Adobe Analytics

Adobe Analytics setzt mehrere First und Third Party Cookies, darunter s_cc (Session Test), s_sq (letzter Hit), s_vi (Unique Visitor ID, 2 Jahre), AMCV_* und AMCVS_* (Adobe Experience Cloud Visitor IDs, 2 Jahre und Session), s_fid (Fallback Visitor ID, 5 Jahre) sowie mbox Cookies bei einer Adobe Target Integration. Namen und Laufzeiten hängen von der gewählten First Party Konfiguration ab.

AppMeasurement setzt vier wichtige First Party Cookies: AMCV_<orgID>@AdobeOrg, das die Experience Cloud Visitor ID bis zu 2 Jahre speichert; s_cc, ein Sitzungscookie, das testet, ob Cookies aktiviert sind; s_sq, ein Sitzungscookie, das den zuletzt geklickten Link aufzeichnet; und s_vi, der historische Besucher Identifier mit einer Standardlaufzeit von 2 Jahren. Das Adobe Experience Platform Web SDK speichert zusätzlich kndctr_<orgID>_AdobeOrg_identity und Einwilligungscookies.

Ja. DSGVO und ePrivacy Richtlinie verlangen eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung, bevor Tracking Cookies oder Identifier gesetzt werden. Die Datenschutzkonferenz, die CNIL und die AEPD haben bestätigt, dass Reichweitenmessungen, die über strikt notwendige Statistiken hinausgehen, unter Artikel 5(3) ePrivacy fallen und einwilligungspflichtig sind.

Ja. Adobe Analytics ist nicht von der CNIL Ausnahme zur Reichweitenmessung gedeckt, da die Experience Cloud Visitor ID zwischen Adobe Produkten geteilt und mit CRM Daten kombiniert werden kann. Vor dem Laden von AppMeasurement muss eine vorherige Einwilligung nach Art. 6(1)(a) DSGVO und Art. 5(3) ePrivacy eingeholt werden. Serverseitige Erhebung ohne Speicher auf dem Endgerät kann sich auf berechtigtes Interesse stützen, jedoch nur bei strikter Datenminimierung.

Die einzig taugliche Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, kombiniert mit der Einwilligung nach § 25 TDDDG für den Zugriff auf Endgeräte. Berechtigtes Interesse scheidet aus, da Adobe Analytics Online Identifier und Verhaltensdaten verarbeitet, die über das strikt Notwendige hinausgehen.

Einwilligung nach Art. 6(1)(a) DSGVO in Verbindung mit Art. 5(3) ePrivacy für die Cookies und die Experience Cloud Visitor ID. Berechtigtes Interesse nach Art. 6(1)(f) wird von EU Aufsichtsbehörden für die clientseitige Standardbereitstellung nicht akzeptiert, da die Visitor ID produktübergreifendes Profiling ermöglicht und die Daten an Adobe in die USA übermittelt werden.

Adobe Inc. hat ihren Sitz in den USA und Adobe Analytics Daten können auf Adobe Infrastruktur außerhalb des EWR verarbeitet werden. Seit Schrems II und dem EU US Data Privacy Framework sind Transfers zulässig, wenn Adobe DPF zertifiziert ist oder Standardvertragsklauseln plus ergänzende technische Maßnahmen bestehen. Der Mechanismus muss im Verzeichnis von Verarbeitungstätigkeiten dokumentiert sein.

Ja. Auch wenn die Report Suite auf dem EU Cluster (London oder Dublin) liegt, können Adobe Support und Engineering Mitarbeiter in den USA, Indien und Rumänien auf die Daten zugreifen. Adobe ist nach dem EU US Data Privacy Framework zertifiziert. Die Standardvertragsklauseln 2021 dienen als Rückfall und eine Transfer Impact Assessment ist nach EDSA Empfehlung 01/2020 erforderlich.

Eine Datenschutzfolgenabschätzung ist empfehlenswert, wenn Adobe Analytics zur umfangreichen Verhaltensprofilierung dient, mit Adobe Audience Manager oder Adobe Target kombiniert wird oder sensible Bereiche wie Gesundheit, Finanzen oder politische Inhalte betroffen sind. Für eine klassische Reichweitenmessung mit Consent Management ist eine DSFA in der Regel nicht zwingend, eine Risikoanalyse aber sinnvoll.

In den meisten Fällen ja. Die Kombination aus persistenten Identifiern, produktübergreifendem Profiling, Erfassung auf Sitzungsebene, optionaler CRM Verknüpfung und US Übermittlungen löst mehrere DSFA Kriterien der EDSA Liste aus. Die DSFA muss Cluster Residenz, Aufbewahrung, Zugriffskontrollen, Transfer Folgenabschätzung und Consent Gating dokumentieren.

Blockieren Sie das Adobe Analytics Tag (AppMeasurement.js oder die Launch Regel), solange keine ausdrückliche Einwilligung vorliegt. Nutzen Sie die Adobe Experience Cloud Privacy Bibliothek oder Ihre CMP, um das Signal via setOptOut oder die Consent Management API an Adobe weiterzugeben. Konfigurieren Sie First Party Cookies auf Ihrer eigenen Domain, aktivieren Sie IP Verschleierung, deaktivieren Sie nicht benötigte Adobe ID Synchronisationen und unterzeichnen Sie das Adobe Data Processing Addendum.

AppMeasurement erst nach Einwilligung laden, EU Cluster anfordern, IP Obfuskation aktivieren, Aufbewahrung auf 13 oder 25 Monate setzen, produktübergreifende Aktivierung deaktivieren wenn nicht benötigt, CMP über Adobe Experience Platform Tags und IAB TCF v2.2 integrieren, eine klare Information veröffentlichen und die Verarbeitung im Verzeichnis erfassen.

Für EU first Reichweitenmessung: Matomo (selbst gehostet oder EU Cloud), Piwik PRO, AT Internet, Plausible, Fathom, Simple Analytics oder Pirsch. Diese Produkte arbeiten cookielos oder qualifizieren sich bei korrekter Konfiguration für die CNIL Reichweitenmessungsausnahme, sodass keine vorherige Einwilligung und keine US Übermittlung erforderlich ist.

Für datenschutzfreundliche Reichweitenmessung bieten Matomo on premise, Piano Analytics (vormals AT Internet) und Plausible EU gehostete, einwilligungsfreundliche Lösungen. Für Enterprise Anforderungen sind Piwik PRO Analytics Suite und Mapp Intelligence gängige Adobe Alternativen. Google Analytics 4 ist nicht zwangsläufig konformer, denn es wirft die gleichen Fragen zu Einwilligung und US Transfer auf.

Listen Sie Adobe Analytics in Ihrer Cookie Richtlinie mit den Namen, Laufzeiten und Zwecken auf, die auf dieser Seite angegeben sind. In der Datenschutzerklärung benennen Sie Adobe Inc. als Auftragsverarbeiter, beschreiben die Datenkategorien (Online Identifier, Nutzungsverhalten, Geräteinformationen), verweisen auf den Transfer in die USA und die Garantien (DPF oder SCC) und erklären, wie die Einwilligung widerrufen werden kann. Halten Sie die Liste mit Ihrer tatsächlichen Tag Konfiguration synchron.

Adobe Analytics als Drittanbieter Auftragsverarbeiter listen, die Cookies benennen (AMCV, s_cc, s_sq, s_vi), die Aufbewahrungsdauer angeben, die Experience Cloud Visitor ID erwähnen, den US Zugriff im Rahmen des Data Privacy Framework offenlegen, auf das Adobe Privacy Center verlinken und eine Möglichkeit zum jederzeitigen Widerruf der Einwilligung anbieten.