Über die Schweiz hinaus: Aiara deckt jetzt USA, Brasilien und Südafrika ab

Bis vor Kurzem galt für Aiara eine klare Grenze: Schweiz und EU. Das war eine bewusste Entscheidung — lieber zwei Rechtsräume richtig als zehn halbherzig. Inzwischen häuften sich aber Anfragen von Kundinnen und Kunden, deren Websites auch ausserhalb Europas aufgerufen werden. Wir haben Aiara deshalb um drei Rechtsräume erweitert: die Vereinigten Staaten, Brasilien und Südafrika.

Die USA funktionieren genau umgekehrt

Das Wichtigste vorweg, weil es der grösste Unterschied ist: In den USA gilt kein Einwilligungsmodell. Was hierzulande selbstverständlich ist — erst fragen, dann Cookies setzen —, kennt das amerikanische Recht in dieser Form nicht. Dort ist die Verarbeitung erlaubt, bis eine Person widerspricht.

Das hat eine unmittelbare Folge für die Oberfläche: Ein Besucher aus Kalifornien bekommt kein Banner zu sehen, das ihn um Zustimmung bittet. Er sieht einen dauerhaft erreichbaren Link — üblicherweise «Your Privacy Choices» —, über den er dem Verkauf und der Weitergabe seiner Daten widersprechen kann. Wer diesen Link nicht anbietet, verstösst gegen die Vorschriften. Wer stattdessen ein europäisches Einwilligungsbanner zeigt, erfüllt sie ebenfalls nicht.

Aiara erkennt die Region und stellt automatisch um. Für Besuchende aus der Schweiz und der EU bleibt alles beim Alten.

Ein Signal für über zwanzig Bundesstaaten

Die USA haben kein einheitliches Datenschutzgesetz. Kalifornien hat den CCPA in der Fassung des CPRA, Virginia den VCDPA, dazu kommen Colorado, Connecticut, Utah, Texas, Oregon und rund fünfzehn weitere Bundesstaaten mit eigenen Regelungen. Jedes einzeln umzusetzen wäre ein Fass ohne Boden.

Die Werbebranche hat dafür eine gemeinsame Lösung geschaffen: die Global Privacy Platform des IAB Tech Lab. Sie kennt einen landesweiten Abschnitt, der die Anforderungen aller Bundesstaaten in einem einzigen Signal zusammenfasst. Aiara verwendet genau diesen Abschnitt. Der praktische Vorteil: Wir müssen nicht wissen, in welchem Bundesstaat sich jemand aufhält — das Signal gilt landesweit. Eine Erkennung auf Bundesstaatsebene wäre technisch aufwendig, fehleranfällig und für den Zweck ohne Nutzen.

Global Privacy Control wird automatisch befolgt

Ein Punkt, der in der Praxis oft untergeht: In Kalifornien und weiteren Bundesstaaten müssen Websites das Global Privacy Control respektieren. Das ist ein Signal, das der Browser oder eine Datenschutzerweiterung automatisch mitsendet und das bedeutet: Diese Person widerspricht der Weitergabe ihrer Daten.

Rechtlich ist das kein Wunsch, sondern ein gültiger Widerspruch. Kalifornische Behörden haben in mehreren Verfahren durchgesetzt, dass er befolgt werden muss. Aiara wertet das Signal aus, sobald der US-Modus aktiv ist, und setzt den Widerspruch ohne Rückfrage um. Im Auswahlfenster steht dann ein Hinweis, dass das Browsersignal erkannt und bereits befolgt wurde — und der Schalter ist gesperrt, weil es nichts mehr zu entscheiden gibt.

Was ein Widerspruch tatsächlich abschaltet

Hier lohnt sich Genauigkeit, weil es leicht zu weit oder zu kurz greift. Ein Widerspruch nach kalifornischem Recht richtet sich gegen den Verkauf, die Weitergabe und die zielgerichtete Werbung. Er richtet sich nicht gegen Reichweitenmessung für eigene Zwecke — die gilt dort nicht als Verkauf.

Aiara schaltet bei einem Widerspruch daher die Marketing-Kategorie ab und lässt die Analyse laufen. Das ist bewusst so und unterscheidet sich von einer Ablehnung nach DSGVO, die beides trifft. Wer alles abschalten möchte, kann das über die üblichen Kategorien tun — aber die gesetzliche Anforderung ist die engere.

Brasilien und Südafrika: vertrautes Modell, neue Texte

Bei diesen beiden war der Aufwand geringer, weil sie funktionieren wie die DSGVO: Beide arbeiten mit Einwilligung. Das Banner musste also nicht umgebaut werden — es fehlten nur die Rechtstexte.

Brasilien hat mit der Lei Geral de Proteção de Dados ein Gesetz, das der DSGVO stark ähnelt, aber eigene Begriffe und Zuständigkeiten kennt. Die Datenschutzerklärung nennt neu die Rechtsgrundlagen nach Artikel 7, die Betroffenenrechte nach Artikel 18, die Aufsichtsbehörde ANPD und den «Encarregado» — die dortige Entsprechung zum Datenschutzbeauftragten. Dazu kommt der Banner auf Portugiesisch, als fünfte Sprache neben Deutsch, Französisch, Italienisch und Englisch.

Südafrika regelt den Datenschutz im Protection of Personal Information Act. Der Abschnitt nennt die acht Bedingungen für rechtmässige Verarbeitung, die Betroffenenrechte, den Information Officer und den Information Regulator als Beschwerdestelle. Eine Besonderheit ist die Einwilligungspflicht für elektronische Direktwerbung an Personen, die noch keine Kundschaft sind — strenger als das, was viele erwarten.

Brauchen Sie das überhaupt?

Wahrscheinlich nicht, und das sagen wir bewusst deutlich. Der CCPA greift erst ab 25 Millionen US-Dollar Jahresumsatz oder ab Daten von 100'000 kalifornischen Verbraucherinnen und Verbrauchern. Die anderen Bundesstaaten setzen vergleichbare Schwellen. Ein Handwerksbetrieb aus Winterthur mit ein paar Besuchern aus Übersee fällt nicht darunter.

Relevant wird es in drei Fällen:

• Grösserer E-Commerce mit US-Geschäft, der die Schwellenwerte tatsächlich erreicht
• Vertragliche Anforderungen, wenn ein Geschäftspartner die Abdeckung verlangt
• Konzernvorgaben, wenn eine Tochtergesellschaft dieselben Standards fahren muss wie die Mutter

Wer keinen dieser Fälle hat, lässt die Funktionen einfach aus. Sie sind standardmässig deaktiviert, und wer sie nicht einschaltet, merkt von der Erweiterung nichts.

So aktivieren Sie es

Zwei Stellen, beide im Dashboard:

Im Banner-Editor finden Sie unter «USA (CCPA & weitere)» einen Schalter. Ist er aktiv, greift für Besuchende aus den USA das Widerspruchsmodell — mit dem Link «Your Privacy Choices» statt des Einwilligungsbanners.

Im Fragebogen unter «Rechtsraum» stehen drei neue Angaben: Besuchende aus den USA, aus Brasilien und aus Südafrika. Jede setzt einen eigenen Abschnitt in Ihrer Datenschutzerklärung. Die Texte werden wie gewohnt automatisch erzeugt und aktualisiert.

Beides ist unabhängig voneinander. Wer nur Rechtstexte für Brasilien braucht, aber keinen US-Modus, setzt eben nur den einen Haken.

Was die Erweiterung nicht ist

Zum Schluss die Einschränkung, die dazugehört: Aiara deckt nun fünf Rechtsräume ab — Schweiz, EU, USA, Brasilien und Südafrika. Das ist kein «weltweit». Kanada, Grossbritannien, Australien, Japan, Indien und viele weitere haben eigene Gesetze, die wir nicht abbilden. Wer Publikum in diesen Ländern hat und dort tatsächlich unter die jeweiligen Schwellen fällt, braucht mehr, als wir heute bieten.

Wir haben die drei Rechtsräume ausgewählt, nach denen konkret gefragt wurde. Sollten weitere dazukommen, entscheidet dasselbe Kriterium: echter Bedarf statt einer möglichst langen Liste auf der Website.