Consent & Preference Management Platform (CPMP) Wie Systemhäuser mit Einwilligungen und Cookies Geld verdienen können

Anbieter zum Thema

mip Consult

WatchGuard Technologies GmbH

Beim „Geschäft mit Cookies“ trifft juristisches Fachwissen auf Software-Arbeit, insbesondere bei Schnittstellen, Prozessen und Datenverarbeitung. Wegen drohender Strafen ist das Budget zur Vermeidung dieser hoch – ein lukratives Feld für IT-Dienstleister.

Jeder kennt das omnipräsente Pop-up, das beim Besuch einer Website auffordert, Cookies zu akzeptieren. Obwohl dieses Verfahren oft als lästig empfunden wird, erfüllt es eine wichtige rechtliche Funktion. Die Einwilligung zu Cookies ist notwendig, damit Website-Betreiber den gesetzlichen Anforderungen zum Datenschutz und zur Privatsphäre gerecht werden und potenzielle rechtliche Probleme vermeiden. So bleibt den Nutzern zwar ein zusätzlicher Klick nicht erspart – und mitunter willigt man bei oberflächlichem Drüberlesen auch mal versehentlich ein, dass Push-Nachrichten geschickt werden dürfen, jedoch dient der ganze Vorgang der rechtlichen Absicherung der Website-Anbieter. Über Sinn und Unsinn von derlei Einwilligungsvorgängen geht es auf Projektebene nicht, sondern nur noch darum, gesetzliche Vorgaben wie die DSGVO einzuhalten und Sanktionen zu vermeiden.

Consent Management Systeme regeln das

Das Akronym CMS ist in der IT-Branche mehrfach besetzt: Content Management System, Credential Management System und Consent Management System. Das zuletzt genannte ist eine spezialisierte Softwarelösung, die Unternehmen bei der Verwaltung von Einwilligungen verschiedenster Personengruppen unterstützt. „Das klassische Anwendungsgebiet ist die Erfassung von Cookie-Einwilligungen auf Websites“, erläutert Dr. Johann Sell, Team Lead Software Entwicklung bei mip Consult, einem Unternehmen, das in diesem Umfeld berät und Lösungen bietet.

Verbraucherzentralen fordern Schutzregeln

Mehr Schutz bei Online-Käufen

Mannigfaltige Anwendungsbereiche

„Allerdings“, ergänzt Sell, „erstreckt sich der Anwendungsbereich auf Einwilligungserklärungen verschiedener Nutzerkreise“:

• Kunden im Bereich Marketing/Werbung,

• Mitarbeiter, beispielsweise bei Daten in Mitarbeiterverzeichnissen,

• Bewerber und die einhergehende Datenspeicherung,

• Veranstaltungsteilnehmer, beispielsweise im Hinblick auf die Fotoerlaubnis,

• Software- und Dienstnutzer bei der Verarbeitung von Registrierungsdaten, Kontaktinformationen und Profildaten, Tracking, Cookies et cetera, sowie

• Geschäftspartner und Lieferanten in Sachen Datenmanagement in Geschäftsbeziehungen.

Technik, Daten und Prozesse

Die technische Funktionsweise basiert auf einer im Hintergrund operierenden Plattform-Architektur, die kontinuierlich Informationen über jeweils aktuell erteilte Einwilligungen sammelt und diese an die jeweiligen Unternehmensbereiche und Systeme weiterleitet, die diese Daten für ihre Prozesse benötigen. „Daher wird in diesem Zusammenhang auch von Consent-Management-Platformen (CMP) gesprochen“, so der promovierte Informatiker.

Komplexe rechtliche Vorgaben

Die strategische Bedeutung eines systematischen Einwilligungsmanagements wird besonders deutlich, wenn Unternehmen komplexe rechtliche Vorgaben erfüllen müssen. Hier stehen u. a. die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) im Fokus, die präzise Dokumentations- und Nachweispflichten erfordern.

Datenschutz ist keine Hexerei

„Im Zuge der Datenschutzberatung zeigte sich immer wieder, dass Unternehmen vor der komplexen Herausforderung stehen, sämtliche Marketing-, Datenschutz- und sonstigen Einwilligungserklärungen effizient und vor allem aktuell zu verwalten“, so Sell. Meist würden diese mit einer Vielzahl verschiedener Systeme arbeiten, in denen Einwilligungen in unterschiedlichem Aktualitätsstand abgelegt sind. Dies führt dann seiner Erfahrung nach zu Inkonsistenzen, erschwert eine transparente Verwaltung von Einwilligungserklärungen und führt unter Umständen zu einem DSGVO-Bußgeldrisiko.

Alles an einem Ort

Um dieser Herausforderung zu begegnen, sei die Idee einer zentralen Datenbank entstanden, die sämtliche Einwilligungsdaten und gegebenenfalls weitere Präferenzen an einem Ort konsolidiert. „So können aktuelle Informationen jederzeit allen Systemen bereitgestellt werden, die für ihre Geschäftsprozesse auf diese Daten angewiesen sind“, sagt Sell. Durch diese transparenten und zentralisierten Prozesse entstehe eine solide Grundlage für rechtskonformes Handeln.

So sei die hauseigene Consent & Preference Management Platform (CPMP) entstanden, die in die bestehende Systemlandschaften eingebunden werden kann.

Rechtliche Risiken

Frage man Sell nach den Risiken und rechtlichen Konsequenzen, die bei DSGVO- oder UWG-Verstößen drohen, wenn kein CMS eingeführt wurde, hat Sell eine lange Liste parat. Typische Risiken ohne zentrale Einwilligungsverwaltung sind fehlende oder uneinheitliche Nachweise der Einwilligungen, veraltete Einwilligungsdaten und in der Folge rechtswidrige Verarbeitungen ohne oder trotz widerrufener Einwilligung.

Werden Einwilligungen nicht rechtssicher verwaltet und dokumentiert drohen bei daraus folgenden Verstößen gegen die DSGVO laut dem Teamleiter:

• Bußgelder: Bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

• Schadensersatzansprüche: Betroffene können Ersatz für materielle und immaterielle Schäden verlangen.

• Imageverlust: Öffentlich gewordene Datenschutzverstöße führen zum Vertrauensverlust und Reputationsschäden.

• Strafrechtliche Sanktionen: Bei vorsätzlichem, etwa bereicherungsorientiertem Handeln können Freiheitsstrafen verhängt werden.

Das war es aber noch nicht. Im Bereich des Gesetzes gegen den unlauteren Wettbewerb (UWG), insbesondere beim Werbemailing oder Telefonmarketing ohne gültige Einwilligung, drohen laut Sell folgende Rechtsfolgen:

• Abmahnungen durch Wettbewerber oder Verbände mit Kostenfolge,

• Unterlassungs- und Beseitigungsansprüche von Mitbewerbern, Verbänden oder Kammern,

• Schadensersatzforderungen von Mitbewerbern,

• Gewinnabschöpfung: Herausgabe erzielter Gewinne aus unlauterem Verhalten,

• Bußgelder bis zu 100.000 Euro für ordnungswidrige „unzumutbare Belästigung“ gemäß § 20 UWG,

• Strafrechtliche Konsequenzen im Einzelfall.

Praxisbeispiel: Marketing

Sell nennt ein Praxisbeispiel aus dem Marketing-Bereich: „Ein Unternehmen nutzt eine Consent & Preference Management Platform, um Kunden beim Besuch der Website gezielt zu fragen, ob sie (personalisierten) Werbeaktionen und/oder dem Erhalt von Newslettern zustimmen.“ Nur wenn der Kunde ausdrücklich „Marketing-Kommunikation via E-Mail und SMS“ auswählt, werden seine Kontaktdaten für entsprechende Marketing-Kampagnen genutzt. Die Plattform dokumentiert dabei die Zustimmung inklusive Zeitpunkt, Kanal und der gewählten Kommunikationsart. Ein Widerruf ist jederzeit über ein Widerrufs-Formular oder einen Link (beispielsweise im Newsletter) möglich, wobei die Consent & Preference Management Platform jeweils automatisch aktualisiert wird.

Praxisbeispiel: Vertrieb

Bei der telefonischen Kontaktaufnahme nach einem Messebesuch werden die datenschutzrechtlichen Anforderungen wie folgt erfüllt: Ein Besucher hinterlässt auf einer Messe seine Visitenkarte mit einem Vermerk, dass er kontaktiert werden möchte, oder füllt digital ein Formular aus mit dem Einverständnis zur telefonischen Kontaktaufnahme. Dabei wird er über eine Datenschutzhinweis unter anderem über den Zweck der Kontaktaufnahme und die verwendete Kontaktmethode informiert. Die Plattform dokumentiert auch hier die Zustimmung inklusive den Zeitpunkt, Kanal und gewählter Kommunikationsart. Widerrufe werden systemübergreifend beachtet und die Daten können auf Wunsch des Betroffenen auch gesperrt werden.

Praxisbeispiel: Service

Nach erfolgreichem Abschluss einer Supportanfrage erhält ein Kunde vom Service-Team eine E-Mail mit der Einladung zu einer Kundenzufriedenheitsumfrage. Für eine solche Einladungs-E-Mail ist gemäß § 7 UWG eine Einwilligung des Kunden erforderlich. Die Einladungs-E-Mail wird daher nur an Kunden gesendet, die zuvor ausdrücklich der Kontaktaufnahme zu Feedback-Zwecken zugestimmt haben. Die Information, ob ein Kunde der Einladung zu Kundenzufriedenheitsumfragen zugestimmt hat, wird aus der Consent & Preference Management Platform abgerufen.

Das Geschäft rund um Cookies

Doch wie können Systemhäuser und IT-Dienstleister in diesem Segment durch eigene Wertschöpfung Geld verdienen?

Nach Darstellung von Sell gibt es für Systemhäuser und IT-Dienstleister im Bereich Einwilligungsmanagement (Consent Management) erhebliche Potenziale für profitable Geschäftsmodelle. Und angesichts der verschärften Datenschutz-Compliance-Anforderungen durch DSGVO, TDDDG und UWG (siehe Kasten) entstehen vielfältige Wertschöpfungsmöglichkeiten entlang der gesamten Servicekette.

Strategische Beratung als Fundament

„Der Einstieg in das Geschäftsfeld beginnt meist mit strategischer Beratung und Konzeption“, berichtet der Informatiker. Unternehmen benötigen seiner Erfahrung nach zunächst eine fundierte Analyse ihrer aktuellen Prozesse und IT-Systeme beispielsweise durch ein entsprechendes Audit. Darauf aufbauend können dann maßgeschneiderte CPMP-Anforderungen, die sowohl rechtliche als auch IT-architektonische Aspekte berücksichtigen, erhoben werden. „Eine umfassende Risikobewertung potenzieller Bußgeld- oder Reputationsrisiken rundet das Beratungsangebot ab“, so Sell.

Technische Integration und Customizing

Nach der Konzeptionsphase folgt die technische Umsetzung. „Viele Unternehmen nutzen bereits CMP-Lösungen für die Cookie-Verwaltung, benötigen aufgrund der heterogenen IT-Landschaft jedoch maßgeschneiderte Implementierungen“, erläutert der Software-Profi. Systemhäuser können hier durch die technische Integration einer CPMP über Schnittstellen mit CRM-, ERP-, Marketing-Automation- und Website-Systemen, Shopsystemen, Mobile Apps, Tag-Managern und Customer Data Platforms wertvolle Dienste leisten. Anpassungen sind auch im Bereich Custom UI/UX-Anpassungen der Consent-Banner an die Corporate Identity des Kunden erforderlich.

Betrieb und Managed Services

Viele mittelständische Unternehmen möchten sich nicht selbst um den operativen Betrieb ihrer CPMP kümmern, weiß der Manager. „Hier bieten sich Managed Services an, die das kontinuierliche Monitoring von Consent-Raten, Akzeptanz- und Ablehnungsraten sowie technischen Fehlern umfassen. Regelmäßige Updates bei Gesetzesänderungen oder Browser-Updates sowie Support bei Datenschutz-Anfragen schaffen zusätzlichen Mehrwert“, so Sell.

Analytics und Optimierung

Ein besonders innovatives Geschäftsfeld eröffnet sich nach der Einschätzung von Sell durch Analytics und Optimierung. Einwilligungsraten haben demnach direkte Auswirkungen auf Marketing-Effektivität und Datenqualität. Datenfluss-Analysen können hier aufzeigen, in welchen Prozessen durch fehlende Einwilligungen Potential verloren geht.

Partnerschaften und Reselling

Strategische Partnerschaften mit CPMP-Herstellern bieten weitere Einnahmequellen, führt der Mitarbeiter von mip Consult aus und konkretisiert: „Viele Anbieter haben attraktive Partnerprogramme mit Reselling-Lizenzen, die Provisionen oder Margen ermöglichen. White-Label-Lösungen erlauben es, eigene CPMP-Brandings zu entwickeln, während der Zugang zu technischen APIs tiefere Integrationen ermöglicht.“

Schulungen und Awareness

Ergänzend zu den technischen Lösungen können Software-Entwickler und IT-Berater ihr Portfolio seiner Einschätzung nach durch Schulungen und Awareness-Programme lukrativ erweitern. Mitarbeiterschulungen zur datenschutzkonformen Nutzung von CPMP, Workshops für Datenschutzbeauftragte und Zertifizierungsprogramme für Unternehmen schaffen zusätzliche Wertschöpfung. Die mip Consult bietet in diesem Umfeld eine eigene eLearning-Plattform an, auf der Partnerunternehmen ihre Mitarbeiter schulen und zertifizieren lassen können.

Fazit: Ganzheitliche Serviceketten sind gefragt

Der Erfolg liegt in letzter Konsequenz also in der umfassenden Betreuung von CPMP-Projekten über deren gesamten Lebenszyklus. Beginnend mit der initialen Beratung, über die Implementierung und den Betrieb, bis hin zur ständigen Optimierung, entsteht ein lukratives und wiederkehrendes Geschäftsfeld. Angesichts steigender regulatorischer Anforderungen entwickelt sich das Thema Consent & Preference Management Platform zu einem vielschichtigen Geschäftssegment mit signifikanten Wachstumspotenzialen für Software-Entwickler und IT-Dienstleister. Das „Geschäft mit den Cookies“ ist vielschichtiger, als viele denken.

(ID:50495715)