PDPA Singapur: Braucht Ihre Website ein Cookie-Banner?

Wann braucht ein Cookie eine Einwilligung?

Der PDPA gilt, wenn Cookies personenbezogene Daten erfassen: Daten über eine Person, die anhand dieser Daten identifiziert werden kann, allein oder zusammen mit anderen Informationen, die Sie haben oder zu denen Sie wahrscheinlich Zugang haben (Section 2). Kapitel 7 der Advisory Guidelines on Selected Topics der PDPC wendet dies auf Cookies an.

1. Ein Cookie, das keine personenbezogenen Daten erfasst

PDPC-Leitlinien: Für Cookies, die keine personenbezogenen Daten erfassen, ist keine Einwilligung nötig, etwa für ein Session-Cookie, das nur die technischen Daten speichert, die zum Abspielen eines Videos nötig sind.

Prüfen Sie das, bevor Sie zu diesem Schluss kommen: Je mehr Datenpunkte Sie im Lauf der Zeit mit einer Kennung wie einer IP-Adresse verknüpfen, desto wahrscheinlicher wird eine Person identifizierbar.

2. Ein Cookie, das für eine angeforderte Funktion mit einem identifizierbaren Nutzer verknüpft ist

PDPC-Leitlinien: Bei Vorgängen, die der Nutzer eindeutig angefordert hat, muss möglicherweise keine Einwilligung eingeholt werden, wenn der Nutzer den Zweck kennt und die Daten freiwillig bereitgestellt hat, zum Beispiel beim Abschluss eines Kaufs, beim Login, für die Sicherheit, für Einstellungen und beim Streaming.

Das entspricht der fingierten Einwilligung durch Verhalten (Section 15(1)), die nur Zwecke abdeckt, die sich offensichtlich aus den Umständen ergeben. Wer sich einloggt, um einen Kurs zu buchen, willigt damit nicht in die Nutzung der Sitzungsdaten für Werbung ein.

3. Optionale Werbe-Cookies

PDPC-Leitlinien: Werbe-Targeting, bei dem über Cookies personenbezogene Daten erhoben und genutzt werden, erfordert eine Einwilligung, und als gute Praxis empfiehlt die PDPC Cookie-Einstellungen direkt auf der Website. Die Pflicht trifft denjenigen, der die Daten erhebt; prüfen Sie also, ob das Ihre Website oder ein Dritter ist.

Praxistipp: Lassen Sie Werbe-Cookies deaktiviert, bis der Besucher aktiv einwilligt (Opt-in), und bieten Sie einen Einstellungslink, der die Auswahl erneut öffnet. Der PDPA schreibt kein Bannerformat vor, aber so wird die Einwilligung dokumentiert und der Widerruf erleichtert.

Erlaubnistatbestände und ihre Grenzen

Section 13 verlangt eine Einwilligung, sofern nicht der PDPA oder ein anderes Gesetz die Verarbeitung ohne sie erlaubt. Jeder Erlaubnistatbestand hat Bedingungen; keiner ist ein allgemeiner Freibrief für Tracking:

• Einwilligung (Sections 13–14): nur wirksam, nachdem Sie die Zwecke mitgeteilt haben, und nicht, wenn Sie mehr verlangen, als der Dienst benötigt, oder täuschen.
• Fingierte Einwilligung durch Verhalten (Section 15(1)): Daten, die für einen offensichtlichen Zweck freiwillig angegeben werden, etwa zur Bezahlung einer Bestellung, aber nicht für sachfremdes Marketing.
• Fingierte Einwilligung aufgrund vertraglicher Notwendigkeit (Section 15(3)–(7)): Offenlegungen, die für den Abschluss oder die Erfüllung eines Vertrags mit der Person vernünftigerweise erforderlich sind, etwa an einen Zahlungsdienstleister oder Kurierdienst.
• Fingierte Einwilligung durch Benachrichtigung (Section 15A): eine vorherige Bewertung nachteiliger Auswirkungen, eine ausreichende Benachrichtigung und eine angemessene Widerspruchsfrist; nicht für den Versand von Direktmarketing-Nachrichten.
• Ausnahme für berechtigte Interessen: eine Bewertung nachteiliger Auswirkungen, eine Abwägung, falls Auswirkungen verbleiben, und eine öffentliche Offenlegung. Als Beispiele nennt die PDPC Betrugsprävention, Sicherheit und die Verhinderung von Missbrauch von Diensten.
• Ausnahme zur Geschäftsverbesserung: Nutzung von Daten, die Sie bereits rechtmäßig besitzen, um Produkte zu verbessern oder Präferenzen zu verstehen, wenn identifizierbare Daten erforderlich sind und die Nutzung angemessen ist. Sie deckt keine neue Erhebung außerhalb einer Unternehmensgruppe ab.

Praxistipp: Dokumentieren Sie den Erlaubnistatbestand für jeden Zweck. Wenn Sie nicht nachweisen können, dass seine Bedingungen erfüllt sind, holen Sie eine Einwilligung ein.

Benachrichtigung und Widerruf

PDPA-Vorgabe: Wenn Sie sich auf eine Einwilligung stützen, nennen Sie Ihre Zwecke bei oder vor der Erhebung und auf Anfrage eine Kontaktperson für Fragen (Section 20). Die PDPC schlägt mehrstufige Hinweise vor; siehe ihren Guide to Notification.

PDPA-Vorgabe: Personen können ihre Einwilligung, auch eine fingierte, mit angemessener Frist widerrufen. Erläutern Sie die voraussichtlichen Folgen und stellen Sie die Erhebung, Nutzung oder Offenlegung ein, auch durch Datenintermediäre, sofern das Gesetz sie nicht ohne Einwilligung erlaubt (Section 16).

PDPC-Leitlinien: Zehn Arbeitstage gelten als Faustregel für eine angemessene Frist, und laut PDPC müssen Personen ihre Einwilligung für optionale Zwecke widerrufen können, ohne die notwendigen zu verlieren.

Praxistipp: Ein Einstellungslink, der das Banner erneut öffnet, macht den Widerruf schnell; prüfen Sie dann, ob Tags und Zielgruppenlisten ihm folgen. Siehe Besuchern das Ändern oder Widerrufen der Einwilligung ermöglichen.

Beispiel: die Buchungswebsite eines Fitnessstudios

Ein Fitnessstudio in Singapur nimmt Kursbuchungen online entgegen: Mitglieder loggen sich ein, geben Kontaktdaten ein und zahlen per Karte. Die Website nutzt außerdem Analytics und ein Remarketing-Pixel.

Das Login-Cookie und das Buchungsformular können auf einer im Formular erteilten Einwilligung oder auf fingierter Einwilligung durch Verhalten beruhen, die Weitergabe der Kartendaten an den Zahlungsdienstleister auf vertraglicher Notwendigkeit. Das Remarketing-Pixel steuert Anzeigen mit personenbezogenen Daten und wartet daher auf ein Opt-in. Analytics, das nur Besuche zählt, ohne jemanden zu identifizieren, fällt möglicherweise nicht unter den PDPA.

Cookie-Entscheidungen und andere Marketingkanäle

PDPA-Vorgabe: Marketinganrufe, SMS und Faxe an singapurische Telefonnummern fallen unter die gesonderten Do-Not-Call-Bestimmungen mit eigenem Register und eigenen Einwilligungsregeln. Eine Cookie-Entscheidung erfüllt sie nicht.

PDPC-Leitlinien: Holen Sie für Direktmarketing-Nachrichten eine ausdrückliche Opt-in-Einwilligung ein; vorangekreuzte Kästchen sind nicht angemessen, und fingierte Einwilligung durch Benachrichtigung, berechtigte Interessen und Geschäftsverbesserung dürfen nicht für ihren Versand genutzt werden.

Praxistipp: Speichern Sie Erlaubnisse für Cookies, E-Mail- und Telefonmarketing in getrennten Feldern, damit ein „Ja“ zu Werbe-Cookies nie als Erlaubnis für Anrufe oder E-Mails gewertet wird.

Website-Checkliste

• Cookies klassifizieren: Markieren Sie, welche personenbezogene Daten erfassen, allein oder in Kombination.
• Erlaubnistatbestand zuordnen: Dokumentieren Sie Einwilligung, fingierte Einwilligung oder Ausnahme je Zweck.
• Werbe-Cookies testen: Prüfen Sie, dass sie deaktiviert bleiben, bis der Besucher einwilligt.
• Widerruf testen: Prüfen Sie, dass Tags und Zielgruppenexporte stoppen.
• Kanäle trennen: Halten Sie Cookie-, E-Mail- und DNC-Erlaubnisse auseinander.
• Anfragen: Sorgen Sie dafür, dass Auskunfts- und Berichtigungsanfragen an die richtige Stelle gelangen (Sections 21–22).

FAQ