Datenschutz: Es geht um Liebe und um das Wort, nicht um Cookies

Kategorien: Datenschutz, Cookies und Übersicht

In einem sozialen Netzwerk wurde euphorisch über ein stattgefundenes Webinar zum Thema DSGVO und Cookies berichtet. Der Veranstalter kennt allerdings die Cookie-Regeln und die der DSGVO selber nicht. Was ist das Problem mit der DSGVO und mit Cookies? Welche Lösung gibt es?

Jemand berichtete über das Webinar mit dem Titel "GDPR is a safety belt and much more than Cookies" der Firma XYZ123 (echter Name ist anders). Auf der Webseite von XYZ123 werden

• Google Analytics mit technisch nicht notwendigen Cookies,
• Google Tag Manager,
• Google Fonts

ohne Einwilligung genutzt. Das ist der Stand vom 25.03.2022.

Diese Datenschutzprobleme sind zu finden auf der Webseite, und auch auf der Landing Page, auf der das Webinar mit folgenden Speakern angepriesen wird.

In Wahrheit geht es bei der DSGVO nicht um Cookies, sondern um Liebe und um das Wort. Deswegen müssen Datenschutzgesetze anscheinend auch nicht von jedem befolgt werden. Die Liebe zum Nutzer ist wichtiger als seine Privatsphäre.

Cookies und ePrivacy

Die DSGVO handelt nur indirekt von Cookies, nämlich über das Sondergesetz TTDSG, das die ePrivacy-Richtlinie in nationales Gesetz gießt. Im § 25 TTDSG sind Zugriffe auf Endgeräte bzw. Endeinrichtungen geregelt. Diese Zugriffe sind üblicherweise mit Cookies assoziiert. Es kann sich aber auch um Updates handeln, die Smart Home Geräte ausführen.

Dass Smart Home Geräte tangiert sind, liegt am deutschen Gesetzgeber. Er hat nämlich die ePrivacy Richtlinie in diesem Punkt strenger ausgestaltet, als es die Europäische Kommission wollte. Nur anders herum wäre es nicht möglich gewesen. Regeln zu lockern, ist nicht Aufgabe der Mitgliedsstaaten (so habe ich es jedenfalls als Juristendummie verstanden).

Die DSGVO kümmert sich ansonsten um Datenverarbeitungen, die insbesondere dann verboten sind, wenn sie nicht notwendig sind bzw. es mildere Mittel gibt. Als Beispiele seien Google Fonts (vgl. Urteil des LG München vom 20.01.2022) sowie die anlasslose Protokollierung von Netzwerkadressen in Server Logs genannt. Auch der Datentransfer in die USA ist seit dem Schrems II Urteil hochkritisch und für gewöhnlich nur nach Einwilligung erlaubt, wenn überhaupt. Leider ist diese Erkenntnis anscheinend selbst beim BfDI und bei der DSK noch nicht angekommen, obwohl sie Max Schrems persönlich in Bonn zu Gast hatten. Zu Google Analytics stellte die CNIL aus Frankreich fest, dass ein rechtskonformer Einsatz gar nicht möglich ist, auch nicht mit Einwilligung.

Smart Home Geräte

Deutschland hat statt Endgeräte nun die weiter gefasste Definition der Endeinrichtungen aufgenommen. Und damit sind eben auch Multi-Room Lautsprecher gemeint, oder vernetzte Toaster. Das Toaster-Beispiel halte ich für Unsinn und habe es nur diskutiert, weil es manchen als Argumentation für den § 26 TTDSG dient. Dieser Paragraph handelt von der zentralen Einwilligungsverwaltung (auch PIMS genannt). PIMS ist aber Bullshit und eine Ausgeburt von Lobbyisten. Wer an PIMS glaubt, glaubt an die Verunstaltung der DSGVO und möchte zudem Google und andere durch gewollte Intransparenz unterstützen. Meine explizite Aufforderung etwa an die Stiftung Datenschutz, die diesen Ansatz unterstützt, mir doch ein Beispiel für eine rechtskonforme zentrale Einwilligungsabfrage für das Google Maps Plugin zu liefern, blieb unbeantwortet. Auch mein mehrfach ausgelobtes „Preisgeld“ von 1000 Euro aus meinem Privatvermögen für den ersten, der mir eine rechtskonforme zentrale Einwilligungsabfrage für Google Maps und Google Analytics liefert, musste nicht ausgezahlt werden.

VG Wort Cookie

Weil sich in der Vergangenheit die Stimmen zum VG Wort Zählpixel gehäuft hatten, möchte ich hier etwas klarstellen. Jeder Autor hat einen gesetzlichen Anspruch auf eine Autorenvergütung. Um diesen geltend zu machen, muss für online Texte (üblicherweise) ein sogenannter Zählpixel der VG Wort auf der eigenen Webseite eingebunden werden. Die VG Wort ist die Verwertungsgesellschaft Wort. Sie ist vom Staat instantiiert worden und steht laut Wikipedia unter der Aufsicht des Deutschen Patent- und Markenamtes (DPMA).

Dummerweise nutzt der VG Wort Zählpixel ein Sitzungs-Cookie. Die VG Wort bietet keine andere Möglichkeit an, als diesen Pixel mit Cookie zu nutzen. Die VG Wort hält dies für rechtskonform und mit dem Ausnahmetatbestand des § 25 TTDSG vereinbar. Dies hatte mir die VG Wort auf Rückfrage selbst bestätigt. Für alle, die sich direkt an die VG Wort wegen der Online Zählpixel mit Cookie wenden möchten, hier ist die Mailadresse: metis.support@vgwort.de (Metis steht für „Texte im Internet“).

Nun haben Autoren zwei Möglichkeiten:

1. Auf sämtliche gesetzlich verankerte Einnahmen aus online Texten zu verzichten.
2. Die Einnahmen wie bisher erhalten und zu riskieren, gegen den § 25 TTDSG zu verstoßen, weil sich die VG Wort möglicherweise irrt.

Die Option „Pay wall“ halte ich für keine Option. Wer kümmert sich um die rechtskonforme Umsetzung eines Bezahlprozesses? Wie sieht es mit der gesetzlich garantierten Ausschüttung aus? Was ist mit den Lesern, die komplett abspringen? Was ist mit der verfälschten Messung der Zugriffszahlen durch die VG Wort, die Basis für den genannten gesetzlichen Anspruch des Autors sind?

Ich würde mich für Möglichkeit zwei entscheiden und im schlechtesten Fall sehen, wie sich die VG Wort im Gerichtsprozess als Streitverkündete schlägt. Gegebenenfalls könnte man sie stattdessen als Streithelfer hinzuziehen.

Auf dieses Dilemma hatte ich die VG Wort bereits explizit schriftlich hingewiesen. Mein Schreiben kam dort an und wurde schnell beantwortet. Die Kommunikation war zügig und mehrfach. Das Ergebnis jedoch blieb ernüchternd. Ich stehe in Kontakt mit jemandem, der meint, die VG Wort Zählung ohne Cookie hinzubekommen. Bin gespannt, was dabei herauskommt. Immerhin muss auch die Betrugsprävention berücksichtigt werden.

Vielen Dank an Markus Baersch für den Hinweis, dass das VG Wort Sitzungs-Cookie in seinem Browser (und somit in vielen anderen auch) gar nicht erst gesetzt wird. Grund ist, dass die VG Wort dummerweise das Cookie ohne SameSite-Attribut ausspielt, womit einige Browser ein Problem haben.

Hier mein eigener Nachweis für das, was Markus mitteilte:

Im Chrome (nur zu Testzwecken genutzt, nicht für normale Seitenaufrufe) wurde das VGWort-Cookie also blockiert. Im Firefox (aktuelle Version) wurde das Cookie hingegen gesetzt. Ich hatte hierfür einige Datenschutzeinstellungen ausprobiert.

Cookies und Datenschutzverstöße vermeiden

Für fast alle Plugins, außer solche wie das der VG Wort, gibt es datenschutzfreundliche Alternativen ohne Cookies. Hier ein paar Beispiele:

• Google Maps: Keine Karte (ja, keine Karte. Wer braucht eine interaktive Karte auf seiner Webseite wirklich?), schönes Vorschaubild ohne Konkurrenten, Button „Anfahrt planen“ mit Absprung auf Routenplaner, interaktive Karte von Dr. DSGVO.
• Google Fonts, Adobe Type Fonts, Fast Fonts/Monotype: lokal einbinden (ggf. vorher konvertieren, wie bei Fast Fonts). Sicher hilft ein kompetenter Entwickler gegen Entgelt.
• Google Tag Manager: Weglassen oder Untagmanager verwenden. Sicher hilft ein kompetenter Entwickler gegen Entgelt. Wer keinen Entwickler bezahlen will, sollte dann lieber einen Anwalt bezahlen, der die rechtlichen Rahmenbedingungen zum Tag Manager durchliest.
• YouTube Videos: Weglassen (ja, weglassen. Oft sind in einem klitzekleinen Fenster eingebettete Videos ohne echten Nutzen, vor allem, wenn sie von Dritten stammen), Vorschaubild mit Absprung auf Videoplattform, Video lokal hosten (wenn klein genug), Video-Proxy nutzen (Entwickler beauftragen). Das YouTube Video Plugin verwendet nach aktuellem Stand übrigens immer Cookies.
• Google reCAPTCHA (gegen Formularspam): Einfache Rechenaufgabe als Formularfeld, Contact Form 7 Image Captcha für WordPress, PHP Lösung, Honeypot.
• Google Analytics: Ersatzlos streichen (viele schauen nicht mal auf einfachste Besucherstatistiken), Matomo (lokal), WP Statistics, sonstige Anbieter
• Facebook Pixel: Über den Sinn und Unsinn von Retargeting nachdenken. Am besten von Facebook abmelden.
• Google Ads: Hieraus entsteht kein Datenschutzproblem, solange die Aktivitäten außerhalb der eigenen Zuständigkeit stattfinden. Conversion Tracking geht auch datenschutzkonform.

Ich vermute, dass nach diesen Maßnahmen über 95% aller deutschen Webseiten keine (vermeidbaren) Cookies bzw. unnötige oder risikobehaftete Datentransfers mehr nutzen müssten.

Cookie Banner vermeiden

Cookie Banner sind keine Cookie Banner, sondern Einwilligungsabfragen. Es geht nicht um Cookies, sondern um Liebe. Cookie Banner verströmen keine Liebe, sie werfen mit Bullshit um sich. Hier einige Belege:

• Praxistest Consent Tools
• Fünf Gründe für das Scheitern von Consent Tools

Wer unbedingt eine Consent Verwaltung braucht, kann eine kostenfreie Lösung verwenden. Aber Achtung: Wie bei der Steuererklärung sollte man wissen, was man tut. Wer es nicht weiß und kein Geld ausgeben will, sollte keine Webseite betreiben. Bei der Steuer funktioniert dieser Ansatz allerdings nicht. Die Steuererklärung nicht abzugeben, ist zwar ein Ansatz, aber kein guter.

Wer jetzt "Lost" ist, sollte sich fragen, warum auf der eigenen Webseite möglicherweise so viel Murks existiert, den niemand braucht. Daran ist weder Europa noch der deutsche Gesetzgeber schuld, sondern… Wer findet die Antwort?

Machen Sie einen Webseiten-Check.

Webseite eingeben, Start drücken, Ergebnis nach wenigen Sekunden sehen. Für einige Befunde werden sogar Lösungen skizziert. Wer noch etwas weitergehen und dabei auch noch die Ukraine unterstützen will, kann das hier tun:

Weil es um Liebe geht und nicht um Cookies. Wie wäre es, wenn auch Sie Ihre Webseite in den Farben der Ukraine beflaggen würden? Wer das nicht hinbekommt, könnte immerhin ein Bild oder die Ukraine-Flagge einbinden. In dem eben verlinkten Beitrag ist eine frei verwendbare zu finden.