Individuelle Zwecke: Einwilligungsverwaltung jenseits von Standard-Datenschutzrahmenwerken

Das IAB Transparency and Consent Framework (TCF) und die IAB Global Privacy Platform (GPP) decken eine Vielzahl von Werbe- und Datenverarbeitungsszenarien ab. Viele Websites erheben und verarbeiten Daten jedoch für Zwecke, die überhaupt nicht in diese Rahmenwerke passen – Newsletter-Tracking, A/B-Tests, Sitzungsaufzeichnungen, Chatbot-Interaktionen oder branchenspezifische regulatorische Anforderungen.

Individuelle Zwecke: Einwilligungsverwaltung jenseits von Standard-Datenschutzrahmenwerken

Mit UniConsent Custom Purposes können Sie eigene Einwilligungskategorien definieren, diese neben den Standardzwecken im Consent-Banner anzeigen und sie über dieselbe JavaScript-API und dieselben Tag-Loading-Tools verwalten, die Sie bereits nutzen.

Warum Standardzwecke nicht alles abdecken

IAB TCF definiert Zwecke wie:

• Zweck 1: Informationen auf einem Gerät speichern und/oder abrufen
• Zweck 2: Begrenzte Daten zur Auswahl von Werbung verwenden
• Zweck 3: Profile für personalisierte Werbung erstellen
• Zweck 7: Werbeleistung messen
• Zweck 10: Dienste entwickeln und verbessern

Diese eignen sich gut für Werbung – Ad-Targeting, Messung, Inhaltspersonalisierung. Wenn Ihre Website jedoch A/B-Tests durchführt, Nutzersitzungen mit Hotjar aufzeichnet, Newsletter mit Öffnungsraten-Tracking versendet oder in einer regulierten Branche wie Glücksspiel oder Gesundheitswesen tätig ist, lässt sich keine dieser Aktivitäten einem TCF-Zweck zuordnen.

Die gleiche Lücke besteht auf der US-Seite. Das IAB-GPP-Framework verarbeitet Opt-out-Signale für bundesstaatliche Datenschutzgesetze wie CCPA, bietet jedoch keinen Mechanismus zur Einholung von Opt-in-Einwilligungen für sensible Datenkategorien, die viele Bundesstaatengesetze mittlerweile vorschreiben.

Custom Purposes schließen diese Lücke.

E-Commerce: Empfehlungen, A/B-Tests und dynamische Preisgestaltung

Die meisten E-Commerce-Websites gehen weit über einfache Werbung hinaus. Sie erstellen Einkaufsprofile aus Browsing-Verlauf und Kaufmustern, um Produktempfehlungen zu steuern. Sie führen A/B-Tests über Checkout-Abläufe, Landingpages und Preisgestaltung durch. Manche nutzen dynamische Preisgestaltung basierend auf Standort, Gerät oder Browsing-Verhalten.

Nichts davon lässt sich einem TCF-Zweck zuordnen. Das Profiling für Produktempfehlungen ist granularer als die Inhaltspersonalisierung im TCF. A/B-Tests verfolgen Sitzungen über experimentelle Varianten hinweg zur Conversion-Optimierung, nicht zu Werbezwecken. Dynamische Preisgestaltung nutzt personenbezogene Daten, um anzupassen, was einzelne Besucher sehen – eine Praxis, die in der EU zunehmend regulatorische Aufmerksamkeit auf sich zieht.

Beispiele für individuelle Zwecke einer E-Commerce-Website:

• product_recommendations – Aufbau von Einkaufsprofilen zur Personalisierung von Vorschlägen
• ab_testing – Verfolgung von Sitzungen im Rahmen von Website-Optimierungsexperimenten
• dynamic_pricing – Nutzung von Browsing-Daten zur Personalisierung von Preisen und Angeboten
• post_purchase_tracking – Analyse von Rückgabemustern und Bewertungsverhalten

Medien und Publishing: Paywalls, Newsletter und Leserprofiling

Europäische Verlage, die Consent-or-Pay-Modelle betreiben – üblich seit den CNIL-Cookie-Richtlinien 2020 in Frankreich – benötigen eine Einwilligungsverwaltung, die über Werbung hinausgeht. Sie erfassen Leseverhalten, um redaktionelle Inhalte zu personalisieren, überwachen Nutzerpfade von kostenlosen Artikeln bis zur Paywall-Konversion, teilen Leserdaten zwischen Titeln innerhalb einer Mediengruppe und verfolgen Newsletter-Engagement mit Öffnungsraten und Klickdaten.

TCF-Zweck 6 (Nutzung von Profilen zur Auswahl personalisierter Inhalte) ist auf das TCF-Vendor-Ökosystem beschränkt. Er deckt weder First-Party-Redaktionspersonalisierung noch Abonnement-Analysen oder websiteübergreifende Leserprofile innerhalb einer Mediengruppe ab.

Beispiele für individuelle Zwecke einer Publishing-Website:

• editorial_personalization – Erfassung des Leseverhaltens zur Personalisierung redaktioneller Inhalte
• subscription_analytics – Analyse der Paywall-Konversion und des Abonnementverhaltens
• cross_site_sharing – Weitergabe von Leserprofilen zwischen Websites der Mediengruppe
• newsletter_tracking – Erfassung des Engagements innerhalb von E-Mail-Newslettern

SaaS-Plattformen: Sitzungsaufzeichnungen, Chatbots und Produktanalysen

SaaS-Plattformen und Webanwendungen verarbeiten Interaktionsdaten, die nichts mit Werbung zu tun haben. Tools wie Hotjar, FullStory und Microsoft Clarity erfassen Mausbewegungen, Klicks und Seiteninteraktionen. KI-gestützte Chatbots speichern und analysieren Gesprächsdaten. Produktteams verfolgen Feature-Nutzung, Workflow-Abschluss und Engagement-Muster.

All dies liegt außerhalb von IAB TCF. Eine Sitzungsaufzeichnung ist Produktanalyse, keine Werbemessung. Ein Chatbot-Gesprächsprotokoll sind Kundensupport-Daten, kein Werbeprofil.

Beispiele für individuelle Zwecke einer SaaS-Plattform:

• session_recording – Aufzeichnung und Analyse von Nutzerinteraktionen auf der Website
• ai_chatbot – Speicherung und Analyse von Chatbot-Gesprächsdaten
• product_analytics – Erfassung von Feature-Nutzung und Interaktionsmustern
• user_feedback – Erhebung und Verknüpfung von In-App-Umfrage- und Feedbackdaten

Online-Glücksspiel: Spielerprofiling jenseits des verantwortungsvollen Spielens

Glücksspiel-Websites in regulierten Märkten wie den Niederlanden stehen vor einer Trennung zwischen verpflichtender und optionaler Datenverarbeitung. Die niederländische Glücksspielbehörde (Kansspelautoriteit, KSA) verlangt von Betreibern eine Altersverifikation, die Überwachung des Spielerverhaltens im Sinne des verantwortungsvollen Spielens und die Meldung an Aufsichtsbehörden. Dies sind gesetzliche Verpflichtungen – für sie ist keine Einwilligung erforderlich.

Glücksspiel-Websites tun jedoch auch Dinge, die über diese Verpflichtungen hinausgehen: personalisierte Spielempfehlungen basierend auf dem Spielverlauf, produktübergreifendes Profiling zwischen Casino, Sportwetten und Poker, Weitergabe von Spielerdaten an Affiliate- und Marketingpartner sowie Verhaltensanalysen für Business Intelligence. Diese optionalen Aktivitäten erfordern eine Einwilligung, und keine davon passt in TCF.

Beispiele für individuelle Zwecke einer Glücksspiel-Website:

• gaming_recommendations – Nutzung des Spielverlaufs zur Personalisierung von Spiel- und Aktionsvorschlägen
• cross_platform_profiling – Zusammenführung von Spielerdaten über Gaming-Produkte hinweg
• marketing_data_sharing – Weitergabe von Spielerdaten an Marketing- und Affiliate-Partner
• enhanced_analytics – Verhaltensanalyse jenseits des verpflichtenden verantwortungsvollen Spielens

Gesundheit und Wellness: Sensible Daten außerhalb von HIPAA

In den USA deckt HIPAA Krankenhäuser und ihre Geschäftspartner ab, aber viele Gesundheitsinformations-Websites, Wellness-Portale und Telehealth-Plattformen fallen nicht in seinen Anwendungsbereich. Die FTC ist bereits gegen Gesundheits-Websites vorgegangen, die Browsing-Daten mit Werbeplattformen geteilt haben – der BetterHelp-Vergleich von 2023 ist ein bekanntes Beispiel.

Gesundheits-Websites, die Symptomsuchen, Aufrufe von Krankheitsseiten oder Ergebnisse von Wellness-Quizzen erfassen, teilen diese Daten häufig mit Analyseplattformen. Manche erstellen Zielgruppensegmente basierend auf gesundheitsbezogenem Browsing für Werbezwecke. Andere teilen anonymisierte Browsing-Muster mit Pharmaunternehmen oder Forschungseinrichtungen. All dies erfordert eine klare Einwilligung, und Standard-Werberahmenwerke gehen darauf nicht ein.

Beispiele für individuelle Zwecke einer Gesundheits-Website:

• health_analytics – Verarbeitung gesundheitsbezogener Browsing-Daten mit Drittanbieter-Analysen
• health_interest_ads – Nutzung gesundheitsbezogener Browsing-Daten für Werbung
• health_profile – Aufbau eines Gesundheitsinteressenprofils über verbundene Web-Angebote hinweg
• research_sharing – Weitergabe anonymisierter gesundheitsbezogener Browsing-Daten an Forschungspartner

US-Bundesstaatliche Datenschutzgesetze: Sensible Daten, die eine Opt-in-Einwilligung erfordern

Die wachsende Liste US-bundesstaatlicher Datenschutzgesetze – CCPA in Kalifornien, CPA in Colorado, CTDPA in Connecticut, VCDPA in Virginia, TDPSA in Texas und andere – definiert sensible Datenkategorien, die vor der Verarbeitung eine Opt-in-Einwilligung erfordern. Das IAB-GPP-Framework verarbeitet Opt-out-Signale, bietet jedoch keinen Mechanismus für diese Opt-in-Anforderungen.

Sensible Kategorien, denen Websites häufig begegnen, umfassen präzise Geolokalisierung (GPS-genaue Daten, nach vielen Bundesstaatengesetzen definiert als innerhalb von 1.750 Fuß), biometrische Identifikatoren wie Gesichtserkennung oder Fingerabdruck-Login, Daten von Besuchern unter 16 Jahren (oder 13 Jahren in manchen Bundesstaaten) sowie abgeleitete sensible Merkmale wie Gesundheitszustände oder religiöse Überzeugungen, die aus Browsing-Mustern hergeleitet werden.

Bundesstaaten wie Illinois (BIPA), Texas und Washington haben zusätzlich zu ihren allgemeinen Datenschutzgesetzen separate biometrie-spezifische Einwilligungsanforderungen.

Beispiele für individuelle Zwecke einer US-Website:

• precise_geolocation – Erhebung GPS-genauer Standortdaten für Personalisierung und Analysen
• biometric_data – Erhebung und Verarbeitung biometrischer Identifikatoren
• minor_data_processing – Verarbeitung von Daten von Besuchern unter 16 Jahren
• sensitive_inference – Verarbeitung, die auf sensible persönliche Merkmale schließen lassen kann

EdTech: Schülerdaten jenseits der Kernbildung

Online-Lernplattformen stehen im Schnittpunkt mehrerer Datenschutzvorschriften. In den USA setzen FERPA und COPPA die Grundlage, aber Bundesstaaten wie Kalifornien (SOPIPA) und New York (Education Law 2-d) fügen spezifische Anforderungen zum Schutz von Schülerdaten hinzu. In der EU erfordert die Verarbeitung von Schülerdaten für Zwecke jenseits der Bildungsvermittlung eine separate Einwilligung.

EdTech-Websites analysieren häufig das Verhalten von Schülern – Bearbeitungszeit, Klickmuster, Kursabschlussraten –, um Engagement-Profile zu erstellen, die über das für die Kursvermittlung Notwendige hinausgehen. Sie setzen KI-gestützte Personalisierung ein, um Lernpfade anzupassen. Sie verfolgen E-Mail- und Benachrichtigungsengagement zu Marketingzwecken. Und sie teilen Interaktionsdaten von Schülern mit Drittanbietern von Bildungsinhalten, Bewertungstools oder Nachhilfediensten.

Beispiele für individuelle Zwecke einer EdTech-Website:

• student_analytics – Analyse des Schülerverhaltens jenseits der Kernbildungsvermittlung
• ai_personalization – KI-gestützte Personalisierung von Lerninhalten und -pfaden
• communication_tracking – Überwachung des Engagements bei Plattform-Kommunikationen
• third_party_content – Weitergabe von Interaktionsdaten an Partner für Bildungsinhalte

So funktioniert es

Custom Purposes funktionieren neben Ihrer bestehenden Einwilligungskonfiguration – sie ersetzen nicht TCF oder ein anderes Rahmenwerk. Die Einwilligung wird getrennt vom TCF-Consent-String gespeichert, sodass Ihre TCF-Konformität erhalten bleibt. Individuelle Zwecke erscheinen im selben Consent-Banner, reagieren auf die Aktionen „Alle akzeptieren" und „Alle ablehnen", und Nutzer können jeden einzeln umschalten.

Sie funktionieren über alle von UniConsent unterstützten Rechtsrahmen hinweg: DSGVO, TCF Canada, CCPA, US State Privacy, LGPD, PIPL, POPIA und Simple Mode. Auf technischer Seite lassen sich individuelle Zwecke in die JavaScript-API, den Google Tag Manager dataLayer und das bedingte Tag-Laden von UnicScript integrieren.

Anleitungen zur Einrichtung und technische Details finden Sie in der Custom-Purposes-Dokumentation.

Fazit

Standard-Datenschutzrahmenwerke decken Werbung gut ab, aber die meisten Websites tun mehr als nur Anzeigen auszuspielen. Wenn Ihre Website A/B-Tests durchführt, Sitzungen aufzeichnet, Newsletter-Engagement verfolgt, sensible Daten verarbeitet oder in einer regulierten Branche tätig ist, haben Sie wahrscheinlich Einwilligungsanforderungen, für die TCF und GPP nicht konzipiert wurden.

Custom Purposes bieten Ihnen eine Möglichkeit, diese Anforderungen innerhalb derselben Consent-Infrastruktur zu verwalten – keine separaten Pop-ups, keine eigens entwickelten Lösungen, volle Kompatibilität mit jedem wichtigen Datenschutzrahmenwerk.