Kolumne von Jochen Schlosser:
Mein Leben mit der DSGVO: Und täglich grüßt das Datentier
Zwei Monate ist der DSGVO-Horror jetzt her. Unser Kolumnist Jochen Schlosser war mittendrin, statt nur dabei. Ein Erfahrungsbericht.
Foto: Adform
Kennen sie das, das Gefühl in einer Schleife zu stecken? Immer wieder die gleichen Abläufe, Fragen und Antworten; und dann in leicht oder stärker geänderten Varianten, in unzähligen Iterationen, wieder und wieder von vorne anzufangen? Ich fühle mich wie der Bill Murray des Datenschutzes und der 25. Mai, der Tag an dem die neue Datenschutzgrundverordnung in vollem Umfang in Kraft trat, war so eine Art persönlicher Murmeltiertag für mich.
Immerhin, es gab Veränderungen, nicht jeder Tag war identisch, ich hatte nie oder selten das Gefühl gefangen zu sein. Es war kein Albtraum in diesem Sinne. Es war aber eine durchaus surreale Erfahrung, die insgesamt über sechs Jahre ging.
Alles, nix, oder?
Bämm! Irgendwann im Sommer 2014 ging es richtig los. Verschreckte Kollegen stürmten in mein Büro. "Die neue DSGVO kommt! Katastrophe, alles was wir machen, wird umgekrempelt werden. Digitales Marketing ist tot! Am besten suchen wir uns alle einen neuen Job." Starker Tobak. Die Apologeten des digitalen Untergangs hatten ihre Pferde gesattelt. Auf der anderen Seite stand die abwartende Fraktion und die Meinung "Das ändert doch gar nichts."
Wenig bewegt sich!
Im Ergebnis aber zeichnete sich damals bereits ab, was bis heute verstörend ist. Die Debatte wurde wenig rational geführt. Es war zu laut, es war zu grell. Alles oder nichts, Kopf oder Zahl, schwarz oder weiß! Emotionen en masse und das beim Thema Datenschutz.
Dieser Übergangsprozess, die zwei Jahre von der finalen Verabschiedung bis zum Inkrafttreten, lässt sich mit einem Satz zusammenfassen: Es war schmerzhaft! Ein Gesetz verabschieden reicht eben nicht aus, zumindest nicht, wenn die Komplexität hoch ist. Leitfäden müssen erstellt werden, an denen sich große wie kleine Firmen orientieren können. Wenn diese fehlen, und diese fehlen in vielen wichtigen Punkten bis heute, passiert häufig Folgendes: Erstmal NICHTS...
Jeder machte es sich in seiner Nische bequem! Und davon gibt es viele, zum Beispiel rund um die "Erlaubnis" zur Datenverarbeitung: Expliziter Consent, unzweideutiger Consent, impliziter Consent mit Möglichkeit zum Opt-Out und natürlich das berechtigte Interesse zur Verarbeitung von Daten. Da wird schon für jeden was dabei sein und das war es auch, zumindest auf dem Papier.
Panik im Zieleinlauf?
Entsprechend waren alle relativ sicher: Meine Lösung wird fliegen. Aber dann, viel zu spät, kamen doch noch Guidelines. Einige jedoch mitunter erst sechs Monaten vor Inkrafttreten der Verordnung. Damit war der Startschuss wirklich erfolgt.
Entsprechend konnte die IAB ihr Consent Framework erst im Januar auflegen. Statt zwei Jahre Übergang waren es de facto nur wenige Monate. Klasse! Und was passiert, wenn eine globale Industrie innerhalb weniger Wochen "Einigkeit" erzielen muss? Nun, nicht das, was viele erwartet haben.
In einer wahren Tour de Force wurde ein neues Framework verabschiedet. Hier muss und sollte man den Hut ziehen! Mehre Calls pro Woche, mit Entscheidern aus unterschiedlichsten Zeitzonen. Extrem kurze Entscheidungszyklen und entsprechende Absprachen waren dazu notwendig.
Spätestens im Februar konnten dann alle, die auch wollten, mit dem Bau der notwendigen Systeme beginnen. Klingt nach viel Zeit bis zum 25. Mai? Nun, ist es nicht, wenn man bedenkt, wie komplex Advertising-Plattformen sind und welche Datenvolumina diese verarbeiten.
Und am Ende kommt es ganz dicke
Puh, durchatmen, das war eng, aber wir waren nun gut unterwegs... Das dachten viele noch im März. Und dann? Dann kam Google. Nix "Legitimate Interest", nur "Consent", exakt nach eigenen Kriterien. Und zwar anderen, als denen des IAB Frameworks. Per se durchaus möglich, ja, aber das Timing! Wow, es waren kaum noch zwei Monate.
Es folgten quasi im Wochentakt mehr und mehr Details über Veränderungen. Was gestern noch grün war, war heute schon rot. Verschiedenste Features wurden innerhalb weniger Tage verändert oder sogar komplett abgeschaltet. Die Gründe für viele, aber längst nicht alle, von Googles Änderungen sind nachvollziehbar.
So oder so war das Timing für alle Beteiligten ein Desaster. Man fragte sich täglich: Wieso? Es folgte Tag um Tag in einem ähnlichen Rhythmus: Eskalation, intern, extern, und dann: Rennen, so schnell du kannst! Der Kraftakt der notwendig war, um alle vorherigen und auch noch diese Änderungen "in time" über die Bühne zu bringen war immens, der Stress groß. Das Murmeltiergefühl wurde immer schlimmer, die Fragen blieben gleich, die Antworten änderten sich schrittweise beziehungsweise wurden immer komplexer.
Warum ich dennoch Licht sehe
Und dann war er da. Der 25. Mai. Schnell noch ein paar Newsletter-Bestätigungsbitten weggeklickt und dann hieß es warten. Warten auf die große Abmahnwelle, auf erste Anklagen, auf das Zusammenbrechen des programmatischen Tradings, wie die apokalyptischen Reiter es vier Jahre vorher angekündigt hatten.
Im Ergebnis ist auch einiges passiert! Einige Anbieter haben massive Schwierigkeiten, und wie erwartet wurden Google und Facebook quasi über Nacht verklagt.
Aber das programmatische Advertising lebt noch, ziemlich gut sogar.
Die DSGVO sollte Klarheit schaffen. Die Art und Weise, wie sie durchgeboxt wurde, hat unternehmensseitig aber vor allem viel Unsicherheit und Unmut hervorgebracht. Es wird weiterhin viel Aufräumarbeit nötig sein, um die Wogen wieder zu glätten und klare Verhältnisse zu schaffen. Innovatoren und Startups werden es in Zukunft sicherlich schwieriger haben. Ein Anwalt beziehungsweise einen Datenschutzexperten im Gründerteam sollte man sich von nun an vermutlich leisten.
Eines haben die letzten Monate jedoch gezeigt: Als Branche, hier insbesondere die Technologieanbieter am Markt, hat die Verordnung uns enger zusammenrücken lassen. Wir haben gemeinsam und über die IAB innerhalb weniger Monate eine Handlungsgrundlage geschaffen, die die DSGVO umsetzt und die Voraussetzungen schafft, auch die neue E-Privacy Direktive zu bewältigen.
Das letzte, was wir alle wollen, sind weitere Murmeltiertage.
Praxis-Check für Ihre Daten nötig? Hier geht's zum neuen W&V DSGVO-Report.
