Ketch

Was Ketch ist

Ketch ist eine Privacy Operations Plattform der 2018 gegründeten Ketch.com Inc. aus San Francisco. Die Plattform vereint vier Hauptbausteine: eine CMP mit Banner, Präferenzcenter und TCF v2.2 Unterstützung; ein Data Mapping und Inventarisierungs Werkzeug, das Datenflüsse in der Organisation nachzeichnet; eine Automatisierung von Betroffenenrechten (Auskunft, Löschung, Datenübertragbarkeit, Widerspruch); und einen Layer für Global Privacy Control und Universal Opt Out Mechanismen, der Browser Privacy Signale unter den verschiedenen US Bundesstaatengesetzen interpretiert. Europäische Betreiber nutzen Ketch typischerweise für CMP und Betroffenenrechte, oft in Umgebungen, die zugleich US Gesetzen wie CCPA und CPRA gerecht werden müssen.

Welche Daten Ketch erhebt

Die CMP schreibt ketch_consent (Standard 12 Monate), eine JSON Aufzeichnung der Entscheidung pro Zweck samt Zeitstempel, und _swb (ebenfalls 12 Monate) als Backend ID, über die der Consent Record in den Ketch Datenbanken gefunden wird. Bei aktiviertem TCF v2.2 für europäische Programmatic Werbung wird zusätzlich das Standardcookie euconsent-v2 gesetzt. Das Backend speichert das Consent Log mit IP und User Agent als Nachweis. Für Betroffenenrechte verarbeitet Ketch Name, E Mail, Telefon, Freitextbeschreibung und ggf. Verifikationsunterlagen. GPC Signale werden über navigator.globalPrivacyControl ausgelesen und nach konfigurierten Policies in einen automatischen Opt Out umgewandelt.

DSGVO und ePrivacy Implikationen

Erwägungsgrund 30 der ePrivacy Richtlinie akzeptiert die Speicherung der Nutzerentscheidung als erforderliche Verarbeitung, das Ketch Banner darf daher vor Einwilligung laden. Art. 7 Abs. 1 DSGVO buerdet dem Verantwortlichen die Nachweispflicht der Einwilligung auf, was das Consent Log unter berechtigtem Interesse oder rechtlicher Verpflichtung rechtfertigt. Für Betroffenenrechte ist die Rechtsgrundlage in der Regel rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c), da die DSGVO selbst die Bearbeitung der Antraege nach Art. 15 bis 22 vorschreibt, die Aufbewahrung ist auf das für den Nachweis gegenüber Aufsichtsbehörden Notwendige begrenzt. Die TCF Integration teilt die Erwägungen jeder TCF CMP, einschließlich des APD Urteils gegen IAB Europe und der EDSA Prüfung.

Consent Fluss und nachgeordnete Vendoren

Ketch stellt bei aktiviertem TCF die globale __tcfapi() bereit, plus eine eigene ketch() Command Queue für nicht TCF Vendoren. Betreiber binden jedes nachgelagerte Tag (Google Analytics, Meta Pixel, eigene Pixel) per Server Side Gating, GTM Consent Triggern oder dem Ketch Policy Engine an den passenden Ketch Zweck. Die Plattform unterstützt Google Consent Mode v2 Mapping: Analytics Zweck setzt analytics_storage, Werbe Zweck setzt ad_storage, ad_user_data und ad_personalization. Für Mobile decken die Ketch SDKs Android und iOS mit App Tracking Transparency Integration ab.

Datentransfers und Residenz

Die Standardinfrastruktur läuft auf AWS us-west-2 und us-east-1. Das Banner kann über CloudFront Edges in EU Nähe ausgeliefert werden, Consent Log und Betroffenenanfragen liegen jedoch standardmäßig auf US Infrastruktur, außer der Betreiber verhandelt EU Residenz auf eu-west-1 (Irland) oder eu-central-1 (Frankfurt). Ketch ist nach EU US Data Privacy Framework selbstzertifiziert und setzt SCC für Transfers außerhalb des DPF ein. Wer sensible Betroffenenanfragen verarbeitet oder strenge EU only Zusagen gemacht hat, sollte die EU Residenz Option vor dem Roll out einfordern.

Praktische Umsetzung

Banner mit gleichwertiger Sichtbarkeit von Akzeptieren und Ablehnen, ohne vorausgefuellte Kästchen, granulare Steuerungen einen Klick entfernt, Widerrufslink im Footer. Alle Tags über die Policy Engine den Ketch Zwecken zuordnen und per Cookie Scan prüfen. Global Privacy Control für EU Besucher berücksichtigen (mehrere Aufsichtsbehörden erkennen GPC als gültiges Widerspruchssignal an) und GPC Handling mit US Gesetzen abgleichen, wo zutreffend. Gewählte Residenzoption, Transfermechanismus und DSR Aufbewahrungsfristen im Verarbeitungsverzeichnis dokumentieren. Den DSR Fluss vor Go Live End to End testen, inklusive Verifikationsschritt.