gekennzeichnet.
Als Cookie Reform wird das bezeichnet, was in § 26 TDDDG verankert ist, nämlich eine zentrale Einwilligungsverwaltung. Dass es dort nicht nur um Cookies geht, sei nur am Rande erwähnt. Die Stellungnahme an das Bundesministerium enthält Gründe, warum die Cookie Reform scheitern wird.
Einleitung
Lieber keine Reform als eine Reform, die keine ist und nicht funktionieren kann. Um das nicht realisierbare Vorhaben namens PIMS (Abkürzung für Zentrale Einwilligungsverwaltung) aufzuhalten, wurde eine Stellungnahme an das Bundesministerium geschickt. Mittlerweile wurde übrigens das TTDSG in TDDDG umbenannt.
Das Ministerium hatte zuvor Fachkreise dazu aufgerufen, eine Stellungnahme abzugeben.
Die fälschlicherweise als Cookie Reform bezeichnete Maßnahme aus § 26 TDDDG soll folgendes leisten:
- Ein Nutzer hinterlegt zentral seine Datenschutzvorliegen. Dies geschieht in einer noch nicht existierenden Zentrale (die auch nie das Licht der Welt erblicken wird).
- Besucht der Nutzer dann irgend eine Webseite, für die das deutsche Recht gilt, soll die Webseite im Hintergrund die Zentrale abfragen.
- Die Webseite soll dadurch wissen, welche Einwilligungen der Nutzer erteilt hat und welche nicht.
- Dem Nutzer soll idealerweise kein sogenanntes Cookie Popup mehr präsentiert werden müssen.
Weniger Cookie Popups möchte jeder haben. Dennoch funktioniert etwas nur deswegen nicht, weil man es sich ganz doll wünscht. Es gibt Grenzen in der Technik und Logik, die nicht durchbrochen werden können.
Die Grenzen der Wirklichkeit
Rechtliche Grenzen, die dem geplanten Vorhaben entgegenstehen, existieren ebenfalls. Diese Grenzen könnten zwar verschoben werden. Dies würde aber eine erhebliche Anpassung der DSGVO auf europäischer Ebene bedeuten und somit nicht in den nächsten Jahren stattfinden.
Ungeachtet dessen, ist die Cookie Reform Unsinn, weil sie nur auf Endgerätzugriffe abzielt, nicht aber auf die danach stattfindenden Datenverarbeitungen. Ein Zugriff auf ein Cookie oder auch ein JavaScript-Zugriff auf ein Endgerät ist im Endeffekt unsinnig, wenn die zugegriffenen Daten danach nicht verarbeitet werden.
Diese eigentliche Datenverarbeitung nach dem Zugriff erfolgt aber außerhalb des Regelungsbereichs des § 26 TDDDG. Somit könnte diese Rechtsvorschrift höchstens eine Einwilligungsabfrage für einen Teil der Datenverarbeitung lindern, nie aber für den wesentlichen Teil der Datenverarbeitung, der darauf folgt.
Die Details hierzu finden Sie in der Stellungnahme, die auf der Webseite des BMDV (Bundesministerium für Digitales und Verkehr) veröffentlicht wurde:
Auch ein Jahr später gab es allerdings keinerlei Rückmeldung durch das Ministerium. Anscheinend wurden die Stellungnahmen nur eingesammelt und auf einem schwer auffindbaren Platz veröffentlicht.
Weil das Schreiben sonst zu lange geworden wäre, sind zahlreiche weitere Gründe, die gegen PIMS sprechen, dort nicht genannt. Sie finden diese 66 Gründe gegen PIMS auf Dr. DSGVO.
Weil simpel simpel simpel ist.
Leider machen sich selbst Datenschutzverbände wie der BvD nicht die Mühe zu verstehen, ob PIMS überhaupt machbar ist. Die Stellungnahme des BvD an das Ministerium lässt jegliche kritische Auseinandersetzung mit der praktischen Machbarkeit einer zentralen Einwilligungsverwaltung vermissen. Noch schlimmer: Der BvD spricht sich sogar für den Unsinn namens PIMS aus. Das spricht bedauerlicherweise nicht für, sondern gegen den BvD.
Wann immer Sie lesen, dass jemand sich für eine zentrale Einwilligungsverwaltung ausspricht, wissen Sie, dass diese Stelle oder Person leider nicht weiß, wovon sie redet. Um das nachzuprüfen, fragen Sie den jeweiligen Autor einfach danach, wie PIMS funktionieren soll. Lassen Sie sich eine Skizze der Idee geben, die nicht nur aus Worthülsen und Wünschen besteht, sondern konkret wird. Fragen Sie danach, wie PIMS für Google Analytics, Google Maps, den Facebook Pixel oder auch den vernetzten Toaster aussehen soll.
Bitte fragen Sie beim BvD mal nach, wie sich der BvD die Ausgestaltung von PIMS so halbwegs konkret vorstellt. Meine Nachfrage bei BvD ergab leider auch nach längerem Warten keine Antwort.
Die Lösung ist einfach:
- Ein Cookie-Popup kann vermieden werden.
- Statt einem datenfeindlichen Plugin tut es ein datenfreundliches, welches keine Cookies nutzt.
- Wenn deutsche Aufsichtsbehörden endlich mal Bußgeldern bei Verstößen gegen Web Tracking u. ä. verhängen würden, würde bald jeder wissen, wie das Internet funktioniert.
Webseiten, die fast ausschließlich Geld mit personalisierter Google Werbung verdienen, müssen entweder eine Einwilligung erbetteln oder sollten am besten aufhören zu existieren. Ich wäre für letzteres.
Fazit
Die Cookie-Reform ist keine, weil sie nicht realisierbar ist.
Die Gründe sind zahlreich und teils unheilbar. Hier ein Auszug aus dem Fazit, das in der offiziellen Stellungnahme genannt ist:
Die Einführung von PIMS wäre nicht nur unsinnig, sondern auch noch mit viel Aufwand verbunden. Die einzigen Profiteure wären Lobbyisten oder Dienstleister, die bestimmte Produkte nach vorne bringen wollen, die keinen Mehrwert haben, aber Umsatz erzeugen.
Kernaussagen dieses Beitrags
Die Cookie Reform wird scheitern, weil sie technisch und rechtlich nicht umsetzbar ist.
Die Reform fokussiert sich nur auf den Zugriff auf Daten, ignoriert aber die eigentliche Verarbeitung dieser Daten.
Das Ministerium hat die Stellungnahme ignoriert und es gibt keine Rückmeldung.
PIMS ist nicht machbar und bringt keine Vorteile für Nutzer.
Datenschutzverbände verstehen PIMS nicht richtig und unterstützen es trotzdem.
Die Lösung für das Problem mit Cookies sind datenfreundliche Alternativen, statt einer zentralen Einwilligungsverwaltung.
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT & Datenschutz bin ich auch als Sachverständiger tätig. Ich stehe für pragmatische Lösungen mit Mehrwert. Meine Firma, die 
Ich WILL eigentlich die Stellungsnahme des BvD lesen, aber es fällt mir schwer, damit anzufangen… Denn das aller erste, was dieser Verband in seiner Stellungnahme anbringt ist ein GENDER-HINWEIS!!!! Herrje, es geht um Datenschutz, aber vorher muss trotzdem "irgendwas mit Gendern" stehen… Irgendwie beschleicht mich das ungute Gefühl, dass dieser Verband ganz andere Prioritäten setzt… Na gut, lese ich das halt als Real-Satire…
Zum Gendern folgt in Kürze in Beitrag in diesem Blog. Es geht darin ausschließlich um die Frage, warum Gendern für KI-Sprachmodelle schlecht ist.
Zudem stellt sich die Frage, ob Personen, die Gendersprache-affin sind, auch bei Eingabe von Prompts für Chatbots oder Suchanfragen für Suchmaschinen gendern. Das wäre wenigstens konsequent.
Was wäre mit: Ich gehe als Besucher auf eine Homepage, bekomme keinen Cookiebanner und kann datenschutz-bewusst serven. Wenn ich bestimmte Dienste haben möchte, klicke ich auf den Keks (oder ein Wort, oder ein Symbol) und aktiviere die Cookies, die ich möchte.
Das Problem am Banner ist doch nur, dass er sofort auftaucht und gerade am Handy ganz schön Zeit und Daten verschwendet.