Consent Tools: Sind Cookies, die den Einwilligungszustand verwalten, nicht-funktional und somit einwilligungspflichtig?

Kategorien: Datenschutz, Consent Tools, Recht und Tracking

Sogenannte Cookie Popups verwalten in einem Cookie, ob ein Nutzer eine Einwilligung erteilt hat oder nicht. Dabei werden oft Werte in Cookies gespeichert, die Identifikatoren enthalten. Sind diese Cookies nicht selber einwilligungspflichtig? Ist der Datenschutz gewährleistet, wenn unnötig Identifikatoren gespeichert werden?

Einleitung

Die Fragestellung ergab sich, als ich vor Gericht in einer nicht öffentlichen Anhörung gebeten wurde, als Sachkundiger auszusagen. In einem früheren Beitrag hatte ich bereits untersucht, ob Cookies als personenbezogene Daten anzusehen sind.

Seit dem 01.12.2021 ist die Fragestellung noch brisanter, weil das TTDSG gilt. In § 25 TTDSG wird geregelt, dass Cookies nur dann einwilligungsfrei sind, wenn sie unbedingt notwendig sind. Ich habe das hier etwas verkürzt dargestellt. Schauen Sie bei Bedarf in den überschaubaren Text des § 25 TTDSG.

Consent Tools müssen irgendwo abspeichern, ob ein Nutzer bereits eine Einwilligung erteilt hatte und wenn ja, wann. Auch sollte vermerkt werden, wenn ein Nutzer keine Einwilligung erteilt hat, also abgelehnt hat, dass einwilligungspflichtige Vorgänge stattfinden. Ebenso wichtig zu wissen ist, wann ein Nutzer eine vormals erteilte Einwilligung widerrufen hatte.

Einwilligungspflichtige Dienste

Einwilligungspflichtig sind beispielsweise folgende Dienste, wenn sie auf einer eigenen Webseite eingebunden werden:

• Google (Universal) Analytics: Egal, ob mit oder ohne Cookies, da Google Daten auch zu eigenen Zwecken verarbeitet und die Datenverarbeitung immer in den USA stattfindet.
• Externe Google Fonts: Hier versagen sogenannte Cookie Tools, weil sie so tun, als wären nur Cookies relevant für die Frage, ob eine Einwilligung erforderlich ist oder nicht (wohlwollend kann den Anbietern dieser Dienste unterstellt werden, dass sie zu wenig von Datenschutz verstehen; böswillig würde man hingegen unterstellen, dass die Anbieter von Cookie Tools in erster Linie Geld verdienen möchten und außerdem wenig Ahnung von Datenschutz haben).
• Dienste mit Servern in den USA oder von Anbietern aus den USA oder von Anbietern mit einer Muttergesellschaft aus den USA: Siehe EuGH-Urteil zum Privacy Shield und Art. 44ff DSGVO.

Cookie-Dienste versagen vollständig bei Diensten wie Google Fonts, die bis dato keine Cookies nutzen. Die Cookie-Dienste können diese externen Schriften nicht wirksam blockieren und wollen es deswegen auch gar nicht, ist meine Vermutung. Sie können es aus technischer Sicht nicht, wie ich bereits gezeigt habe. Sie können es aber auch aus rein fachlicher Sicht bereits nicht. Stellen Sie sich eine Webseite vor, die nicht in der vorgedachten Schriftart, sondern in einer nicht vorhersehbaren Ersatzschrift angezeigt wird. Das möchte niemand. Statt Schriften lokal einzubinden, lassen sich Webseitenbetreiber lieber falsch beraten oder beraten Agenturen lieber falsch. Bei manchen fehlt einfach die Lust, oder es scheitert an Programmierkenntnissen, die bei Experten für Webseiten erwartet werden dürften, wie ich finde.

Ein Cookie für die Einwilligung

In Art. 7 Abs. 1 DSGVO ist gefordert, dass Webseitenbetreiber nachweisen können müssen, dass ein Besucher in etwas eingewilligt hat. Unter uns: Dieser Nachweis kann kaum geführt werden. Nimmt man die IP-Adresse, scheitert das bei vielen an wechselnden IP-Adressen oder teilweise an gemeinsam genutzten IP-Adressen (Wohngemeinschaft). Die Browser-Kennung (User Agent) ist nicht selten nur für einige Tage brauchbar. Hingegen ist das Nachverfolgen von Nutzern mittels sämtlicher Verkehrsdaten mit hoher Wahrscheinlichkeit möglich. Hier reicht eine logische Herleitung und Wahrscheinlichkeitsbetrachtung. Google muss schließlich nicht jemandem gegenüber beweisen, dass Nutzer X der Nutzer von mir 2 Wochen ist. Der Verantwortliche für eine Webseite muss im Zweifel aber hart beweisen (nachweisen) können, dass Nutzer X vor 2 Wochen einwilligte. Wie das gehen soll, erschließt sich mir noch nicht. Ich warte mal den ersten Fall ab und berichte dann gerne darüber.

Technisch wichtiger als der rechtliche Nachweis ist das Vermerken des Einwilligungsstatus für den Webseitenbetreiber. Denn der Nutzer soll nicht dauernd das Cookie-Popup präsentiert bekommen, sondern am besten unsichtbar und am liebsten möglichst unbemerkt nachverfolgt werden.

Dafür wird ein Cookie verwendet. In diesem Cookie können die vom Nutzer erteilten Einwilligungen gespeichert werden. Ein solches Cookie könnte beispielsweise folgende Werte speichern:

Zeitpunkt der Einwilligung: 04.01.2022 10:33:44 Uhr
Erteilte Einwilligungen: Tool 1; Tool 4

Gespeichert wird also der Zeitpunkt der Einwilligung sowie der Umfang dieser. Hier denke ich, dass dieses Cookie technisch notwendig und somit einwilligungsfrei ist.

Anstatt „Tool 1“ oder „Tool 4“ sind in Wirklichkeit die Zwecke zu speichern, in die eingewilligt wurde. Die Zwecke sind auf Webseiten oft mit Diensten (Tools) identisch. Schließlich willigt niemand in Cookies ein, sondern in Dienste, die diese Cookies verwalten. Diese Erkenntnis hat sich allerdings bei vielen, auch bei Anbietern von Cookie-Diensten, noch nicht durchgesetzt. Das führt zu regelmäßig rechtswidrigen Einwilligungsabfragen und somit zu ungültigen Einwilligungen.

Das Speichern einer selbst generierten Identifikation, die den Einwilligungsvorgang kennzeichnet, kann wohl auch als technisch notwendig angesehen werden. Denn so kann (wenigstens) dann ein Nachweis über die erteilte Einwilligung geführt werden, wenn ein Nutzer seine Identifikation kennt. Diese kennt der Nutzer dann, wenn das Cookie zum Speichern der Einwilligung noch im Browser des Nutzers gespeichert ist.

Würde diese Einwilligungs-ID nämlich nicht gespeichert werden, ist der Nachweis der Einwilligung bei von mehreren Nutzern gemeinsam genutzten Netzwerken noch weniger möglich. Die Einwilligungs-ID wird oft auch als Cookie ID, Cookie Key oder Consent Key bezeichnet. Die ersten beiden Bezeichnungen (Cookie ID und Cookie Key) halte ich für irreführend und somit für falsch. Aber zumindest verstehen viele diese Begriffe.

Weil eine Einwilligungs-ID explizit auf einen Nutzer rückgeführt wird, ist sie ein personenbezogenes Datum. Wer Einwilligungs-IDs verwaltet, verarbeitet also personenbezogene Daten. Wenn ein Dritter dies tut, wäre es für den Verantwortlichen besser, mit dem Dritten einen AVV abgeschlossen zu haben. Anbieter wie Cookiebot lehnen AVVs ab, soweit ich weiß.

Ein Cookie für die Ablehnung

Möchte ein Nutzer in nichts einwilligen, lehnt er somit ab. Die Ablehnung ist nicht der Widerruf. Der Widerruf einer Einwilligung bedingt, dass zuvor eine Einwilligung erteilt wurde. Die Ablehnung bedeutet, dass gar keine Einwilligung erteilt wurde.

Ablehnen heißt also in etwa, auf einen Button wie "nur notwendige Cookies" zu klicken. Ich nenne dieses plakative Beispiel, auch wenn die Begriffe falsch sind. Denn niemand willigt in Cookies ein, sondern in Zwecke und somit auf Webseiten meist in Dienste, die Cookies verwalten. Wahrscheinlich niemals willigt jemand direkt in ein Cookie ein, denn ein Cookie ist kein Selbstzweck.

Lehnt ein Nutzer also alle Datenverarbeitungen zu technisch nicht notwendigen Zwecken ab, sollte dies im Interesse des Webseitenbetreibers ebenso vermerkt werden. Denn ansonsten würde dem Nutzer jedes Mal das sowieso schon nervige „Cookie-Popup“ präsentiert. Ich verwende hier wieder den falschen Begriff „Cookie-Popup“, weil er sich eingebürgert hat, obwohl er als falsch, weil zu kurz gegriffen, zu bezeichnen ist.

Eine Ablehnung muss nicht nachgewiesen werden. Warum auch? Es wurden deswegen schließlich gerade keine Datenverarbeitungen durchgeführt! Logischerweise muss auch keine Einwilligungs-ID gespeichert werden. Vielmehr reicht ein kurzer Merker, dass ein Nutzer vollständig alle nicht notwendigen Datenverarbeitungen abgelehnt hat. Dieser Merker wird von Technikern auch als Flag bezeichnet.

Etwas anderes ist es, wenn ein Nutzer irgendwann eingewilligt und dann die Einwilligung widerrufen hat. Hier sollte der Zeitraum der Einwilligung dokumentiert werden. Ansonsten kann der Nachweis der Einwilligung nicht ordentlich geführt werden.

Leider halten sich viele Consent Tools nicht daran, Ablehnungen nur minimal zu speichern.

Beispiel Cookiebot:

Dieser sogenannte Cookie Dienst vermerkt in einem Cookie mit dem Namen CookieConsent folgendes, wenn ich bei einem Erstbesuch auf einer Webseite X alles ablehne, also keinerlei Einwilligung erteile.

{stamp:%277RyAJL+h2qchl9uUKRZrH4tXCfHuWi2+G4WAcwo6SdL3FRshcaUIrg==%27%2Cnecessary:true%2Cpreferences:false%2Cstatistics:false%2Cmarketing:false%2Cver:1%2Cutc:1241287506672%2Cregion:%24de%27}

Mir fehlt das Verständnis, warum derart viele Informationen über meine Ablehnung aller technisch nicht notwendigen Datenverarbeitungen gespeichert werden müssen, wenn folgende Information ausreichen würde:

0

Die Zahl null könnte auch durch ein anderes Zeichen oder eine kurze Zeichenfolge ersetzt werden. beispielsweise durch das Minus-Zeichen, durch die -1 oder durch "NEIN".

Beispiel Borlabs Cookie:

Auch dieses Cookie-Tool trägt den Namen "Cookie" im Namen. Ein für mich untrügliches Zeichen, dass der Anbieter wenig von Datenschutz versteht oder seinen Kunden nicht verraten will, wo die Probleme mit dem Cookie-Tool liegen.

Borlabs Cookie speichert bei völliger Ablehnung aller nicht notwendigen Datenverarbeitungen folgende Informationen über meine Entscheidung auf der Webseite xyz-anonymisiert.de:

%7B%22consents%22%3A%7B%22essential%22%3A%5B%22borlabs-cookie%22%5D%7D%2C%22domainPath%22%3A%22www.xyz-anomymisiert.de%2F%22%2C%22expires%22%3A%22Wed%2C%2004%20Jan%202013%2109%3A15%3A54%20GMT%22%2C%22uid%22%3A%22zw4l10at-rk7oxdde-4od23o3h-c2dze5p4%22%2C%22version%22%3A%221%22%7D

Offensichtlich soll hier die Encyclopedia Britannia nachgebildet werden. Auch hier hätte ein verkürzter Wert wie "-“ gereicht.

Beispiel iubenda:

Bereits ohne Nutzeraktion wird folgendes Cookie erstellt (Stand: 04.01.2022, genau wie alle anderen Angaben, sofern nicht anders angegeben):

_iubenda_session: AXh7B0kiD3Nlc3Npb25faWQGOgZFVEkiJTc5YTkxMmU0NzE1MmRmM2Q4MmMzNTU1MTJlNmJiNTI3BjsAVEkiEF9jc3JmX3Rva2RuBjsARkkiMVYxb2dXaThmbWJkVU9YU3JsQ1Vaa0dxOWl6QUtIb0x4b0VseXgweWdiN3M9BjsARg%3D%3D--ce6b9683ce775ffba213c1e397729b0e2b23741d

Dieses Verhalten konnte ich auf der Webseite des Anbieters feststellen. Eine falsche Integration des iubenda-Scripts kann also ausgeschlossen werden (bzw. wenn der Anbieter bereits daran scheitert, ist das kein gutes Zeichen).

Nachdem ich abgelehnt hatte, also keine einzige Einwilligung erteilte, wird ein zweites Cookie von iubenda angelegt. Es hat folgenden Inhalt:

_iub_cs-33725009: %7B%22timestamp%22%3A%222022-01-04T10%3A19%3A16.642Z%22%2C%22version%22%3A%221.35.3%22%2C%22purposes%22%3A%7B%221%22%3Atrue%2C%222%22%3Afalse%2C%223%22%3Afalse%2C%224%22%3Afalse%2C%225%22%3Afalse%7D%2C%22id%22%3A78728009%2C%22cons%22%3A%7B%22rand%22%3A%225db271%22%7D%7D

Das macht die Sache nicht besser. Scheinbar nimmt es iubenda mit der Datensparsamkeit nicht so genau. Ich sehe hier einen Verstoß gegen das TTDSG.

Beispiel UserCentrics:

Auch hier gibt es keine Überraschung. Der Cookie-Dienst verhält sich bezüglich der Speicherung von Einwilligungsinformationen genauso schlecht wie die anderen Beispiele.

Ruft man eine Webseite auf, die UserCentrics als CMP nutzt, setzt UserCentrics gleich zu Beginn und ohne mir ersichtliche Motivation drei Monster-Cookies:

ucConsents: {"settings":{"settingsId":"INAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","buttonPrivacyOpenIcon":"","buttonPrivacyCloseIcon":"","buttonPrivacyOpenIconUrl":"","bannerMobileDescription":"","consentSharingIFrameUrl":"","ban
ucSettings:{"INAdE4pxP":{"usercentrics":{"curentOpenedDomainCounter":"1","settingsIds":["INAdE4pxP"],"firstUserInteraction":{"value":1,"stateSaved":false},"settings":{"settingsId":"INAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","butto
usercentrics: {"curentOpenedDomainCounter":"1","settingsIds":["INAdE4pxP"],"firstUserInteraction":{"value":1,"stateSaved":false},"settings":{"settingsId":"IAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","buttonPrivacyOpenIcon":"","button

Die Werte der Cookies sind derart lange, dass die Zwischenablage beim Kopieren und Einfügen die Daten abschneidet. Bei einer solchen Datenmenge möchte ich am liebsten den Kopf gegen die Wand schlagen, aber nicht meinen eigenen. Es tut einfach nur weh, so etwas zu sehen.

Die Werte werden in der LocalStorage (Web Storage) des Browsers des armen Webseitenbesuchers gespeichert, was gleichbedeutend mit „Super Cookie“ ist. Es handelt sich um ein First Party Cookie mit potentiell riesiger Datenkapazität. Das macht es nicht besser. Zum Glück sind heutige Festplatten so riesig, denn ansonsten würden Webseiten, die UserCentrics einsetzen, womöglich dauernd abstürzen.

Nach erteilter Einwilligung bleibt die Datenmenge wohl ungefähr gleich. Genau konnte ich es wegen der riesigen Datenmenge nicht prüfen.

Vielleicht möchte UserCentrics mal die Programmierer wechseln. Dann werden die Probleme womöglich weniger.

Cookies vor Anklicken des Cookie-Popups

Mit großem Erstaunen stellte ich auf einer Webseite fest, dass die dort eingebaute Einwilligungsabfrage Cookies setzte, bevor ich etwas anklickte. Das Cookie Popup war also zu sehen, aber ich als Besucher der Webseite habe noch gar nichts getan. Ich erteilte weder eine Einwilligung, noch eine Ablehnung, noch klickte ich etwas an noch berührte ich meine Tastatur.

Das Popup stand also da und fragte nach meiner Einwilligung. Dennoch wurden folgende Cookies bereits gesetzt:

dsgvoaio_formidable_rv2: false
dsgvoaio: dsgvoaiowp=!mycustomservice=true!soundcloud=wait!vimeo=wait!youtube=wait

Was das soll, wage ich lieber nicht nachzufragen, denn die Antwort kann nur unbefriedigend ausfallen.

Fazit

Bei Nichterteilung einer Einwilligung reicht eine verkürzte Speicherung des Nutzerwunsches aus. Dies gilt zumindest, wenn ein Nutzer eine Webseite zum ersten Mal besucht. Ein Folgebesuch einer Webseite, der stattfindet, nachdem relevante Cookies im Browser gelöscht wurden, gilt in diesem Sinne als erster Besuch.

Viele Nutzer lassen durch Hilfsprogramme oder durch Browser-Einstellungen die Cookies auf ihrem System regelmäßig löschen, um ihre Privatsphäre besser zu schützen. Wie dann eine zuvor erteilte Einwilligung nachgewiesen werden soll, bleibt mir rätselhaft. Ich freue mich auf den ersten Fall. Hier ein fiktiver Dialog zwischen Webseitenbetreiber als Verantwortlichem und Besucher der Webseite als betroffene Person:

• Betroffene Person: Weisen Sie mir nach, dass ich am 27.12.2021 auf Ihrer Webseite eingewilligt habe, dass Google reCAPTCHA genutzt werden darf
• Verantwortlicher: Bitte nennen Sie mir Ihre Cookie-ID. Diese finden Sie, wenn Sie unsere Datenschutzerklärung unter xzy-anonymisiert.de/datenschutz aufrufen
• Betroffene Person: Ich finde da keine Cookie-ID.
• Verantwortlicher: Merkwürdig. Haben Sie etwa Ihre Cookies gelöscht?
• Betroffene Person: Ja, das passiert automatisch, wenn ich meinen Computer herunterfahre
• Verantwortlicher: Dann können wir Ihnen nicht helfen
• Betroffene Person: Sie müssen mir den Nachweis über meine damals erteilte Einwilligung erbringen. Wenn Sie das nicht können, habe ich damit ein Problem. Wo steht eigentlich, dass ich meine Cookies nicht löschen darf? Wollen Sie mich etwa zwingen, alle Cookies auf meinem Rechner dauerhaft zu speichern, damit Sie und andere mein Verhalten im Internet ausspionieren können?
• Verantwortlicher: keine Antwort
• …
• Das Gericht stellt nach Klageerhebung fest, …

Cookie-Popups, die Cookies erzeugen, bevor etwas eingewilligt oder abgelehnt wurde, sollten vom Markt genommen werden.

Ebenso verfehlt sind Cookie Popups, die eine völlige Ablehnung des Nutzers in epischer Länge abspeichern anstatt ein einzelnes Zeichen oder eine kurze Zahl dafür zu verwenden.