Consent-Modell
Ein Consent-Modell regelt, wie ein Unternehmen die Erlaubnis seiner Nutzer einholt, bevor es deren Daten verwendet. Es legt fest, wann gefragt wird, wie die Frage aussieht und wie eine einmal erteilte Erlaubnis wieder zurückgenommen werden kann.
Wer Daten über andere Menschen sammelt, braucht in Europa meist deren Erlaubnis. Diese Erlaubnis nennt man Einwilligung, auf Englisch Consent. Ein Consent-Modell ist das feste Verfahren, mit dem ein Unternehmen diese Erlaubnis einholt und verwaltet. Es beantwortet drei Fragen: Wann wird gefragt, wofür genau, und wie kann man später widersprechen? Die Cookie-Banner, die beim Öffnen fast jeder Webseite erscheinen, sind der sichtbarste Teil eines solchen Modells. Dahinter steckt aber deutlich mehr als ein Fenster mit zwei Knöpfen.
Erlaubnis als Geschäftsgrundlage
Große Teile der digitalen Wirtschaft leben von Daten. Werbenetzwerke wollen wissen, welche Seiten du besuchst, um passende Anzeigen zu zeigen. Anbieter von Sprachassistenten möchten Aufnahmen auswerten, um ihre Systeme zu verbessern. Ohne gültige Einwilligung ist das in der EU schlicht verboten. Das Consent-Modell entscheidet also darüber, ob ein Geschäftsmodell überhaupt legal ist.
Für KI-Firmen ist das Thema in den letzten Jahren deutlich schärfer geworden. Modelle werden mit riesigen Textmengen und Bildern trainiert. Ein Teil dieser Daten stammt von echten Nutzern, etwa aus Chatverläufen oder sozialen Netzwerken. Ob diese Nutzer dem zugestimmt haben, ist mehrfach Gegenstand von Verfahren gewesen. Meta musste sein Vorgehen beim Training mit Beiträgen europäischer Nutzer bereits anpassen.
Verstöße sind teuer. Die Datenschutz-Grundverordnung, kurz DSGVO, erlaubt Bußgelder bis zu vier Prozent des weltweiten Jahresumsatzes. Bei einem Konzern mit 100 Milliarden Euro Umsatz sind das rechnerisch bis zu vier Milliarden. Solche Summen wurden bisher nicht ausgeschöpft, aber Strafen im dreistelligen Millionenbereich gab es mehrfach.
Vom Häkchen bis zum Widerruf
Der Kern jedes Consent-Modells ist die Unterscheidung zwischen Opt-in und Opt-out. Bei Opt-in passiert nichts, bis du aktiv zustimmst. Bei Opt-out läuft die Datennutzung von allein, und du musst dich selbst darum kümmern, sie abzuschalten. Die DSGVO verlangt für die meisten Fälle Opt-in. Vorangekreuzte Kästchen gelten ausdrücklich nicht als Zustimmung.
Damit eine Einwilligung gültig ist, muss sie mehrere Bedingungen erfüllen. Sie muss freiwillig sein, also ohne Nachteil bei Ablehnung. Sie muss sich auf einen konkreten Zweck beziehen, nicht auf alles Mögliche gleichzeitig. Und sie muss informiert erfolgen: Du musst verstehen können, wozu du Ja sagst. Ein Sammel-Ja für vierzig Werbepartner erfüllt das kaum.
Technisch übernimmt diese Aufgabe oft eine eigene Software, die Consent Management Platform genannt wird. Sie zeigt das Banner an, speichert deine Entscheidung und gibt sie an alle beteiligten Dienste weiter. Wichtig ist der Widerruf: Eine Einwilligung muss so einfach zurückzunehmen sein, wie sie erteilt wurde. In der Praxis ist genau das häufig der Schwachpunkt. Zustimmen geht mit einem Klick, Ablehnen erst nach drei Untermenüs. Solche Gestaltungen heißen Dark Patterns und werden von Aufsichtsbehörden regelmäßig beanstandet.
Banner, Einstellungen und Trainingsdaten
Am häufigsten begegnet dir ein Consent-Modell als Cookie-Banner im Browser. Cookies sind kleine Dateien, die eine Webseite auf deinem Gerät ablegt, um dich wiederzuerkennen. Seit einem Urteil des Europäischen Gerichtshofs müssen Banner eine echte Ablehnen-Option bieten. Deshalb sehen sie heute anders aus als noch vor einigen Jahren.
Auch in KI-Produkten taucht das Thema auf. Bei ChatGPT und ähnlichen Diensten gibt es eine Einstellung, ob deine Eingaben zum Training verwendet werden dürfen. Bei Geschäftskunden ist diese Nutzung meist von vornherein ausgeschlossen, bei Gratisnutzern oft standardmäßig aktiv. Ein Blick in die Datenschutzeinstellungen lohnt sich.
In Wirtschaftsnachrichten liest man den Begriff meist im Zusammenhang mit Konflikten. Ein häufiger Irrtum ist dabei, dass Einwilligung immer nötig sei. Die DSGVO kennt weitere Rechtsgrundlagen, etwa die Erfüllung eines Vertrags oder ein berechtigtes Interesse. Genau um diese Alternativen wird gestritten: Firmen berufen sich gern auf berechtigtes Interesse, weil sie dann kein Banner brauchen. Behörden sehen das oft anders.