Niemieckie rozporządzenie o zarządzaniu zgodami: co musi spełniać uznana usługa i co pozostaje dobrowolne

Niemieckie rozporządzenie o zarządzaniu zgodami (EinwV) obowiązuje od 1 kwietnia 2025 r. Wraz z § 26 TDDDG tworzy ramy dla uznanych usług zarządzających decyzjami dotyczącymi określonego zapisywania informacji i dostępu do urządzeń końcowych. Celem jest ograniczenie ponawianych pytań o zgodę, a nie ogólne zezwolenie dla dowolnych witryn i celów.

Wdrożenie usługi przez witrynę pozostaje dobrowolne na podstawie § 18 ust. 1 EinwV. Po wdrożeniu obowiązują jednak zasady uwzględniania zapisanych wyborów. Dostawca usługi cyfrowej nadal odpowiada za informacje i ważną zgodę. To rozróżnienie ma znaczenie przy planowaniu integracji.

Co obejmuje uznanie

Rejestr BfDI odczytany 24 października 2026 r. wymienia Consenter, dostarczany przez Law & Innovation Technology GmbH, z datą uznania 17 października 2025 r. Uznanie dotyczy ustawowych wymagań wobec usługi i przedstawionej koncepcji bezpieczeństwa. Nie stanowi ogólnego zatwierdzenia wszystkich witryn, treści zgód ani późniejszych operacji przetwarzania.

Uznana usługa różni się od zwykłej platformy zarządzania zgodami. Nazwa produktu nie zmienia narzędzia do banerów w usługę uznaną na podstawie § 26 TDDDG. Znaczenie mają formalne uznanie i wpis do rejestru.

Wymagania wobec usługi

• Niezależność i ograniczenie celu: Brak własnego interesu ekonomicznego w udzielaniu zgód lub zarządzanych danych; przetwarzanie jest ograniczone do zarządzania zgodami.
• Świadomy wybór: Informacje muszą obejmować między innymi zaangażowanych dostawców, konkretne zapisywanie lub dostęp, cele, okresy i możliwość wycofania zgody. Ogólna kategoria, taka jak marketing, nie zastępuje tych szczegółów.
• Dostępna dokumentacja: Ustawienia, data, godzina i informacje dostępne w chwili wyboru muszą pozostawać dostępne. Zmiana oraz, w odpowiednich przypadkach, wycofanie zgody muszą być możliwe w każdej chwili.
• Zmiana usługi: Ustawienia muszą być przechowywane w powszechnie używanym formacie, który oprogramowanie może automatycznie odczytać, i na żądanie bezpłatnie udostępniane do przeniesienia do innej uznanej usługi.
• Konkurencja i bezpieczeństwo: Wymagania obejmują równe warunki dla zintegrowanych dostawców, współdziałającą komunikację i koncepcję bezpieczeństwa.

Roczny okres z § 4 ust. 2 dotyczy wezwania przez uznaną usługę do przeglądu zapisanych ustawień, o ile nie wybrano innego ustawienia. Nie oznacza ogólnej rocznej ważności każdej zgody ani zakazu wszystkich nowych pytań ze strony witryn.

Co wynika z dobrowolnej integracji

Paragraf 18 opisuje środki techniczne i organizacyjne dla uczestniczących dostawców: wykrycie korzystania z uznanej usługi, sprawdzenie zapisanych wyborów dla żądanych zgód, umożliwienie zapisu oraz widoczne objaśnienie integracji. Wymagane informacje powinny być też dostarczane w formacie maszynowym. Dobrowolny udział i sposób realizacji udziału to zatem odrębne zagadnienia.

Paragraf 19 ust. 1 wymaga uwzględniania zarządzanych ustawień. Jeśli przez usługę nie uzyskano zgody i pytanie zostaje ponowione, musi mu towarzyszyć odniesienie do zapisanych tam ustawień. Istniejąca odmowa nie staje się przez to zezwoleniem. Paragraf 20 dodaje zasadę neutralności wobec zintegrowanych usług.

Niezależnie od udziału zgoda wymagana przez § 25 TDDDG pozostaje warunkiem odpowiedniego dostępu do urządzenia końcowego. Tylko ustawowe wyjątki pozwalają na taki dostęp bez tej zgody. Późniejsze przetwarzanie danych osobowych wymaga dodatkowej oceny według właściwych wymagań RODO.

Sygnał potrzebuje zgodnego zakresu

Techniczne zezwolenie jest użyteczne tylko wtedy, gdy informacje stanowiące podstawę decyzji odpowiadają rzeczywistej operacji. Rekord powinien łączyć decyzję z dostawcą lub odbiorcą, dostępem lub zapisem, celem, czasem, wersją informacji i źródłem. To więcej niż jedno globalne pole „analityka dozwolona”.

Implementacja musi rozróżniać co najmniej zgodę, odmowę i brak decyzji. Sygnał brakujący, nieprzypisany lub niezweryfikowany nie może zezwalać na operacje wymagające zgody. Wycofanie zgody musi zatrzymać odpowiednie dalsze dostępy; nowe źródło decyzji wymaga więc także testów sprawdzających, czy skrypty pomiarowe i reklamowe rzeczywiście uruchamiają się albo pozostają zablokowane zgodnie z decyzją.

Wspólna struktura rekordów, niezależna od jednego dostawcy zarządzania zgodą, ułatwia podłączanie różnych źródeł zgód. Nie gwarantuje jednak przyjęcia każdego zewnętrznego sygnału bez zmian. Przypisanie celu, dostawcy i wersji oraz konflikty z zapisanymi ustawieniami wymagają jawnej reguły integracji.

Ocena integracji przez konkretne przypadki

Liczba uznanych usług nie dowodzi częstotliwości użycia na określonej witrynie ani korzyści ekonomicznej. Przydatna ocena mierzy wykryte ważne ustawienia, uniknięte powtórne pytania, błędy przypisania oraz pracę potrzebną do utrzymania i obsługi wycofania zgody.

1. Sprawdzić uznanie, interfejs techniczny i obsługiwane przeglądarki lub aplikacje.
2. Dopasować informacje oraz cele witryny do zakresu zarządzanych decyzji.
3. Przetestować pierwszą wizytę bez ustawień, zgodę, odmowę, ponowną wizytę, zmianę i wycofanie zgody.
4. Sprawdzić nieznanych dostawców, zmienione cele, sprzeczne sygnały i awarię usługi.
5. W ruchu sieciowym potwierdzić, że tagi wymagające zgody pozostają nieaktywne do ważnego zezwolenia i nie uruchamiają się ponownie po wycofaniu.

Takie kontrole wspierają decyzję opartą na rzeczywistej integracji i mierzalnych efektach.

Propozycje unijne wymagają osobnego traktowania

Pierwotny wniosek Komisji dotyczący Digital Omnibus z listopada 2025 r. obejmuje w artykule 88b również maszynowo czytelne sygnały zgody. Inicjatywa jest odrębna od obowiązujących przepisów niemieckich. Rejestr procedur Parlamentu 24 października 2026 r. nadal wskazuje oczekiwanie na decyzję komisji. Sam wniosek nie tworzy natychmiast obowiązującego, ogólnego nakazu dla witryn.