Risiken abwägen - so geht's

1. Risikoaffinität

Ich frage mich

1. ob meine Konkurrenz einen Schwerpunkt im Online-Marketing hat und daher cutting-edge-Produkte einsetzt oder dieses Instrument eher als flankierende Maßnahme zur Aufmerksamkeiswerbung sieht,
2. wie ich in diesen Punkten selbst positioniert bin,
3. ob mein Produkt eine breite oder eher eine spitze Zielgruppe ansprechen soll und
4. ob ich tendentiell eher bereit bin, Risiken gegen Umsatz zu tauschen oder - aus Vorsicht oder Angst vor Reputationsverlust - im Zweifel einen Effizienznachteil in Kauf nehmen möchte.

Hierauf basierend kann ich - auf einer Skala von 1-10 - meine Risikoaffinität bestimmen. Realistischerweise und unter Beachtung des kaufmännischen Sorgfaltsgebots sollte man über eine Indexzahl von 6, höchstens 7 aber natürlich nicht hinaus gehen.

Wer Fahrradhelme trägt und ein Tempolimit auf Autobahnen aus Sicherheitsgründen fordert, geht hier von einer 3 aus.

2. Eintrittswahrscheinlichkeit

Hier geht es ans Eingemachte: es muss anhand jedes einzelnen Teilrisikos bestimmt werden, wie wahrscheinlich es ist, dass es sich realisiert. Hilfestellung geben hier die Stellungnahmen der Datenschutzbehörden, insbesondere die der Datenschutzkonferenz. Das ist ein Zusammenschluss der Bundes- und Landesdatenschutzbeauftragten.

1. Risiko, sich rechtswidrig zu verhalten

Als Leitlinie kann man hier festhalten, dass die deutschen Behörden tendenziell einen zu strengen Maßstab anlegen. Dort ist noch nicht angekommen, dass es sich bei der DSGVO um originäres Europarecht handelt, und man schwelgt ein wenig in der neu gewonnenen Bedeutungs- und Machtfülle ("haben wir euch doch schon immer gesagt!"). Kurz: man darf nicht alles für bare Münze nehmen, was von dort kommt.

Abseits dieser "rule of thumb": eine Rechtsauffassung ist nie richtig oder falsch, sondern vertretbar oder unvertretbar. Ist ein Werbekanal von der Datenschutzkonferenz als Teufelszeug stigmatisiert, bleibt eine abweichende Meinung regelmäßig vertretbar - aber die Eintrittswahrscheinlichkeit liegt höher, als es nach der eigenen rechtlichen Analyse geboten wäre. Das Wort der Datenschutzkonferenz hat nämlich Gewicht und man muss damit rechnen, dass ein zur Entscheidung berufenes Gericht sich davon beeinflussen lässt.

2. Risiko einer Inanspruchnahme durch eine Behörde

Die sind hoffnungslos überlastet: die Wahrscheinlichkeit, dass eine Behörde aufmerksam wird, kann derzeit getrost mit dem geringsten Wert berücksichtigt werden: 1.

3. Risiko einer Abmahnung

Die DSGVO-Abmahnwelle ist ausgeblieben - und zwar deshalb, weil jeder Abmahner mit einer Retourkutsche rechnen muss und sich damit selbst das Marketing verhagelte.

Kurz: auch 1.

3. Schadensausmaß

Auch hier ist wieder nach den Risikoarten zu unterscheiden.

1. Risiko, sich rechtswidrig zu verhalten

Wer sich insbesondere als Geschäftsführer oder Vorstand für ein rechtswidriges Vorgehen entscheidet, macht sich unter Umständen persönlich haftbar. Deshalb ist diesem Punkt kein Wert unterhalb von 5 zuzuordnen - was allerdings durch Risikominimierungsmaßnahmen stark verringert werden kann. Dazu zählt in erster Linie die "Sie-kommen-aus-dem-Gefängnis-frei"-Karte: ein anwaltliches Kurzgutachten zum gewählten Vorgehen. Für die Schublade und einen regnerischen Tag.

Hilft auch bei dem

2. Risiko einer Inanspruchnahme durch eine Behörde

Die Untersagung als solche stellt - bei dann festgestellter Rechtswidrigkeit - keinen Schaden dar: falsches darf man halt nicht. Die Bußgelder bei Erstverstößen sind zwar in der Vergangenheit meist moderat ausgefallen; hier kommt es aber auf das konkret gewählte Werbemedium an. Wenn man die sexuelle Orientierung behinderter Minderjähriger erfasst und mit zwanzig Dienstleistern außerhalb Europas teilt, liegt man bei einer 8.

Gesunder Menschenverstand hilft hier bei der Bewertung - oder die Kenntnis der entsprechenden Praxis der Behörden und Gerichte, die es übrigens bei uns zu kaufen gibt.

3. Risiko einer Abmahnung

Eine Abmahnung ist dagegen schon dem Grunde nach ein anderes Kaliber: eine Unterlassungsverpflichtung gegenüber einem Wettbewerber  wird wesentlich enger überwacht und reicht auch weiter als eine (meist sehr konkrete) Untersagungsverfügung einer Behörde. Auch die Rechtsverteidigungskosten sind höher. Hier kann man daher regelmäßig von einem Mittelwert ausgehen, also 5 oder - wenn man stark auf Onlinemarketing oder einzelne Kanäle angewiesen ist - sogar höher.

So, Performance!

Die Channels funktionieren von Facebook über Google Ads, von Outbrain zu Instagram zwar weitgehend ähnlich. Sie weisen aber in den Details Unterschiede auf, die eine individuelle Betrachtung nötig machen.

Für Google Ads mit Retargeting reicht vielleicht eine einfache Datenschutzerklärung - für Facebook Custom Audience mit erweitertem Abgleich brauche ich dagegen mit einiger Wahrscheinlichkeit eine informierte Einwilligung.

Es nützt also nichts: ich muss mir jeden Channel anschauen und die jeweils passende Erlaubnisnorm ermitteln - und dann dafür sorgen, dass ich die Voraussetzungen erfülle. Um beim Beispiel Facebook Custom Audiences mit erweitertem Abgleich zu bleiben: hier fordern die Aufsichtsbehörden vehement eine informierte Einwilligung. Die Meinung dieser Behörden ist zwar keineswegs bindend und erscheint vielmehr häufig plump wirtschaftsfeindlich, was die DSGVO gerade nicht ist und nach dem Willen des Gesetzgebers auch nicht sein soll. Jedenfalls: ist man eine konservative Natur, muss so eine Einwilligung her. Damit muss schon bei der Leadgewinnung ein Schalter gesetzt werden, der die spätere Nutzung gestattet.

Die Aufgabe lautet daher: die eigene Risikotoleranz bestimmen, jeden Werbechannel unter die Lupe nehmen und individuell festlegen, welche Voraussetzungen welcher Erlaubnisnorm wie erfüllt werden - oder feststellen, dass sie schlicht vorliegen.