POPIA: Cookies, Marketing und Einwilligung für Websites in Südafrika

Gilt der POPIA für Ihre Website?

Der POPIA gilt für Verarbeitungen durch eine verantwortliche Stelle mit Sitz in Südafrika oder durch eine Stelle außerhalb des Landes, die in Südafrika automatisierte oder nicht automatisierte Mittel einsetzt, es sei denn, diese Mittel dienen nur der Weiterleitung von Informationen durch das Land (Section 3).

Das Gesetz sagt nicht, ob das Setzen von Cookies auf Geräten in Südafrika als Einsatz von Mitteln dort gilt. Unternehmen im Ausland sollten dies daher prüfen, statt Annahmen zu treffen. Keine Umsatzschwelle nimmt kleine Unternehmen aus.

Nach Section 1 des Gesetzes umfassen personenbezogene Informationen auch Online-Kennungen und betreffen identifizierbare lebende Personen sowie, soweit anwendbar, bestehende juristische Personen wie Unternehmen.

Cookies, Profiling und Direktmarketing: ein Beispiel

Ein Onlineshop für Outdoor-Ausrüstung setzt ein Werbe-Cookie. Es erfasst, dass ein Besucher sich Wanderstiefel angesehen hat, verknüpft diesen Verlauf mit der beim Checkout verwendeten E-Mail-Adresse und fügt die Person einer Zielgruppe „Stiefel“ hinzu. Anschließend verschickt der Shop eine E-Mail mit einer Stiefel-Aktion und zeigt Stiefel-Anzeigen auf anderen Websites.

Was das Gesetz sagt: Sobald sie mit dem Besucher verknüpft sind, sind Cookie-ID und Browserverlauf personenbezogene Informationen, weil die Definition Online-Kennungen einschließt. Der Aufbau der Zielgruppe benötigt eine Rechtsgrundlage nach Section 11. Die E-Mail ist elektronisches Direktmarketing, das Section 69 ohne Einwilligung oder ohne Erfüllung der Bestandskundenbedingungen verbietet.

Was der Information Regulator sagt: Seine Guidance Note on Direct Marketing führt die Verwendung von Cookies unter den Methoden des Direktmarketings durch unerwünschte elektronische Kommunikation auf, neben E-Mail, SMS und Push-Benachrichtigungen. Nach dieser Auslegung fallen auch die Cookie-basierten Anzeigen unter Section 69. Die Guidance Note ist unverbindlich; Gesetz und Verordnungen haben Vorrang.

Profiling nach dem Gesetz: Der POPIA definiert Profiling nicht. Section 71 beschränkt Entscheidungen, die ausschließlich auf automatisiertem Profiling beruhen und rechtliche oder erhebliche Auswirkungen haben. Unterhalb dieser Schwelle benötigt die Zielgruppe trotzdem eine Rechtsgrundlage und sollte dem entsprechen, worüber Besucher informiert wurden.

Umsetzungstipp von Passiro: Behandeln Sie Cookie und Marketing als einen Zweck. Legen Sie Werbe- und Remarketing-Cookies in eine Einwilligungskategorie, die bis zum Opt-in deaktiviert bleibt, und speichern Sie die Entscheidung zum E-Mail-Marketing als separates Feld.

Rechtsgrundlagen, Einwilligung und Widerspruch

Section 11 lässt sechs Grundlagen zu: Einwilligung, einen Vertrag mit der Person, eine rechtliche Verpflichtung, das berechtigte Interesse der Person, eine öffentlich-rechtliche Pflicht oder die berechtigten Interessen von Ihnen oder einem Dritten. Sie tragen die Beweislast für die Einwilligung, und sie kann jederzeit widerrufen werden.

Einwilligung bedeutet eine freiwillige, spezifische und informierte Willensbekundung. Das Akzeptieren von Kauf- oder Kontobedingungen ist daher keine spezifische Einwilligung in Werbe-Cookies.

Der Widerspruch ist ein eigenständiges Recht. Personen können jederzeit der Verarbeitung auf Grundlage berechtigter Interessen widersprechen (aus vernünftigen Gründen und in der vorgeschriebenen Form) sowie nicht elektronischem Direktmarketing, etwa per Post. Nach einem Widerspruch muss die Verarbeitung enden (Section 11(3)–(4)).

Die Guidance Note des Regulators akzeptiert berechtigte Interessen für manches nicht elektronische Direktmarketing nach einem dokumentierten Test zu Zweck, Erforderlichkeit und Abwägung. Elektronisches Direktmarketing fällt stattdessen unter Section 69.

Wann die Bestandskundenausnahme greift

Section 69(3) erlaubt elektronisches Direktmarketing ohne Einwilligung nur gegenüber Ihren Kunden und nur, wenn alle drei Bedingungen erfüllt sind:

1. Kontaktdaten aus einem Verkauf: Sie haben sie im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung an diese Person erhalten.
2. Eigene ähnliche Produkte: Das Marketing betrifft Ihre eigenen ähnlichen Produkte oder Dienstleistungen. Das Beispiel des Regulators: Schuhe und Gürtel bei einem Bekleidungshändler, aber keine Sterbegeldversicherung.
3. Eine Möglichkeit zum Widerspruch: Die Person hatte bei der Erhebung der Daten eine angemessene, kostenlose und einfache Möglichkeit zu widersprechen und erhält sie mit jeder Nachricht erneut.

Jede Direktmarketing-Nachricht muss außerdem den Absender erkennen lassen und Kontaktdaten angeben, über die man verlangen kann, dass keine Nachrichten mehr gesendet werden (Section 69(4)).

Die Ausnahme hat Grenzen. Ein Websitebesuch oder ein Browsing-Profil ist kein Verkauf, ein früherer Kauf deckt keine Produkte ohne Bezug dazu ab, und ein Widerspruch beendet die Ausnahme für diese Person. Der Regulator ergänzt, dass Schweigen keine Einwilligung ist: Wer bei der Erhebung nie gefragt wurde, hat nicht eingewilligt.

Bei allen anderen benötigen Sie eine Einwilligung, und Sie dürfen nur einmal fragen, nicht nach einer Ablehnung (Section 69(2)). Die geänderten POPIA-Verordnungen verlangen eine schriftliche Einwilligung auf einem Formular, das im Wesentlichen Form 4 entspricht, oder über eine andere kostenlose, zugängliche Methode und stellen klar, dass ein Opt-out keine Einwilligung ist.

Informationen, Rechte und Auftragsverarbeiter

Ergreifen Sie vor der Erhebung personenbezogener Informationen zumutbare Maßnahmen, damit die Personen wissen, was erhoben wird, wer Sie sind, welchem Zweck es dient, wer die Empfänger sind, ob eine Übermittlung ins Ausland erfolgt und welche Rechte sie haben, einschließlich Widerspruch und Beschwerde beim Regulator (Section 18).

Personen können außerdem unter bestimmten Bedingungen Auskunft, Berichtigung und Löschung verlangen. Leiten Sie Widersprüche und Widerrufe an jedes System weiter, das die Daten nutzt: Werbezielgruppen, geplante Kampagnen und Exporte.

Auftragsverarbeiter (Operators) dürfen nur mit Ihrer Autorisierung verarbeiten, auf Grundlage eines schriftlichen Vertrags, der Sicherheitsmaßnahmen vorschreibt (Sections 20–21). Übermittlungen an einen Dritten im Ausland erfordern ein angemessenes Schutzniveau, eine Einwilligung oder eine andere Grundlage nach Section 72; ein akzeptiertes Werbe-Cookie ist für sich genommen keine Einwilligung in eine Übermittlung.

Website-Checkliste

• Anwendungsbereich: Halten Sie fest, warum der POPIA für Ihre Website gilt.
• Zweck pro Tool: Kennzeichnen Sie, welche Cookies Marketingzielgruppen speisen.
• Vor der Einwilligung: Bestätigen Sie, dass Werbe-Cookies und Pixel deaktiviert bleiben.
• Bestandskundenausnahme: Prüfen Sie alle drei Bedingungen von Section 69(3), bevor Sie sich darauf stützen.
• Widersprüche: Bestätigen Sie, dass sie Zielgruppen, Exporte und Kampagnen erreichen.
• Auftragsverarbeiter: Prüfen Sie Verträge und Übermittlungsgrundlagen für jeden Anbieter.

FAQ