Cookies und Cookie Tools: Probleme mit dem Datenschutz vorprogrammiert

Kategorien: Consent Tools, Cookies und Datenschutz

Was wie Polemik klingt, ist tatsächlich Realität und objektiv feststellbar. Wir sprechen darüber, was Cookies sind und was sie nicht sind. Auch thematisieren wir Cookie Tools und deren physikalische, äh technische Grenzen. Wir, das sind Stephan Plesnik und ich, und zwar im Datenschutz Deluxe Podcast.

Erst kürzlich hatte ich Cookie-Bilder veröffentlicht. Das war mehr zur Erheiterung gedacht. Vielleicht können manche diese Bilder auch in nützlicher Umgebung verwenden. Im Beitrag zu den Bildern habe ich auch ein paar Grundlagen zu Cookies genannt.

Hier ein paar weitere Fakten, die die im Beitragstitel besagten Probleme mit sich bringen.

Cookies sind unkontrollierbar.

Jedenfalls stimmt das in der Praxis für Cookies, die Dienste von Drittanbietern setzen. Man muss unterscheiden zwischen fachlicher und technischer Ausprägung.

Technische First Party Cookies haben dieselbe Domäne wie die gerade besuchte Webseite. Die Domäne einer Webseiten-Adresse (URL) ist der Hauptnamensbestandteil. Für die Webseitenadresse https://dr-dsgvo.de lautet die Domäne dr-dsgvo.de. Technische Third Party Cookies sind alle Cookies mit einer Domäne ungleich der besuchten Webseite. Genauer gesagt, sind es „nur“ die Domänen von Webseiten, die nicht denselben Verantwortlichen haben wie die gerade besuchte Webseite.

Fachliche First Party Cookies sind alle Cookies, die denselben Verantwortlichen haben wie die gerade besuchte Webseite. Fachliche Third Party Cookies sind alle anderen Cookies.

Wer Google Analytics einbindet, erhält somit technische First Party Cookies und fachliche Third Party Cookies. Rechtlich kommt es dann darauf an, ob ein AVV mit Google geschlossen wurde bzw. wie es mit einer gemeinsamen Verantwortlichkeit aussieht.

Warum sind Cookies faktisch nun unkontrollierbar? Weil beim Widerruf einer erteilten Einwilligung alle Cookies vom Endgerät des Nutzers zu entfernen sind, die durch die Einwilligung aus § 25 TTDSG legitimiert wurden. Dummerweise gibt es für die meisten populären Dienste keinen Abräum-Mechanismus. So sind zwei Fälle zu unterscheiden:

Ein technisches First Party Cookie kann von der besuchten Webseite, auf der der Widerruf abgesetzt wird, theoretisch selbst gelöscht werden. Dazu muss die Webseite dies erstens tun wollen und zweitens wissen, wie die Namen dieser Cookie-Biester lauten.

Ein technisches Third-Party Cookie hingegen kann grundsätzlich nur vom Dienst entfernt werden, der es erzeugt hat. Das ist ein technisches Faktum. Wenn der Dienst keine Funktion dafür anbietet, darf dieser Dienst nicht verwendet werden, weil er nicht rechtskonform nutzbar ist. Bietet der Dienst eine Funktion an, kennt ihn hoffentlich jeder Verantwortliche und ruft diese Funktion auch richtig auf.

Problematisch sind Cookies von Konzernen wie Google. Die Google Suchmaschine, Google Maps und andere Google Webseiten setzen Cookies in Domänen, die gleich denen sind von Diensten, die Google als Plugin für Ihre Webseite anbietet. Das ist wohl kein Zufall, sondern Kalkül. Mehr Daten sind gut, jedenfalls für Google. Diese Cookies, die als Beifang hinzugekommen sind, haben Sie auch zu verantworten, wenn Sie Google Dienste auf Ihrer Webseite einbinden. Der Widerruf scheitert dann, weil Sie diesen Beifang gar nicht kennen können.

Cookie Tools sind problematisch

Hierüber hatte ich schon viel geschrieben. Mehrere Gründe in Kürze:

• Cookie Blocker funktionieren nicht. Die Gründe sind objektiv gegeben und technischer Natur.
• Cookie Hinweise sind Bullshit: Diese Pflichtinformationen sind meist falsch, weil geraten.
• Cookie Zentrierung ist Blödsinn: Manche meinen, es ginge nur um Cookies.
• Der Widerruf ist nicht ordentlich möglich: Siehe oben.
• Google Fonts, der Google Tag Manager usw. werden absichtlich nicht blockiert. Wäre noch schöner, wenn eine Webseite nur deswegen etwas hässlich aussieht, damit sie rechtskonform ist.

Wer es genauer wissen will, kann es sich im Datenschutz Deluxe Podcast anhören.

Die bisherigen Folgen des Datenschutz Deluxe Podcasts sind:

• Folge 1: Spannende Datenschutzfragen
• Folge 2: Cookies und Cookie Tools (andere Fragen, anderer Moderator)
• Folge 3: Google Topics und Google FloC (das Ende aller Cookies? Nein!)
• Folge 4: Reichweitenmessung für Webseiten und Apps
• Folge 5: Server Side Tracking und Cookies
• Folge 6: Datenschutzverstöße: Diskussion zwischen Informatiker und Rechtsanwalt
• Folge 7: Smart Home Geräte: Datenschutz und gesetzliche Vorgaben
• Folge 8: Conversion Tracking
• Folge 9: Google Tag Manager: Weder ein Cookie noch eine Domäne noch erforderlich

Das Beitragsbild ganz oben wurde von einem Computer-Programm und ohne meine kreative Mitarbeit erzeugt. Verwendet wurde ein KI-Programm, was ähnlich zu Dall-E ist. Die Bilder dürfen auf Webseiten frei verwendet werden, sofern eine üblich sichtbare dofollow-Verlinkung auf diesen Blog gegeben ist.