Consent, Privacy und die Ethik des Targetings: ein Playbook für CMOs

Die Lücke zwischen dem, was Marketingteams technisch mit Daten tun kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, und dem, was sie tun sollten, war nie größererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → und nie sichtbarer. Die von den EU-Datenschutzbehörden verhängten DSGVO-Bußgelder überschritten bis Anfang 2026 kumuliert 4,2 Milliarden Euro, allein auf Meta gehen mehrere neunstellige Strafen zurück. Der California Privacy Rights Act, die brasilianische LGPD, das kanadische Bill C-27 und eine Reihe von US-Bundesstaatengesetzen haben die Compliance-Landkarte zersplittert. Parallel dazu hat das Ende der Third-Party-Cookies, in Chrome nach Jahren der Verzögerung inzwischen faktisch vollzogen, ein strukturelles Umdenken beim Audience-Targeting erzwungen, das viele Teams zu lange aufgeschoben haben.

Der Druck auf CMOs ist konkret: Ihre Wachstumsziele haben sich nicht geändert, als die Datenschutzregeln sich geändert haben. Die Aufgabe ist, eine Targeting-Fähigkeit aufzubauen, die ohne die Abkürzungen funktioniert, über die Regulierer und Verbraucher nicht länger hinwegsehen wollen.

Ein Consent-first-Targeting aufbauen

Schritt 1: Prüfen, was Sie tatsächlich erheben und warum

Bevor Sie Ihre Consent-Management-Plattform anfassen, kartieren Sie Ihre echten Datenflüsse. Die meisten Organisationen stellen fest, dass sie deutlich mehr erheben, als ihre Datenschutzerklärung beschreibt, oft weil einzelne Produktteams oder Agenturen Pixel, Tags und Integrationen ohne zentrale Kontrolle ergänzt haben. Machen Sie ein vollständiges Tag-Audit mit einem Tool wie ObservePoint oder der Scan-Funktion von Cookiebot und gleichen Sie dann jede Datenkategorie mit einem dokumentierten Geschäftszweck ab. Wenn Sie für einen Datenpunkt keine Begründung in einem Satz schreiben können, die ein Regulierer akzeptieren würde, hören Sie auf, ihn zu erheben.

Das ist auch der Moment, Ihre Daten nach Stufen zu klassifizieren: First-Party-Daten mit ausdrücklichem Consent erhoben, abgeleitete Daten aus Verhalten und zugekaufte oder Third-Party-Daten, deren Herkunft Sie nicht vollständig überprüfen können. Diese dritte Kategorie sollte schrumpfen.

Schritt 2: Consent als Werttausch neu gestalten, nicht als juristische Checkbox

Die meisten Consent-Banner sind darauf ausgelegt, Opt-ins zu minimieren und die Regulierung dabei formal zu erfüllen. Das ist kommerziell kurzsichtig und rechtlich zunehmend riskant. Die französische CNIL und die britische ICO sind beide gegen Consent-Flows mit „Dark Patterns“ vorgegangen, die Nutzer über unterschiedlich große Buttons, vorausgewählte Kästchen oder absichtlich verwirrende Sprache zur Zustimmung drängen.

Das bessere Modell behandelt Consent als Eröffnungszug in einem Werttausch. Die New York Times, die seit 2020 einen umfangreichen First-Party-Datenbetrieb aufgebaut hat, bittet Leser um Interessendaten im Austausch für ein relevanteres Leseerlebnis und transparente Erklärungen, wie diese Daten genutzt werden. Die Zahlen zur Abo-Conversion aus ihren Investor Calls legen nahe, dass diese Transparenz der Akquisition nicht geschadet hat. Behandeln Sie Ihre Consent-UI als Produkt, nicht als Rechtsdokument. Testen Sie die Sprache im A/B-Test. Verfolgen Sie Opt-in-Raten nach Segment und Oberfläche. Eine Opt-in-Rate von 60 % bei einem gut gestalteten Banner ist besser als 90 % schlecht verstandene stillschweigende Zustimmung.

Schritt 3: Ihre First-Party-Datenarchitektur aufbauen, bevor Sie sie brauchen

Viele Teams sind ohne funktionierende Customer Data PlatformCustomer Data PlatformA Customer Data Platform unifies customer data from all sources into persistent, actionable profiles that other systems can use.Vollständige Definition ansehen → in die Post-Cookie-Zeit gestartet. Wenn Sie dort noch stehen, lautet die Reihenfolge: zuerst Identity Resolution (anonyme Sessions kanalübergreifend mit bekannten Nutzern verbinden), dann Segmentierungslogik, dann Activation. Eine CDPCDPA Customer Data Platform unifies customer data from all sources into persistent, actionable profiles that other systems can use.Vollständige Definition ansehen → wie Segment, Tealium oder mParticle kann das verankern, wobei zu beachten ist: Das sind Anbieterplattformen mit kommerziellem Interesse an der Komplexität der Integrationen, die sie verkaufen. Überprüfen Sie ihre Angaben zur Segmentierungsgenauigkeit gegen eigene Holdout-Tests.

Loyalty-Programme, Preference Center, Newsletter-Abos und interaktive Tools (Rechner, Konfiguratoren, Quizze) sind alle legitime Mechanismen zur Gewinnung von First-Party-Daten. Jeder davon braucht ein klares Wertversprechen für den Nutzer. Wenn Ihr Preference Center derzeit wie eine Legacy-IT-Maske aus 2009 aussieht, beheben Sie das vor allem anderen. Es zeigt, ob Sie den Werttausch ernst nehmen.

Schritt 4: Einen internen Ethikstandard über dem rechtlichen Minimum setzen

Legalität ist die Untergrenze. Der Reputationsschaden durch Praktiken, die formal legal sind, sich aber räuberisch anfühlen, fällt höher aus, als viele CMOs einkalkulieren. RetargetingRetargetingShowing ads to users who have previously visited your site or interacted with your brand, to bring them back and drive conversion.Vollständige Definition ansehen → im Überwachungsstil, das einen Nutzer nach einem einzigen Produktaufruf wochenlang über Dutzende Sites verfolgt, kleinteiliges Location-Tracking, das sensible Merkmale wie Gesundheitszustand oder Religionszugehörigkeit ableitet, und Lookalike-Modelling auf Basis von Daten, zu deren Weitergabe die Ausgangsnutzer nicht wirklich zugestimmt haben: Das alles liegt in einer Grauzone, die kleiner wird.

Ein praktisches Instrument ist hier ein interner Test mit zwei Fragen, bevor eine neue Targeting-Taktik live geht: Würden Ihre Kunden sich überwacht statt bedient fühlen, wenn ein Journalist diese Praxis beschreibt? Und würden die Kunden, deren Daten Sie nutzen, die Verwendung wiedererkennen und akzeptieren? Das sind keine rhetorischen Fragen. Führen Sie sie in Ihrem Marketing-Führungsteam als festen Agendapunkt, wenn neue Kampagnen zugeschnitten werden.

Fallstricke, die das in der Praxis scheitern lassen

Der häufigste Fehlermodus ist, Datenschutz als Compliance-Projekt der Rechtsabteilung zu behandeln statt als Marketing-Fähigkeit in der Verantwortung des CMO. Wenn Legal die Anforderungen setzt und Marketing darum herum arbeitet, entsteht eine Consent-Architektur, die auf Haftungsschutz optimiert ist und für deren Performance niemand verantwortlich ist. Der CMO muss beides verantworten.

Zweiter Fehler: zu viel Gewicht auf Technologie, zu wenig Investment in Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen →. Eine CDP ohne dokumentierte Aufbewahrungsrichtlinie und ohne Prozess für Löschanfragen ist ein Compliance-Risiko im Gewand einer Lösung. Die Governance-Arbeit, also festzulegen, wer auf welche Datenstufe für welche Kampagnenzwecke mit welcher Genehmigungskette zugreifen darf, ist weniger aufregend als Softwarekauf und folgenreicher.

Achten Sie schließlich auf „Consent Washing“: einen Privacy-first-Rebrand ankündigen und dabei still Praktiken fortsetzen, die von Daten abhängen, die der Nutzer nicht ausdrücklich geteilt hat. Hier konzentriert sich das regulatorische Risiko. Das Vorgehen der irischen Datenschutzkommission 2023 gegen Metas „Pay or Consent“-Modell in Europa hat gezeigt, dass eine Datenpraxis nicht automatisch konform wird, wenn man sie als Produktfeature umdeutet.

Quick Wins für diese Woche

• Machen Sie ein vollständiges Tag-Audit Ihrer Hauptwebsite und identifizieren Sie alle feuernden Tags ohne klar dokumentierten Zweck oder Consent-Abhängigkeit
• Prüfen Sie die aktuelle Opt-in-Rate Ihres Consent-Banners; wenn Sie diese Zahl nicht haben, ist das selbst das Problem, das Sie zuerst lösen müssen
• Schicken Sie Ihre drei wichtigsten aktiven Targeting-Taktiken durch den internen Ethiktest mit zwei Fragen und dokumentieren Sie die Ergebnisse
• Kartieren Sie, welche Audience-Segmente Sie derzeit mit Third-Party- oder zugekauften Daten bauen, und identifizieren Sie für jedes eine First-Party-Alternative
• Setzen Sie einen 45-minütigen Termin mit Ihren Legal- und Datenteams an, um eine gemeinsame Definition von „sensiblen Daten“ und den Genehmigungsprozess für Kampagnen, die sie berühren, festzulegen

Der CMO, der Consent als Einschränkung behandelt, wird die nächsten drei Jahre in der Defensive verbringen. Wer ihn als Fundament eines eigenen Datenbestands behandelt, hat eine Targeting-Fähigkeit, die Wettbewerber nicht leicht kopieren können, weil sie auf Vertrauen aufbaut, dessen Erwerb Zeit gekostet hat.