PDPA Thailand: Cookie-Einwilligung und Website-Tracking erklärt

Was Ihre Website tun muss

Der PDPA erwähnt Cookies nicht. Er gilt, wenn Cookies, Pixel oder Formulare Informationen erheben, die eine Person direkt oder indirekt identifizieren (Section 6). Folgen Sie für jedes Tool, das auf einer Einwilligung beruht, vier Schritten:

1. Nennen Sie Besuchern den Zweck. Erläutern Sie vor oder bei der Erhebung den Zweck, die erhobenen Daten, die Speicherdauer, die Empfänger, Ihre Kontaktdaten und die Rechte des Besuchers (Section 23).
2. Holen Sie die erforderliche Einwilligung ein. Fragen Sie vor oder bei der Erhebung ausdrücklich, schriftlich oder elektronisch, getrennt von anderen Angelegenheiten und in klarer, einfacher Sprache. Machen Sie einen Dienst nicht von einer unnötigen Einwilligung abhängig (Section 19).
3. Steuern Sie die betroffenen Skripte. Section 19 verbietet eine einwilligungsbasierte Erhebung vor der Einwilligung. Halten Sie diese Tags und Cookies daher blockiert, bis der Besucher einwilligt, und aktivieren Sie nur die Zwecke, die er akzeptiert hat.
4. Machen Sie den Widerruf einfach. Besucher können ihre Einwilligung jederzeit widerrufen, so einfach, wie sie sie erteilt haben. Erläutern Sie mögliche Folgen des Widerrufs und stellen Sie die Verarbeitung ein, die auf der Einwilligung beruhte (Section 19).

Eine Einwilligungsanfrage, die Section 19 nicht entspricht, bindet den Besucher nicht, und Sie können sich bei der Erhebung, Nutzung oder Offenlegung der Daten nicht darauf stützen.

Praxistipp: Die automatische Skriptblockierung und der Button für Cookie-Einstellungen von Passiro unterstützen die Schritte 3 und 4. Testen Sie beides nach jeder Tag-Änderung; siehe Automatische Skriptblockierung prüfen.

Die Anfrage verständlich formulieren

Section 19 verlangt eine zugängliche, verständliche Anfrage in klarer, einfacher Sprache, die nicht über den Zweck täuscht. Entscheidend ist, ob Ihre Besucher verstehen, worin sie einwilligen.

Das Gesetz schreibt nicht allgemein vor, dass Hinweise auf Thai sein müssen. Für ein Publikum, das überwiegend Thai liest, sind Bannertexte und Hinweise auf Thai aber der praktische Weg, diesen Maßstab zu erfüllen; ein rein englisches Banner kann dazu führen, dass viele Besucher keine informierte Entscheidung treffen können.

Praxistipp: Nennen Sie die Zwecke in einer kurzen ersten Ebene, bieten Sie gleich klare Optionen zum Akzeptieren, Ablehnen und für Einstellungen an, und lassen Sie optionale Kategorien unangekreuzt, damit jede Einwilligung eine aktive Entscheidung ist. Dokumentieren Sie, was angezeigt und gewählt wurde.

Für jeden Zweck eine Rechtsgrundlage wählen

Die Einwilligung ist der Ausgangspunkt (Section 19), doch Section 24 erlaubt die Erhebung ohne sie, wenn sie erforderlich ist für einen Vertrag mit dem Besucher, für berechtigte Interessen, die nicht von den Grundrechten des Besuchers überwogen werden, für eine rechtliche Verpflichtung, zum Schutz von Leben oder Gesundheit, für öffentliche Aufgaben oder für Forschung mit Schutzmaßnahmen.

Ein Warenkorb oder Login, der liefert, was der Besucher angefordert hat, kann unter die vertragliche Notwendigkeit fallen, und Betrugsprävention unter berechtigte Interessen. Nach unserer Einschätzung lässt sich verhaltensbasierte Werbung so kaum rechtfertigen: Sie ist selten erforderlich, und Besucher können der Direktwerbung jederzeit widersprechen (Section 32).

Berechtigte Interessen sind kein Etikett für jede Form von Analytics. Dokumentieren Sie das Interesse, warum die Daten erforderlich sind und warum die Rechte des Besuchers nicht überwiegen; Besucher können einer Verarbeitung auf dieser Grundlage widersprechen.

Sensible Daten und Kinder

Sensible Daten, etwa Gesundheitsdaten, religiöse Überzeugungen, Sexualverhalten, biometrische Daten oder Vorstrafen, erfordern eine ausdrückliche Einwilligung, sofern keine Ausnahme nach Section 26 greift. Prüfen Sie, was Eventnamen, URLs und Zielgruppensegmente verraten, zum Beispiel eine Liste aus Besuchen auf Seiten für Medizinprodukte.

Bei Minderjährigen unter zehn Jahren muss die Einwilligung vom Inhaber der elterlichen Sorge kommen, und bei älteren Minderjährigen kann sie je nach betroffener Handlung ebenfalls nötig sein (Section 20).

Anfragen zu Betroffenenrechten bearbeiten

Besucher können Auskunft und eine Kopie, Datenübertragbarkeit, Widerspruch, Löschung oder Anonymisierung, Einschränkung und Berichtigung verlangen, jeweils unter eigenen Voraussetzungen (Sections 30–36). Anfragen brauchen einen Weg zu den Systemen, in denen die Daten liegen, nicht nur einen Cookie-Schalter.

Internationale Übermittlungen und Dienstleister

Übermittlungen ins Ausland, etwa an eine Werbeplattform, erfordern ein Zielland mit angemessenem Schutzniveau nach den Regeln des Committee, eine Ausnahme nach Section 28 oder Garantien nach Section 29. Eine Einwilligung nach Section 28 setzt voraus, dass die Person über das unzureichende Schutzniveau informiert wird; eine Cookie-Entscheidung ist also nicht automatisch eine Einwilligung in die Übermittlung.

Das Gesetz verpflichtet Verantwortliche, Maßnahmen zu ergreifen, damit Empfänger Daten nicht rechtswidrig nutzen oder offenlegen (Section 37). Ein Verantwortlicher außerhalb Thailands, der unter Section 5 fällt, muss schriftlich einen Vertreter in Thailand benennen, sofern keine Ausnahme nach Section 38 greift.

Beispiel: eine Reisewebsite mit Werbe-Tags

Ein Reiseveranstalter mit Sitz außerhalb Thailands verkauft Reisen an Kunden in Thailand und nutzt dafür eine Buchungs-Engine, ein Analysetool und ein Werbepixel. Ein Besucher bucht eine Tour, lehnt aber optionale Werbung ab.

Die Buchungs-Engine verarbeitet, was der Vertrag erfordert. Das Pixel bleibt blockiert, auch eine zweite Kopie, die ein Plugin oder Tag-Manager lädt, und der Besucher wird nicht in Zielgruppenexporte aufgenommen. Da das Unternehmen Thailand vom Ausland aus anspricht, prüft es außerdem die Pflicht zur Benennung eines Vertreters und wohin jeder Anbieter Daten sendet.

Website-Checkliste

• Anwendungsbereich: Klären Sie, ob Sie Personen in Thailand Dienstleistungen anbieten oder ihr Verhalten beobachten.
• Hinweis: Prüfen Sie, ob die Angaben nach Section 23 bei der Erhebung erscheinen.
• Erster Besuch: Prüfen Sie, dass einwilligungspflichtige Cookies und Netzwerkanfragen ausbleiben.
• Ablehnen und Widerrufen: Prüfen Sie, dass betroffene Tags und Exporte stoppen.
• Sensible Signale: Überprüfen Sie Eventnamen und Zielgruppensegmente.
• Übermittlungen: Dokumentieren Sie, wohin jeder Anbieter Daten sendet und auf welcher Grundlage.

FAQ