Usercentrics CMP: Cookie-Banner mit eigener Datenspur

Usercentrics CMP wirkt auf den ersten Blick wie ein reines Hilfswerkzeug für Datenschutz. Ganz so einfach ist es nicht: Die CMP setzt selbst keine Tracking-Cookies, verarbeitet aber personenbezogene Daten rund um die Einwilligung und kann einen Drittlandbezug haben. Für Website-Betreiber heißt das: Das Tool ist sinnvoll, aber du musst es selbst sauber in deine Datenschutzunterlagen aufnehmen.

Überblick

Was ist Usercentrics CMP?

Usercentrics CMP ist ein Einwilligungstool (Cookie-Banner). Das Tool zeigt auf deiner Website einen Cookie-Banner an, fragt Einwilligungen ab und dokumentiert, welchen Diensten Besucher zugestimmt oder widersprochen haben.

Du nutzt Usercentrics CMP, wenn du Dienste wie Analyse-Tools, Marketing-Tools, Karten, Videos oder andere externe Inhalte erst nach Zustimmung laden möchtest. Die CMP steuert dabei die eingebundenen Dienste, ersetzt aber nicht die Datenschutz-Aufgaben für diese Dienste.

Usercentrics CMP und Datenschutz im Überblick

Cookie-Banner	Usercentrics CMP setzt selbst keine Tracking-Cookies im Frontend. Der Cookie-Banner bleibt wichtig, weil Usercentrics die Zustimmung für andere eingebundene Dienste steuert.
Datenverarbeitung	Usercentrics CMP verarbeitet personenbezogene Einwilligungsdaten, darunter Einwilligungsinformationen, Consent-ID, Zeitpunkt, Banner-Sprache, Referrer-URL, Browserkennung und IP-Adresse.
Datenschutzerklärung	Usercentrics CMP gehört in die Datenschutzerklärung, weil das Tool personenbezogene Daten von Website-Besuchern verarbeitet.
Drittlandtransfer	Ein Drittlandtransfer kann entstehen, obwohl Usercentrics für die CMP-Verarbeitung Server in Deutschland und Belgien beschreibt.
Auftragsverarbeitung	Für Usercentrics CMP brauchst du einen Auftragsverarbeitungsvertrag mit Usercentrics.

Datenverarbeitung

Welche personenbezogenen Daten verarbeitet Usercentrics CMP?

Usercentrics CMP verarbeitet personenbezogene Daten, weil das Tool die Einwilligungsentscheidung eines Website-Besuchers dokumentiert. CMP ist die englische Kurzform für eine Plattform zur Einwilligungsverwaltung. Gemeint ist damit ein Cookie-Banner-System, das Einwilligungen abfragt, speichert und steuert, welche Dienste auf deiner Website geladen werden dürfen.

Wichtig ist der Unterschied zu lokalen Cookie-Banner-Lösungen wie Complianz oder Borlabs Cookie. Diese Lösungen laufen innerhalb deines WordPress und speichern die Entscheidung des Besuchers direkt auf der Website oder im Browser des Besuchers. Usercentrics CMP arbeitet dagegen als externer Dienst: Die Einwilligungsverwaltung läuft über Usercentrics, und dabei verarbeitet Usercentrics eigene Einwilligungsdaten.

Zu den dokumentierten Daten gehören:

• Einwilligungsinformationen und Widerspruchsinformationen
• Consent-ID
• Zeitpunkt der Einwilligung
• Version des verwendeten Banner-Templates
• Sprache des Banners
• Referrer-URL, also die zuvor aufgerufene Seite
• User-Agent, also Browser- und Gerätedaten
• IP-Adresse

Diese Verarbeitung passiert nicht erst, wenn du zusätzlich Google Analytics, Google Ads oder andere Dienste einbindest. Schon die Nutzung von Usercentrics CMP selbst führt dazu, dass personenbezogene Einwilligungsdaten verarbeitet werden. Die über Usercentrics gesteuerten Dienste musst du zusätzlich einzeln prüfen, weil deren Datenverarbeitung nicht automatisch Usercentrics zugerechnet wird.

Drittlandtransfer

Gibt es bei Usercentrics CMP einen Drittlandtransfer?

Usercentrics CMP kann Daten mit Drittlandbezug verarbeiten. Usercentrics beschreibt für Einwilligungsdaten der implementierten CMP die Nutzung der Google-Cloud-Plattform mit Servern in Deutschland und Belgien, schließt aber einen Transfer in die USA nicht aus.

Ein Drittland ist ein Land außerhalb der Europäischen Union. Für deine Praxis heißt das: Du solltest Usercentrics CMP nicht als rein lokale oder rein europäische Verarbeitung darstellen. In der Datenschutzerklärung sollte erkennbar sein, dass Usercentrics die CMP betreibt, dafür Cloud-Infrastruktur nutzt und ein Transfer in die USA nicht ausgeschlossen wird.

Cookie-Banner

Muss Usercentrics CMP selbst in den Cookie-Banner?

Usercentrics CMP setzt selbst keine Tracking-, Statistik- oder Marketing-Cookies im Frontend. Die CMP steuert die sogenannten Data Processing Services, also die Dienste, die du im Banner einbindest. Cookies dieser Dienste erscheinen im Banner und müssen dort passend blockiert oder freigegeben werden.

Wichtig ist die Trennung: Usercentrics CMP ist das Einwilligungstool (Cookie-Banner), nicht der eigentliche Tracking-Dienst. Wenn Google Analytics 4, Google Ads Conversion Tracking, Google Ads Remarketing, Utiq oder andere Dienste über Usercentrics gesteuert werden, musst du diese Dienste einzeln im Cookie-Banner prüfen. Deren Cookies und Tracking-Funktionen werden nicht dadurch harmlos, dass du Usercentrics verwendest.

Der von Usercentrics beschriebene Sitzungs-Cookie für das Admin-Interface gehört nicht zur CMP-Implementierung auf deiner Website. Für Besucher deiner Website ist deshalb entscheidend, welche Dienste du über Usercentrics laden lässt.

Datenschutzerklärung

Muss Usercentrics CMP in die Datenschutzerklärung?

Usercentrics CMP muss in die Datenschutzerklärung, weil das Tool personenbezogene Daten von Website-Besuchern verarbeitet. Die Datenschutzerklärung sollte erklären, dass Usercentrics die Einwilligungsverwaltung übernimmt und die Entscheidung des Besuchers dokumentiert.

In die Beschreibung zu Usercentrics CMP gehören:

• Name und Anbieter des Einwilligungstools (Cookie-Banner)
• Zweck der Verarbeitung: Einwilligungen einholen, speichern und nachweisen
• verarbeitete Daten wie Consent-ID, Einwilligungsstatus, Zeitpunkt, Banner-Version, Sprache, Referrer-URL, Browser- und Gerätedaten sowie IP-Adresse
• Hinweis auf die genutzte Cloud-Infrastruktur mit Servern in Deutschland und Belgien
• Hinweis, dass ein Transfer in die USA nicht ausgeschlossen wird
• Hinweis auf den Auftragsverarbeitungsvertrag mit Usercentrics

Die Datenschutzerklärung zu Usercentrics ersetzt nicht die Angaben zu den einzelnen Diensten, die du über Usercentrics steuerst. Wenn du zum Beispiel Google Analytics 4 oder Google Ads einbindest, musst du diese Dienste zusätzlich mit eigener Beschreibung aufführen.

Auftragsverarbeitung

Brauchst du einen Auftragsverarbeitungsvertrag mit Usercentrics?

Ein Auftragsverarbeitungsvertrag ist mit Usercentrics erforderlich. Usercentrics verarbeitet die Einwilligungsdaten für dich als Website-Betreiber, damit du Einwilligungen einholen und dokumentieren kannst.

Usercentrics beschreibt, dass das Data Processing Agreement bereits Bestandteil des abgeschlossenen Vertrags mit Usercentrics ist und zusätzlich über die Website bereitgestellt wird. Du solltest den Vertrag in deinem Usercentrics-Vertragsbestand oder in den bereitgestellten Vertragsunterlagen sichern, damit du ihn bei Bedarf nachweisen kannst.

Stolperfallen

Typische Fehler bei Usercentrics CMP

Bei Usercentrics CMP liegt der größte Fehler in der falschen Zuordnung: Viele behandeln die CMP wie den eigentlichen Tracking-Dienst. Tatsächlich steuert Usercentrics nur die eingebundenen Dienste und dokumentiert die Einwilligung. Die Tracking-Cookies stammen von den jeweiligen Diensten, nicht von der CMP selbst.

Eine weitere Stolperfalle ist Google Consent Mode. Wenn du Google Consent Mode über Usercentrics nutzt, ordnet Usercentrics Dienste bestimmten Google-Speichertypen zu, etwa für Analyse, Werbung, Nutzerdaten und Personalisierung. Das verändert nicht die Grundbewertung von Usercentrics CMP, kann aber die Datenschutz-Aufgaben für die eingebundenen Google-Dienste verändern.

Auch die Datenschutzerklärung fällt oft zu knapp aus. Usercentrics CMP ist nicht nur ein Banner auf der Website, sondern verarbeitet Einwilligungsdaten, Browserdaten und die IP-Adresse. Diese Verarbeitung gehört in die Datenschutzerklärung, getrennt von den Diensten, die du über Usercentrics steuerst.