DSGVO als strategischer Vorteil: Vertrauen, Churn und Loyalität, mit geprüften Belegen

Die Behauptung stimmt zur Hälfte, und auf die Hälfte kommt es an

Du kennst den Satz aus der Präsentation einer Consent Plattform, eines Datenschutzanbieters oder einer Agentur: Geh gut mit Daten um, dann vertrauen dir die Kunden mehr, bleiben länger und kaufen wieder. Die Idee gefällt mir. Mir fällt aber auch auf, wer sie meistens vorträgt und welche Zahl darunter liegt.

Die meisten dieser Zahlen stammen aus Umfragen, die ein Anbieter von Datenschutzprodukten bezahlt hat, und gefragt wurde, was die Leute tun würden. Wertlos ist das nicht. Es ist nur etwas anderes als das, was Menschen tatsächlich tun, und es ist weit entfernt von einem Beweis, dass deine Kündigungsrate sinkt.

Deshalb nehme ich die Behauptung hier auseinander und behalte, was trägt. Ich arbeite mit drei Arten von Belegen und sage bei jeder Zahl dazu, zu welcher sie gehört: was Menschen in Deutschland in großen Umfragen sagen, was Menschen in kontrollierten Experimenten getan haben, und was echten Unternehmen passiert ist. Wo die Belege enden, zeige ich dir, wie du die Frage in deinen eigenen Zahlen misst, statt dir die Zahlen anderer zu borgen.

Das durchgehende Beispiel ist erfunden. Lena führt in Köln die Bohnenpost, ein Kaffeeabo, das jeden Monat eine Packung frisch gerösteter Bohnen verschickt, zu finden unter bohnenpost.example. Sie hat 2.000 Abonnentinnen und Abonnenten, die 18 € im Monat zahlen, und nach Bohnen, Rösten, Verpackung und Porto bleiben ihr von jeder Box 7 €. Niemand Echtes, keine Kundin von mir.

Rechenbeispiel: die Statistik auf Lenas Schreibtisch

In Lenas Postfach landet die Verkaufsmail einer Consent Plattform. Ein großer Teil der Onlinekäufer würde einer Marke den Rücken kehren, der er seine Daten nicht anvertraut, steht darin, und deshalb senke das Produkt die Abwanderung.

Lena stellt drei Fragen. Wer hat gefragt? Der Anbieter. Was wurde gefragt? Was Menschen in einer gedachten Lage tun würden. Was wurde gemessen? Nichts, was irgendwer getan hat. Es ist also eine Einstellung, erhoben von jemandem, der etwas verkaufen will, und über ihre 2.000 Abonnenten sagt sie noch gar nichts.

Drei Arten von Belegen, und warum sie nicht gleich viel wiegen

Eine Einstellungsumfrage fragt, was Menschen denken, fühlen oder tun würden. Eine gute, wie die großen Erhebungen weiter unten, befragt viele Menschen, gewichtet die Antworten so, dass sie zur Bevölkerung passen, und sagt dir ehrlich, was Menschen sagen. Was sie an deiner Kasse tun werden, sagt sie dir nicht.

Ein Experiment ändert absichtlich eine Sache und beobachtet, was Menschen tatsächlich tun, im Vergleich mit einer Gruppe, die die Änderung nicht bekommen hat. Das ist viel näher an Ursache und Wirkung, findet aber meistens in einem Labor oder auf einer einzigen Website statt, mit einer bestimmten Gruppe, und muss nicht auf deinen Shop übertragbar sein.

Feldbelege stammen von echten Unternehmen und echten Kunden außerhalb des Labors: Aktienkurse nach einer Datenpanne, Anmeldungen vor und nach einer Gesetzesänderung. Das ist echtes Verhalten, aber es ändert sich vieles gleichzeitig, und die Forschenden müssen hart arbeiten, um den einen Faktor herauszulösen, um den es ihnen geht.

Das Diagramm liest sich von oben nach unten, mit einer Frage pro Schritt dazu, woher eine Zahl kommt. Entscheidend ist das letzte Kästchen: Eine Zahl über die Kunden anderer Leute wird erst dann zu einer Tatsache über deine, wenn du sie geprüft hast.

Rechenbeispiel: drei Sätze einordnen

Erstens: "Fast neun von zehn Internetnutzenden in Deutschland sagen, der Umgang mit ihren Daten entscheide über ihr Vertrauen." Eine Einstellungsumfrage. Aus einer großen, offengelegten Erhebung ist das guter Hintergrund.

Zweitens: "Wer neben jedem Shop eine klare Datenschutzbewertung sah, kaufte öfter bei den besser bewerteten Shops." Ein Experiment, sofern es eine Vergleichsgruppe gab. Stark, aber wo und mit wem?

Drittens: "Bei unseren Kunden sank der Churn um 30 %, nachdem sie unser Banner eingebaut hatten." Die Behauptung eines Anbieters, ohne Vergleichsgruppe und ohne Möglichkeit, sie zu prüfen. Die kommt in den Papierkorb.

Was Menschen in Deutschland über Vertrauen sagen

Eine der wenigen großen Erhebungen in Deutschland, die Vertrauen im Netz direkt abfragt, ist der Sicherheitsindex des Vereins Deutschland sicher im Netz (DsiN). Für die Ausgabe 2025 hat das Forschungsinstitut ARIX 1.000 Internetnutzerinnen und Internetnutzer ab 16 Jahren befragt, Schwerpunktthema war Vertrauen in der digitalen Welt.¹

78,5 % halten Vertrauen bei digitalen Angeboten für wichtig oder sehr wichtig, aber nur 26,2 % beschäftigen sich regelmäßig damit. Den Umgang mit ihren personenbezogenen Daten nennen 86,8 % entscheidend für ihr Vertrauen, die Kontrolle über Sicherheitseinstellungen 83,9 %, die Glaubwürdigkeit von Informationen im Netz 82,8 %.¹ Datenschutz ist den Menschen also wichtig. Welche Dinge ihr Vertrauen in ein Unternehmen tatsächlich bewegen, fragt der Index allerdings nicht einzeln ab.

Genau das tut die jährliche Umfrage der britischen Datenschutzbehörde, des Information Commissioner's Office (ICO). Für 2026 hat das Institut Savanta 7.801 Erwachsene in Großbritannien online befragt, gewichtet auf die Onlinebevölkerung, und sie stellt die Faktoren nebeneinander.² Eine deutsche Erhebung, die Ruf, Vertrautheit und Cookie Einstellungen so gegeneinander stellt, habe ich nicht gefunden. Das folgende Diagramm zeigt deshalb britische Zahlen, und ich behandle sie als Hinweis, nicht als Messung für Deutschland.

Jeder Balken ist ein Faktor, den die britische Umfrage abgefragt hat, und seine Höhe ist der Anteil der 7.801 Befragten, die sagen, dieser Faktor beeinflusse ihr Vertrauen zumindest etwas.² Die Erkenntnis: Was Menschen als prägend für ihr Vertrauen nennen, sind die langsamen, allgemeinen Dinge, Ruf und Vertrautheit, und ausgerechnet das, woran Unternehmen am meisten herumschrauben, die Cookie Einstellungen, liegt auf dem letzten der sieben Plätze.

Der DsiN Index zeigt außerdem, wo das Vertrauen beim Onlinekauf konkret auf die Probe gestellt wird. 15,5 % der Befragten wurden in den letzten zwölf Monaten Opfer von Betrug bei einem Onlineeinkauf, und 10,7 % sagen, ihre Zugangsdaten zu einem Onlineshop seien ausgespäht worden oder jemand habe es versucht.¹

All das ist, was Menschen sagen. Es ist ein faires Bild der Stimmung. Eine Messung, ob jemand einen Shop verlässt, ist es nicht.

Rechenbeispiel: was die Umfragen Lena raten, und was nicht

Lena hatte geplant, eine Woche in ein neues Cookie Banner zu stecken, als ihr "Vertrauensprojekt". Die britischen Zahlen sprechen dafür, dass das der am wenigsten lohnende Startpunkt ist, denn Cookie Einstellungen landeten auf dem letzten von sieben Plätzen.

Ganz vorn stehen Ruf und Vertrautheit, und die baut sie langsam auf, indem sie jeden Monat derselbe verlässliche Kaffeeclub ist. Verschlüsselung und Sicherheit liegen mit 56 % in der Mitte, und in der deutschen Erhebung berichtet jede und jeder Zehnte von ausgespähten Shop Zugangsdaten. Also sortiert sie ihre Liste um. Zuerst die Sicherheitsgrundlagen im Shop und bei ihrem Newsletter Dienst. Dann eine klare Seite dazu, was sie erhebt und warum. Erst danach das Banner, denn das muss sie nach dem Gesetz ohnehin sauber umsetzen, egal was es für das Vertrauen bringt.

Was Menschen sagen und was sie tun, sind zwei Dinge

Die Forschung nennt die Lücke zwischen geäußerter Sorge und tatsächlichem Verhalten das Privacy Paradox. Die deutschen Umfragen zeigen sie in Antworten, die direkt nebeneinander stehen.

Der DsiN Index misst Wissen und Verhalten getrennt. Das Sicherheitswissen liegt 2025 bei 90,5 von 100 Punkten, das tatsächliche Schutzverhalten bei 52,9. Die Lücke von 37,6 Punkten ist die größte seit Beginn der Reihe, und gleichzeitig erreichen die erlebten Sicherheitsvorfälle einen Höchstwert, während sich die Befragten im Netz so sicher fühlen wie nie.¹

Bei Cookies ist es ähnlich. In einer Befragung von 1.013 Internetnutzenden ab 16 Jahren, die der Digitalverband Bitkom im März 2024 veröffentlicht hat, sagen 34 %, ihnen seien die Einstellungen für Cookies und Tracking wichtig. In derselben Befragung sagen 68 %, sie möchten sich damit nicht beschäftigen, 24 % stimmen grundsätzlich allem zu, weil sie keine Lust haben, sich damit zu befassen, und 31 % sagen, sie verstünden die Einstellungen nicht.³ Beides sind Selbstauskünfte, und sie beschreiben nicht dieselben sorgfältigen Leser. Und es lohnt sich, die erste Frage aus dem Diagramm oben zu stellen: Bitkom vertritt die Digitalwirtschaft, und die Pressemitteilung schließt mit dem Hinweis, dass viele Onlinedienste auf Werbung angewiesen sind.

Bei Datenschutzerklärungen ist das Bild noch deutlicher. In einer YouGov Umfrage für den Internetverband eco unter 2.234 Erwachsenen in Deutschland, erhoben im Januar 2026, lesen nur 8 % Datenschutzerklärungen in der Regel vollständig, 46 % teilweise und 43 % normalerweise gar nicht. Gefragt, warum sie sie nicht vollständig lesen, nennen 66 % die Länge, 55 % gehen davon aus, ohnehin zustimmen zu müssen, und für 34 % sind die Texte zu kompliziert.⁴

Rechenbeispiel: Lenas Datenschutzerklärung

Lenas Datenschutzerklärung aus dem Baukasten hat rund 3.000 Wörter. Wenn die eco Zahlen für ihre Kundschaft gelten, öffnen gut zwei von fünf sie nie, und ganz durch liest sie kaum jemand, vor allem weil sie so lang ist.

Sie behält die vollständige Erklärung, denn das Gesetz verlangt, dass die vollständigen Informationen verfügbar sind, und stellt eine kurze Zusammenfassung in einfachen Worten an den Anfang: was sie erhebt (Name, Adresse, Mailadresse, die Zahlung wickelt ihr Zahlungsdienstleister ab), wozu (um Kaffee zu schicken und über das Abo zu informieren), wer die Daten außerdem verarbeitet (Zahlungsdienstleister, Paketdienst und Newsletter Dienst) und wie lange sie sie aufbewahrt. Es geht nicht darum, die zu gewinnen, die nie hineinschauen. Es geht darum, dass die Seite für die nutzbar ist, die es tun, und genau das verlangt auch das Gesetz.

Was die Experimente zeigen: Datenschutzinformationen können Käufe verändern

Den saubersten Beleg dafür, dass Datenschutz das Kaufen beeinflussen kann, liefert ein Experiment an der Carnegie Mellon University in Pittsburgh. Janice Tsai, Serge Egelman, Lorrie Cranor und Alessandro Acquisti bauten eine Shopping Suchmaschine, die neben jedem Händler eine kompakte Datenschutzbewertung zeigte. Wenn die Teilnehmenden diese Information sahen, kauften sie eher bei den Händlern, die ihre Privatsphäre besser schützten, und manche zahlten dafür einen Aufpreis.⁵

Die Details zählen. Die Teilnehmenden kauften wirklich, mit ihrer eigenen Karte, Produkte, die mit Versand im Schnitt rund 15 Dollar kosteten. Bei Batterien gingen in der Gruppe mit Datenschutzbewertung 47,4 % der Käufe an Shops mit hohem Datenschutz, in der Gruppe ohne Bewertung 5,6 %, und für Batterien von besser bewerteten Händlern gaben die Teilnehmenden im Schnitt 59 Cent mehr aus.⁶

Das ist echtes Verhalten mit Vergleichsgruppe, und das macht es stark. Es ist aber auch ein Labor, in einer amerikanischen Stadt, im Jahr 2011, mit einer Bewertung direkt im Moment der Entscheidung. Die ehrliche Lesart: Wenn Datenschutz an der Stelle des Kaufs sichtbar und leicht vergleichbar ist, entscheiden sich manche Menschen dafür und zahlen ein wenig mehr. Dass eine Datenschutzerklärung, die niemand sieht, irgendetwas bewegt, sagt es nicht.

Rechenbeispiel: Datenschutz an Lenas Kasse sichtbar machen

Lena nimmt aus dem Experiment eine Lehre über das Wo, nicht über das Ob. Es hat funktioniert, weil die Information direkt neben der Entscheidung stand.

Also setzt sie auf ihrer Anmeldeseite neben das Feld für die Mailadresse einen Satz: "Ich nutze deine Mailadresse für dein Abo und, wenn du das Kästchen ankreuzt, für eine monatliche Röstnotiz. Abmelden mit einem Klick." Sie schreibt nicht "Ich gebe deine Daten nie weiter", denn das stimmt nicht. Paketdienst, Zahlungsdienstleister und Newsletter Dienst verarbeiten sie in ihrem Auftrag, und ihre Datenschutzhinweise müssen das sagen.

Eine höhere Conversion verspricht sie sich davon nicht. Warum ein kleiner Test selten viel beweist, zeigt der Abschnitt über Churn weiter unten.

Wo Vertrauen bricht: Datenpannen und die Feldbelege

Wenn es eine Stelle gibt, an der Datenschutz und Kundenverhalten klar zusammenhängen, dann wenn etwas schiefgeht. Eine deutsche Umfrage, die fragt, was eine Datenpanne mit dem Vertrauen der Betroffenen macht, habe ich nicht gefunden. Die britische ICO Umfrage 2026 fragt es: 60 % der Erwachsenen in Großbritannien berichten, schon einmal von einer Datenpanne betroffen gewesen zu sein, und unter ihnen ist der Vertrauensverlust mit 34 % die am häufigsten genannte Folge.² In der britischen Umfrage 2025 sagte eine befragte Person: "I never used the company again as I had lost trust in them", sie habe das Unternehmen nie wieder genutzt, weil sie das Vertrauen verloren habe.⁷ Das sind die Worte eines einzelnen Menschen, keine Statistik, aber es ist der Mechanismus in einem Satz.

Die Feldbelege stammen von Kelly Martin, Abhishek Borah und Robert Palmatier, erschienen im Journal of Marketing. Sie haben drei Studien durchgeführt. In Experimenten reichte es schon, dass ein Unternehmen Zugriff auf persönliche Daten hatte, um das Gefühl der Verletzung zu verstärken und das Vertrauen zu senken. In einer Ereignisstudie zu Datenpannen bei 414 börsennotierten Unternehmen schadeten die Pannen der Leistung der Firmen und färbten sogar auf Wettbewerber ab. Und in einer Feldstudie mit echten Kunden von 15 Unternehmen trugen Verletzungsgefühl und Vertrauen die Wirkung der Datenverwundbarkeit bis zu den Ergebnissen durch. Ihr zentraler Befund ist der nützliche: Transparenz und Kontrolle darüber, wie ein Unternehmen mit Daten umgeht, dämpften diese negativen Folgen.⁸

Zusammen stützen die Belege eine engere und robustere Aussage als die Version der Anbieter. Guter Datenschutz bringt Menschen nicht zuverlässig dazu, dich zu lieben. Er begrenzt aber den Schaden, wenn Sorgen um Daten aufkommen, und die kommen früher oder später bei allen auf.

Rechenbeispiel: ein vergessener Laptop bei der Bohnenpost

Angenommen, Lenas Aushilfe beim Packen lässt einen Laptop im Zug liegen. Darauf liegt eine Tabelle mit Namen und Adressen von 400 Abonnenten. Keine Zahlungsdaten, keine Passwörter.

Szenario eins: Die Tabelle war unnötig, unverschlüsselt, und Lenas Kundschaft erfährt davon aus einem Forenbeitrag. Szenario zwei: Der Laptop war verschlüsselt, die Tabelle enthielt nur, was zum Packen nötig war, und Lena schreibt den 400 Menschen in derselben Woche, was passiert ist, was darauf war, was es für sie bedeutet und was sie geändert hat.

Eine Zahl für den Unterschied liefert die Forschung nicht, aber sie sagt, welches Szenario zu "Transparenz und Kontrolle" passt. Szenario zwei passt auch zum Gesetz. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten "unverzüglich und möglichst binnen 72 Stunden", nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, in Deutschland in der Regel der Datenschutzbehörde des Landes, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen.⁹ Ob 400 Namen und Adressen auf einem verschlüsselten Laptop unter dieser Schwelle bleiben, entscheidet Lena mit dem Gesetzestext und den Hinweisen ihrer Aufsichtsbehörde vor sich, nicht mit dem Blog eines Anbieters.

Die Churn Behauptung: Niemand hat sie für dich bewiesen, also miss sie

Ich habe nach öffentlichen Primärbelegen gesucht, dass besserer Datenschutz die Kündigungsrate von Abos direkt senkt, und keinen gefunden, für den ich meinen Namen hergeben würde. Die Umfragen zeigen Vertrauen und Sorgen, das Experiment zeigt Entscheidungen an einer Kasse, die Feldstudie zeigt Schadensbegrenzung. Keine misst, dass Churn sinkt, weil ein Unternehmen seinen Datenschutz verbessert hat.

Falsch ist die Idee deshalb nicht. Sie ist etwas, das man messen muss, und dafür brauchst du drei Stücke Mathematik: die Churn Rate, was Churn mit dem Wert eines Kunden macht, und wie viele Kunden du brauchst, bevor ein Unterschied echt ist.

Die Churn Rate ist eine einfache Rate, die in einem Zeitraum verlorenen Kunden geteilt durch die Kunden zu Beginn:

$$c = \frac{L}{N}, \qquad r = 1 - c$$

Dabei ist $c$ die Churn Rate für den Zeitraum, $L$ die Zahl der Kunden, die in diesem Zeitraum gekündigt haben, $N$ die Zahl der Kunden zu Beginn und $r$ die Bindungsrate, also der Anteil, der geblieben ist. Grundlagen: Quoten und Raten

Churn zählt, weil er sich im Wert jedes Kunden aufsummiert. Eine gängige Formel für den Kundenwert über die gesamte Beziehung, bei gleichbleibender Marge und Bindung, lautet:

$$CLV = M \times \frac{r}{1 + d - r}$$

Dabei ist $CLV$ der Customer Lifetime Value, also der Wert eines Kunden über die gesamte Beziehung, $M$ die Marge, die ein Kunde pro Zeitraum bringt (Marge, nicht Umsatz), $r$ die Bindungsrate pro Zeitraum und $d$ der Abzinsungssatz pro Zeitraum, der berücksichtigt, dass Geld später weniger wert ist als Geld heute. Grundlagen: was ein Kunde über die Jahre wert ist

Rechenbeispiel: was ein Prozentpunkt Churn für Lena wert ist

Lena behält $M = 7$ € im Monat pro Abonnent. Ihr monatlicher Churn liegt bei 8 %, also $r = 0{,}92$. Sie rechnet mit einem monatlichen Abzinsungssatz von $d = 0{,}01$.

$$CLV = 7 \times \frac{0{,}92}{1 + 0{,}01 - 0{,}92} = 7 \times \frac{0{,}92}{0{,}09} = 71{,}56$$

Jedes Symbol wie oben: $M = 7$, $r = 0{,}92$, $d = 0{,}01$, und das Ergebnis $CLV$ liegt bei rund 71,56 € pro Abonnent. Grundlagen: was ein Kunde über die Jahre wert ist

Fiele der Churn um einen Prozentpunkt auf 7 %, läge die Bindung bei $r = 0{,}93$:

$$CLV = 7 \times \frac{0{,}93}{1 + 0{,}01 - 0{,}93} = 7 \times \frac{0{,}93}{0{,}08} = 81{,}38$$

Wieder $M = 7$ und $d = 0{,}01$, jetzt mit $r = 0{,}93$, was einen $CLV$ von rund 81,38 € ergibt. Grundlagen: was ein Kunde über die Jahre wert ist

Dieser eine Prozentpunkt Churn ist rund 9,82 € pro Abonnent wert, oder etwa 19.600 € über 2.000 Abonnenten. Die Frage lohnt sich also. Die nächste Frage ist, ob Lena überhaupt erkennen könnte, dass ihre Datenschutzarbeit den Unterschied gemacht hat.

Rechenbeispiel: Könnte Lena den Effekt erkennen?

Lena macht einen Test. Die Hälfte der neuen Abonnenten bekommt die alte Kontoseite. Die andere Hälfte bekommt eine neue, mit einer klaren Seite für Einstellungen, einem Export der eigenen Bestellhistorie mit einem Klick und einem einfachen Knopf "Konto löschen". Nach einem Monat vergleicht sie den Churn.

Angenommen, jede Gruppe hat 1.000 Abonnenten, von der alten Seite kündigen 80 (8 %) und von der neuen 70 (7 %). Der Test auf einen Unterschied zwischen zwei Anteilen lautet:

$$z = \frac{p_1 - p_2}{\sqrt{p(1 - p)\left(\frac{1}{n_1} + \frac{1}{n_2}\right)}}$$

Dabei ist $z$ die Teststatistik, $p_1$ und $p_2$ sind die Churn Raten der beiden Gruppen, $p$ ist die gemeinsame Churn Rate über beide Gruppen und $n_1$ und $n_2$ sind die Gruppengrößen. Ein $z$ jenseits von etwa 1,96 in die eine oder andere Richtung ist auf dem üblichen Niveau von 5 % signifikant. Grundlagen: Hypothesentests

Die gemeinsame Rate ist $p = 150 / 2.000 = 0{,}075$. Der Nenner des Bruchs ist $\sqrt{0{,}075 \times 0{,}925 \times 0{,}002} = 0{,}0118$. Also ist $z = 0{,}01 / 0{,}0118 = 0{,}85$. Das ist weit von 1,96 entfernt. Ein Unterschied von einem Prozentpunkt bei 1.000 Abonnenten pro Gruppe kann leicht Zufall sein.

Wie viele bräuchte sie? Die übliche Formel für den Stichprobenumfang beim Vergleich zweier Anteile lautet:

$$n = \frac{(z_{\alpha/2} + z_{\beta})^2 \left[p_1(1 - p_1) + p_2(1 - p_2)\right]}{(p_1 - p_2)^2}$$

Dabei ist $n$ die nötige Zahl pro Gruppe, $z_{\alpha/2}$ ist 1,96 für ein Signifikanzniveau von 5 %, $z_{\beta}$ ist 0,84 für eine Teststärke von 80 % (die Wahrscheinlichkeit, einen echten Effekt zu entdecken), und $p_1$ und $p_2$ sind die beiden Churn Raten, die sie unterscheiden will. Grundlagen: Stichprobenumfang

Mit $p_1 = 0{,}08$ und $p_2 = 0{,}07$ ergibt der Zähler $2{,}8^2 \times (0{,}0736 + 0{,}0651) = 7{,}84 \times 0{,}1387 = 1{,}087$, und der Nenner ist $0{,}01^2 = 0{,}0001$. Also liegt $n$ bei etwa 10.900 pro Gruppe, fast 22.000 neue Abonnenten insgesamt. Lena gewinnt rund 300 im Monat. Diesen Effekt kann sie in ihrem eigenen Shop in keiner vernünftigen Zeit nachweisen.

Das ist die ehrliche Schlussfolgerung für die meisten kleinen Unternehmen. Du kannst die Datenschutzarbeit aus den Gründen machen, die tragen, dem Gesetz, der Schadensbegrenzung und schlichtem Anstand, und den Churn daneben beobachten. Als Mittel gegen Churn solltest du sie nicht einplanen, und wer sie dir als solches verkauft, verdient dein Misstrauen. Wenn du beim Churn selbst tiefer einsteigen willst, habe ich über Survival Analyse, Churn und Customer Lifetime Value geschrieben, und darüber, wie viele Daten du wirklich brauchst, für einen Test wie diesen.

Auch die Kosten sind echt

Ein fairer Artikel über einen strategischen Vorteil muss auch die Kostenseite zählen, und die Forschung tut das.

Chinchih Chen, Carl Benedikt Frey und Giorgio Presidente aus Oxford haben Unternehmen verglichen, die unterschiedlich stark auf europäische Märkte ausgerichtet sind, vor und nach dem Wirksamwerden der DSGVO im Jahr 2018. Sie fanden, dass die Verordnung die Profitabilität von Unternehmen, die europäische Verbraucher ansprechen, über höhere Kosten geschmälert hat, und dass die Hauptlast bei kleineren Unternehmen lag.¹⁰

Guy Aridor, Yeon Koo Che und Tobias Salz haben einen Onlinevermittler für Reisen untersucht und festgestellt, dass die Einwilligungspflicht der DSGVO die Zahl der Verbraucher, die das Unternehmen beobachten konnte, um 12,5 % senkte. Die verbliebenen Verbraucher ließen sich länger verfolgen, und ihr durchschnittlicher Wert für Werbetreibende stieg, was einen Teil des Verlusts ausglich.¹¹ Das ist ein Feldbeleg für echtes Verhalten: Eine spürbare Minderheit sagt Nein, wenn man richtig fragt.

Keine der beiden Studien sagt, Datenschutz sei schlecht fürs Geschäft. Zusammen sagen sie, dass er einen Preis hat, dass dieser Preis kleine Firmen am härtesten trifft, und dass die Kunden, die dem Tracking zustimmen, mehr wert sein können als vorher.

Rechenbeispiel: Lenas Analytics nach einem sauberen Banner

Bevor sie ihr Banner in Ordnung gebracht hat, zählte Lenas Analytics 20.000 Besuche im Monat, weil das Tracking lief, ob die Leute zugestimmt hatten oder nicht. Sobald das Banner richtig fragt, werden angenommen 12,5 % weniger Besuche erfasst, der Anteil, den Aridor und seine Kollegen in ihren Daten gefunden haben. Ihre erfassten Besuche fallen auf $20.000 \times 0{,}875 = 17.500$.

Ihre Verkäufe haben sich nicht verändert, nur die Messung. Ohne dieses Wissen würde sie denken, ihr Marketing sei kaputt. Also schreibt sie am Tag der Umstellung eine Notiz in ihr Reporting und vergleicht Conversion Raten nur noch für Besuche mit Einwilligung. In Deutschland fällt der Rückgang womöglich sogar größer aus als in der Studie, weil hier auch reine Statistik Tools auf ein Ja warten. Mehr dazu steht in Event Tracking und Consent Mode.

Was das Gesetz von einem Unternehmen in Deutschland wirklich verlangt

Oft liest man, die DSGVO gelte für alle, die Daten von EU Bürgern verarbeiten. Ganz richtig ist das nicht. Die Verordnung gilt für die Verarbeitung im Rahmen einer Niederlassung in der Union, und für Verantwortliche außerhalb der Union, wenn sie Menschen, die sich in der Union befinden, Waren oder Dienstleistungen anbieten oder ihr Verhalten dort beobachten. Es kommt also darauf an, wo sich Menschen aufhalten, nicht auf ihre Staatsangehörigkeit.¹²

Den Kern bilden die Grundsätze aus Art. 5: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit, und die Rechenschaftspflicht, also dass du nachweisen kannst, dass du dich an all das hältst.¹³ Drei Regeln zählen für das Vertrauensargument am meisten.

Informationen sind "in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" zu übermitteln.¹⁴ Dazu gehören die Zwecke und die Rechtsgrundlage, die Empfänger oder Kategorien von Empfängern, die Speicherdauer und die Rechte der Betroffenen.¹⁵ Und wo du dich auf eine Einwilligung stützt, gilt: "Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein."¹⁶

Bei Verstößen gegen die Grundsätze, die Einwilligungsbedingungen oder die Rechte der Betroffenen sieht Art. 83 Abs. 5 DSGVO Geldbußen von bis zu 20.000.000 € vor, oder bei einem Unternehmen bis zu 4 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.¹⁷

Zwei Punkte sollte ein kleines Unternehmen in Deutschland außerdem kennen. Erstens: Wenn jemand Auskunft, Löschung oder eine Kopie seiner Daten verlangt, musst du unverzüglich reagieren, spätestens innerhalb eines Monats nach Eingang des Antrags, und du musst die Ausübung dieser Rechte erleichtern.¹⁴ Wer unzufrieden ist, kann sich jederzeit bei einer Aufsichtsbehörde beschweren.¹⁸ Ein klarer Weg, Fragen zu den eigenen Daten direkt bei dir loszuwerden, ist also auch ein Weg, Beschwerden bei der Behörde gar nicht erst entstehen zu lassen. Zweitens: Für Statistik Cookies gibt es in Deutschland keine Ausnahme. § 25 des Telekommunikation Digitale Dienste Datenschutz Gesetzes (TDDDG) erlaubt das Speichern und Auslesen von Informationen auf dem Gerät nur mit Einwilligung und kennt nur zwei Ausnahmen: die reine Übertragung einer Nachricht und das, was unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen.¹⁹ Eine Reichweitenmessung gehört nicht dazu.

Rechenbeispiel: Lenas Anmeldeformular, Zeile für Zeile

Lenas altes Formular hatte ein einziges Kästchen: "Ich stimme den AGB und dem Erhalt von Werbung zu." Sie teilt es auf.

Für das Abo selbst braucht sie Name, Adresse und Mailadresse, um Kaffee zu liefern. Das ist Vertragserfüllung und braucht kein Kästchen. Die Röstnotiz per Mail ist Werbung, also bekommt sie ein eigenes, nicht vorab angekreuztes Kästchen mit einem Satz dazu, was sie ist. Der Link zu den Datenschutzhinweisen steht direkt neben dem Knopf. Abmelden geht in jeder Mail mit einem Klick, denn der Widerruf muss so einfach sein wie die Zustimmung.

Ihr Analytics Tool lädt erst nach einem Ja im Banner. Ohne Einwilligung zählt sie nur die Seitenaufrufe aus dem Serverlog, ohne Cookie, ohne Skript, mit einem Satz dazu in ihren Datenschutzhinweisen. Alles, was Werbung füttert, wartet ohnehin auf die Einwilligung. Und ihre Kontaktseite hat jetzt ein kurzes Formular mit dem Titel "Eine Frage oder Beschwerde zu deinen Daten", das in einem Postfach landet, das sie jede Woche prüft, damit die Monatsfrist nie knapp wird. Die Gestaltungsseite behandle ich in Email Capture für Consent neu bauen und in DSGVO Dark Patterns.

Alles zusammen: Datenschutz, der sich bezahlt macht

Wo liegt also der strategische Vorteil? Nicht in einem Versprechen von weniger Churn, das niemand belegt hat. Er liegt in vier robusteren Dingen: Du bist dort sichtbar, wo die Entscheidung fällt, du bist verständlich für die Mehrheit, die Datenschutzerklärungen nicht liest, du begrenzt den Schaden, wenn etwas schiefgeht, und du stehst auf der richtigen Seite eines Gesetzes, das Zähne hat.

Das Diagramm liest sich von oben nach unten. Die frühen Schritte, Sicherheit und Transparenz, sind die, die die Belege am stärksten stützen, weil sie den Schaden begrenzen, wenn Vertrauen auf die Probe gestellt wird. Die Entscheidung gegen Ende ist die ehrliche: Teste nur, was deine Zahlen erkennen können.

Die Prüfung von Dienstleistern verdient einen eigenen Artikel, und sie hat einen: wie Data Processors dich zu Strafen führen können.

Rechenbeispiel: Lenas Quartal

Im ersten Monat listet Lena ihre Daten auf, findet einen alten Tabellenexport von 2022 mit den Adressen von 1.400 ehemaligen Abonnenten und löscht ihn. Sie schaltet die Verschlüsselung auf dem Packlaptop ein. Im zweiten Monat schreibt sie die kurze Zusammenfassung ihrer Datenschutzhinweise, teilt das Anmeldeformular auf und baut das Formular für Fragen und Beschwerden. Im dritten Monat kommen der Export und der Löschknopf auf die Kontoseite.

Den Churn Test macht sie nicht, denn laut Rechnung bräuchte sie rund 22.000 neue Abonnenten, um einen Prozentpunkt zu erkennen. Sie führt aber eine monatliche Churn Kurve, mit einer Notiz am Datum jeder Änderung. Sinkt der Churn, wird sie nicht behaupten, es sei die Datenschutzarbeit gewesen. Hat ein Dienstleister einmal eine Datenpanne, wird sie froh sein, dass sie es trotzdem getan hat.

Das ist die Version von "DSGVO als strategischer Vorteil", hinter der ich stehe. Kein Growth Hack. Ein Unternehmen, das leicht zu verstehen ist, sorgfältig mit dem umgeht, was es hat, und ehrlich, wenn etwas schiefgeht. Und genau das, der Umgang mit den eigenen Daten, ist auch das, was fast neun von zehn Menschen in der deutschen Umfrage als entscheidend für ihr Vertrauen nennen.

Footnotes

1. ARIX im Auftrag von Deutschland sicher im Netz e. V., DsiN Sicherheitsindex 2025, Digitale Sicherheitslage der Verbraucher:innen in Deutschland, 1.000 Internetnutzende ab 16 Jahren, DsiN, Juni 2025, https://www.sicher-im-netz.de/wp-content/uploads/2025/06/DsiN-Sicherheitsindex_2025.pdf

2. Savanta for the Information Commissioner's Office, Public Attitudes on Information Rights Survey 2026 (britische Umfrage, 7.801 Erwachsene), ICO, 2026, https://ico.org.uk/media2/ro2jpfio/ico-public-attitudes-on-information-rights-survey-2026.pdf

3. Bitkom Research im Auftrag des Bitkom e. V., Drei Viertel sind von Cookie Bannern genervt, Presseinformation, 1.013 Internetnutzende ab 16 Jahren, Bitkom, 25. März 2024, https://www.bitkom.org/Presse/Presseinformation/Drei-Viertel-von-Cookie-Bannern-genervt

4. YouGov im Auftrag von eco, Verband der Internetwirtschaft e. V., eco Umfrage zeigt: Datenschutz, nein danke. Rund 90 Prozent der Deutschen kapitulieren vor langen und komplizierten Datenschutzerklärungen, Pressemitteilung, 2.234 Personen ab 18 Jahren, 23. bis 26. Januar 2026, eco, 27. Januar 2026, https://www.eco.de/presse/eco-umfrage-zeigt-datenschutz-nein-danke-rund-90-prozent-der-deutschen-kapitulieren-vor-langen-und-komplizierten-datenschutzerklaerungen/

5. Janice Y. Tsai, Serge Egelman, Lorrie Cranor und Alessandro Acquisti, The Effect of Online Privacy Information on Purchasing Behavior: An Experimental Study, Information Systems Research, Band 22, Heft 2, Seiten 254 bis 268, 2011, https://ideas.repec.org/a/inm/orisre/v22y2011i2p254-268.html

6. INFORMS, Online consumers willing to pay premium for net privacy, says study in INFORMS journal, EurekAlert, Juli 2011, https://www.eurekalert.org/news-releases/748060

7. Savanta for the Information Commissioner's Office, Public Attitudes on Information Rights Survey 2025 (britische Umfrage), ICO, 2025, https://ico.org.uk/media2/veapck3h/ico-pair-2025-report.pdf

8. Kelly D. Martin, Abhishek Borah und Robert W. Palmatier, Data Privacy: Effects on Customer and Firm Performance, Journal of Marketing, Band 81, Heft 1, Seiten 36 bis 58, 2017, https://doi.org/10.1509/jm.15.0497

9. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Absatz 1, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

10. Chinchih Chen, Carl Benedikt Frey und Giorgio Presidente, Privacy Regulation and Firm Performance: Estimating the GDPR Effect Globally, Oxford Martin School, erschienen in Economic Inquiry, Band 62, Heft 3, 2024, https://www.oxfordmartin.ox.ac.uk/publications/privacy-regulation-and-firm-performance-estimating-the-gdpr-effect-globally/

11. Guy Aridor, Yeon Koo Che und Tobias Salz, The Effect of Privacy Regulation on the Data Industry: Empirical Evidence from GDPR, NBER Working Paper 26900, 2020, überarbeitet 2022, https://www.nber.org/papers/w26900

12. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 3 Räumlicher Anwendungsbereich, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

13. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

14. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person, Absätze 1 bis 3, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

15. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

16. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 7 Bedingungen für die Einwilligung, Absatz 3, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

17. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 83 Allgemeine Bedingungen für die Verhängung von Geldbußen, Absatz 5, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

18. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 77 Recht auf Beschwerde bei einer Aufsichtsbehörde, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

19. Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 25 Schutz der Privatsphäre bei Endeinrichtungen, Absätze 1 und 2, Bundesministerium der Justiz, gesetze im internet, https://www.gesetze-im-internet.de/ttdsg/__25.html