Hallo Herr Viehrig,

vielen Dank für Ihre Rückmeldung und Ihre Frage.
Generell ist das Problem der Nachweis der zuvor erteilten Einwilligung gemäß Art. 1 Abs. 1 DSGVO "Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat."

Sie müssen nachweisen können, dass Person X, wenn diese sie in die Mangel nimmt, beim Besuch Ihrer Webseite eine Einwilligung erteilte. Diesen Nachweis können Sie meist nicht führen, behaupte ich. Vor allem dann nicht, wenn der Nutzer eine dynamische IP-Adresse hat und seine Cookies regelmäßig löscht.
Auf die Zeitpunkte der Erteilung der Einwilligung und des Widerrufs kommt es speziell nicht an, sondern auf den Nachweis der erteilten Einwilligung beim Besuch der Webseite zum Zeitpunkt X. Daraus ergibt sich allerdings, dass Sie den Zeitpunkt der Einwilligungserteilung kennen sollten.

Es liegt bei Ihnen, wie Sie den Beweis führen. Ich behaupte, dieser Beweis kann unter den o.g. Bedingungen (dyn. IP, Cookies gelöscht) nicht rechtssicher geführt werden. Sie müssten eine Einwilligung per Briefpost oder Email einholen, dann könnte man über eine Beweiskraft reden.
Falls jemand eine andere Idee hat, freue ich mich über Rückmeldungen.

Ich persönlich habe aber noch nicht verstanden, inwieweit eine Nachweispflicht, wann der Betroffene seine Einwilligung widerrufen hat, notwendig ist.
Gesetzt den Fall, eine sauber programmierte und datensparsame Website fragt im Rahmen des Consent-Management-Tools ab, ob der User spezielle Dienste zulassen möchte oder nicht.
Mit dem "Alles ablehnen" wird der Eintrag "0" als "essentielle Speicherung" im lokalen Speicher vorgenommen.
Mit der Auswahl einzelner Tools oder "alles zustimmen" werden entsprechend andere Werte eingetragen (natürlich datensparsam und nicht mit der Wucht von UserCentrics).
Sobald der User das Tool wieder aufruft und Änderungen an den Einstellungen vornimmt, wird der Wert im lokalen Speicher geändert und die Dienste werden nicht mehr geladen.
Das setzt natürlich voraus, dass mit dem sofortigen Refresh der Website die Cookies (die jetzt nicht mehr benötigt werden) und die Einträge im Sitzungsspeicher bzw. lokalen Speicher gelöscht bzw. entsprechend angepasst werden.
Durch die permantene Abfrage beim Seitenaufbau, welche Dienste gemäß Einwilligung zulässig sind, wäre doch technisch realisiert, dass die Einbindung von Diensten, die einer Einwilligung bedürfen, auch nur dann geladen werden, wenn diese Einwilligung vorlag.
Eine Dokumentation, welcher Nutzer wann eingewilligt und wann wieder widerrufen und dann ggf. doch wieder eingewilligt hat, erachte ich nicht für nötig und würde mich dabei auf Artikel 11 der DSGVO stützen.
Der Websitebetreiber ist aus meiner Sicht nicht verpflichtet, zahlreiche personenbezogene Daten extra zu generieren und zu verarbeiten, nur um den Betroffenenrechten (Auskunft) nachkommen zu können.

Mich würde interessieren, ob Sie in diesem Ansatz eine Lösung sehen, die das komplette Datensammeln (meist auf CDNs der großen US-Anbieter) obsolet machen.

Vielen Dank für Ihre schnelle Rückmeldung. Die Webseitenadressen wurden anonymisiert, damit Ihr Kommentar freigegeben werden konnte. Wenn Sie einverstanden sind, fügen wir die Klarnamen der Nennungen wieder ein.

Nun zum Sachverhalt.
Das Cookie gckp existiert in der Tat. Es wird im Firefox Web-Speicher aber nicht angezeigt. Nutzt man ein Firefox-Plugin zum Anzeigen aller Cookies, findet man dort auch gckp.

Hier liegt die Ursache also wohl an der mir schon länger bekannten Schwäche von Firefox, nicht alle Cookies zur besuchten Webseite anzuzeigen.

Übrigens würde mich Ihr Beschwerdegenerator interessieren. Schreiben Sie mir doch mal dazu. Einen derartigen kenne ich bereits, weiß aber nicht, was Ihr Generator alles leistet. Siehe https://tracktor.it/

Anmerkung: Die Webseitennennung wurde von der Redaktion anonymisiert (bis auf Weiteres, da zuvor zugesagt).

Das klingt interessant. Könnten Sie mir (vertraulich) die Adresse der Webseite senden, bei der dieses Verhalten auftritt? Entweder per Mail oder per Kommentar (den ich dann nicht freigeben werde)?