Das Ende der Cookie Blocker: Datenschutzfreundliche Browser und Werbeblocker

Kategorien: Datenschutz, Consent Tools, Cookies, Recht und Tracking

Einwilligungsabfragen werden oft als Cookie Popups oder Cookie Tools bezeichnet und als solche angesehen, obwohl dies falsch ist. Noch schlimmer sind Webseiten, die sogenannten Cookie Blocker einsetzen, die alle einwilligungspflichtigen Plugins nachträglich deaktivieren sollen, bis eine Einwilligung vom Nutzer erteilt wurde. Moderne Browser und Ad Blocker blockieren diese Cookie Dienste, die dann wiederum die kritischen Plugins nicht mehr blockieren können.

Einleitung

In diesem Blog wurde schon viel über sogenannte Cookie Tools geschrieben. Synonyme sind Cookie Popup, Cookie Dienst, Cookie Banner oder Cookie Bar. Alle Synonyme sind unberechtigt. Es geht nicht nur um Cookies, sondern um einwilligungspflichtige Datenverarbeitungen. Hierzu zählen insbesondere:

• Nutzerprofilbildung („Tracking“).
• Übermäßige Datenverarbeitungen zu Lasten des Nutzers, für die das Interesse des Website-Betreibers nicht berechtigt ist.
• Datentransfer in unsichere Drittländer (die USA sind weiterhin ein Geheimdienststaat, auch wenn manche in der EU das anders sehen).
• Nicht erforderliche Cookies.
• Nicht erforderliche sonstige Endgerätezugriffe, wie etwa durch JavaScript (siehe Viewport-Abfrage in Google Analytics).
• Nicht erforderliche Zugriffe auf Endeinrichtungen, beispielsweise unnötige Updates auf Smart Home Geräten (inkl. Auto-Navigationssystemen)

Cookie Tools sollen eine Einwilligung abfragen. Der Begriff Consent Tool wäre besser. Consent bezeichnet die Einwilligung des Website-Besuchers.

Als Zusatzfunktion mit meist negativer Wirkung bieten viele Consent Tools einen sogenannten Cookie Blocker an. Die Idee ist folgende:

1. Ein Webmaster hat keine Ahnung von Datenschutz.
2. Er oder sie ballert seine oder ihre Webseite mit Tools zu, die nicht rechtskonform und erst recht nicht ohne Einwilligung betrieben werden können.
3. Nun bindet der Webmaster ein Consent Tool mit Cookie Blocker ein.
4. Der Cookkie Blocker deaktiviert alle bösen Plugins, bis der Nutzer seine Einwilligung gegeben hat. Danach reaktiviert der Blocker die bösen Plugins, die oft immer noch böse sind.
5. Alles ist gut.

Das Problem mit Cookie Blockern

Soweit die Welt der Träume. Böse Plugins wie Google Analytics sind rechtlich nicht beherrschbar. Der Grund ist die völlig unklare Datenverarbeitung, die bei Google stattfindet. Das gilt auch für einige populäre Dienste anderer Anbieter. Selbst mit Einwilligung sind solche Dienste nicht rechtskonform nutzbar.

Der Cookie Blocker überspringt dieses Problem mit den nicht rechtskonform nutzbaren Diensten und widmet sich dem anderen Problem, dass Dienste bis zu einer Einwilligung unterdrückt werden sollen. Viele Website-Betreuer sind entweder nicht versiert genug oder haben keine Lust, Plugins erst zu laden, wenn diese geladen werden dürfen. Stattdessen binden sie die Plugins einfach ein und warten darauf, dass der Cookie Blocker diese Plugins blockiert, bis eine Einwilligung für diese Plugins über das Cookie Popup eingeholt wurde.

Dass es technisch objektiv nicht zuverlässig möglich ist, Plugins durch Cookie Blocker zu blockieren, habe ich mehrfach beschrieben. Hier gibt es keinen weiteren Klärungsbedarf.

Neuerdings (mindestens seit einigen Monaten) werden viele Cookie Tools von datenschutzfreundlichen Browsern oder Ad Blockern selbst als kritisch angesehen. Das führt dazu, dass diese Cookie Tools selbst blockiert werden.

Hier sehen Sie einen Screenshot meiner Bausparkasse Schwäbisch Hall:

Der Screenshot ist nicht nachbearbeitet. Genau so sieht es aus, wenn man die Webseite der Schwäbisch Hall aufruft.

Schade, dass die Schwäbisch Hall mir keine Option anbietet, nichts zu akzeptieren. Stattdessen werde ich genötigt, auf „Weitere Optionen“ klicken zu müssen.

Nach Klicken auf „Weitere Optionen“ erscheint folgende Ansicht bei der Schwäbisch Hall:

Der Screenshot ist nicht nachbearbeitet. Ich nutze einen Standard-Firefox Browser in aktueller Version mit Standard Ghostery Werbeblocker, nachdem frühere Besuche der Webseite ohne Werbeblocker zu für mich unerwünschten Datenverarbeitungen geführt hatten.

Nun habe ich genau eine Option: Die Webseite wieder schließen. Da ich diese Webseite nur aufrief, um die per Mail von Schwäbisch Hall angekündigten Kundendokumente einzusehen, muss ich leider einen anderen Weg suchen.

Hätte die Schwäbisch Hall eine Ablehnen-Funktion auf erster Ebene der Einwilligungsabfrage angeboten, so wie es rechtlich notwendig ist, wäre das Problem, dass die Webseite unbedienbar ist, wahrscheinlich nicht entstanden. Allerdings hätte ich schon gerne gewusst, wofür ich eigentlich meine Einwilligung geben soll.

Nach Anruf bei der Schwäbisch Hall wurde mein Anliegen weiter aufgenommen und wird an die Technikabteilung weitergegeben, die sich dann bei mir melden würde. Ich erhielt auch die Belege, die für mich nicht online abrufbar waren, per Post. Für mich bedeutet das Mehrarbeit: Scannen von Dokumenten, Herumschlagen mit den Fehlern anderer, usw.

Ich werde der Schwäbisch Hall bei fruchtlosem Verlauf anbieten, unsere Geschäftsbeziehung mit Ausgleich von nicht in Anspruch genommener Leistungen zu beenden. Die Schwäbisch Hall fragte mich per Post nach meiner Systemkonfiguration. Sie könne das Verhalten der Webseite technisch nicht nachvollziehen. Ich hatte zuvor Screenshots geschickt.

Allerdings ist „Weitere Optionen“ keine Ablehnen-Funktion, sondern zunächst eine Informationsinformation. Ein Ablehnen auf erster Ebene des Consent Layers hätte das Problem direkt für mich gelöst. Dass die Technikabteilung selbst nach meinem Hinweis auf den Einsatz eines Werbeblockers mein Problem (angeblich) nicht nachvollziehen konnte, halte ich für schwierig und wenig Kunden-zentriert. Dass die Webseite ohne Werbeblocker nicht nutzbar ist, ohne Datenschutzfragen hervorzurufen, ist ein weiterer Punkt, der fragwürdig ist.

Nebenbei bemerkt

Was passieren kann, wenn Technik und Recht aufeinanderprallen und Zuständigkeiten und Kompetenzen unklar sind, sieht man regelmäßig auf Webseiten von Online Journalen. Zu nennen sind beispielsweise Welt online und die Kieler Nachrichten, die auch über deutschlandweit relevante Themen berichten. So begegnet dem naiven Internet-Nutzer wie Ihnen und mir folgende Arabeske:

1. Sie rufen die Webseite der Welt oder der Kieler Nachrichten auf, um einen Artikel zu lesen.
2. Sie werden gefragt, ob Sie Werbung ertragen möchten, um den Artikel werbefinanziert lesen zu können, oder ob Sie ein Abo kaufen möchten, um den Artikel gegen Geld lesen zu können.
3. Sie entscheiden sich für Werbung.
4. Der Artikel erscheint nicht. Stattdessen sehen Sie das Titelbild des Beitrags und einen ganz kurzen Anreißer-Text.
5. Es folgt eine Aufforderung, ein Abo gegen Geld abzuschließen.

Sie werden also in Werbung reingetrickst, um dann den Artikel nicht lesen zu können, außer, Sie wollen Geld bezahlen. Warum fragen Welt und Kieler Nachrichten dann nicht direkt nach Geld anstatt nach Werbung und dann nach Geld? Zwei Antwortmöglichkeiten sehe ich:

1. Welt und Kieler Nachrichten sind inkompetent, eine rechtskonforme Webseite bereitzustellen.
2. Welt und Kieler Nachrichten wollen erst Geld mit Werbung verdienen und dann Geld mit einem kostenpflichtigen Abo.

Vielleicht möchten Sie zukünftig ja auch lieber andere Magazine als die Welt und die Kieler Nachrichten lesen, nämlich solche, die respektvoll mit Leserinnen und Lesern umgehen und deren Privatsphäre achten.

Fazit

Datenschutzfreundliche Browser wie Brave oder Mullvad blockieren zahlreiche Cookie Popups. Der Werbeblocker uBlock Origin sorgt neben Ghostery ebenfalls oft dafür, dass Cookie Popups blockiert werden, die zurecht als nervig und kritisch betrachtet werden.

Wenn eine Einwilligungsabfrage wegen eines Werbeblockers oder datenfreundlichen Browsers nicht erscheint, ist dies kein Problem, solange keine Plugins genutzt werden, die die Einwilligung als Rechtsgrundlage benötigen würden. Dass dies nicht optimal für das Marketing ist, ist eine andere Frage. Weil aber Google Analytics sowieso von Werbeblocker blockiert, aber dennoch immer noch häufig (alleinig) eingesetzt wird, zeigt, dass einige Marketing-Abteilungen noch nicht in der Realität angekommen sind.

Der richtige Weg für einwilligungspflichtige Dienste ist auch aus Marketing-Sicht folgender:

1. Code für das jeweilige Plugin gar nicht oder deaktiviert einbinden. Deaktiviert einbinden geht über die Direktive data-src statt src im Script-Befehl.
2. Eine Einwilligungsabfrage lädt nach Einwilligung entweder den Code überhaupt erst oder aktiviert den deaktiviert ausgespielten Code, indem automatisch aus der Pseudo-Direktive data-src die vom Browser ausführbare Direktive src gemacht wird.

Ganz fortgeschrittene nutzen keine einwilligungspflichtigen Dienste. Hier ein paar Beispiele für datenschutzfreundliche Alternativen:

• Google Analytics → WP Statistics (für WordPress), Matomo oder eigenes Conversion Tracking (siehe diesen Blog)
• Google Maps → keine Karte, lizenzrechtlich einwandfreies Kartenbild, Button für Routenplaner oder datenschutzfreundliche interaktive Karte
• YouTube Video Plugin (oder Vimeo) → kein Video, Link auf Videoplattform oder lokaler Video-Player
• Facebook Pixel → kein Facebook
• SoundCloud → lokaler Audio-Player
• Cookie Tool mit geratenen Vorgaben → eigenes Cookie-Tool mit selbst eingegebenen Angaben

Wenn Sie unbedingt ein Consent Tool einsetzen wollen oder müssen, dann sollte es eines sein, welches idealerweise lokal abgelegt ist. Noch wichtiger ist allerdings, dass der Pseudo-Funktion des Cookie Blockers kein Vertrauen geschenkt wird und Plugins erst geladen werden, nachdem sie geladen werden dürfen. Etwas Einwilligungspflichtiges zu laden, was bis zum Vorliegen einer Einwilligung künstlich daran gehindert werden soll, zeugt von maximaler Verzweiflung oder inkompetenten Dienstleistern.