OneTrust
OneTrust ist eine führende Consent Management Platform (CMP) und Privacy-Governance-Suite, die von über einer Million Organisationen weltweit eingesetzt wird, um die DSGVO, die ePrivacy-Richtlinie, den CCPA, den LGPD und andere Datenschutzvorschriften einzuhalten. Sie bietet ein anpassbares Cookie-Einwilligungsbanner, ein Präferenzzentrum sowie Backend-Tools für Datenkartierung, Automatisierung von Betroffenenanfragen und Datenschutz-Folgenabschätzungen. OneTrust lädt ein JavaScript-SDK von cdn.cookielaw.org und setzt zwei streng notwendige Cookies zur Speicherung der Einwilligungsentscheidungen der Besucher. Da OneTrust selbst der Einwilligungsmechanismus ist, ist es als streng notwendig eingestuft und von der Einwilligungspflicht befreit.
Was macht OneTrust?
Was ist OneTrust?
OneTrust ist eine führende Consent Management Platform (CMP) und Privacy-Governance-Suite, die 2016 gegründet wurde und heute von über einer Million Organisationen weltweit genutzt wird. Sie ermöglicht es Unternehmen, die Einwilligung der Besucher für Cookies und Tracking-Technologien zu erfassen, aufzuzeichnen und nachzuweisen, um die DSGVO, die ePrivacy-Richtlinie, den CCPA, den LGPD und andere Datenschutzgesetze einzuhalten. Neben dem Cookie-Einwilligungsmanagement bietet OneTrust ein vollständiges Datenschutzprogramm mit automatisierter Cookie-Erkennung, Lieferantenrisikobewertungen, Automatisierung von Betroffenenanfragen, Datenschutz-Folgenabschätzungs-Workflows und IAB TCF 2.2-Konformität.
Funktionsweise von OneTrust: Skripte und Cookies
OneTrust wird über einen JavaScript-Snippet im Website-Header eingebunden, der das OneTrust-SDK von cdn.cookielaw.org lädt. Das SDK erkennt die Jurisdiktion des Besuchers über die geolocation.onetrust.com-API und zeigt das entsprechende Einwilligungserlebnis an. Es setzt zwei First-Party-Cookies: OptanonAlertBoxClosed speichert, wann das Banner zuletzt geschlossen wurde, und OptanonConsent speichert einen detaillierten String der Einwilligungsentscheidungen des Besuchers je Kategorie. Beide Cookies haben eine Laufzeit von 12 Monaten und benötigen keine vorherige Einwilligung, da sie für den Betrieb des Einwilligungsmechanismus streng notwendig sind.
DSGVO und ePrivacy: OneTrust als streng notwendiger Dienst
Gemäß der ePrivacy-Richtlinie sind Cookies, die für einen vom Nutzer ausdrücklich angeforderten Dienst streng notwendig sind, von der Einwilligungspflicht befreit. Das OneTrust-Einwilligungstool fällt in diese Kategorie: Es kann ohne das Speichern von Einwilligungsaufzeichnungen nicht funktionieren. Europäische Datenschutzbehörden unterstützen weitgehend die Einstufung von CMP-operativen Cookies als streng notwendig. Die DSGVO-spezifischen Funktionen von OneTrust umfassen: geotargeted Einwilligungserlebnisse, vollständige Einwilligungsprotokollierung mit Zeitstempeln, Consent Mode v2-Integration für Google-Tags, vorheriges Blockieren nicht eingewilligter Skripte und IAB TCF 2.2-Konformität.
Datentransfers in die USA
OneTrust ist ein US-Unternehmen mit Hauptsitz in Atlanta, Georgia. Standardmäßig werden Einwilligungsprotokolle und Konfigurationsdaten auf US-Infrastruktur über das Fastly CDN verarbeitet. OneTrust stellt EU-Kunden Standardvertragsklauseln (SVK) und einen Auftragsverarbeitungsvertrag (AVV) zur Verfügung, die direkt in der Admin-Konsole unterzeichnet werden können. Enterprise-Pläne bieten EU-Datenresidenz mit Verarbeitung und Speicherung in europäischen Rechenzentren, was die grenzüberschreitende Übermittlungsproblematik für Organisationen mit strengen Datenlokalisierungsanforderungen beseitigt.
Praktische Compliance-Schritte für OneTrust
Für eine DSGVO- und ePrivacy-konforme Konfiguration von OneTrust: Führen Sie einen Cookie-Scan durch, bevor Sie Kategorien konfigurieren; konfigurieren Sie das Banner so, dass für nicht wesentliche Kategorien eine ausdrückliche Einwilligung erforderlich ist (keine vorausgefüllten Checkboxen); aktivieren Sie das vorherige Blockieren, damit nicht wesentliche Skripte erst nach der Einwilligung geladen werden; implementieren Sie Google Consent Mode v2 für Google-Tags; unterzeichnen Sie den OneTrust-AVV in der Admin-Konsole; aktivieren Sie die Einwilligungsprotokollierung; aktualisieren Sie Ihre Datenschutzerklärung, um OneTrust und jede Cookie-Kategorie zu beschreiben. Testen Sie das Bannerverhalten in jedem Zielland.
OneTrust DSFA und Risikobewertung
Der Einsatz von OneTrust als CMP birgt ein geringes Datenschutzrisiko. Das Tool verarbeitet Einwilligungspräferenzen und keine sensiblen personenbezogenen Daten. Eine DSFA kann relevant werden, wenn die umfassenderen Datenschutzprogramm-Funktionen von OneTrust in größerem Umfang genutzt werden: DSR-Portale für Betroffenenanfragen großer Bevölkerungsgruppen, Lieferantenrisikobewertungen mit besonderen Kategorien personenbezogener Daten oder Datenkartierungsinitiativen für Hochrisikoverarbeitungen. Dokumentieren Sie in diesen Fällen OneTrust als Unterauftragsverarbeiter in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
OneTrust und die DSGVO
- Rechtsgrundlage
- Strictly necessary: OneTrust operates as the consent management mechanism itself and is therefore exempt from requiring prior consent under the ePrivacy Directive. It records and enforces consent choices for all other cookies on behalf of the data controller.
- Risikostufe
- low
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, CCPA, LGPD, PIPEDA
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist für den Einsatz von OneTrust als CMP in der Regel nicht erforderlich. Sie kann in spezifischen Bereitstellungen relevant werden, bei denen die Datenschutzprogramm-Funktionen von OneTrust große Mengen sensibler personenbezogener Daten verarbeiten, wie DSR-Workflows, Lieferantenbewertungen oder Datenkartierung mit besonderen Kategorien personenbezogener Daten.
Beispieltext für Ihr Banner
Diese Website verwendet OneTrust zur Verwaltung Ihrer Cookie- und Tracking-Präferenzen. OneTrust ist ein streng notwendiges Tool, das Ihre Einwilligungsentscheidungen aufzeichnet und selbst keine vorherige Einwilligung benötigt. Sie können Ihre Präferenzen jederzeit über den Link zu den Cookie-Einstellungen ändern.
Was OneTrust setzt und kontaktiert
- Tracking-Methode
- JavaScript SDK loaded from cdn.cookielaw.org, first-party cookies for consent storage, geolocation API for jurisdiction detection
- Serverstandort
- United States (Atlanta, Fastly CDN by default), EU data residency available on enterprise plans
- Datenübermittlung außerhalb der EU
- Consent logs and configuration processed on US infrastructure by default. EU data residency available on enterprise plans. Standard Contractual Clauses and DPA provided by OneTrust.
Gesetzte Cookies (2)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| OptanonAlertBoxClosed | Strictly Necessary | 12 months | Records the date and time the OneTrust cookie consent banner was last dismissed by the visitor |
| OptanonConsent | Strictly Necessary | 12 months | Stores the visitor's cookie consent choices per category as a URL-encoded string, used by OneTrust to enforce consent on subsequent page loads |
Kontaktierte Drittanbieter-Domains (3)
cdn.cookielaw.orggeolocation.onetrust.comprivacyportal.onetrust.com
Häufige Fragen zu OneTrust
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Benötigt OneTrust selbst eine DSGVO-Einwilligung zum Laden?
Nein. OneTrust ist das Einwilligungsmanagement-Tool und wird gemäß der ePrivacy-Richtlinie als streng notwendig eingestuft. Die von OneTrust gesetzten Cookies (OptanonConsent und OptanonAlertBoxClosed) zeichnen die Einwilligungsentscheidungen des Besuchers auf und können ohne vorherige Einwilligung gesetzt werden. Europäische Datenschutzbehörden unterstützen diese Auslegung weitgehend. Für das Laden des OneTrust-Skripts ist keine vorherige Einwilligung erforderlich.
Welche Cookies setzt OneTrust?
OneTrust setzt zwei First-Party-Cookies: OptanonAlertBoxClosed (12 Monate) speichert, wann das Einwilligungsbanner zuletzt geschlossen wurde, und OptanonConsent (12 Monate) speichert einen detaillierten String mit den Einwilligungsentscheidungen des Besuchers je Kategorie. Beide sind für den Betrieb der CMP streng notwendig. OneTrust selbst setzt keine Werbe- oder Analyse-Cookies.
Unterstützt OneTrust Google Consent Mode v2?
Ja. OneTrust integriert nativ mit Google Consent Mode v2 über sein Google Tag Manager-Template oder eine direkte API-Integration. Wenn konfiguriert, überträgt OneTrust Einwilligungssignale (analytics_storage, ad_storage, ad_user_data, ad_personalization) in Echtzeit an Google-Tags. Dies ist seit März 2024 für EU/EWR-Werbetreibende, die Google Ads und GA4 nutzen, verpflichtend.
Überträgt OneTrust Daten in die USA?
Ja, standardmäßig. Einwilligungsprotokolle werden auf US-Infrastruktur (Fastly CDN) gespeichert. OneTrust stellt Standardvertragsklauseln und einen AVV bereit, der direkt in der Admin-Konsole unterzeichnet werden kann. Enterprise-Pläne bieten EU-Datenresidenz. Für Organisationen mit strengen Datenlokalisierungsanforderungen sollte die EU-Residenz vor der Bereitstellung von OneTrust vereinbart werden.
Muss ich einen Auftragsverarbeitungsvertrag mit OneTrust abschließen?
Ja. OneTrust handelt als Auftragsverarbeiter, wenn es Einwilligungsprotokolle in Ihrem Auftrag verarbeitet. Unterzeichnen Sie den OneTrust-Auftragsverarbeitungsvertrag direkt in der Admin-Konsole unter Kontoeinstellungen. Prüfen Sie die Liste der Unterauftragsverarbeiter und die SVK. Für Enterprise-Pläne mit EU-Datenresidenz bestätigen Sie, dass dies im Vertrag festgehalten ist.
Wie konfiguriere ich OneTrust für DSGVO- und ePrivacy-Konformität?
Wichtige Konfigurationsschritte: (1) Führen Sie den OneTrust-Cookie-Scanner aus, um alle Cookies Ihrer Website zu kategorisieren. (2) Konfigurieren Sie das Banner so, dass für nicht wesentliche Kategorien eine ausdrückliche Einwilligung erforderlich ist. (3) Aktivieren Sie das vorherige Blockieren, damit nicht eingewilligte Tags nicht ausgelöst werden. (4) Implementieren Sie Consent Mode v2 für Google-Tags. (5) Konfigurieren Sie Geotargeting für EU/EWR-Besucher. (6) Aktivieren Sie die Einwilligungsprotokollierung. (7) Aktualisieren Sie Ihre Datenschutzerklärung.
Muss ich eine DSFA für OneTrust durchführen?
Eine DSFA ist für den Einsatz von OneTrust als Cookie-Einwilligungstool in der Regel nicht erforderlich. Das Risiko ist gering, da OneTrust Einwilligungspräferenzen und keine sensiblen personenbezogenen Daten verarbeitet. Eine DSFA kann gerechtfertigt sein, wenn Sie das DSR-Portal, das Lieferantenrisikomanagement oder die Datenkartierungsfunktionen von OneTrust in großem Umfang mit besonderen Kategorien personenbezogener Daten nutzen. Dokumentieren Sie OneTrust als Unterauftragsverarbeiter in Ihrem Verzeichnis.
Welche EU-basierten Alternativen zu OneTrust gibt es?
EU-basierte CMP-Alternativen umfassen Axeptio (Frankreich), Didomi (Frankreich), Usercentrics (Deutschland), Cookiebot by Usercentrics (Dänemark) und Tarteaucitron (Frankreich). Diese bieten standardmäßig EU-Datenresidenz und eliminieren Übermittlungsbedenken in die USA. Für WordPress ist Complianz (Niederlande) eine starke Option. OneTrust mit konfigurierter EU-Residenz ist selbst eine konforme Wahl.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.