TL;DR
Der Digital Markets Act (DMA) ist eine EU-Verordnung, die seit März 2024 gilt und großen digitalen Plattformen (Gatekeepern) besondere Pflichten bei Einwilligung und Tracking auferlegt. Für Websitebetreiber verschärft der DMA das Erfordernis einer ausdrücklichen Einwilligung vor jeder Datenweitergabe an die Dienste der Gatekeeper (Google, Meta, Amazon, Apple usw.). Konkret wirkt er sich darauf aus, wie Sie Ihre Cookies, Ihre CMP und Ihre Werbeintegrationen konfigurieren.
Was ist der Digital Markets Act?
Der Digital Markets Act (DMA) ist eine Verordnung der Europäischen Union, die die Praktiken großer digitaler Plattformen regulieren soll, die als „Gatekeeper“ (Torwächter) benannt sind. Er wurde 2022 verabschiedet, gilt seit März 2024 und ergänzt die DSGVO um besondere Pflichten zu Einwilligung, Datenzusammenführung und Transparenz in der Werbung.
Anders als die DSGVO, die für jeden Verantwortlichen gilt, richtet sich der DMA gezielt an marktbeherrschende Plattformen: Google (Search, Ads, Maps, Android, Chrome), Meta (Facebook, Instagram, WhatsApp, Messenger), Amazon, Apple, Microsoft, ByteDance (TikTok) und einige weitere. Seine Auswirkungen betreffen jedoch alle Websites, die Dienste dieser Gatekeeper nutzen.
Wie wirkt sich der DMA auf das Cookie-Management Ihrer Website aus?
Der DMA betrifft Ihre Website, sobald Sie Dienste eines Gatekeepers nutzen: Google Analytics, Google Ads, Meta Pixel, Amazon Ads oder ein anderes Tool dieser Plattformen. Die Verordnung untersagt es Gatekeepern, Daten aus ihren verschiedenen Diensten ohne ausdrückliche Einwilligung des Nutzers zusammenzuführen.
Speziell für den Tag von Meta erklärt unser Leitfaden zu Meta Pixel und DSGVO-Konformität, wie Sie ihn bis zur Einwilligung des Besuchers blockieren.
Verschärfte Einwilligung für die Dienste der Gatekeeper
Artikel 5 Absatz 2 DMA untersagt es Gatekeepern, personenbezogene Daten aus ihrem Plattformdienst ohne ausdrückliche Einwilligung mit Daten aus anderen Diensten zu kombinieren. In der Praxis darf Google Ihre Daten aus Google Analytics nicht mehr mit Daten aus Google Ads oder YouTube zusammenführen, ohne dass der Nutzer eine spezifische Einwilligung erteilt hat.
Für Websitebetreiber bedeutet das: Ihr Consent-Banner muss es dem Nutzer ermöglichen, die Datenweitergabe an jeden Gatekeeper getrennt zu akzeptieren oder abzulehnen. Eine einfache Schaltfläche „Alle Cookies akzeptieren“ reicht nicht aus, wenn der Nutzer nicht versteht, dass seine Daten zwischen mehreren Google-Diensten zusammengeführt werden.
Die Auswirkungen auf Google Consent Mode und Werbesignale
Google hat den Consent Mode v2 an den DMA angepasst. Die beiden neuen Parameter (ad_user_data und ad_personalization) setzen die Anforderungen des DMA direkt um: Mit ihnen signalisiert der Websitebetreiber, ob der Nutzer der Weitergabe seiner Daten an Google für personalisierte Werbung und der Nutzung seiner First-Party-Daten zugestimmt hat.
Was diese Signale für Werbetreibende ändern, lesen Sie in unserer Analyse zu Consent Mode v2 und den Auswirkungen auf Google-Ads-Kampagnen.
DMA vs. DSGVO: Welche Unterschiede gibt es bei Cookies?
DMA und DSGVO ergänzen sich, sie konkurrieren nicht. Die DSGVO regelt die Verarbeitung personenbezogener Daten durch jede Organisation. Der DMA fügt eine zusätzliche Ebene von Pflichten hinzu, die speziell für Gatekeeper gelten und damit mittelbar auch für Websitebetreiber, die deren Dienste nutzen.
Welche konkreten Maßnahmen braucht Ihre Website?
Auch wenn der DMA sich an Gatekeeper richtet, müssen Websitebetreiber ihre Konfiguration anpassen, um konform zu bleiben. Diese Maßnahmen sollten Sie umsetzen.
Ihre CMP aktualisieren, damit sie die richtigen Signale übermittelt
Ihre CMP muss zusätzlich zu ad_storage und analytics_storage die Parameter ad_user_data und ad_personalization übermitteln. Ohne diese Signale geht Google davon aus, dass der Nutzer der Weitergabe seiner Daten nicht zugestimmt hat, und deaktiviert die erweiterten Werbefunktionen.
Die FlowConsent-Dokumentation zu Consent Mode v2 zeigt, dass alle vier v2-Signale, darunter ad_user_data und ad_personalization, vor dem Laden jedes Tags auf „denied“ stehen.
Die Granularität Ihres Consent-Banners prüfen
Der DMA verlangt eine spezifische Einwilligung für die Zusammenführung von Daten. Ihr Banner muss dem Nutzer verständlich machen, welche Gatekeeper-Dienste eingesetzt werden, und ihm ermöglichen, diese Weitergabe zu akzeptieren oder abzulehnen. Die Cookie-Kategorien (Analyse, Werbung, Funktional) bleiben relevant, doch die Transparenz über die Empfänger der Daten wird noch wichtiger.
Den Datenfluss zu den Gatekeepern dokumentieren
Ergänzen Sie Ihre Cookie-Richtlinie um die Liste der auf Ihrer Website genutzten Gatekeeper-Dienste, die übermittelten Daten und die Zwecke. Der DMA stärkt die Transparenz: Der Nutzer muss klar erkennen können, welche Gatekeeper seine Daten erhalten.
Bei FlowConsent wird die Cookie-Erklärung aus den aktiven Diensten erzeugt, was die Aktualisierung dieser Liste erleichtert.
Häufige Fehler rund um DMA und Cookies
Annehmen, der DMA betreffe nur die GAFAM. Der DMA betrifft unmittelbar die Gatekeeper, wirkt sich aber auf alle Websites aus, die deren Dienste nutzen. Wenn Sie Google Analytics, Google Ads oder Meta Pixel einsetzen, betreffen Sie die Pflichten aus dem DMA mittelbar.
Dasselbe gilt für TikTok, das zum Gatekeeper ByteDance gehört. Mehr dazu in unserem Leitfaden zu TikTok Pixel und DSGVO.
DSGVO-Konformität und DMA-Konformität verwechseln. DSGVO-Konformität allein reicht nicht aus. Der DMA stellt zusätzliche Anforderungen an die Zusammenführung von Daten zwischen Diensten. Ein DSGVO-konformes Cookie-Banner ist im Sinne des DMA möglicherweise nicht konform, wenn die Signale ad_user_data und ad_personalization nicht übermittelt werden.
Updates Ihrer CMP ignorieren. CMPs aktualisieren ihre Integrationen regelmäßig, um neue Anforderungen des DMA zu unterstützen. Wer seine CMP nicht aktualisiert, verliert unter Umständen Werbefunktionen, ohne es zu merken.
Die Cookie-Richtlinie nicht anpassen. Der DMA verlangt mehr Transparenz über die Empfänger der Daten. Wenn Ihre Cookie-Richtlinie die Gatekeeper und die Datenzusammenführung nicht ausdrücklich nennt, ist sie unvollständig.
Checkliste DMA und Cookies
- Alle auf Ihrer Website genutzten Gatekeeper-Dienste ermitteln (Google, Meta, Amazon, Apple usw.)
- Prüfen, ob Ihre CMP die Parameter ad_user_data und ad_personalization übermittelt
- Sicherstellen, dass das Consent-Banner eine ausreichende Granularität für die Dienste der Gatekeeper bietet
- Ihre Cookie-Richtlinie aktualisieren und die Gatekeeper sowie die geteilten Daten auflisten
- Das Verhalten Ihrer Tags testen, wenn der Nutzer die Datenweitergabe ablehnt
- Ihre Konfiguration im Verzeichnis von Verarbeitungstätigkeiten dokumentieren
- Die Entscheidungen der Europäischen Kommission zu den benannten Gatekeepern verfolgen
- Ihre CMP regelmäßig aktualisieren, um neue Anforderungen umzusetzen
Fazit
Der DMA ersetzt die DSGVO nicht, er ergänzt sie. Für Websitebetreiber betrifft die wichtigste Auswirkung die Konfiguration der CMP und die Transparenz gegenüber den Nutzern bei der Datenweitergabe an Gatekeeper. Websites, die Dienste von Google, Meta oder Amazon nutzen, müssen ihre Konfiguration so anpassen, dass sie die richtigen Einwilligungssignale übermitteln.
Der Ausgangspunkt: Prüfen Sie, ob Ihre CMP auf dem neuesten Stand ist und die vier Parameter des Consent Mode v2 korrekt konfiguriert sind. Starten Sie einen kostenlosen Scan Ihrer Website mit FlowConsent , um die Tracker der Gatekeeper auf Ihren Seiten zu ermitteln.