Best Practices für Beschriftungen

Direkt oder indirekt identifizierbare IDs

Bevor Sie ermitteln, welche Beschriftungen den einzelnen Variablen und Feldern hinzugefügt werden müssen, sollten Sie zunächst die Grundlagen zu den IDs kennen, die Sie in Ihren Analytics-Daten erfassen, und entscheiden, welche hiervon Sie für Datenschutzanfragen verwenden wollen. Datenschutz erweitert den Umfang dessen, was als ID gilt. IDs lassen sich allgemein in zwei Klassen unterteilen: direkt identifizierbare (Identitätsbeschriftung: I1) und indirekt identifizierbare IDs (Identitätsbeschriftung: I2).

• Direkt identifizierbare IDs (I1): benennen entweder die Person oder bieten eine direkte Methode, sie zu kontaktieren. Dies umfasst beispielsweise den Namen einer Person (selbst ein allgemeiner Name, wie z. B. Max Müller, den viele Menschen gemeinsam haben), E-Mail-Adressen, Telefonnummern usw. Auch eine Postanschrift ohne Name kann als direkt identifizierbar gelten, obwohl statt einer bestimmten Person ein übergeordneter Haushalt oder ein Unternehmen identifiziert wird.

• Indirekt identifizierbare IDs (I2): ermöglichen nicht die direkte Identifikation einer Person, sondern müssen mit anderen Informationen (ob in Ihrem Besitz oder nicht) kombiniert werden, um die Person zu bestimmen. Beispiele für eine indirekt identifizierbare ID sind eine Kundenloyalitätsnummer oder eine vom CRM-System eines Unternehmens verwendete Kennung, die für jeden Kunden eindeutig ist. Unter Datenschutz können die anonymen IDs, die in von Analytics verwendeten Tracking-Cookies gespeichert werden, als indirekt identifizierbar gelten, obwohl sie nur ein Gerät und keine Person identifizieren können. Auf einem gemeinsam genutzten Gerät können diese Cookies nicht zwischen den verschiedenen Nutzern des Systems unterscheiden. Das Cookie kann beispielsweise nicht dazu verwendet werden, einen Computer zu finden, der das Cookie enthält, jedoch kann eine Person, die auf den Computer zugreifen kann und das Cookie dort findet, das Analytics-Cookie auf den Computer zurückführen.

  Eine IP-Adresse wird auch als indirekt identifizierbar betrachtet, da sie zu jedem Zeitpunkt nur einem einzelnen Gerät zugewiesen werden kann. Internetprovider können die IP-Adressen der meisten Benutzer jedoch ändern und tun dies regelmäßig. Deshalb können IP-Adressen mit der Zeit von mehreren Benutzern verwendet werden. Darüber hinaus kommt es nicht selten vor, dass mehrere Kunden eines Internetanbieters oder viele Mitarbeiter eines Unternehmens, die sich im selben Intranet befinden, eine externe IP-Adresse teilen. Daher unterstützt Adobe die Verwendung einer IP-Adresse als ID für eine Datenschutzanfrage nicht. Wenn eine zulässige ID im Rahmen einer Löschanfrage verwendet wird, löschen wir darüber hinaus die IP-Adressen, die mit dieser ID aufgetreten sind. Sie müssen entscheiden, ob andere abgerufene IDs vorhanden sind, die in diese Kategorie (I1 oder I2) fallen, aber nicht als eindeutige ID für Datenschutzanfragen verwendet werden können.

Selbst wenn Ihr Unternehmen innerhalb Ihrer Analytics-Daten viele verschiedene IDs erfasst, können Sie nur einen Teil dieser IDs für Datenschutzanfragen verwenden. Hierfür gibt es folgende mögliche Gründe:

• In Ihren eigenen Systemen können Sie eine der IDs (z. B. die E-Mail-Adresse) einer anderen ID (z. B. der CRM-ID) zuordnen. Daraufhin verwenden Sie zur Einheitlichkeit nur die CRM-ID für Datenschutzanfragen in Ihrer Datenschutzverarbeitung.
• Sie verfügen nicht über eine Methode, um zu überprüfen, ob die Person wirklich der Benutzer ist, der mit der ID verknüpft ist. Es kann beispielsweise sehr schwierig sein, zu überprüfen, ob eine IP-Adresse immer nur von einer einzigen Person verwendet wurde und ob der Benutzer, der die Anfrage sendet, wirklich diese Person ist.
• Einige IDs entsprechen möglicherweise mehreren Personen, und Sie möchten nicht riskieren, Informationen über eine Person an eine andere Person mit derselben ID zurückzugeben. Selbst wenn Sie beispielsweise validieren können, dass der Name der Person Max Müller lautet, können Sie nicht alle Daten über alle Max Müllers in Ihrem System zurückgeben.
• Ein weiteres Beispiel ist die Geräte-ID, wie z. B. die Analytics-Cookie-ID. Wenn die ID in einer App auftritt, gehen Sie vielleicht davon aus, dass alle Interaktionen unter Verwendung dieser ID dem Besitzer des entsprechenden Mobilgeräts zur Verfügung stehen sollten. Wenn diese ID jedoch auf einem gemeinsam genutzten Gerät verwendet wird, wie z. B. einem PC oder Computer in einer Bibliothek oder einem Internetcafé, können Sie nicht zwischen den verschiedenen Benutzern dieses Geräts unterscheiden. Deshalb ist das Risiko, Daten anderer Benutzer zurückzugeben, möglicherweise zu hoch, um diesen ID-Typ zu verwenden.

Best Practices für von Analytics unterstützte IDs

Anhand dieser Tabelle können Sie die ID-Typen bestimmen, mit deren Hilfe Sie Datenschutzanfragen an Analytics senden. Sobald Sie diese Informationen kennen, können Sie die anderen Beschriftungen, die Sie für Ihre Variablen verwenden sollten, leichter bestimmen.

Best Practices zum Festlegen von Löschbeschriftungen

Die Löschbeschriftungen DEL-DEVICE und DEL-PERSON sollten sparsam eingesetzt werden. Wenn sie auf eine Variable angewendet werden, die keine ID enthält, die im Rahmen der Datenschutzanfrage verwendet wurde, ändern sich fast in allen Fällen die Werte (Metriken) in älteren Analytics-Berichten.

• Wir empfehlen, dass Sie eine dieser Beschriftungen auf jede Variable mit der Beschriftung „I1“, „I2“ oder „S1“ anwenden. Sie können nicht auf Variablen ohne die I1-, I2- oder S1-Beschriftung angewendet werden.

• Durch die DEL-Beschriftungen werden diese Variablen anonymisiert (die ID wird durch eine zufällige Zeichenfolge ersetzt, der „Datenschutz-“ vorangestellt wird). Dieser anonymisierte Wert wird in allen Instanzen des ursprünglichen Wertes ersetzt – in allen Hits, die über eine in der Anfrage enthaltene ID identifiziert werden. Wenn es sich beim ursprünglichen Wert in diesem Feld um eine dieser IDs handelte, ändern sich die Berichtsmetriken nicht.

• Allgemein gilt: Wenn ein Feld die ID-DEVICE-Beschriftung aufweist, sollten Sie auch die Beschriftung DEL-DEVICE zuweisen.

• Und wenn dem Feld die ID-PERSON-Beschriftung zugewiesen wurde, sollten Sie auch die Beschriftung DEL-PERSON hinzufügen.

• Wenn für ein Feld keine ID-Beschriftung vorhanden ist, es jedoch identifizierbare Informationen enthält, die Sie anonymisieren wollen, ist die passende Beschriftung (DEVICE oder PERSON) von Ihrer Implementierung abhängig. Wenn Sie nur Cookie-IDs für Datenschutzanfragen verwenden, sollten Sie DEL-DEVICE verwenden.

• Wenn Sie benutzerspezifische IDs in einem anderen Feld mit ID-PERSON-Beschriftung verwenden und Werte nur in Zeilen löschen wollen, in denen die ID auftritt, verwenden Sie DEL-PERSON.

• Wenn Sie die ID-Erweiterung verwenden und alle Werte für alle Hits auf allen identifizierten Geräten löschen wollen, verwenden Sie DEL-DEVICE. Bei Bedarf können Sie in diesem Fall sowohl die Beschriftung DEL-DEVICE als auch DEL-PERSON anwenden. Die Beschriftung DEL-PERSON ist jedoch unnötig, weil aufgrund der ID-Erweiterung alle Zeilen, die mit einer Personen-ID übereinstimmen, auch mit einer Geräte-ID übereinstimmen.

• Wenn Sie die Verwendung der ID-Erweiterung nicht angeben, aber eine Mischung aus Geräte- und Personen-IDs für verschiedene Anfragen verwenden, können Sie sowohl DEL-DEVICE- als auch DEL-PERSON-Beschriftungen für Variablen angeben, die gelöscht werden sollen, wenn eine der ID-Typen verwendet wird.

• Beachten Sie, dass bei der Angabe einer DEL-DEVICE- oder DEL-PERSON-Beschriftung für eine beliebige Variable, die nicht zusätzlich als ID für die jeweilige Anfrage verwendet wird (einschließlich einer erweiterten ID), eindeutige Werte in der betreffenden Variable nur für Treffer anonymisiert werden, in denen eine bestimmte (oder erweiterte) ID vorkommt. Wenn andere Treffer denselben Wert enthalten, erfolgt unter den anderen Speicherorten keine Aktualisierung. Dadurch kann sich die Anzahl (Metriken) ändern.

  Wenn beispielsweise drei Treffer den Wert „foo“ in eVar7 enthalten, jedoch nur einer davon auch eine ID in einer anderen Variable beinhaltet, die einem Löschvorgang zugeordnet ist, wird der Wert „foo“ für diesen Treffer zu einem Wert wie „Datenschutz-123456789“ geändert, während er für die anderen beiden Treffer unverändert bleibt. In einem Bericht, der Aufschluss über die Anzahl eindeutiger Werte für eVar7 gibt, werden nun mehr eindeutige Werte angezeigt als zuvor. In einem Bericht mit den Höchstwerten für eVars ist „foo“ möglicherweise nur mit zwei Instanzen enthalten (anstatt zuvor mit 3), und der neue Wert wird ebenfalls mit einer einzelnen Instanz angezeigt.

Best Practices zum Festlegen von Zugriffsbeschriftungen

Zwar verfügen nur wenige Felder über einige der anderen Beschriftungen, jedoch wird es häufig vorkommen, dass viele Felder ACC-Beschriftungen aufweisen. Die passenden Zugriffsbeschriftungen hängen von den IDs ab, die Sie für Datenschutzanfragen verwenden.