Zeotap

Was Zeotap ist

Zeotap ist eine Customer Data Platform, die in Europa mit Datenschutzkonformitaet als zentralem Entwurfsziel aufgebaut wurde. Sie hilft Marken, Kundendaten zu erfassen, zu vereinheitlichen, anzureichern und zu aktivieren, damit Marketingteams Zielgruppen bilden und die Customer Intelligence verbessern können. Die Plattform löst Identitäten auf, indem sie eigene Kennungen, gehashte E-Mails, gehashte Telefonnummern und mobile Werbe IDs zu einer einheitlichen Kundensicht zusammenführt. Anschließend aktiviert sie diese Zielgruppen über Werbe und Marketingkanäle und unterstützt dabei cookielose universelle Kennungen. Da sie personenbezogene Daten in großem Umfang zentralisiert und anreichert, steht sie im Mittelpunkt des Marketing Stacks des Verantwortlichen und bringt erhebliche Datenschutzpflichten mit sich.

Cookies und erfasste Daten

Bei der Einbindung über ein Website Tag kann Zeotap ein eigenes ID+ Cookie setzen, das für Browser, Website und Gerät eindeutig ist, und es kann den lokalen Speicher nutzen, um Kennungen zu erhalten. Zu den erfassten Daten gehören in der Regel Online Kennungen, gehashte Kontaktdaten, Geräte und Browserinformationen sowie Verhaltensereignisse, die beschreiben, wie ein Besucher mit der Website interagiert. Diese Signale dienen der Identitätsauflösung, der Zielgruppenbildung und dem Profiling und nicht dem rein technischen Betrieb der Website. Zeotap unterstützt zudem universelle Kennungen wie Zeotap ID+, ID5 und EUID, die ohne Cookies von Drittanbietern funktionieren können. Betreiber sollten jede Kennung und jedes Speicherelement in ihrem Cookie Verzeichnis dokumentieren, damit der tatsächliche Umfang der Erfassung transparent ist.

DSGVO und ePrivacy Auswirkungen

Nach der DSGVO sind die von Zeotap verarbeiteten Daten personenbezogene Daten, und der Abgleich der Kennungen stellt Profiling dar. Die ePrivacy Richtlinie, national umgesetzt durch Gesetze wie das deutsche TTDSG und die Leitlinien der französischen CNIL, verlangt eine Einwilligung, bevor nicht notwendige Kennungen vom Gerät eines Besuchers gelesen oder darauf gespeichert werden. Da Zielgruppenbildung und Identitätsauflösung nicht unbedingt erforderlich sind, um die Website bereitzustellen, können sie sich nicht auf eine technische Ausnahme stützen. Der Websitebetreiber handelt in der Regel als Verantwortlicher, während Zeotap je nach Aktivierungsfall als Auftragsverarbeiter oder als gemeinsam Verantwortlicher handelt. Klare Rollen, ein Auftragsverarbeitungsvertrag und eine Rechtsgrundlage müssen vor jeder Erfassung festgelegt werden.

Einwilligungspflichten und CMP Integration

Eine gültige Einwilligung muss eingeholt werden, bevor Zeotap Kennungen setzt oder Profile erstellt, und diese Einwilligung muss freiwillig, spezifisch, informiert und ebenso leicht widerrufbar wie erteilbar sein. Eine Consent Management Plattform sollte das Zeotap Tag so steuern, dass nichts ausgelöst wird, bis der Besucher den Marketing oder Profiling Zwecken zustimmt. Zeotap unterstützt das Transparency and Consent Framework des IAB Europe, das ein konformes Einwilligungssignal an die Plattform und nachgelagerte Partner weitergibt. Betreiber sollten Zeotap der richtigen Zweckkategorie zuordnen und prüfen, ob der Widerruf der Einwilligung die Erfassung stoppt und ein Signal verbreitet, die Daten nicht mehr zu verwenden. Regelmäßige Tests stellen sicher, dass das Tag den Einwilligungsstatus tatsächlich respektiert und nicht beim Laden der Seite ausgelöst wird.

Internationale Datenübermittlungen

Zeotap speichert Nutzerdaten in Rechenzentren in Deutschland, Belgien und im Vereinigten Königreich, wodurch die zentrale Verarbeitung innerhalb der EU und des EWR bleibt. Daten können jedoch mit Empfängern oder Unterauftragsverarbeitern außerhalb des EWR geteilt werden, und ein solches Teilen kann eine Übermittlung in ein Drittland darstellen. Zeotap schließt mit diesen Empfängern EU Standardvertragsklauseln ab und wendet zusätzliche Schutzmaßnahmen an, um ein gleichwertiges Schutzniveau zu wahren. Wenn personenbezogene Daten in die Vereinigten Staaten gelangen, sollten Betreiber prüfen, ob sich ein Empfänger auf das EU US Data Privacy Framework oder auf Standardvertragsklauseln zusammen mit einer Folgenabschätzung für die Übermittlung stützt. Diese Mechanismen sollten im Verzeichnis von Verarbeitungstätigkeiten festgehalten werden.

Praktische Compliance Schritte

Beginnen Sie mit einer Datenschutz Folgenabschätzung, da das von Zeotap durchgeführte Profiling und die Identitätsauflösung in der Regel die Schwelle für eine verpflichtende Abschätzung erreichen. Schließen Sie einen Auftragsverarbeitungsvertrag ab, bestätigen Sie die Rollen von Verantwortlichem und Auftragsverarbeiter und dokumentieren Sie die Übermittlungsmechanismen für Empfänger außerhalb des EWR. Konfigurieren Sie die Consent Management Plattform so, dass das Zeotap Tag blockiert bleibt, bis der Besucher seine Einwilligung zu Marketing und Profiling erteilt, und überprüfen Sie dies durch Tests im Browser. Aktualisieren Sie die Datenschutzerklärung und die Cookie Richtlinie, um die eigene Kennung, die universellen IDs und die Anreicherungsaktivitaeten in klarer Sprache zu beschreiben. Richten Sie schließlich Prozesse ein, um Auskunfts, Widerspruchs und Löschungsanfragen nachzukommen, und überprüfen Sie die Konfiguration, sobald neue Zielgruppen oder Aktivierungskanaele hinzugefügt werden.