, sonst zählt Meta doppelt.

Formulare

Datenschutzhinweis am Formular. Kurz und verlinkt: wofür die Daten verwendet werden und wo die ausführliche Erklärung steht. Ein Kästchen "Ich habe die Datenschutzerklärung gelesen" ist dafür nicht nötig und rechtlich umstritten.

Nur fragen, was du brauchst. Das ist Datensparsamkeit, und es verbessert deine Abschlussquote. Zwei Vorteile für dieselbe Entscheidung.

Werbeeinwilligung getrennt. Wenn du später Newsletter schicken willst, gehört das in ein eigenes Kästchen, nicht vorangekreuzt und nicht verpflichtend. Mehr dazu im Artikel über den Lead-Magnet-Funnel.

Wenn du Funnels für Kunden betreibst

Hier wird es praktisch wichtig, und es wird oft übersehen.

Der Kunde ist Verantwortlicher für seine Leads. Es sind seine Interessenten, sein Geschäft. In den Funnel gehören deshalb SEINE Rechtstexte, nicht deine. Ein Funnel für einen Kunden mit dem Impressum der Agentur ist falsch.

Du bist Auftragsverarbeiter. Zwischen dir und deinem Kunden gehört ein Vertrag zur Auftragsverarbeitung. Dasselbe gilt zwischen dir und deinen Werkzeuganbietern.

Impressumspflicht. Ein gewerblicher Funnel braucht ein Impressum, auch wenn er nur eine Seite hat. Ein Funnel ohne Pflichtangaben ist abmahnfähig, und das ist der billigste vermeidbare Fehler überhaupt.

Aufbewahrung

Daten dürfen nicht ewig liegen. Leg eine Frist fest, halte dich daran und schreib sie in deine Datenschutzerklärung.

Was dabei zusammenpassen muss: die Frist im Text und die Frist in der Praxis. Eine Erklärung, die zwölf Monate zusagt, während die Daten seit drei Jahren liegen, ist schlechter als gar keine Angabe.

Praktisch trennt man zwei Dinge: die Einzeldaten, die gelöscht werden, und zusammengefasste Zahlen ohne Personenbezug, die bleiben dürfen. Damit verlierst du deine Auswertung nicht, wenn die Rohdaten weg sind.

Die Rechte der Betroffenen

Wer dir Daten gegeben hat, hat Rechte daran, und du musst sie erfüllen können. In der Praxis geht es fast immer um drei Dinge:

Auskunft. Jemand fragt, welche Daten du über ihn hast. Du musst das beantworten können, und zwar vollständig: Formularangaben, Antworten aus dem Funnel, Notizen im CRM, Mailverlauf.

Löschung. Jemand will, dass seine Daten weg sind. Prüf vorher, ob eine Aufbewahrungspflicht dagegensteht, etwa bei einer Rechnung. Bei einer bloßen Anfrage steht meist nichts dagegen.

Widerspruch gegen Werbung. Eine Abmeldung muss sofort wirken und darf nicht davon abhängen, dass jemand sich einloggt oder eine Begründung angibt.

Praktisch heißt das: Du musst wissen, wo überall Daten liegen. Wenn Anfragen in einem Werkzeug stehen, Mails in einem zweiten und eine Tabelle auf deinem Rechner die dritte Kopie ist, wird jede Auskunft zur Suche.

Verantwortlich oder Auftragsverarbeiter

Der Unterschied klingt formal und entscheidet, wer wofür geradesteht.

Verantwortlicher ist, wer entscheidet, warum und wie Daten verarbeitet werden. Für die Anfragen aus deinem eigenen Funnel bist das du.

Auftragsverarbeiter ist, wer im Auftrag verarbeitet, ohne selbst über den Zweck zu entscheiden. Dein Werkzeuganbieter ist das für dich. Wenn du Funnels für Kunden betreibst, bist du es für deine Kunden.

Zwischen Verantwortlichem und Auftragsverarbeiter gehört ein Vertrag. Das ist kein Papierkram um seiner selbst willen: Ohne ihn fehlt die Grundlage dafür, dass jemand anders deine Daten anfassen darf.

Ein Wort zu Angst und Augenmaß

Datenschutz wird in vielen Diskussionen zu einem Angstthema gemacht, und das führt zu schlechten Entscheidungen: Banner, die nach nichts fragen, Einwilligungen für Dinge, die keine brauchen, und Formulare mit drei Kästchen, von denen zwei überflüssig sind.

Die nüchterne Sicht hilft mehr. Frag dich bei jeder Verarbeitung: Erwartet die Person das, weil sie es angefordert hat? Dann brauchst du keine Einwilligung, nur einen Hinweis. Ist es für deine Zwecke? Dann frag, und zwar so, dass Nein genauso leicht ist wie Ja.

Damit ist der größte Teil abgedeckt. Für den Rest lohnt sich eine Stunde bei jemandem, der davon lebt.

Was du nicht brauchst

Ein paar Dinge, die regelmäßig aus Unsicherheit eingebaut werden und schaden:

Ein Kästchen "Ich stimme der Datenschutzerklärung zu". Rechtlich umstritten, praktisch eine Hürde. Ein verlinkter Hinweis genügt.

Ein Banner ohne Anlass. Wenn nichts geladen wird, das eine Einwilligung braucht, fragst du nach nichts.

Erklärungstexte, die niemand versteht. Eine Datenschutzerklärung, die beschreibt, was tatsächlich passiert, in Alltagssprache, ist mehr wert als eine generierte Textwand.

Die Kurzfassung

Halte auseinander, was jemand von dir will und was du von ihm willst. Frag nur, wenn du fragen musst, und dann so, dass Nein genauso leicht ist wie Ja. Schreib auf, was du tust, und tu, was du aufgeschrieben hast.

Das ersetzt keine Prüfung durch jemanden, der dafür ausgebildet ist. Es bringt dich aber an den Punkt, an dem diese Prüfung kurz ausfällt.