So kaufen Sie DSGVO-konforme A/B-Testsoftware

Update : Convert ist jetzt vollständig DSGVO-konform. Hier können Sie sich unseren Weg zur Einhaltung der DSGVO ansehen.

Wir setzen uns auch dafür ein, unseren Kunden dabei zu helfen, DSGVO-konform zu werden. Um dies zu vereinfachen, stellen wir allen unseren Benutzern eine unterzeichnete Kopie unserer Datenverarbeitungsvereinbarung (DPA) aus.

Außerdem verfolgen wir aufmerksam die Entwicklungen rund um die bevorstehenden Aktualisierungen der ePrivacy-Verordnungen. Wie immer werden wir so proaktiv wie möglich sein, um die Einhaltung zu gewährleisten – sowohl für uns selbst als auch für unsere Kunden

Spoiler-Alarm: Vergiss es.

Es gibt kein kompatibles A/B-Testtool.

Das heißt, es gibt kein „Zertifikat“ von einem A/B-Testing-Tool, das garantiert , dass Sie diese 20-Millionen-Euro-Klage einer europäischen Datenschutzbehörde vermeiden. Aber was möglich ist, ist, dass Sie ein Testtool wählen, das unter Berücksichtigung des Datenschutzes entwickelt wurde. Eine, die Sie nicht in Schwierigkeiten bringt, wenn Sie die Standardkonfiguration verwenden.

Dieser Artikel hilft Ihnen, die richtigen Fragen zu Ihrem A/B-Testtool-Anbieter zu stellen – vor dem Datum der Umsetzung der DSGVO (25. Mai 2018). Ich werde jedes wichtige Element der DSGVO und der kommenden ePrivacy-Verordnung (Entwurf 15333) dekonstruieren und Ihnen am Ende eine Checkliste geben.

(Klicken Sie hier, um direkt zur Checkliste zu springen)

In diesem Artikel…

Datenminimierung

Das Prinzip der Datenminimierung ist im Wesentlichen die Idee, dass eine Organisation, vorbehaltlich begrenzter Ausnahmen, nur die (personenbezogenen) Daten verarbeiten sollte, die sie tatsächlich benötigt, um ihre Verarbeitungszwecke zu erreichen.

DSGVO Erwägungsgrund 39; Art.5(1)(c)
Personenbezogene Daten müssen für die Zwecke, für die diese Daten verarbeitet werden, angemessen, relevant und auf das Notwendige beschränkt sein.

Was sind also die Mindestdaten, die zum Ausführen von Experimenten benötigt werden? Ich meine, müssen Sie jedes Detail der IP, des Browsers und der Geräte-ID erfassen, um Ergebnisse für Ihren A/B-Test zu erhalten? Nein. Sie sammeln sie, weil das Tool sie sammeln kann. Konzentrieren Sie sich mit Ihrer Privatsphäre im Hinterkopf auf die Elemente, die Sie sammeln müssen, und speichern Sie den Rest nicht. Was für die Durchführung eines Experiments wesentlich ist, ist:

• Variante gesehen
• Ziel erreicht: ja/nein (zu Umsatzzielen, Produktanzahl und Umsatz)

Wenn Sie tiefer in die verschiedenen Ergebnisse pro Untersegment eintauchen möchten, benötigen Sie zum Beispiel:

• Untersegment: ja/nein

Das A/B-Testing-Tool muss nicht wirklich eine Datenzeile für jeden Endbenutzer speichern. Was Sie speichern müssen, um Einblicke zu erhalten, ist:

• Gesamtzahl der Endbenutzer, die eine bestimmte Variation gesehen haben (insgesamt und pro Teilsegment)
• Gesamtzahl der Endnutzer einer Variante, die ein Ziel ausgelöst hat

Und in einer E-Commerce-Umgebung:

• Die durchschnittlichen Produkte pro Variation und
• Der durchschnittliche Bestellwert pro Variante…

…die bei jeder neuen Bestellung neu berechnet werden können (ohne Speicherung der einzelnen Bestellungen).

Der Rest der statistischen Daten kann im Handumdrehen neu berechnet werden, ohne dass einzelne Zeilen von Endbenutzerdaten gespeichert werden müssen. Dadurch kann Ihr A/B-Testing-Tool die Richtlinien zur Datenminimierung einhalten und das Risiko einer Datenschutz- und Sicherheitsverletzung erheblich verringern.

Denk darüber nach. Was würde jemand nur mit den Summen eines Experiments machen? Wenn auf Ihrem A/B-Testing-Tool keine Endbenutzerdaten gespeichert sind, nicht einmal pseudonyme/gehashte Daten, gibt es keine Möglichkeit, dass Endbenutzer wieder identifiziert werden können.

Zu den personenbezogenen Daten gehört die IP-Adresse

Personenbezogene Daten im Sinne der DSGVO, sofern sie von früheren Definitionen von personenbezogenen Daten (PII) abweichen. Jetzt sind IP-Adressen, Cookies und Benutzer-ID alles personenbezogene Daten.

Unabhängig davon, wie Sie über diese Definition denken mögen – es ist Gesetz. Am 19. Oktober 2016 veröffentlichte der Gerichtshof der Europäischen Union (der „EuGH“) sein Urteil in der Rechtssache 582/14 – Patrick Breyer gegen Deutschland. IP-Adressen seien unter Umständen personenbezogene Daten. Das Urteil steht weitgehend im Einklang mit den Schlussanträgen des Generalanwalts in dieser Rechtssache vom Mai 2016.

Personenbezogene Daten sind in Artikel 2 Buchstabe a der Richtlinie definiert als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Eine identifizierbare Person ist eine Person, „die direkt oder indirekt identifiziert werden kann […]“ (Hervorhebung hinzugefügt). Eine weitere Analyse der Frage der Identifizierbarkeit liefert die Artikel-29-Datenschutzgruppe der EU in ihrer Stellungnahme 4/2007.

IP-Adressen sind also personenbezogene Daten. Zeitraum. Sie können sie anonymisieren, es sei denn, Sie erhalten die ausdrückliche Zustimmung des Besuchers (was Sie möglicherweise vermeiden möchten). Aber selbst wenn Sie dies tun, wird dies immer an der Grenze der Zustimmung liegen – und es besteht die Gefahr einer erneuten Identifizierung.

Wir empfehlen Ihnen, keine IPs in Ihrem A/B-Testing-Tool zu speichern, um zu 100 % auf der sicheren Seite dieses neuen Gesetzes zu bleiben.

Jetzt fragen Sie sich vielleicht … wenn wir keine IP-Adressen speichern können, wie führen Sie die Länderausrichtung durch?

Die einfachste Lösung besteht darin, den Anruf des Endbenutzers zu verwenden, um das Tracking-Skript aufzurufen und das Land zu identifizieren. Speichern Sie die Kombination Variation/Land in einem Untersegment, aber nicht verbunden mit einem Benutzer. Fügen Sie diesem Untersegment einfach eine zusätzliche Ansicht hinzu, damit es mit den Hunderten von anderen in diesem Segment gemischt wird und im Grunde nur +1 ist. Also noch einmal, keine Möglichkeit, den einzelnen Endbenutzer aus der Datenbank zu dekonstruieren.

Ein zusätzlicher Hinweis zur Geolokalisierung ist, dass die Länderdaten selbst zu weit gefasst sind, Ihre Untersegmente von Region, Stadt oder Postleitzahl jedoch die Zustimmung des Endbenutzers erfordern. In Kombination mit anderen Elementen können es Untersegmente sein, die sehr klein sind (sogar nur 1 Person!). Auch hier könnten Sie personenbezogene Daten speichern, und dies würde die Zustimmung des Benutzers erfordern.

Cookies & personenbezogene Daten

Auch Cookies sind laut DSGVO personenbezogene Daten. Aber alle Cookies sind nicht gleich. Es kann möglich sein, dass einige die Zustimmung des Benutzers erfordern, während andere dies nicht tun. Die Einzelheiten werden durch die neuen ePrivacy-Verordnungen bestimmt – sobald sie genehmigt sind. Im Moment haben wir den Entwurf 15333, der eine Ausnahme für Webanalysesoftware wie A/B-Testtools enthält.

A/B-Testing-Tools sind frei von Zustimmungserfordernissen, solange sie „die Wirksamkeit eines bereitgestellten Dienstes der Informationsgesellschaft bewerten“. Aber sobald Sie in ein sehr spezifisches Targeting von Endbenutzern einsteigen oder versuchen, die Art der Benutzer der Website zu identifizieren, bewegen Sie sich in einen Bereich, der eine Zustimmung erfordert.

Sie sollten sich vergewissern, dass die von Ihrem A/B-Testtool verwendeten Cookies keine eindeutige Kennung haben. Die eindeutige Kennung kann dazu führen, dass ein Cookie als personenbezogene Daten qualifiziert wird.

Während die ePrivacy-Verordnung (Entwurf 15333) noch kein Gesetz ist und die DSGVO ergänzen soll, gibt uns die DSGVO selbst einige Hinweise dazu, welche Arten von Cookies naturgemäß eine Verarbeitung personenbezogener Daten beinhalten. Dafür ist 1 Erwägungsgrund entscheidend:

Dies sagt uns, dass Cookies, die eine eindeutige Kennung für das Gerät und/oder die mit der Nutzung des Geräts verbundene Person enthalten, als personenbezogene Daten behandelt werden sollten. Diese Idee wird auch durch Erwägungsgrund 26 bekräftigt, der besagt, dass personenbezogene Daten auch als Daten definiert sind, die entweder allein oder in Verbindung mit anderen Daten vernünftigerweise verwendet werden können, um eine Person zu identifizieren.

Daher sollte Ihr A/B-Testtool alle eindeutigen Kennungen entfernen, um der DSGVO zu entsprechen. Speichern Sie außerdem niemals den einzelnen Datensatz, der mit einem Cookie verbunden ist, auf der Serverseite. Damit würde es von der Ausnahme in den ePrivacy-Verordnungen ausgenommen.

Als personenbezogene Daten gelten auch pseudonyme Kennungen (z. B. Zahlen- oder Buchstabenfolgen), die Cookies häufig enthalten. Daher gilt nach der DSGVO jedes Cookie oder jede andere Kennung, die einem Benutzer eindeutig zugeordnet ist und daher eine Person identifizieren kann, als Verarbeitung personenbezogener Daten, sobald diese Kennung serverseitig gespeichert wurde.

Benutzer-IDs und persönliche Daten

Das Speichern einer für eine Person spezifischen Benutzer-ID oder einer anderen Kennung, die Sie mit individuellen personenbezogenen Daten verknüpfen können … sind … Sie haben es erraten … personenbezogene Daten. Diese erfordern also eine Zustimmung und sollten vermieden werden (Erwägungsgrund 30 gilt auch hier, ebenso wie Erwägungsgrund 50 unten).

Convert hat eine Funktion namens Universal User ID. Wenn dies beispielsweise dazu verwendet wird, Sitzungen von einem E-Commerce-System nach dem Kauf erneut zu verbinden, kann die Zustimmung in die mit der Kundenbeziehung vereinbarten Bedingungen aufgenommen werden. Wir schlagen aber trotzdem eine gesonderte Einwilligung für eine Vereinheitlichung von Geräten, Sitzungen und Browsern vor – da es am besten ist, nicht mit der DSGVO zu rechnen, sondern absolute Transparenz zu bieten.

Planen Sie immer noch, personenbezogene Daten zu speichern?

Sie haben sich also entschieden, alles in Ihrem A/B-Testing-Tool zu speichern? Nun, das Speichern einer Sitzungs-ID, Benutzer-ID oder einer anderen Kennung bedeutet, dass Sie sicherstellen müssen, dass dies der Fall ist

• Geschützt
• Genau
• Auf Anfrage aktualisiert
• Gelöscht, wenn erforderlich

Lassen Sie mich Ihnen einige Punkte des DSGVO-Gesetzes im Zusammenhang mit der Speicherung personenbezogener Daten und all dem Spaß, der damit einhergeht, vorwerfen.

Genauigkeit der DSGVO- und Endbenutzerdaten

Wenn Sie also ein A/B-Testtool haben, das personenbezogene Daten speichert, und Ihre Tests von Bedeutung sind, benötigen Sie ein Tool, das diese Ergebnisse einfriert, sobald Endbenutzer die Formulare ausfüllen, die Sie auf Ihrer Website haben müssen. Wenn die vorherigen Absätze Sie nicht bereits davon überzeugt haben, dass personenbezogene Daten in Ihrem Analysetool gespeichert werden, wird dieser Teil des DSGVO-Gesetzes dies tun. Ich werde den gesamten Artikel einfügen, der es hier buchstabiert.

Also… ich lasse dich kurz darüber nachdenken…
…
…

Ja, das dachte ich mir. Jetzt alle zusammen mit mir… sag das laut.

• Ich verspreche, keine personenbezogenen Daten in meinem A/B-Testing-Tool zu speichern
• Ich verspreche, keine personenbezogenen Daten in meinem A/B-Testing-Tool zu speichern
• Ich verspreche, keine personenbezogenen Daten in meinem A/B-Testing-Tool zu speichern

Überprüfen Sie also Ihren A/B-Testanbieter noch einmal und stellen Sie sicher, dass er auf keinen Fall einzelne Aufzeichnungen einzelner Besucher auflisten kann.

Ich meine, wir alle wollen Kunden und Vorgesetzten bessere Einblicke und gute Nachrichten bringen. Und es ist großartig, einen Drilldown in verlorene A/B-Tests durchzuführen und zu sehen, ob ein Untersegment gewonnen hat.

Aber wirklich … möchten Sie einer von denen sein, die die Gesamtzahl der Besucher auf Ihren Präsentations-Screenshots verstecken und die Leute mit 1460 % Gewinnen bei einer Chrome-Variante in Schweden verblüffen?

Akzeptieren Sie einfach Folgendes: Sie richten einen Test mit einer klaren Hypothese ein, führen das Experiment aus und stoppen es, wenn genügend Verkehr angekommen ist (kein Peeking). Die Suche nach Gewinnern in winzigen Teilsegmenten macht Sie nicht zu einem besseren Vermarkter.

Mit der DSGVO gilt: Je mehr Sie speichern, desto mehr wissen Sie – und desto höher ist die Wahrscheinlichkeit, dass Verkehrssegmente zu echten Endnutzern werden. Damit einher geht eine höhere Anforderung, dass Sie die Daten schützen, die Daten anfordern (unter Verwendung von Subjektzugriffsanfragen), die Daten löschen und die Daten aktualisieren.
Speichern Sie es einfach nicht, stellen Sie sicher, dass Ihr A/B-Test-Tool es nicht speichert, und Sie haben sich eine Sorge weniger gemacht.

WENN Sie trotzdem entscheiden, dass es Ihnen nichts ausmacht, um Ihre Zustimmung zu bitten und all diese persönlichen Daten in Ihrem A/B-Test-Tool zu speichern – dann stellen Sie sicher, dass Ihr A/B-Test-Tool Ihnen eine einfache Möglichkeit bietet, Rohdaten basierend auf eindeutigen Besuchern zu exportieren. Stellen Sie sicher, dass es verschlossen ist. Dass es Interessen, Kategorien und andere Segmentierungen ändern kann, die Sie über Benutzer gespeichert haben, und dass es die Daten löschen kann, ohne historische Ergebnisse von A/B-Tests zu ändern.

Durch das Sammeln personenbezogener Daten müssen Sie die Rechte von EU-Bürgern und Menschen in Europa zum Zeitpunkt ihres Besuchs auf Ihrer Website respektieren. Das beinhaltet:

• Die Möglichkeit für sie, die Daten, die Sie über sie gesammelt haben, in Experimenten, Zielgruppen und Segmenten (und Zielen) anzuzeigen.
• Die Möglichkeit, einige oder alle sie betreffenden Daten zu aktualisieren/korrigieren.
• Die Möglichkeit, ihre Daten auf ihre Anfrage hin zu löschen.
• Die Möglichkeit, alle Daten zu exportieren. Wenn also ein Benutzer dies anfordert, müssen Sie die Daten exportieren, die mit seiner/seinen IP-Adresse(n) oder eindeutigen Kennung verknüpft sind. Es kann beispielsweise einfach als .csv-Datei exportiert werden.

Wenn Sie sich also entscheiden, personenbezogene Daten zu speichern, sollten Sie einen Auskunftsantrag bezüglich Datenzugriff, Berichtigung und Löschung stellen.

• das Zugriffsrecht
• das Recht auf Einschränkung der Verarbeitung
• das Recht auf Berichtigung
• das Recht, vergessen zu werden
• das Recht auf Datenübertragbarkeit

Jeder Auskunftsantrag eines Subjekts muss innerhalb eines Zeitrahmens von spätestens einem Monat nach Erhalt bearbeitet und gelöst werden, wie im Text der DSGVO beschrieben.

Ich habe Angst zu fragen, aber was ist mit Untersegmentierungen für Variationen?

Sie können solche Daten mit benutzerdefinierten Dimensionen, benutzerdefinierten Variablen usw. sammeln.

Jetzt fangen wir nicht wieder an. Sie haben mir gerade versprochen, dass Sie nichts speichern würden, basierend auf den Rechten der Endbenutzer an diesen Daten in Artikel 15 der DSGVO. Aber selbst wenn Sie keine Identifikatoren haben, um diese Informationen zu verknüpfen, speichern Sie möglicherweise dennoch personenbezogene Daten. Dieses Beispiel erklärt warum.

Technologien, die Mobiltelefone, Tablets oder Desktop-Geräte ermöglichen, können mit ihrem aktuellen Standort verbunden werden. Andere Organisationen möchten diese Art von Informationen möglicherweise auch verwenden, um standortspezifische Inhalte oder Werbung bereitzustellen, jedoch können Standortdaten, insbesondere Daten über das genaue Muster der Bewegungen einer Person im Laufe der Zeit, sehr intime Details über das Privatleben dieser Person offenbaren. Dies sind personenbezogene Daten.

Für Ihr A/B-Testing-Tool bedeutet dies also, dass Sie einen einzelnen Benutzer in mehreren Segmenten speichern könnten und zusammen diese Person als Person identifizieren können. Es wird daher empfohlen, niemals einzelne Datensätze zu speichern, sondern nur Gruppen von Segmenten in der Datenbank. Und bitten Sie um Zustimmung, wenn Sie mit der Erfassung mehrerer Teilsegmente beginnen, die Standortdaten zu Orten beinhalten, die spezifischer als das Land sind. Ihr A/B-Testing-Tool kann Ihnen einen Rat geben, wenn Sie zu viele Segmente sammeln, aber meiner Meinung nach ist das Speichern einzelner Datensätze nur nach Ärger gefragt.

Und Daten von Drittanbietern anbinden? Wie BlueKai?

Sie benötigen die Zustimmung des Endbenutzers. Oder BlueKai und Sie können gemeinsam Verantwortliche sein; Das bedeutet, dass BlueKai zum Zeitpunkt der Erfassung der Endbenutzerdaten in Ihrem Namen um Zustimmung gebeten hat. Es ist unwahrscheinlich, dass Sie zum Zeitpunkt des Schreibens dieses Artikels eine Zustimmung benötigen, um Ihr Publikum in A/B-Testtools mit einer Form der Zustimmung zu den Daten zu bereichern. Fragen Sie Ihren Datenanbieter, zum Beispiel BlueKai.

Nicht nur für Europa verfolgen? Bist du dir sicher?

Do Not Track (oder einfach DNT) ist eine Datenschutzeinstellung, die Endbenutzer in den meisten Browsern festlegen können. Sie sollten DNT als Signal dafür würdigen, wie Sie und Ihre Endbenutzer möchten, dass wir Daten verwenden . In den letzten Jahren haben viele Endverbraucher signalisiert, dass sie eine neue Art der Interaktion mit Marken wünschen. Zum Beispiel in Kanada – wo uns die kanadische Bundesgesetzgebung Änderungen im Datenschutzgesetz bringt. Oder im US-Kongress mit einer neuen Stufe im Privacy Shield. Oder in der Europäischen Union, wo sich die Mitgliedsstaaten für einen respektvolleren Umgang mit Endnutzern aussprechen. Sie sollten sie hören und respektieren.

DNT hat drei mögliche Werte:

1. Nicht verfolgen (Tracking deaktivieren)
2. Verfolgen (Tracking aktivieren)
3. Null – Keine Präferenz

Standardmäßig verwenden Webbrowser den Nullwert (keine Präferenz), was darauf hinweist, dass der Endbenutzer keinen Wunsch geäußert hat, ob er verfolgt werden möchte oder nicht. Ihr A/B-Testing-Tool sollte eine Einstellung haben, um KEINE Skripte zu laden, wenn Option eins, Do Not Track (Verfolgung deaktivieren) im Browser eingestellt ist.
Jonathan Mayer und Arvind Narayanan sind die beiden Hauptforscher an der Stanford University, die an der Do-Not-Track-Technologie gearbeitet haben. Ihr Modell verwendet Informationen im HTTP-Header, um sich universell von jeglichem Online-Tracking abzumelden.

„Als Technologiemodell ist Do Not Track einem Opt-Out-Mechanismus klar überlegen“, sagte Mayer und verwies auf Zusagen von Google, andere Browser zu unterstützen, die Technologie auf ihren Websites zu unterstützen.

„Damit ist die Technologiefrage nun geklärt: Es ist Do Not Track.“

Ihr A/B-Testing-Tool kann die folgenden Optionen haben:

• Do Not Track ist wichtig genug und wird vom Tool respektiert, ohne dass Kunden etwas ein- oder ausschalten müssen. Es funktioniert einfach (vollständige Offenlegung: Bei Convert haben wir dieses ausgewählt …).
• Do Not Track kann von Benutzern für die gesamte Plattform ein- oder ausgeschaltet werden (überprüfen Sie die Standardeinstellung für alle Ihre Projekte als Administrator).
• Do Not Track kann von Benutzern der Plattform pro Projekt und Region (Europa) aktiviert werden und sollte vom Administrator für jedes Projekt überprüft werden.

Dann ist es wichtig, was tatsächlich passiert, wenn es eingeschaltet wird.

Werden Sie ein Cookie platzieren (nicht vorgeschlagen) oder lädt das Tool überhaupt nicht (das haben wir ausgewählt). Der Nachteil des ersten (Platzieren des Cookies) besteht darin, dass Cookies möglicherweise eine Warnung für Endbenutzer auslösen und der Website-Eigentümer möglicherweise mehr Anfragen nach Daten von Benutzern erhält. Der Nachteil, das Skript überhaupt nicht zu laden, besteht darin, dass die Browsererweiterung und die Benutzer in keiner Weise verfolgt werden (und daher können Besucher, die für eine Variation oder Erfahrung verfolgt werden, anfangen, sich vom Analysetool zu unterscheiden). Meiner Meinung nach macht der zweite Punkt mehr Sinn. Die DSGVO wird die Zahlen sowieso durcheinander bringen, da verschiedene Tools Zustimmung erhalten oder nicht. Es wird also sowieso fast unmöglich, sie alle zusammenzubringen, um ein „wahres“ Ergebnis zu ermitteln.

Rechenschaftspflicht

Ja, Sie müssen Ihre Nutzungsbedingungen, Datenschutzrichtlinie und Cookie-Richtlinie ändern (oder diese in Ihre Datenschutzrichtlinie aufnehmen). Sie müssen auch einen Consent Manager auf der Website haben und …

Nur eine Aktualisierung von Prozessor und Controller (verwirrend, oder?).

Sie sind der Verantwortliche in der Beziehung zwischen Ihrem Website-Besucher (Endbenutzer). Ihr A/B-Testwerkzeug ist der Prozessor.

Das bedeutet, dass Sie für die Einhaltung der DSGVO verantwortlich sind und nicht mit dem Finger auf Ihren A/B-Testtool-Anbieter zeigen können. Der klügste Weg, dies zu tun, besteht darin, sicherzustellen, dass Ihr A/B-Testtool-Anbieter alles tut, um die in diesem Artikel beschriebenen Anforderungen zu erfüllen.

Umsatzverfolgung? Bestellnummern als personenbezogene Daten?

Hier habe ich meine Zweifel. Sind Bestell-IDs (Bestellnummern oder Transaktions-IDs) personenbezogene Daten?

Ich glaube nicht, aber die Trennung von personenbezogenen Daten von nicht identifizierenden Informationen (z. B. eine Bestellnummer von Name und Adresse des Kunden) ist nur bewährte Praxis.

Da wir nicht möchten, dass sich Kunden über mögliche Änderungen der ePrivacy-Bestimmungen Sorgen machen, haben wir als Unternehmen entschieden, diese Informationen nicht in unserem Abschnitt zur Umsatzverfolgung des Tools zu speichern.

Die Kombination aus durchschnittlichem Bestellwert, gekauften Produkten, Umsatz und Bestell-ID ist etwas zu viel an nicht identifizierenden Informationen, um in unseren Datenbanken gespeichert zu werden. Aber dies liegt an Ihnen und Ihrem A/B-Testanbieter, um zu besprechen, wie Sie damit umgehen möchten. Die Datenminimierung fordert uns grundsätzlich auf, so wenig wie möglich zu speichern. Da wir dies nicht für die Umsatzverfolgung benötigen, entfernen wir es aus dem Datensatz, zusammen mit dem individuellen Umsatz, der Produktanzahl und allen anderen Bestelldaten auf individueller (Endbenutzer-) Ebene.

Integrationen?

Wenn Sie Informationen darüber senden, an welchen Variationen und Erfahrungen der Endbenutzer teilgenommen hat, schlagen wir vor, dem zuzustimmen.

Verdammt, irgendwelche guten Nachrichten?

Ja…

Erinnern Sie sich an diese Cookie-Walls, bei denen Sie die Cookies akzeptieren mussten, um den Inhalt lesen zu können? Nun, die sind weg. Sie können diese nicht mehr aufstellen und zeigen entweder allen Besuchern Inhalte, fragen nach Zustimmung für bestimmte Tracker oder verschieben sie hinter die Paywall.

Das ist es?

Nicht mehr…

Die DSGVO besagt, dass Cookies das Interneterlebnis eines Benutzers verbessern – zum Beispiel das Speichern des Warenkorbverlaufs. Oder beim Ausfüllen eines Formulars über mehrere Seiten.

Analytics in GDPR ist möglich, solange alle gesammelten personenbezogenen Daten nur von der ersten Partei verarbeitet werden. ePrivacy ist spezifisch in Bezug auf Cookies, wo die DSGVO es nicht ist. Lesen Sie den Entwurf der ePrivacy-Verordnung 15333, Artikel 21;

Ah, eine letzte Sache … US vs. EU-basierte Server

Spielt es eine Rolle, wo Sie Ihre Website hosten? Oder woher das A/B-Test-Tracker-Skript geladen wird? Oder wo sich Ihr aktueller Datensatz befindet? Ja, sonst stünde es nicht in diesem Artikel

Bei den Serverstandorten geht es hauptsächlich um Datenübertragungen – die allein eine Einwilligung erfordern würden, wenn es um personenbezogene Daten geht. Wir müssen uns Kapitel 5 der DSGVO zur Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen ansehen. Dies gibt uns Aufschluss darüber, was zu tun ist, wenn die Daten außerhalb der Europäischen Union gespeichert werden.

Das Niveau des Schutzes personenbezogener Daten in Drittländern wird von der Europäischen Kommission durch „Angemessenheitsbefunde“ bewertet, die in ihrer Gesamtheit für alle Mitgliedstaaten verbindlich sind. Sobald die „Angemessenheit“ eines Drittlandes anerkannt wurde, können personenbezogene Daten an dieses Land übermittelt werden, ohne dass weitere Schutzmaßnahmen ergriffen werden müssen.

Ein allgemeiner Grundsatz für Übermittlungen (Artikel 44) und Übermittlungen auf der Grundlage eines Angemessenheitsbeschlusses (Artikel 45) erklärt, dass sich die Diskussion häufig hauptsächlich um die Übermittlung von Daten in Länder außerhalb der EU (und Norwegen, Liechtenstein und Island) dreht, wo Sie jetzt habe nur Möglichkeiten:

• Privacy Shield (für die USA) und entsprechende Länder (Die Europäische Kommission hat bisher Andorra, Argentinien, Kanada (Handelsorganisationen), Färöer, Guernsey, Israel, Isle of Man, Jersey, Neuseeland, die Schweiz, Uruguay und die USA ( beschränkt auf den Rahmen des Privacy Shield) als angemessenen Schutz.
• Standardvertragsklauseln, auch Mustervertragsklauseln genannt
• Verbindliche Unternehmensvorschriften (gemäß Artikel 47 der DSGVO).

Höchstwahrscheinlich ist Ihr Anbieter von A/B-Tests ein US-Unternehmen – und dann scheinen Privacy Shield und SCC die einfachste Wahl zu sein, da dies nur ein einmaliger Aufwand ist. Für unser Unternehmen bedeutet dies, obwohl alle unsere Kundendaten (der Endnutzer ihrer Website) auf CO2-neutralen Servern in Frankfurt gespeichert sind – unsere Rechtsgrundlage für das US-Unternehmen wäre Privacy Shield und SCC (wir möchten nur besonders sicher sein und alle Server mit Kundendatensätzen in Deutschland haben).

Schlussfolgerungen

Die DSGVO ist massiv und nicht nur auf Unternehmen in der Europäischen Union beschränkt. Wenn wir uns jetzt den Entwurf 1533 der ePrivacy-Verordnung und die DSGVO ansehen, sind wir der Meinung, dass Sie A/B-Tests mit Convert Experiences bei allen Besuchern ohne Zustimmung durchführen können.

Wir haben eine ganze Seiteneinrichtung darüber, wie Convert als Unternehmen konform wird, und eine vollständige Anwendungs-Roadmap mit den Details, an denen wir arbeiten, um die Einhaltung der DSGVO zu erleichtern.

Fragen Sie Ihren Anbieter, wie er sein Tool in Bezug auf Compliance sieht und wann er daran arbeitet, seine Datenbankstruktur massiv für A/B-Tests zu vereinfachen, ohne dass eine Zustimmung erforderlich ist.

Denn wenn Ihr Tool eine Zustimmung erfordert, wird dies massive Auswirkungen auf Ihren Marketing-Stack haben. Die große Befürchtung ist, dass Sie mit einem zustimmungsbasierten A/B-Testtool mehr als 80 % Ihres Traffics verlieren, mit dem Sie arbeiten können.

A/B-Tests: DSGVO-Compliance-Checkliste

Datenminimierung

Anbieter Frage?
Welche Felder speichern Sie nach einzelnen Besuchern in Ihrer Datenbank (nach Abschluss der Roadmap)?

Beispielantwort
Nichts

Persönliche Daten

Anbieter Frage?
Speichern Sie Besucher-IP?

Beispielantwort
Nein

Anbieter Frage?
Speichern Sie Land/Region/Stadt oder andere Standortdaten von Besuchern?

Beispielantwort
Nein

Anbieter Frage?
Können Sie den Cookie-Inhalt beschreiben oder auf einen Support-Artikel verlinken?

Beispielantwort
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

Anbieter Frage?
Wie lange werden Cookies gespeichert?

Beispielantwort
6 Monate.

Anbieter Frage?
Speichern Sie eindeutige Benutzer-IDs (Sitzungs-ID, Geräte-ID, Benutzer-ID oder E-Mail) und/oder gestatten Sie uns, E-Mails oder andere personenbezogene Daten zu speichern? Wenn ja, wo wird es gespeichert?

Beispielantwort
Nein, wir erlauben auch keine Speicherung von Informationen (siehe auch Nutzungsbedingungen). Ausnahme ist die Universal-ID-Funktion, wenn die Aktivierung durch die Zustimmung des Kunden erforderlich ist

Anbieter Frage?
Wie unterstützt uns Ihr Tool bei Zugriffsanfragen von Endnutzern?

Beispielantwort
Unterstützend, indem keine personenbezogenen Daten gespeichert werden

Anbieter Frage?
Wie unterstützt Ihr Tool Do Not Track?

Beispielantwort
Ja, standardmäßig kein Skript geladen (siehe auch unsere Roadmap für DSGVO-A/B-Test-Apps)

Datenminimierung

Anbieter Frage?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
Nothing

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
Frankfurt, Deutschland

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.