Einwilligungen nachweisen: Was ein Consent-Log speichern muss
Art. 7 DSGVO verlangt den Nachweis jeder Einwilligung. Welche Daten ein Consent-Log speichern sollte, wie lange und was bei einer Auskunft gilt.
Wer sich auf eine Einwilligung stützt, muss sie nachweisen können. So steht es in Art. 7 Abs. 1 DSGVO. Fragt eine Aufsichtsbehörde nach oder verlangt ein Besucher Auskunft, reicht der Hinweis „Wir haben doch einen Banner" nicht. Sie brauchen ein Protokoll der Entscheidungen, ein sogenanntes Consent-Log.
Was ein Consent-Log speichern sollte
Für einen belastbaren Nachweis haben sich diese Angaben bewährt:
| Angabe | Wozu |
|---|---|
| Consent-ID | eindeutige Kennung, die auch beim Besucher gespeichert ist |
| Zeitpunkt | wann die Entscheidung getroffen wurde |
| Entscheidung | zugestimmt, abgelehnt, Auswahl oder Widerruf |
| Kategorien | welche Kategorien erlaubt wurden |
| Banner-Version | welcher Text und welche Dienste zu diesem Zeitpunkt galten |
| Seite und Sprache | wo und in welcher Sprache entschieden wurde |
Die Banner-Version ist der oft vergessene Teil. Nur mit ihr können Sie zeigen, worüber der Besucher konkret informiert wurde.
Datensparsam protokollieren
Ein Consent-Log ist selbst eine Datenverarbeitung und muss datensparsam sein. Vollständige IP-Adressen brauchen Sie für den Nachweis in der Regel nicht. Cookie2Go speichert die IP-Adresse deshalb nur als Hashwert. Über die Consent-ID lässt sich die Entscheidung trotzdem eindeutig einem Gerät zuordnen, denn die ID liegt auch im Cookie des Besuchers.
Wie lange aufbewahren?
Eine feste gesetzliche Frist gibt es nicht. Bewahren Sie Nachweise so lange auf, wie Sie die Einwilligung nutzen und wie mit Nachfragen zu rechnen ist. In der Praxis sind ein bis drei Jahre üblich. Legen Sie die Frist fest, dokumentieren Sie sie und löschen Sie ältere Einträge automatisch.
Auskunft nach Art. 15 DSGVO
Fragt ein Besucher, welche Einwilligungen er erteilt hat, nennt er Ihnen seine Consent-ID. Diese findet er im Einstellungsdialog des Banners. Mit der ID finden Sie alle Einträge und geben ihm die Historie heraus. In Cookie2Go geht das im Consent-Log mit einem Klick.
Checkliste
- Jede Entscheidung wird gespeichert, auch Ablehnungen und Widerrufe.
- Die Banner-Version ist Teil jedes Eintrags.
- IP-Adressen werden gekürzt oder gehasht.
- Die Aufbewahrungsfrist ist festgelegt und wird automatisch durchgesetzt.
- Sie können Einträge exportieren, etwa als CSV für eine Behörde.
- Der Anbieter des Logs ist über einen Vertrag zur Auftragsverarbeitung gebunden.
Mehr zu den übrigen Anforderungen lesen Sie im Beitrag DSGVO-konformer Cookie-Banner.
*Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.*