Produktempfehlung ohne Cookies: Warum freiwillige Daten noch keine sauberen Daten sind
Zero-Party-Daten klingen nach DSGVO-Befreiung, sind es aber nicht. Warum freiwillige Quiz-Eingaben Zweckbindung, Speicherbegrenzung und Rechtsgrundlage nicht ersetzen.
Zero-Party-Daten klingen nach DSGVO-Befreiung. Sie sind es nicht.
Gemeint sind damit Angaben, die dein Kunde bewusst und freiwillig macht: im Quiz z.B. „trockene Haut”, „Budget bis 50 Euro”, „Einsteiger”. Kein Cookie, kein Tracking-Pixel, kein Datenkauf im Hintergrund. Die Empfehlung entsteht aus dem, was der Kunde selbst eingibt. Das ist tatsächlich sauberer als Third-Party-Tracking, bei dem Verhalten über fremde Seiten hinweg eingesammelt wird. Third-Party-Cookies verschwinden dabei nicht: Google hat die geplante Abschaffung in Chrome 2025 fallengelassen und die Privacy Sandbox eingestellt. Als verlässliches Fundament taugen sie trotzdem immer weniger. In Safari und Firefox sind sie standardmäßig blockiert, und eine Einwilligung brauchen sie ohnehin. Genau deshalb rücken cookielose, Zero-Party-basierte Empfehlungen für viele Shops in den Fokus.
Nur beantwortet die freiwillige Eingabe die eigentliche Datenschutz-Frage nicht. Ob eine cookielose Produktempfehlung DSGVO-sauber ist, entscheidet sich nicht daran, wie die Daten hereinkommen, sondern was danach mit ihnen passiert.
Freiwillig ist keine Rechtsgrundlage
Der Denkfehler steckt schon im Wort. „Zero-Party” beschreibt, wie die Daten hereinkommen: Der Kunde gibt sie selbst an, statt dass ein Tracker sie einsammelt. Das ist eine Aussage über die Herkunft der Daten, nicht über ihre Rechtsgrundlage.
„Der Kunde hat es ja freiwillig eingegeben” ist für sich genommen noch keine Rechtsgrundlage nach Art. 6 DSGVO. Freiwilligkeit ist eine Voraussetzung der Einwilligung, aber eine wirksame Einwilligung braucht mehr: Sie muss informiert, für einen bestimmten Zweck erteilt und jederzeit widerrufbar sein. Und in mancher Konstellation stützt sich die Verarbeitung gar nicht auf die Einwilligung (Art. 6 Abs. 1 lit. a), sondern auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Das sind zwei verschiedene Grundlagen mit verschiedenen Folgen, etwa beim Widerspruchsrecht. Welche in deinem Fall trägt, ist eine rechtliche Einordnung und keine Frage der Eingabe-Form.
Die drei Kriterien
Die wichtigere Frage ist nicht, ob der Kunde die Daten freiwillig eingibt, sondern was danach mit ihnen passiert. Drei Kriterien sind es, und keines hängt an der Eingabe-Form.
Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden. Die Quiz-Antwort „trockene Haut” für die Produktempfehlung: passt. Dieselbe Antwort drei Wochen später als Segment für eine Newsletter-Kampagne: anderer Zweck, eigene Rechtsgrundlage.
Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Die Daten dürfen nicht länger gespeichert werden, als der Zweck es verlangt. Eine Präferenz, die für eine einmalige Empfehlung erhoben wurde, muss nicht zwei Jahre im System liegen bleiben.
Rechtsgrundlage (Art. 6 Abs. 1): Jede Verarbeitung braucht eine Grundlage, und jede neue Nutzung wirft die Frage neu auf. Wer die Quiz-Antworten später mit anderen Datenquellen zusammenführt oder für Profilbildung nutzt, verlässt den ursprünglichen Zweck und braucht dafür eine eigene, geprüfte Grundlage.
An diesen drei Punkten entscheidet sich die DSGVO-Sauberkeit. Nicht am Klick, mit dem der Kunde seine Antwort abgeschickt hat.
Eine Ausnahme gehört gleich dazu: Antworten, die einen Gesundheitszustand offenbaren – bei Hautpflege etwa „trockene Haut” – können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sein. Dann reicht die Drei-Kriterien-Logik nicht; es braucht eine Art.-9-Grundlage, in der Regel die ausdrückliche Einwilligung.
Was eine cookielose Empfehlung konkret heißt
Genau hier setzt eine regelbasierte, cookielose Beratung an. Die Empfehlung entsteht ohne Third-Party-Cookies und ohne Tracking im Hintergrund, allein aus den Antworten, die dein Kunde im Quiz gibt. Verarbeitet wird auf EU-Infrastruktur, DSGVO-nativ aufgebaut. Und die Quiz-Antworten werden nicht dazu genutzt, KI-Modelle zu trainieren – sie bleiben an ihren Zweck gebunden.
Dass die Empfehlung nachvollziehbar ist, bekommt 2026 einen zweiten Bezug. Ab dem 02.08.2026 bringt der EU AI Act Transparenzpflichten für bestimmte KI-Systeme mit sich (Art. 50). Eine regelbasierte Logik, die offenlegt, warum ein Produkt empfohlen wird, ist by Design auf diese Transparenz-Richtung ausgerichtet – AI-Act-ready. Was das für ein konkretes System rechtlich bedeutet, ist eine Einordnung für eine Kanzlei, keine Aussage dieses Textes. Die Mechanik dahinter ist in transparente Produktberatung im Online-Shop ausführlicher beschrieben.
Was cookielos nicht löst
Cookielos löst den Cookie-Teil. Es löst nicht deine komplette Compliance. Deine Datenschutzerklärung, dein Verzeichnis der Verarbeitungstätigkeiten, die Rechtsgrundlagen für die anderen Tools in deinem Shop: Die bleiben deine Aufgabe. Und wenn ein Dienstleister die Quiz-Daten in deinem Auftrag verarbeitet, gehört ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO dazu.
Zero-Party-Daten sind also kein Freifahrtschein. Sie sind personenbezogene Daten wie andere auch und unterliegen denselben Regeln. Der Vorteil ist real, aber begrenzt: weniger Cookie-Aufwand, mehr Transparenz für den Kunden. Zweckbindung, Speicherbegrenzung und Rechtsgrundlage nehmen sie dir nicht ab.
Was du vor der Einführung prüfst
Bevor du ein Quiz-Tool einführst, lohnen sich vier Fragen. Wofür nutze ich die Antworten – nur für die Empfehlung, oder später auch für Marketing? Wie lange speichere ich sie? Wer verarbeitet sie, und brauche ich dafür einen AVV? Auf welcher Rechtsgrundlage steht die Verarbeitung – Einwilligung oder berechtigtes Interesse?
Das sind keine Fragen mit einer Pauschal-Antwort. Aber es sind die Fragen, an denen sich entscheidet, ob deine cookielose Empfehlung sauber ist. Nicht die Frage, ob der Kunde freiwillig geklickt hat. Für die verbindliche Bewertung ist eine auf IT-Recht spezialisierte Kanzlei zuständig. Wie eine solche geleitete Beratung im Shop überhaupt aussieht, steht in Guided Selling im Online-Shop.
Willst du sehen, wie eine cookielose, nachvollziehbare Empfehlung im Shop aussieht? Trag dich in die Waitlist ein.
Dieser Text gibt eine Orientierung zum Stand 30.06.2026 und ist keine Rechtsberatung. Ab dem 02. August 2026 gelten die Transparenzpflichten des EU AI Act (Art. 50) – bis dahin können sich Auslegungen ändern. Konkrete Compliance-Bewertungen erfordern eine auf IT-Recht spezialisierte Kanzlei.