Cookieless & Data Clean Rooms: Grundlagen und Kernkonzepte

Third-Party-Cookies sind nicht nach Plan gestorben, und das ist gerade die am häufigsten falsch gelesene Tatsache in der Marketingtechnologie. Google hat im Juli 2024 seinen Plan zurückgezogen, sie aus Chrome zu entfernen, und im April 2025 bestätigt, dass kein eigenständiger Prompt ausgeliefert wird, der Chrome-Nutzer zum Opt-out auffordert. Cookies funktionieren in Chrome weiterhin, und Chrome deckt rund zwei Drittel der weltweiten Browsernutzung ab.

Alles drumherum hat sich trotzdem bewegt. Safari blockiert Third-Party-Cookies seit 2020 standardmäßig, Firefox seit 2019, und Apples App Tracking Transparency, live mit iOS 14.5 im April 2021, hat das app-übergreifende Tracking hinter einen Berechtigungsdialog gestellt, den die meisten Nutzer ablehnen. Meta teilte Investoren im Februar 2022 mit, dass ATT das Unternehmen in jenem Jahr rund 10 Milliarden Dollar Umsatz kosten würde. Die Consent-Regeln in Europa verengen weiter, was Sie erheben dürfen, bevor jemand auf Akzeptieren klickt.

Die Infrastruktur, die die Branche als Antwort gebaut hat, ist der Data Clean Room, und darum geht es in diesem Modul. Diese Lektion definiert ihn: was ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ist, was er beantwortet, was er nie beantworten wird und wie zwei Unternehmen Kunden matchen, wenn keines eine Kundenliste herausgeben will.

Worüber sprechen wir eigentlich?

Ein Third-Party-Cookie ist eine kleine Datei, die von einer anderen Domain als der besuchten Website im Browser abgelegt wird. Werbetreibende haben sie zwei Jahrzehnte genutzt, um Menschen über Websites hinweg zu verfolgen, Verhaltensprofile zu bauen und Retargeting zu betreiben. Sie schauen sich Laufschuhe auf der Seite eines Händlers an und sehen diese Schuhe eine Stunde später auf einer News-Seite: Das war ein Third-Party-Cookie.

Cookie-Deprecation bedeutet, dass Browser diese Dateien nicht mehr speichern oder senden. Zwei der drei großen Browser tun das bereits. Das ehrliche Bild ist also ein geteiltes: Cookies funktionieren in Chrome, sie funktionieren nicht in Safari oder Firefox, das Tracking in mobilen Apps ist unabhängig von Browsern kaputt, und die Ersatzinfrastruktur ist längst gebaut und bezahlt. Googles Rückzieher hat die Deadline verändert, nicht die Richtung.

Ein Data Clean Room ist eine kontrollierte Umgebung, in der zwei oder mehr Parteien First-Party-Daten unter vorab vereinbarten Regeln zusammenführen und in der nur aggregierte Ergebnisse herauskommen dürfen. Jede Seite bringt Datensätze ein, die sie bereits rechtmäßig hält. Das Matching und die Rechenoperationen finden innen statt. Keine Seite kann die Zeilen der anderen lesen, exportieren oder re-identifizieren.

Drei Eigenschaften unterscheiden ihn von einer gemeinsamen Datenbank. Rohdatensätze wechseln nie die Seite: Was eine Partei einbringt, bleibt für die andere unsichtbar. Queries sind auf eine genehmigte Liste von Operationen und Outputs beschränkt, vereinbart bevor jemand etwas ausführt. Und Ergebnisse unterhalb einer minimalen Gruppengröße werden unterdrückt, meist eine Untergrenze im zweistelligen Nutzerbereich, damit Sie eine Query nicht so weit verengen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, bis sie einen einzelnen Haushalt beschreibt.

Damit ist ein Clean Room eine Mess- und Audience-Umgebung, kein Datentransfer. Wenn Sie die Daten der anderen Partei besitzen wollen, ist das die falsche Anschaffung.

Vier Teilkonzepte, die jeder CMO verinnerlichen muss

1. First-Party-Daten sind heute Wettbewerbsinfrastruktur

First-Party-Daten sind, was Sie direkt von Kunden mit deren Einwilligung erheben: Kaufhistorie, Loyalty-Verhalten, eingeloggtes Browsing, E-Mail-Engagement. Sie besitzen sie, und sie verdampfen nicht, wenn ein Browser-Anbieter eine Voreinstellung ändert.

Apple ist die klarste Demonstration dafür, warum das zählt. Das Unternehmen hat Third-Party-Tracking über iOS hinweg eingeschränkt und betreibt gleichzeitig sein eigenes Werbegeschäft mit Signalen, die es vollständig besitzt: App-Store-Suchanfragen, Download-Historie, Daten auf Account-Ebene. Das Unternehmen, das die Regeln verschärft hat, war auch das am wenigsten davon betroffene, weil seine Daten aus der eigenen Beziehung zum Nutzer kamen. Diese Asymmetrie ist das ganze Argument für den Aufbau einer authentifizierten Kundenbasis.

2. Identity Resolution: die Klebeschicht

Ohne Cookie, das Sessions zusammennäht, brauchen Sie einen anderen Weg, dieselbe Person zweimal zu erkennen. Identity Resolution matcht Signale wie gehashte E-Mail-Adressen, Telefonnummern oder Device-IDs zu einem persistenten Profil. Die gehashte E-Mail ist zum De-facto-Schlüssel geworden, und die zwei breit eingesetzten Standards darauf sind Unified ID 2.0 von The Trade Desk und RampID von LiveRamp.

Die Reibung lohnt sich zu verstehen, bevor Sie annehmen, E-Mail löse alles. Apples Hide My Email vergibt für jeden Dienst, bei dem sich ein Kunde einloggt, eine eigene Relay-Adresse, sodass die Adresse in Ihrem CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → zu nichts in der Datei eines anderen passt. Jede Relay-Adresse, jeder Tippfehler, jede Trennung zwischen dienstlich und privat ist ein Kunde, der in beiden Datensätzen existiert und in keinem matcht.

3. Data Clean Rooms: die Mechanik

Es gibt drei Bauformen am Markt. Ein plattformeigener Clean Room sitzt innerhalb eines Walled Garden und läuft zu den Bedingungen und mit den Daten dieser Plattform. Ein neutraler Cloud-Clean-Room läuft auf Infrastruktur, die keiner der Parteien gehört: Snowflake, ein Anbieter in diesem Markt, hat Clean-Room-Fähigkeiten im Januar 2024 über die Akquisition von Samooha ergänzt, sodass Kunden, die dort bereits Daten speichern, mit einem Partner einen Room eröffnen können, ohne etwas zu verschieben. Ein dezentraler Clean Room, das Modell, das InfoSum verkauft, poolt die Daten überhaupt nicht: jede Partei behält ihre Datensätze in ihrer eigenen Umgebung, und nur verschlüsselte, nicht identifizierende Keys überschreiten die Grenze, um das Match zu erzeugen.

Das Matching selbst ist weniger mysteriös, als das Marketing suggeriert. E-Mails und Telefonnummern werden normalisiert und gehasht, meist mit SHA-256 und einem gemeinsamen Salt, sodass dieselbe Adresse auf beiden Seiten denselben unlesbaren String ergibt. Deterministisches Matching paart identische Hashes. Probabilistisches Matching leitet eine Verbindung aus schwächeren Signalen wie IP-Adresse und Device-Muster ab, und das ist eine statistische Schätzung, keine Tatsache. Kryptografische Verfahren wie Private Set Intersection erlauben zwei Parteien, Größe und Zusammensetzung ihrer Überschneidung zu berechnen, ohne dass eine erfährt, wer außerhalb liegt. Aggregationsgrenzen und, in manchen Systemen, bewusst eingefügtes statistisches Rauschen verhindern, dass jemand aus einer Serie enger Queries eine Einzelperson zurückrechnet.

Ein Vorbehalt, der Juristen mehr interessiert als Ingenieure: Hashing ist Pseudonymisierung, nicht Anonymisierung. Dieselbe E-Mail ergibt immer denselben Hash, genau deshalb funktioniert das Matching, und genau deshalb behandeln Regulierer in der EU und in Großbritannien gehashte Identifier in der Regel als personenbezogene Daten. Der Vertrag, der einen Clean Room regelt, leistet so viel Arbeit wie die Kryptografie.

4. Contextual Targeting als parallele Strategie

Contextual Targeting platziert Werbung passend zum Inhalt der Seite statt zur Historie des Lesers. Wer eine Trailrunning-Rezension liest, sieht Trailschuhe. Keine Nutzerdaten nötig, keine Identität aufzulösen, keine Consent-Abhängigkeit.

Das ist die älteste Targeting-Methode überhaupt und bekommt einen zweiten Blick, weil die neuere Methode schwieriger geworden ist. Moderne Varianten erfassen die Bedeutung einer Seite über Sprachmodelle statt über Keyword-Listen, was Brand Safety besser handhabt als die grobe Blocklisten-Logik von vor zehn Jahren. Was Contextual nicht kann, ist Ihnen zu sagen, ob der Leser etwas gekauft hat. Diese Frage gehört in den Clean Room, weshalb die beiden nebeneinander stehen statt zu konkurrieren.

Was ein Clean Room beantworten kann und was nicht

was herauskommt

Zuerst Overlap-Fragen: wie viele Ihrer Kunden auch bei diesem Partner kaufen, wie viel sie dort ausgeben, wie sich die Overlap-Gruppe vom Rest Ihrer Basis unterscheidet. Deduplizierte ReachReachDie Zahl der einzelnen Personen, die Ihre Botschaft in einem bestimmten Zeitraum gesehen haben. Anders als Impressions zählt Reach jede Person nur einmal, unabhängig davon, wie oft sie die Botschaft sieht.Vollständige Definition ansehen → und Frequency über zwei Datensätze, von denen jeder nur seine eigene Hälfte sieht. Exposure-to-Outcome-Reporting innerhalb des gematchten Sets, das Näheste, was die meisten Marken erreichen, um die Lücke zwischen einer Media-ImpressionImpressionDie Gesamtzahl der Ausspielungen einer Anzeige oder eines Inhalts, unabhängig von Klicks. Jede Ausspielung zählt als eine Impression, auch bei derselben Person.Vollständige Definition ansehen → und einem Kauf zu schließen, den sie nicht beobachtet haben. Und, wo die Vereinbarung Aktivierung und nicht nur Messung erlaubt, Audience-Outputs: Suppression-Listen, Seed-Segmente, Gruppen, die in eine Buying-Plattform zurückgespielt werden, ohne dass je eine Kundenliste den Besitzer wechselt.

was nie herauskommt

Daten auf Zeilenebene. Irgendetwas über die Menschen außerhalb des Overlaps, die meist die Mehrheit sind. Kausalität, es sei denn, jemand hat vor dem Kampagnenstart ein Holdout designt, denn ein Clean Room korreliert Exposure mit Kauf und erzeugt kein Kontrafaktisches. Kleine Slices, die die Aggregationsgrenze absichtlich unterdrückt. Und überhaupt nichts über einen Wettbewerber, da die einzigen Daten im Room jene sind, die beide Parteien einzubringen vereinbart haben.

wo die Match Rate über alles entscheidet

Jede Zahl, die ein Clean Room produziert, beschreibt die gematchte Population, nicht Ihre Kundenbasis. Match Rates sind selten annähernd vollständig; eine Markendatei, die auf eine Händlerdatei trifft, überschneidet sich oft nur zu einem Bruchteil, und dieser Bruchteil kippt in Richtung Loyalty-Mitglieder und Heavy Buyer, also die Menschen, die sich am ehesten identifizieren lassen. Wenn Sie ein Clean-Room-Ergebnis lesen, ohne nach Match Rate und Denominator zu fragen, lesen Sie eine Aussage über Ihre besten Kunden und halten sie für eine Aussage über Ihren Markt.

CMO-MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen

• Prüfen Sie Ihre First-Party-Daten, bevor Sie über einen Clean Room sprechen. Wenn Sie nicht sagen können, wie viele authentifizierte, consent-geprüfte Kundendatensätze Sie halten und welche Identifier jeder Datensatz trägt, können Sie das Angebot eines Partners nicht bewerten, weil Sie Ihre eigene Match Rate nicht vorhersagen können.
• Lesen Sie Googles Rückzieher nicht als Erlaubnis, das Tempo zu drosseln. Die blinden Flecken in Safari und Firefox bleiben, ATT hat das mobile Tracking längst zerlegt, und die Consent-Regeln werden strenger. Teams, die 2024 ihre Post-Cookie-Arbeit pausiert haben, haben zwei Jahre Aufbau authentifizierter Audiences verloren, die sie nicht zurückkaufen können.
• Machen Sie Match Rate und Aggregationsschwelle zu Standardfragen für jeden Partner und jeden Anbieter. Beide Zahlen bestimmen, was jede künftige Analyse sagen kann, und beide sind vor der Unterschrift erfahrbar.
• Lernen Sie das Objekt kennen, indem Sie es einmal nutzen. Ein einzelner kleiner Test, der Ihr CRM mit den Daten eines Partners verbindet, lehrt Ihr Team mehr über Identifier, juristische Prüfung und Datenreife als jedes Vendor-Deck.

Häufige Fehler, die Ergebnisse zerstören

• Den Clean Room als Technologiekauf behandeln statt als Datenpartnerschaft. Die Software ist weitgehend commoditisiert. Der Wert liegt darin, gegen wessen Daten Sie matchen. Ein Snowflake- oder InfoSum-Deployment zu kaufen, bevor Sie wissen, welchen Partner-Overlap Sie eigentlich wollen, heißt, für einen leeren Tresor zu zahlen.
• Gehasht mit anonym verwechseln. Hashing verbirgt die Adresse vor einem menschlichen Leser; es nimmt den Datensatz nicht aus dem Anwendungsbereich des Datenschutzrechts. Die juristische Prüfung einer ersten Clean-Room-Vereinbarung dauert regelmäßig länger als die technische Integration, also starten Sie den Auftragsverarbeitungsvertrag und das Consent-Audit gleichzeitig mit dem Connector, nicht danach.
• Einen Clean Room nur zur Erklärung der Vergangenheit nutzen. Die meisten Marken bleiben beim Reporting über abgeschlossene Kampagnen stehen. Der Output ist als Input nützlicher: Suppression von Menschen, die Sie schon konvertiert haben, Seeds für Prospecting, Budgetverschiebungen auf Basis beobachteter Overlaps.

Wichtigste Erkenntnisse

• Cookies haben in Chrome nach Googles Rückziehern von 2024 und 2025 überlebt, aber Safari, Firefox und Apples ATT haben einen großen Teil des Signals dauerhaft entfernt, sodass die Abkehr von Third-Party-Identifiern aus eigener Dynamik weitergeht.
• Ein Data Clean Room ist eine kontrollierte Umgebung, in der zwei Parteien First-Party-Daten unter vorab vereinbarten Regeln zusammenführen und nur aggregierter Output herauskommt: keine Rohdaten hinaus, beschränkte Queries, minimale Gruppengrößen.
• Matching ohne gemeinsamen Identifier läuft über normalisierte gehashte E-Mails und Telefonnummern, deterministisch wo Hashes übereinstimmen und probabilistisch wo nicht, wobei Private Set Intersection und Aggregationsgrenzen die nicht überschneidenden Datensätze schützen.
• Clean Rooms beantworten Fragen zu Overlap, deduplizierter Reach und Exposure-to-Outcome innerhalb des gematchten Sets. Sie liefern keine Daten auf Zeilenebene, keine Kausalität ohne designtes Holdout und nichts über Menschen außerhalb des Matches.
• Die Match Rate ist die Zahl, die jede andere Zahl bestimmt. Fragen Sie danach und nach dem Denominator, bevor Sie auf Basis eines Clean-Room-Ergebnisses handeln.