GDPR a lokálne SEO: Správa recenzií a tracking v súlade s ochranou údajov

Súlad s GDPR nie je pre lokálne SEO právnym doplnkom, ale technickým a procesným predpokladom. Kto získava recenzie, buduje citácie a meria správanie používateľov, spracúva osobné údaje. V Rakúsku sa na to vzťahuje GDPR, telekomunikačný zákon (TKG 2021) a právny rámec EÚ. Tento článok ukazuje, ako môžu lokálne podniky nastaviť správu recenzií, súhlas s cookies a tracking v súlade s právom bez toho, aby ohrozili svoju viditeľnosť.

Prečo je súlad s GDPR pre lokálne SEO rozhodujúci

Lokálne SEO stojí na údajoch. Recenzie sú rankingovým signálom, tracking poskytuje základ optimalizačných rozhodnutí a citácie šíria firemné údaje po webe. Každý z týchto prvkov sa dotýka GDPR, len čo sú fyzické osoby identifikovateľné.

Relevancia je merateľne veľká. V Rakúsku na začiatku roka 2025 používalo internet 8,69 milióna ľudí, čo zodpovedá penetrácii 95,3 % (údaje pre Rakúsko). Pri takom dosahu je digitálna viditeľnosť pre lokálne podniky kľúčovým predajným kanálom a každé spracúvanie údajov v tomto kanáli podlieha právu na ochranu osobných údajov.

Recenzie sú pritom obzvlášť citlivé, pretože sa súčasne dotýkajú dôvery aj práva. Podľa medzinárodnej štúdie 97 % spotrebiteľov číta online recenzie lokálnych podnikov (údaje primárne z USA a UK, nie špecificky pre DACH). Mnohí používatelia zároveň očakávajú reakciu: podľa toho istého medzinárodného prieskumu 89 % spotrebiteľov očakáva, že podniky budú na recenzie odpovedať. Práve v týchto odpovediach číha riziko pre ochranu údajov, keď sa zverejnia osobné detaily.

Napätie je reálne: ochrana údajov a viditeľnosť zdanlivo ťahajú opačným smerom. V skutočnosti sa navzájom posilňujú, ak ich správne prepojíš. Povinnosť uvádzať impressum napríklad vynucuje správne firemné údaje, a tým zároveň posilňuje konzistenciu NAP a E-E-A-T.

Právne základy v prehľade

Rámec pre lokálne podniky v Rakúsku určujú tri súbory predpisov.

• GDPR: Všeobecné nariadenie EÚ o ochrane údajov upravuje každé spracúvanie osobných údajov. Vyžaduje právny základ (čl. 6), transparentnosť, obmedzenie účelu a dodržiavanie práv dotknutých osôb, napríklad práva na prístup a na vymazanie.
• TKG 2021 (§ 165 a § 174): Rakúska implementácia pravidiel ePrivacy upravuje prístup ku koncovým zariadeniam. Cookies a porovnateľné technológie, ktoré nie sú technicky nevyhnutné, potrebujú predchádzajúci súhlas. Funkčne to zodpovedá § 25 nemeckého TDDDG (predtým TTDSG). § 174 TKG 2021 navyše podmieňuje reklamné e-maily predchádzajúcim súhlasom. Žiadosti o recenziu e-mailom pod neho v prípade pochybností spadajú.
• Smernica EÚ Omnibus: Smernica (EÚ) 2019/2161 posilňuje ochranu spotrebiteľov. Zakazuje pridávať falošné recenzie alebo ich objednávať a tvrdiť, že recenzie pochádzajú od skutočných zákazníkov, bez toho, aby to podnik primerane overil. V Rakúsku je implementovaná cez UWG, oba zákazy sú v bodoch 23b a 23c prílohy k UWG. Kto recenzie sprístupňuje, napríklad na vlastnom webe, musí navyše uviesť, či a ako overuje ich pravosť (§ 2 ods. 6b UWG).

Pre lokálne podniky z toho vyplýva jasné poradie: najprv vyjasniť právny základ a transparentnosť, potom nasadiť techniku. Tracking bez súhlasu je najčastejším porušením a zároveň porušením, ktorému sa dá najľahšie vyhnúť.

Správa recenzií v súlade s GDPR

Získavať recenzie je povolené, ale platia na to pravidlá. Rozhoduje právny základ, zaobchádzanie s údajmi hodnotiteľov a dôsledné oddelenie stimulu od recenzie.

• Žiadosť o recenziu e-mailom: Prosba o recenziu má podporiť predaj, a preto ju v prípade pochybností treba posudzovať ako priamy marketing. E-mailom je v Rakúsku podľa § 174 ods. 3 TKG 2021 v zásade prípustná len s predchádzajúcim súhlasom. Samotný existujúci obchodný vzťah nestačí. Výnimka podľa ods. 4 platí, len ak sú splnené všetky štyri podmienky: adresa pochádza z kúpy alebo poskytnutia služby, e-mail propaguje vlastné podobné produkty alebo služby, zákazník mohol už pri získaní adresy bezplatne a jednoducho vzniesť námietku a túto možnosť dostáva znova v každom e-maile, a námietku nevzniesol, ani prostredníctvom zoznamu ECG podľa § 7 ods. 2 rakúskeho zákona o elektronickom obchode (E-Commerce-Gesetz). Či samotná prosba o recenziu spadá pod túto výnimku ako reklama na vlastné podobné produkty, nie je vyjasnené. Bezpečnou cestou je súhlas, ktorý si vyžiadaš hneď pri kúpe.
• Žiadne neprípustné stimuly: Platené alebo zľavami kúpené recenzie porušujú pravidlá platforiem aj právo proti nekalej súťaži. Podľa medzinárodnej štúdie 97 % spotrebiteľov považuje potrestanie podnikov za falošné recenzie za primerané (údaje z USA) a podiel ponúk zliav za recenzie klesol z 36 % v roku 2025 na 27 % (údaje z USA).
• Spracúvanie údajov hodnotiteľov: Meno, profil a obsah recenzie sú osobné údaje. Kto recenzie exportuje, ukladá do CRM systémov alebo vyhodnocuje monitorovacími nástrojmi, potrebuje na to právny základ a prípadne sprostredkovateľskú zmluvu s poskytovateľom nástroja.
• Právo na vymazanie a sťažnosti: Dotknuté osoby môžu požadovať vymazanie svojich údajov. Pri recenziách na platformách tretích strán to zvyčajne ide cez prevádzkovateľa platformy, pri internom spracúvaní musí reagovať samotný podnik.

Odpovede na recenzie bez porušenia ochrany údajov

Odpoveď na recenziu je verejná, a preto z hľadiska ochrany údajov citlivá. Najčastejšou chybou je prezradiť v odpovedi viac, než autor sám zverejnil.

Bezpečné je potvrdiť len to, čo je už verejné, a inak zostať vo všeobecnej rovine. Tabu je verejne uvádzať ďalšie detaily, ako číslo objednávky, liečbu, diagnózu, bydlisko alebo samotnú skutočnosť konkrétneho zmluvného vzťahu, pokiaľ ich zákazník sám neuviedol. Obzvlášť kritické sú osobitné kategórie osobných údajov podľa čl. 9 GDPR, napríklad zdravotné údaje pri lekároch, terapeutoch alebo lekárňach.

Praktické pravidlo znie: verejne odpovedať vecne a všeobecne, detaily presunúť do súkromného kanála. Krátka, profesionálna odpoveď s ponukou vyriešiť prípad priamo spĺňa očakávania čitateľov a zároveň sa vyhne akémukoľvek porušeniu ochrany údajov. Dáva to zmysel aj obchodne, pretože podľa medzinárodnej štúdie 80 % spotrebiteľov skôr využije podnik, ktorý odpovedá na všetky svoje recenzie (údaje z USA).

Súhlas s cookies a platformy na správu súhlasu

Sledovacie cookies a analytické skripty sa smú načítať až po aktívnom súhlase. Cookie banner preto musí byť navrhnutý v súlade s právom a rakúsky úrad na ochranu údajov (DSB) aj Spolkový správny súd (BVwG) kritériá sprísnili.

• Rovnocenné tlačidlá: Prijať a Odmietnuť musia byť na prvej úrovni rovnako dostupné a vizuálne rovnocenné, teda porovnateľné veľkosťou, farbou, kontrastom a písmom. Farebné tlačidlo Akceptovať vedľa sivého odkazu Odmietnuť sa považuje za neprípustný nudging.
• Granularita: Používatelia musia môcť ovládať kategórie ako Štatistika a Marketing jednotlivo. Paušálna logika všetko alebo nič nestačí.
• Žiadny predvýber: Nepovinné cookies nesmú byť vopred aktivované. Mlčanie alebo ďalšie posúvanie stránky nie je súhlas.
• Odvolanie a dokumentácia: Odvolať súhlas musí byť rovnako jednoduché ako ho udeliť. Súhlas treba preukázateľne zaznamenávať.

Platforma na správu súhlasu (CMP) automatizuje blokovanie skriptov až do udelenia súhlasu a súhlas dokumentuje. Dôležité je, aby CMP nepovinné tagy skutočne spúšťala až po súhlase, a nielen zobrazovala banner.

Nastavenie trackingu v súlade s ochranou údajov

Pri trackingu rozhoduje o riziku výber nástroja. Používanie amerických nástrojov je už roky sporné. Rakúsky úrad DSB v rozhodnutí zverejnenom v januári 2022 konštatoval, že vtedajšie používanie Google Analytics na jednom rakúskom webe porušovalo GDPR, pretože sa do USA prenášali osobné údaje ako IP adresa a ID používateľov. Podnetom bola sťažnosť organizácie noyb z augusta 2020, pozadím rozsudok Súdneho dvora EÚ Schrems II. Rozhodnutie sa teda týkalo obdobia pred EU-US Data Privacy Framework. Medzitým je Google LLC certifikovaná podľa DPF, prenos má teda opäť právny základ. Zvyškové riziko zostáva, viac v časti o medzinárodnom prenose údajov.

Z toho vyplýva niekoľko možností.

• Alternatívy z EÚ: Nástroje ako Matomo (na vlastnom serveri alebo v cloude v EÚ) či etracker uchovávajú údaje v EÚ a výrazne znižujú riziko prenosu. Často ponúkajú aj konfigurácie bez cookies alebo také, ktoré si súhlas vyžadujú v menšej miere.
• Google Analytics 4 s Consent Mode: GA4 možno prevádzkovať len po udelení súhlasu a s nastaveniami, ktoré šetria údaje. Consent Mode riadi, či sa tagy spúšťajú naplno, alebo len v agregovanej podobe. Transatlantické riziko prenosu však zostáva otvorenou otázkou.
• Serverový tracking: Server-side tagging dokáže toky údajov združovať a filtrovať, súhlas však nenahrádza. Nemení nič na právnom základe, mení len technickú architektúru.

Medzinárodný prenos údajov: Schrems II a zvyškové riziko

Každý americký nástroj otvára otázku prenosu do tretej krajiny podľa kapitoly V GDPR. Po rozsudku Schrems II poskytuje EU-US Data Privacy Framework (DPF), platný od roku 2023, právny základ, ak je americký príjemca certifikovaný. To riziko znižuje, ale neodstraňuje.

Všeobecný súd EÚ žalobu o neplatnosť DPF zamietol 3. septembra 2025 (vec T-553/23, Latombe). Žalobca proti tomu podal odvolanie na Súdny dvor EÚ (vec C-703/25 P). Konanie tam stále prebieha (stav: október 2026). Kým Súdny dvor nerozhodne, zostáva Schrems III možný, teda zrušenie DPF. Pokiaľ táto neistota trvá, platí pre lokálne podniky pragmatická zásada: ak riešenie z EÚ splní rovnaký účel, je to menej riziková voľba. Kto používa americké nástroje, mal by overiť certifikáciu DPF, dohodnúť štandardné zmluvné doložky ako zálohu a zdokumentovať toky údajov.

Prevádzka Google Business Profile v súlade s ochranou údajov

Google Business Profile (GBP) je najdôležitejším lokálnym kanálom viditeľnosti a zároveň spracúvaním údajov. Relevantné sú tri body.

• Vyjasniť roly: Pri samotnej správe profilu koná podnik prevažne samostatne. Len čo však využíva trackingové parametre, rezervačné funkcie alebo funkcie na posielanie správ, treba preveriť príslušné dohody a prípadne spracúvanie prostredníctvom sprostredkovateľa.
• Preveriť zdieľanie údajov: Funkcie ako rezervácie alebo správy prenášajú údaje zákazníkov spoločnosti Google a tretím stranám. Tieto toky patria do zásad ochrany osobných údajov.
• Merať interakcie s GBP: Kto pridá UTM parametre k odkazu na web v profile, meria kliknutia z GBP. Toto meranie prebieha na vlastnom webe, a preto podlieha povinnosti súhlasu.

Osvedčené postupy: kontrolný zoznam súladu pre lokálne podniky

Jednoduchá, zdokumentovaná rutina pokryje najdôležitejšie povinnosti.

• Udržiavať aktuálne zásady ochrany osobných údajov: Uviesť všetky nasadené nástroje na analytiku, recenzie, mapy a rezervácie vrátane účelu, právneho základu a prenosu do tretích krajín.
• Uzavrieť sprostredkovateľské zmluvy: S každým poskytovateľom služieb, ktorý v mene podniku spracúva osobné údaje, napríklad s poskytovateľom CMP, analytického nástroja alebo monitoringu recenzií.
• Skontrolovať cookie banner: Rovnocenné tlačidlá, granularita, žiadny predvýber, funkčné blokovanie skriptov pred súhlasom.
• Definovať postup pri recenziách: Kto, kedy a na akom právnom základe žiada o recenzie a kto na ne odpovedá podľa akých pravidiel.
• Viesť úplné impressum: Správne údaje NAP plnia zákonnú povinnosť a zároveň posilňujú lokálne signály a E-E-A-T.
• Udržiavať dokumentáciu: Súhlasy, zmluvy a záznamy o spracovateľských činnostiach mať pripravené ako dôkaz.

Časté chyby

Opakujúcim sa slabým miestam sa dá cielene predchádzať.

• Tracking pred súhlasom: Analytické skripty, ktoré sa načítajú hneď pri otvorení stránky, sú najčastejším porušením. Samotný banner nestačí, skripty musia byť skutočne zablokované.
• Osobné údaje v odpovediach na recenzie: Verejné uvádzanie detailov zmluvy, zdravotných údajov alebo bydliska. Detaily patria do súkromného kanála.
• Americké nástroje bez preverenia: Štandardné nasadenie bez certifikácie DPF, bez štandardných zmluvných doložiek a bez dokumentácie.
• Chýbajúce sprostredkovateľské zmluvy: Nasadenie monitorovacích a analytických služieb bez zmluvného základu.
• Kúpené recenzie: Stimuly alebo falošné recenzie prinášajú riziko pokút a poškodenia reputácie.

Metriky a meranie napriek údajom chýbajúcim pre nesúhlas

Tracking v súlade s ochranou údajov znamená menej údajov. Pri banneri v súlade s právom sa podľa benchmarkovej štúdie v priemere stratí približne 60 % údajov o návštevách, ak je potrebný súhlas (údaje pre Nemecko/EÚ). Táto medzera je systematická, nie náhodná, a skresľuje štatistiku. Kto to ignoruje, rozhoduje na skreslenom základe.

Validné analýzy sú napriek tomu možné.

• Trendy namiesto absolútnych hodnôt: Relatívny vývoj v čase si zachováva výpovednú hodnotu, pokiaľ sú podmienky merania konštantné.
• Miera súhlasu ako samostatný ukazovateľ: Merať samotnú mieru súhlasu, aby si vedel zasadiť dátovú základňu do kontextu a posúdiť výkon bannera.
• Využívať serverové signály a signály bez cookies: Agregované meranie bez osobných údajov poskytuje doplnkový pohľad, na ktorý netreba súhlas.
• Zahrnúť GBP Insights a údaje zo SERP: Hovory, žiadosti o trasu a rankingy sú nezávislé dôkazy, ktoré chýbajúce súhlasy neovplyvňujú.

Sankčné riziká a výzvy na zdržanie sa konania

Následky porušení sú reálne. GDPR stanovuje pokuty až do výšky 20 miliónov eur alebo 4 % celosvetového ročného obratu. Tracking bez súhlasu a nedostatočné cookie bannery sú pravidelne predmetom kontrol a sťažností.

K tomu sa pridáva súťažné právo. Falošné recenzie a neprípustné stimuly porušujú UWG, ktorý v Rakúsku implementuje smernicu Omnibus. Takéto porušenia môžu viesť k výzvam na zdržanie sa konania aj k pokutám. Pre lokálne podniky sa tak sčítavajú tri úrovne rizika: pokuty dozorného orgánu podľa GDPR, súťažnoprávne výzvy na zdržanie sa konania a strata dôvery zákazníkov.

Ďalšie informácie

Lokálne SEO v súlade s GDPR nie je jednorazový projekt, ale rutina. Kto nastaví súhlas pred trackingom, recenzie získava a odpovedá na ne korektne, uprednostňuje nástroje z EÚ a všetko dokumentuje, spája právnu istotu s viditeľnosťou. Zásady ochrany osobných údajov, preverený cookie banner a jasný postup pri recenziách tvoria základ, na ktorom sa dá lokálny dosah rozširovať v súlade s právom.