Das Schreiben einer Marketing-Datenschutzrichtlinie beinhaltet die Dokumentation darüber, wie Ihr Unternehmen Kundendaten für Werbe- und Kommunikationszwecke sammelt, speichert und verwendet. Sie müssen die spezifischen Arten der gesammelten Informationen klar darlegen, wie z. B. E-Mail-Adressen für Newsletter oder Cookies für Retargeting, während Sie die Rechtsgrundlage für die Verarbeitung erläutern und klare Opt-out-Anweisungen bereitstellen. Dieses Dokument dient als gesetzliche Anforderung gemäß Vorschriften wie DSGVO und CCPA und gewährleistet Transparenz zwischen Ihrer Marke und ihrem Publikum.
Ein häufiges Muster ist, dass Unternehmen eine Vorlage verwenden, ohne sie an ihren spezifischen Marketing-Stack anzupassen. Wenn Ihr Shopify-Shop das Meta Pixel oder Google Ads Enhanced Conversions verwendet, muss Ihre Richtlinie diese spezifischen Technologien widerspiegeln. Das Versäumnis, diese offenzulegen, kann zu Kontosperrungen auf großen Werbeplattformen oder rechtlichen Sanktionen durch Regulierungsbehörden führen. Transparenz schafft Vertrauen, und eine klar definierte Richtlinie ist das Fundament dieser Beziehung.
Welche Daten sammeln digitale Vermarkter eigentlich?
Digitales Marketing stützt sich auf zwei Hauptkategorien von Daten: Informationen, die direkt vom Benutzer bereitgestellt werden, und Informationen, die automatisch durch technische Mittel gesammelt werden. Wenn ein Benutzer ein Lead-Magnet-Formular auf einer Landingpage ausfüllt, stellt er direkte Daten wie seinen Namen, sein Unternehmen und seine Berufsbezeichnung bereit. Dies ist eine explizite, auf Zustimmung basierende Datenerfassung, die normalerweise einfach in Ihrer Richtlinie zu dokumentieren ist.
Die komplexere Seite betrifft die automatisierte Datenerfassung. Sobald ein Besucher auf Ihrer Website landet, beginnen Tools wie Google Analytics 4 (GA4) oder das LinkedIn Insight Tag, das Sitzungsverhalten zu verfolgen. Dazu gehören IP-Adressen, geografische Standorte basierend auf IP, Browsertypen und Gerätekennungen. In einem typischen Konto werden diese Daten verwendet, um benutzerdefinierte Zielgruppen zu erstellen und Conversion-Pfade über verschiedene Sitzungen hinweg zu verfolgen.
Vermarkter sammeln auch Verhaltensdaten wie Clickstream-Muster. Dies verfolgt, welche Schaltflächen angeklickt wurden, wie weit ein Benutzer gescrollt hat und welche Produkte in den Warenkorb gelegt, aber nicht gekauft wurden. Wenn Sie Sitzungsaufzeichnungstools wie Hotjar oder Microsoft Clarity verwenden, müssen Sie explizit angeben, dass Benutzersitzungen zu Qualitätssicherungs- und Website-Optimierungszwecken aufgezeichnet werden. Dieser Detaillierungsgrad ist für ein rechtlich fundiertes Dokument erforderlich.
Wie gehen Sie mit Tracking-Pixeln und Cookies um?
Tracking-Pixel und Cookies sind die technischen Motoren moderner Werbung. Ein Cookie ist eine kleine Textdatei, die auf dem Gerät des Benutzers gespeichert wird, während ein Pixel ein winziger Code-Schnipsel ist, der Daten an einen Server zurücksendet. Ihre Datenschutzrichtlinie benötigt einen eigenen Abschnitt für diese Technologien, da sie aus Sicht des Datenschutzes oft der invasivste Teil des digitalen Marketingprozesses sind.
In Ihrer Richtlinie sollten Sie Cookies in Gruppen kategorisieren. Essenzielle Cookies sind solche, die für das Funktionieren der Website erforderlich sind, wie z. B. das Eingeloggtbleiben eines Benutzers. Performance-Cookies helfen Ihnen zu verstehen, wie die Website genutzt wird, z. B. durch die Verfolgung, ob eine Seite länger als der Google Core Web Vitals LCP-Schwellenwert von 2,5 Sekunden zum Laden benötigt. Marketing-Cookies werden verwendet, um Besucher über Websites hinweg zu verfolgen, um relevante Werbung bereitzustellen.
Wenn Sie beispielsweise Meta Ads schalten, müssen Sie offenlegen, dass das Meta Pixel Benutzeraktionen auf Ihrer Website verfolgt und sie mit Meta-Benutzerprofilen abgleicht. Dies ermöglicht Retargeting, bei dem ein Benutzer, der sich ein bestimmtes Paar Schuhe auf Ihrer Website angesehen hat, später eine Anzeige für diese Schuhe auf Instagram sieht. Benutzer haben das Recht zu wissen, dass dieses plattformübergreifende Tracking stattfindet und wie sie es stoppen können.
Wie erfüllen Sie die Anforderungen von DSGVO und CCPA?
Die Datenschutz-Grundverordnung (DSGVO) in Europa und der California Consumer Privacy Act (CCPA) in den Vereinigten Staaten sind die beiden einflussreichsten Gesetze, die beeinflussen, wie man eine Datenschutzrichtlinie schreibt. Obwohl sie das Ziel des Datenschutzes teilen, haben sie unterschiedliche verfahrenstechnische Anforderungen. Die DSGVO konzentriert sich auf die ‘Opt-in’-Zustimmung, während sich der CCPA auf das Recht konzentriert, dem Verkauf persönlicher Informationen zu ‘widersprechen’ (Opt-out).
Gemäß DSGVO müssen Sie Ihre Rechtsgrundlage für die Datenverarbeitung identifizieren. Für die meisten Vermarkter ist dies entweder ‘Zustimmung’ oder ‘Berechtigtes Interesse’. Wenn Sie Werbe-E-Mails über Klaviyo versenden, verlassen Sie sich im Allgemeinen auf die Zustimmung. Wenn Sie Analysen verwenden, um die Website-Leistung zu verbessern, könnten Sie ein berechtigtes Interesse geltend machen. Sie müssen EU-Bürgern auch das ‘Recht auf Vergessenwerden’ einräumen, was bedeutet, dass Sie alle ihre Daten auf Anfrage löschen müssen.
Der CCPA erfordert einen spezifischen Link auf Ihrer Website, der oft ‘Meine persönlichen Daten nicht verkaufen’ betitelt ist. Selbst wenn Sie Daten nicht buchstäblich gegen Bargeld verkaufen, kann die Definition eines ‘Verkaufs’ im CCPA das Teilen von Daten mit Werbenetzwerken für gezielte Anzeigen beinhalten. Ihre Datenschutzrichtlinie muss erklären, wie Einwohner Kaliforniens ihr Recht ausüben können, dieses Teilen zu stoppen. Es ist üblich, einen spezifischen Abschnitt in Ihrer Richtlinie zu haben, der ausschließlich Einwohnern Kaliforniens gewidmet ist, um diese Anforderungen zu erfüllen.
Was sind die obligatorischen Abschnitte für eine Marketingrichtlinie?
Eine professionelle Marketing-Datenschutzrichtlinie sollte einer logischen Struktur folgen, die es dem Leser leicht macht, spezifische Informationen zu finden. Vermeiden Sie eine zu juristische Sprache, die der durchschnittliche Kunde nicht verstehen kann. Verwenden Sie stattdessen klare Überschriften und Aufzählungspunkte, um den Inhalt zu organisieren.
- Kontaktinformationen: Geben Sie den Namen Ihres Unternehmens, die physische Adresse und eine dedizierte Datenschutz-E-Mail-Adresse an.
- Arten der gesammelten Daten: Listen Sie sowohl persönliche Daten (E-Mails, Namen) als auch technische Daten (IP-Adressen, Cookies) auf.
- Erhebungsmethoden: Erklären Sie, wie Daten gesammelt werden, einschließlich Formularen, Cookies und Importen von Drittanbietern.
- Zweck der Verarbeitung: Geben Sie klar an, dass Daten für Marketing, Analysen und Auftragsabwicklung verwendet werden.
- Weitergabe an Dritte: Listen Sie die Kategorien von Dienstleistern auf, mit denen Sie Daten teilen, wie z. B. Zahlungsabwickler und Werbenetzwerke.
- Datenspeicherung: Erklären Sie, wie lange Sie die Daten aufbewahren, z. B. ‘bis der Benutzer sich abmeldet’ oder ‘für 24 Monate Inaktivität’.
- Benutzerrechte: Detaillieren Sie, wie Benutzer auf ihre Informationen zugreifen, sie korrigieren oder löschen können.
Jeder dieser Abschnitte sollte mit Blick auf Ihre spezifischen Geschäftsabläufe geschrieben werden. Wenn Sie ein B2B-Unternehmen sind, das den LinkedIn Sales Navigator verwendet, wird Ihr Abschnitt zur Weitergabe an Dritte anders aussehen als bei einem B2C-Shopify-Shop, der TikTok Ads verwendet. Sie sollten Ihren technischen Stack alle sechs Monate überprüfen, um sicherzustellen, dass keine neuen Tools hinzugefügt wurden, die in Ihren Offenlegungen fehlen.
Wie sollten Sie die Nutzung von Software von Drittanbietern offenlegen?
Modernes Marketing findet selten im luftleeren Raum statt. Die meisten Unternehmen verwenden eine Vielzahl von Tools von Drittanbietern, um ihre Daten zu verwalten. Ihre Datenschutzrichtlinie muss als Karte dafür dienen, wohin die Daten Ihres Kunden fließen. Wenn Sie HubSpot als Ihr CRM verwenden, muss Ihre Richtlinie angeben, dass Benutzerdaten auf den Servern von HubSpot gespeichert werden und deren Sicherheitsprotokollen unterliegen.
E-Mail-Dienstanbieter wie Mailchimp oder Klaviyo sind kritisch offenzulegen. Diese Plattformen verwenden oft Web-Beacons, um zu verfolgen, ob ein Benutzer eine E-Mail geöffnet oder einen Link angeklickt hat. Dies ist eine Sammlung persönlicher Daten, die transparent sein muss. Wenn Sie Zapier verwenden, um verschiedene Apps zu verbinden, teilen Sie technisch gesehen Daten zwischen Plattformen, und dieser Fluss sollte in Ihrem Abschnitt ‘Weitergabe an Dritte’ erwähnt werden.
Für Analysen ist Google Analytics 4 der Industriestandard. Sie sollten erwähnen, dass GA4 Cookies verwendet, um Sitzungsdaten zu verfolgen, und dass diese Daten von Google verarbeitet werden. Sie sollten auch einen Link zum Google Analytics Opt-out Browser Add-on bereitstellen. Die Bereitstellung dieser direkten Links zu Opt-out-Tools zeigt ein Engagement für den Datenschutz der Benutzer und kann dazu beitragen, Ihre rechtliche Haftung zu verringern.
Effektives Management von Zustimmung und Benutzerrechten
Das Schreiben der Richtlinie ist nur die halbe Miete; Sie müssen auch die Mechanismen implementieren, die es Benutzern ermöglichen, ihre Rechte auszuüben. Dies beinhaltet normalerweise ein Cookie-Zustimmungsbanner. Tools wie OneTrust, Cookiebot oder die integrierten Shopify-Datenschutzeinstellungen ermöglichen es Ihnen, Marketing-Skripte zu blockieren, bis der Benutzer auf ‘Akzeptieren’ klickt. Ihre Richtlinie sollte erklären, dass Benutzer das Recht haben, diese Zustimmung jederzeit zu widerrufen.
Wenn ein Benutzer eine ‘Anfrage auf Zugriff durch die betroffene Person’ (DSAR) einreicht, benötigen Sie einen Prozess, um darauf zu reagieren. Dies kann beinhalten, ihren Kontaktdatensatz aus Ihrem CRM zu exportieren und ihren Aktivitätsverlauf von Ihrer E-Mail-Marketing-Plattform abzurufen. Ihre Datenschutzrichtlinie sollte den Zeitrahmen angeben, in dem Sie auf diese Anfragen reagieren, was gemäß DSGVO normalerweise 30 Tage beträgt.
Sicherheit ist eine weitere wichtige Komponente der Benutzerrechte. Sie sollten die allgemeinen Maßnahmen beschreiben, die Sie zum Schutz von Daten ergreifen, wie z. B. die Verwendung von SSL-Verschlüsselung auf Ihrer Website und die Anforderung einer Zwei-Faktor-Authentifizierung für Mitarbeiter, die auf das CRM zugreifen. Sie müssen keine spezifischen technischen Details preisgeben, die einem Hacker helfen könnten, aber Sie müssen demonstrieren, dass Sie den Datenschutz ernst nehmen.
Wo man diese Woche anfangen sollte
Der erste Schritt zum Schreiben einer Marketing-Datenschutzrichtlinie ist die Durchführung eines Datenaudits. Erstellen Sie eine Tabelle und listen Sie jedes Tool auf Ihrer Website auf, das Daten sammelt. Überprüfen Sie Ihren Google Tag Manager-Container auf aktive Tags wie Meta, Pinterest oder Twitter. Identifizieren Sie jedes Formular auf Ihrer Website und wohin diese Daten gesendet werden, sobald ein Benutzer auf ‘Senden’ klickt.
- Überprüfen Sie Ihren Tech-Stack: Listen Sie jedes Tracking-Pixel, CRM und E-Mail-Tool auf, das derzeit verwendet wird.
- Kategorisieren Sie Ihre Daten: Trennen Sie, was direkt gesammelt wird, von dem, was über Cookies gesammelt wird.
- Entwerfen Sie die Kernabschnitte: Verwenden Sie die Liste der obligatorischen Komponenten, um Ihren ersten Entwurf in einfachem Englisch zu schreiben.
- Implementieren Sie ein Zustimmungsbanner: Stellen Sie sicher, dass Ihre Website die Entscheidungen, die Ihre Richtlinie beschreibt, tatsächlich respektiert.
- Überprüfung durch Rechtsbeistand: Lassen Sie einen qualifizierten Fachmann Ihren Entwurf überprüfen, um sicherzustellen, dass er den spezifischen Gesetzen Ihrer Gerichtsbarkeit entspricht.
Sobald Ihre Richtlinie geschrieben ist, platzieren Sie einen Link dazu in der Fußzeile Ihrer Website und auf jedem Lead-Generierungsformular. Dies stellt sicher, dass Benutzer die Möglichkeit haben, Ihre Datenpraktiken zu lesen, bevor sie persönliche Informationen teilen. Die Aktualisierung dieses Dokuments bei Änderungen Ihrer Marketingstrategie hilft Ihnen, die Compliance zu wahren und das Risiko von Plattformverboten oder rechtlichen Schritten zu vermeiden.
Weiterlesen: Strategische Planung · Digitales Marketing