Selbst bei Verwendung der Adresse youtube-nocookie.com setzt YouTube unverschämterweise ein Cookie (mit dem Namen CONSENT). Dieses Cookie ist absolut überflüssig und bedarf somit einer Einwilligung.
Weiterhin sendet das YouTube Plugin alle paar Sekunden eine Botschaft an Google, auch wenn gar kein Video abgespielt wird oder wurde.

Welche weiteren Dienste eine Einwilligung erfordern und wie Sie ohne Cookie-Banner auskommen, zeigt die Übersicht zu Cookies und Einwilligung.

Fun Fact (es wäre lustig, wenn es nicht so traurig wäre): Laut Datenschutzerklärung und Nutzungsbedingungen von Google wird das genannte Cookie verwendet, um "um die Cookie-Entscheidungen des Nutzers zu speichern“. Komischerweise gibt es gar keine Einwilligungsabfrage im YouTube-Video-Plugin.

Zudem lädt das YouTube-Plugin auch noch Google Fonts nach. Sicher haben Sie von den Massenabmahnungen zu Google Fonts gelesen oder davon gehört.

YouTube-Videos ohne die No-Cookie Einstellung sind eine noch schlechtere Idee, wie ich schon vor längerem beschrieben habe. Lesen Sie dort, warum YouTube-Video-Plugins einer Einwilligung bedürfen. Es geht nicht nur um Cookies.

Die oben erwähnte Ping-Nachricht an Google alleine ist ein Grund für ein Einwilligungserfordernis. Schauen Sie doch mal in den Art. 6 Abs. 1 DSGVO. da bleibt als Rechtsgrundlage außer der Einwilligung nur das berechtigte Interesse übrig. Wie der Name sagt, muss Ihr Interesse berechtigt sein. Wieso es berechtigt sein soll, dass Google von Ihnen ohne Not meine Daten geliefert bekommen soll, müssten Sie mir mal erklären.

All dies sind Gründe, die dafür sprechen, entweder eine Einwilligung für ein YouTube-Video abzufragen oder nur ein Vorschaubild zu verwenden, welches dann auf die Videoplattform verlinkt.

Übrigens habe ich noch keine einzige Einwilligungsabfrage für YouTube-Videos gesehen, die mir rechtskonform zu sein scheint. Siehe meine Checkliste für Einwilligungsabfragen. Alleine schon der obligate Hinweis auf eine Widerrufsmöglichkeit sowie die korrekte Ausführung dieses Widerrufs sind oft nicht vorhanden.

Am besten verwendet man Plugins von Google gar nicht, auch nicht das YouTube-Video-Plugin.

Statt dessen bietet sich das eben genannte Vorschaubild mit Verlinkung auf die Videoplattform der Wahl an. Vimeo ist übrigens auch nicht besser. Daher empfehle ich allen, die unbedingt ein Video auf ihrer Website einbinden möchten, die Videodatei lokal einzubinden.

Lokal heißt bei sehr kleinen Videos, dass die Videodatei auf nahezu jedem beliebigen Webspace liegen kann. Kostet Ihr Webspace nur 99 Cent pro Monat, dann ist Ihre Website anscheinend so unbedeutend, dass ich mir die Frage nach dem Sinn eines Videos stelle.

Vorteile einer lokalen Videoeinbindung

Für die, die auf der Suche nach einer stabilen, schnellen und datenschutzkonformen Lösung sind, bietet es sich an, Videos lokal auf dem eigenen Server oder Webspace einzubinden. Besonders bei kleineren Videodateien ist dies somit ein praktikabler Ansatz, da der Webspace in der Regel nicht viel Speicherplatz benötigt und kostengünstig zur Verfügung steht. Bei größeren Videodateien ist ein zuverlässigerer Webspace erforderlich, der eine hohe Verfügbarkeit und Ladegeschwindigkeit gewährleisten kann. Hierfür eignet sich ein Webspace bei einem deutschen Provider, der ausreichende Sicherheitsmaßnahmen und Datenschutzrichtlinien beachtet. Heutzutage haben fast alle Provider einen sehr guten Standard, der für Ihre Zwecke absolut ausreichend sein dürfte. Ich empfehle übrigens ALL-INKL. Gehen Sie nicht zu Strato oder 1 & 1. Dort mögen die Preise anfangs attraktiv erscheinen. Wenn Sie aber mal ein Paket kündigen möchten, geht der Ärger los. Strato hatte beispielsweise die Methode, leere Pakete (also die Hülle um einen gekündigten Vertrag) bestehen zu lassen. Dabei wurde der Kunde weiterhin belastet und musste Geld für eine Leistung bezahlen, die im Wesentlichen aus der Bereitstellung einer leeren Hülle bestand.

Bei größeren Videos empfehle ich einen halbwegs guten Webspace bei einem deutschen Provider. Halbwegs gut heißt, dass man 2,99 Euro pro Monat ausgibt. Ich habe das mal getestet, und zwar zusammen mit einem deutschen Provider und Anbieter von Webspace.

Mein Video-Plugin funktioniert und ist zu 100 % datenschutzkonform. Sie sind Herr oder Dame über Ihre Daten.

Auf meinen Beitrag, in dem ich das Video-Plugin vorstellte, gab es zahlreiche Rückmeldungen. Ich bat auch darum, denn es sollten ja möglichst viele Menschen das Video „gleichzeitig“ ansehen. Anscheinend waren alle zufrieden, nachdem ein paar technische Hakeleien meinerseits ausgeräumt waren.

Ich bin der Meinung, dass die meisten auf Webseiten eingebundenen Videos keinen Mehrwert erzeugen. Bevor man meint, seine Webseite mit allen möglichen Medien zukleistern zu müssen und damit rechtliche Risiken einzugehen, wäre vielleicht eine Messung der Zugriffszahlen nicht so verkehrt. In dem Zusammenhang empfehle ich Matomo für Website-Statistiken. Sicher weiß Ihre Werbeagentur auch, wie man die Abspielversuche von Videos zählen kann. Falls nicht, sollten Sie die Agentur wechseln oder das Video einfach weglassen (man kann es ja immer noch verlinken).

Wenn Sie Google Analytics nutzen, dann tun Sie dies sicher äußerst ungern. Denn damit ist Ärger quasi vorprogrammiert. Auf die Spitze treiben lässt sich dies nur, indem der Google Consent Mode verwendet wird. Diesen Modus möchte ich als asozial und respektlos bezeichnen. Sie werden dadurch zum Deppen von Google gemacht. Google erhält immer alle anfallenden Daten, Sie aber nur Datenmüll oder aggregierte Statistiken ohne echten Mehrwert. Zudem steigt für Sie das Rechtsrisiko. Datenschutz schlecht, Marketing aber auch, weil gute mit schlechten Daten vermischt werden.

Ist es eigentlich eine gute Idee, einen Video-Player in Briefmarkengröße (ich übertreibe etwas) auf der Website einzubinden? Auf meinem PC-Monitor sieht es sehr unglücklich aus, wenn 80 % des Platzes ungenutzt bleiben, während das Video in einem mickrigen Bildbereich abgespielt wird. Das Problem wird dadurch gelöst, dass das Video nicht auf der Website selbst eingebunden wird. Oder wenn, dann eben ohne YouTube Plugin.

Häufig geht es beim Einsatz von Plugins nicht nur um die technische Machbarkeit, sondern auch um die rechtlichen und datenschutztechnischen Implikationen, die solche Tools mit sich bringen. Insbesondere wenn es um die Integration von YouTube-Videos und anderen Drittanbieter-Diensten geht, ist Vorsicht geboten, da die rechtlichen Anforderungen beim Datenschutz und die Nutzung von Daten immer strenger werden. Nicht unerwähnt bleiben soll die KI-Verordung (AI Act). Immerhin wertet Google die Inhalte von YouTube-Videos mit Künstlicher Intelligenz aus.

Warum weniger oft mehr ist

Im heutigen Digitalzeitalter neigen viele dazu, ihre Websites mit allen möglichen Medien und interaktiven Elementen zu überfrachten, um eine hohe Aufmerksamkeit und Interaktivität zu erzielen. Doch nicht jedes Medium trägt wirklich zur Verbesserung der Benutzererfahrung bei. In vielen Fällen führen übermäßige Video- und Multimedia-Inhalte zu einer Überlastung der Website und beeinträchtigen die Benutzerfreundlichkeit. Eine langsame Ladezeit oder technische Probleme können dazu führen, dass Nutzer die Seite verlassen, bevor sie überhaupt den Inhalt konsumiert haben. Das Stichwort SEO sei hier erwähnt. Denn Suchmaschinen mögen es gar nicht, wenn deren Crawler lange brauchen, um Ihre Webseite einzulesen.

Es erscheint daher mehr als sinnvoll, die tatsächliche Notwendigkeit von Videos und anderen Medien auf der Website zu hinterfragen. Wer unbedingt ein Video integrieren möchte, sollte zunächst die Zugriffszahlen und das tatsächliche Interesse an diesem Video messen. Moderne Analysetools wie Matomo bieten eine detaillierte Auswertung des Nutzerverhaltens und können helfen, die Effektivität eines Videos zu überprüfen. Wenn Sie also schon in Video-Content investieren wollen, sollten Sie sicherstellen, dass er einen echten Mehrwert bietet und nicht nur aus SEO- oder Marketinggründen eingebunden wird. Oft tritt der gegenteilige Effekt ein.

Die Nutzererfahrung optimieren

Ein weiterer Punkt ist die Gestaltung des Video-Players auf der Website. Zu kleine oder schlecht platzierte Video-Player, die nur einen Bruchteil des Bildschirms ausfüllen, können das Nutzererlebnis erheblich beeinträchtigen. Eine Videoschnittstelle, die das Nutzerverhalten berücksichtigt und sich nahtlos in das Design der Website einfügt, sorgt für eine angenehmere Benutzererfahrung. Wenn Sie darauf achten, dass der Player eine ausreichende Größe hat und für die Anzeige auf verschiedenen Bildschirmgrößen optimiert ist, können Sie dazu beitragen, die Nutzerzufriedenheit zu erhöhen. Dort, wo kein Player ist, ist die Sache allerdings noch einfacher. Stichwort: Vorschaubild, oder.

Allerdings sollte dies auch in einem Kontext gesehen werden, bei dem der Inhalt des Videos für die Website-Besucher tatsächlich wertvoll ist. Es bringt wenig, wenn Videos auf der Seite eingebunden werden, nur um „mehr Content“ zu liefern, ohne dass dieser Content echte Relevanz oder Nutzen bietet.

Wer immer noch ein Freund von Google ist, der möge folgendes bedenken:

• Google interessiert sich nicht für Ihr Wohlergehen, sondern nur für Ihre Daten.
• Google ist ein Sünder.
• Google war schon "immer" böse. Siehe "The Billion Dollar Code". Dort wird plastisch dargestellt, wie eine deutsche Firma in den 90er Jahren von Google um Ihren Quellcode "gebracht wurde, damit Google ein Produkt namens "Google Earth" als seine eigene Errungenschaft ausgeben und herausgeben konnte.

Wenn Sie mal wieder ein Google reCAPTCHA auf einer Webseite sehen: Klicken Sie auf irgend welche Bilder und nicht auf die "Busse" oder "Verkehrsschilder", wenn Sie dazu aufgefordert werden. Google reCAPTCHA lässt Sie auch so weiter. Es geht Google nur darum, über Ihre Eingaben Ihr Wissen abzugreifen und die Google-KI aufzuschlauen sowie Ihr Verhalten tiefgehend zu analysieren.

Alle Bilder in diesem Beitrag wurden von einem Computer-Programm erzeugt. Verwendet wurde das selbst entwickelte KI-System von Dr. DSGVO, ähnlich zu Midjourney. Die Bilder dürfen auf Webseiten frei verwendet werden, mit der Bitte, eine Verlinkung auf diesen Blog zu setzen.

Erst kürzlich hatte ich Cookie-Bilder veröffentlicht. Das war mehr zur Erheiterung gedacht. Vielleicht können manche diese Bilder auch in nützlicher Umgebung verwenden. Im Beitrag zu den Bildern habe ich auch ein paar Grundlagen zu Cookies genannt.

Hier ein paar weitere Fakten, die die im Beitragstitel besagten Probleme mit sich bringen.

Cookies sind unkontrollierbar.

Jedenfalls stimmt das in der Praxis für Cookies, die Dienste von Drittanbietern setzen. Man muss unterscheiden zwischen fachlicher und technischer Ausprägung.

Technische First Party Cookies haben dieselbe Domäne wie die gerade besuchte Webseite. Die Domäne einer Webseiten-Adresse (URL) ist der Hauptnamensbestandteil. Für die Webseitenadresse https://dr-dsgvo.de lautet die Domäne dr-dsgvo.de. Technische Third Party Cookies sind alle Cookies mit einer Domäne ungleich der besuchten Webseite. Genauer gesagt, sind es „nur“ die Domänen von Webseiten, die nicht denselben Verantwortlichen haben wie die gerade besuchte Webseite.

Fachliche First Party Cookies sind alle Cookies, die denselben Verantwortlichen haben wie die gerade besuchte Webseite. Fachliche Third Party Cookies sind alle anderen Cookies.

Wer Google Analytics einbindet, erhält somit technische First Party Cookies und fachliche Third Party Cookies. Rechtlich kommt es dann darauf an, ob ein AVV mit Google geschlossen wurde bzw. wie es mit einer gemeinsamen Verantwortlichkeit aussieht.

Warum sind Cookies faktisch nun unkontrollierbar? Weil beim Widerruf einer erteilten Einwilligung alle Cookies vom Endgerät des Nutzers zu entfernen sind, die durch die Einwilligung aus § 25 TTDSG legitimiert wurden. Dummerweise gibt es für die meisten populären Dienste keinen Abräum-Mechanismus. So sind zwei Fälle zu unterscheiden:

Ein technisches First Party Cookie kann von der besuchten Webseite, auf der der Widerruf abgesetzt wird, theoretisch selbst gelöscht werden. Dazu muss die Webseite dies erstens tun wollen und zweitens wissen, wie die Namen dieser Cookie-Biester lauten.

Ein technisches Third-Party Cookie hingegen kann grundsätzlich nur vom Dienst entfernt werden, der es erzeugt hat. Das ist ein technisches Faktum. Wenn der Dienst keine Funktion dafür anbietet, darf dieser Dienst nicht verwendet werden, weil er nicht rechtskonform nutzbar ist. Bietet der Dienst eine Funktion an, kennt ihn hoffentlich jeder Verantwortliche und ruft diese Funktion auch richtig auf.

Problematisch sind Cookies von Konzernen wie Google. Die Google Suchmaschine, Google Maps und andere Google Webseiten setzen Cookies in Domänen, die gleich denen sind von Diensten, die Google als Plugin für Ihre Webseite anbietet. Das ist wohl kein Zufall, sondern Kalkül. Mehr Daten sind gut, jedenfalls für Google. Diese Cookies, die als Beifang hinzugekommen sind, haben Sie auch zu verantworten, wenn Sie Google Dienste auf Ihrer Webseite einbinden. Der Widerruf scheitert dann, weil Sie diesen Beifang gar nicht kennen können.

Cookie Tools sind problematisch

Hierüber hatte ich schon viel geschrieben. Mehrere Gründe in Kürze:

• Cookie Blocker funktionieren nicht. Die Gründe sind objektiv gegeben und technischer Natur.
• Cookie Hinweise sind Bullshit: Diese Pflichtinformationen sind meist falsch, weil geraten.
• Cookie Zentrierung ist Blödsinn: Manche meinen, es ginge nur um Cookies.
• Der Widerruf ist nicht ordentlich möglich: Siehe oben.
• Google Fonts, der Google Tag Manager usw. werden absichtlich nicht blockiert. Wäre noch schöner, wenn eine Webseite nur deswegen etwas hässlich aussieht, damit sie rechtskonform ist.

Wer es genauer wissen will, kann es sich im Datenschutz Deluxe Podcast anhören.

Die bisherigen Folgen des Datenschutz Deluxe Podcasts sind:

• Folge 1: Spannende Datenschutzfragen
• Folge 2: Cookies und Cookie Tools (andere Fragen, anderer Moderator)
• Folge 3: Google Topics und Google FloC (das Ende aller Cookies? Nein!)
• Folge 4: Reichweitenmessung für Webseiten und Apps
• Folge 5: Server Side Tracking und Cookies
• Folge 6: Datenschutzverstöße: Diskussion zwischen Informatiker und Rechtsanwalt
• Folge 7: Smart Home Geräte: Datenschutz und gesetzliche Vorgaben
• Folge 8: Conversion Tracking
• Folge 9: Google Tag Manager: Weder ein Cookie noch eine Domäne noch erforderlich

Weitere Folgen finden Sie hier in der Übersicht zum Datenschutz Deluxe Podcast:

Über Cookies

Cookies sind eine bestimmte Form des Endgerätezugriffs. Sie werden an sich überbewertet, weil oft so getan oder suggeriert wird, als gäbe es nichts anderes. Es zahlreiche andere Datenverarbeitungen, die einer Einwilligung bedürfen und somit kritisch sein können.

Cookies sind an sich geeignet, Nutzer und Personen nachzuverfolgen. Cookies sind potentiell immer personenbezogen. Das ergibt sich direkt aus dem Wert eines Cookies, wenn dieser einen Identifikator darstellt und indirekt für alle Cookies, weil sie immer zusammen mit einer potentiell personenbezogenen Netzwerkadresse des Nutzers übertragen werden. Dass IP-Adressen beispielsweise für Google immer direkt personenbezogen sein können, hatte ich erst kürzlich durch faktische Darlegung bewiesen.

Im Gegensatz zur Nutzerprofilbildung über Identifier sind Cookies greifbarer. Man kann sie direkt im Browser sehen, wenn man weiß, wo nachzusehen ist. Cookie heißt Keks. Ein Keks ist etwas Reales, was sich jeder vorstellen kann. Hingegen ist ein Nutzerprofil etwas Abstraktes, für viele kaum Vorstellbares. Viele meinen ja, sie hätten nichts zu verbergen. Erstens bestreite ich, dass dies stimmt. Jeder hat etwas zu verbergen. Zweitens geht es auch um die Beeinflussbarkeit. Stichwort Wahlen oder Kaufverhalten. Wer sich gerne von anderen beeinflussen lassen will, ist in meinen Augen ein Idiot, um es mal mit der direkten Sprache des Goldheinz (bekannt aus DMAX) zu sagen.

Die Anbieter von Consent Tools tun so, als ginge es nur um Cookies. Auch Google tut so. Siehe deren Einwilligungsabfrage. Auch die netID Foundation tut so, die gerne die Einwilligungsverwaltung nach § 26 TTDSG realisieren möchte, obwohl sie wirtschaftlich nicht unabhängig ist (siehe Adresse, die gleich der von 1 und 1, Teil der United Internet AG, ist). Dafür schickt die netID dann ein Mitglied ihres Stiftungsrates vor, der das oft nicht erwähnt und in der Funktion eines Vorstands eines (nicht gemeinnützigen) Datenschutzverbandes trotzdem über die netID redet, als könnte sie der Heilsbringer sein.

Cookies sind keine Textdateien, um das noch einmal zu sagen. Wer das immer noch nicht einsehen will, sollte Goldheinz fragen, was er von solchen Leuten hält. Weil Cookies so populär sind, gibt es hier ein paar computergenerierte Bilder, analog zu DALL-E 2. Demnächst gibt es vielleicht auch ein paar Bilder von plastisch gedruckten Cookies. Mein 3D-Drucker macht es möglich.

Frei nutzbare Cookie-Bilder

Die folgenden Bilder dürfen in jeder Art auf Webseiten und in Apps genutzt werden, solange der Kontext rechtskonform ist. Somit ist auch eine kommerzielle Nutzung erlaubt. Allerdings dürfen die Bilder nicht als eigene Werke ausgegeben oder verkauft werden.

Die Bilder sind Computer-generiert und einzigartig. Für die Erstellung wurde überwiegend ein kostenpflichtiger Zugang verwendet.

Bildnutzung

Ich würde mich freuen, wenn auf der Webseite, wo das Bild verwendet wird, folgender Text mit gewöhnlichem Link angegeben wird.

• Text: Cookie-Bild von Dr. DSGVO
• Link so, wie im Text angegeben
• Position: auf der Seite, wo das Bild platziert wird
• Farbe des Textes: gut leserlich, ausreichender Kontrast, muss aber nicht voll deckend sein
• Schriftart des Textes: Beliebig, Hauptsache leserlich
• Größe des Textes: So groß, dass es ohne Probleme gelesen werden kann

Beispiel für einen konformen Bildtext mit Link:

Die Bilder

Einfach ein Bild direkt speichern oder draufklicken, dann öffnet es sich in einem neuen Tab und kann dort in größer angeschaut oder gespeichert werden.

Diverse Cookies

Cookies aus Wolle

Futuristische Cookies

Cookie-Polizei

Cookie-Monster

Für die Bildnutzung siehe die Bitte am Anfang des Beitrags.

Viel Spaß!

Alle Bilder in diesem Beitrag wurden von einem Computer-Programm erzeugt. Verwendet wurde das selbst entwickelte KI-System von Dr. DSGVO, ähnlich zu Midjourney. Die Bilder dürfen auf Webseiten frei verwendet werden, mit der Bitte, eine Verlinkung auf diesen Blog zu setzen.

Kurzfassung

Der § 26 TDDDG soll eine Einwilligungsverwaltung einführen, die auf den Zugriff auf Endgeräte und Endeinrichtungen, insbesondere das Speichern von Daten in diesen Geräten, bezogen ist. Es gibt jedoch mindestens fünf verschiedene Arten von einwilligungspflichtigen Vorgängen, die nicht alle durch eine Einwilligungsverwaltung abgedeckt werden können. Dies wurde auch auf der Herbstakademie der Deutschen Stiftung für Recht und Informatik (DSRI) in Hannover im September 2022 festgestellt. Somit ist PIMS als zentrale Einwilligungsverwaltung beschränkt auf den Zugriff auf Cookies, nicht aber auf die Verarbeitung der Cookie-Werte. Weitere Gründe sprechen gegen PIMS. Am 14. Mai 2024 ging das TTDSG in das TDDSG über. Damals wurde noch vom TTDSG gesprochen, was den gleichen Inhalt hat.

Einleitung

In den nächsten Wochen und Monaten werde ich 66 Gründe benennen, warum eine zentrale Einwilligungsverwaltung scheitern wird. Dabei führe ich vor allem rein logische und praktische Gründe auf. Rechtliche Problemchen müssen nicht einmal herangezogen werden, um PIMS oder ADPC, wie der zentrale Verwaltungsdienst auch genannt wird, ad absurdum zu führen. Eine andere lateinische Formulierung ist im Einleitungstext genannt: ex ante. Das bedeutet „in die Zukunft gerichtet“ oder „im Voraus“. Was mit der Zukunft zu tun hat, ist in der Regel mit großen Unsicherheiten behaftet. So auch hier.

PIMS steht übrigens für Personal Information Management System. Ab und an steht das P auch für Private und das S für Service. ADPC steht für Advanced Data Protection Control und ist als Browser-Plugin gedacht. PIMS kann als zentrale Webseite oder als Browser-Plugin ausgestaltet sein. Wie auch immer, es wird nicht funktionieren.

Zentrale Verwaltung von Cookie-Einwilligungen

Grund 1 für das Scheitern von PIMS thematisiert den § 26 TDDDG. Dieser Paragraph soll eine Einwilligungsverwaltung einführen, und zwar genau für Einwilligungen, die nach § 25 Absatz 1 TDDDG eingeholt werden müssen. Der § 25 TDDDG wiederum thematisiert ausschließlich Zugriffe auf Endgeräte und Endeinrichtungen, insbesondere das Speichern von Daten in diesen Geräten.

Ein solcher Zugriff liegt insbesondere bei Verwendung von Cookies vor. Dass auch Javascript-Routinen auf das Endgerät zugreifen können, soll hier nicht näher thematisiert werden. Als Stichwort sei hier die Größe des Viewport genannt (=Größe des Browser-Fensters).

Arten einwilligungspflichtiger Vorgänge

Wie sicher vielen bekannt ist, geht es nicht nur um Cookies. das Wort Cookie taucht im Gesetzestext von DSGVO und TDDDG nicht einmal auf.

Ich sehe mindestens folgende einwilligungspflichtige Vorgänge:

1. Zugriff auf das Endgerät (Cookies, JavaScript oder Updates bei Smart Home Geräten): § 25 TDDDG.
2. Verarbeiten von personenbezogenen Cookie-Daten: Art. 6 Abs. 1 DSGVO.
3. Datentransfer in unsichere Drittländer: Art. 44ff DSGVO + EuGH-Urteil Schrems II.
4. Nutzerprofilbildung: Vgl. § 15 Abs. 3 DDG als Anhaltspunkt sowie Art. 5 Abs. 1 DSGVO (Grundsätze der Datenverarbeitung). Als übergeordneter Fall: Verarbeitung personenbezogener Daten ohne Rechtsgrundlage (insbesondere ohne berechtigtes Interesse).
5. Milderes Mittel vorhanden: Vgl. Art. 5 Abs. 1 DSGVO.

Ei wo sind denn die Cookies? Entweder im Backofen oder in der obigen Auflistung unter den Punkten eins und zwei, aber nicht unter den Punkten drei bis fünf.

Zentrale Einwilligungsverwaltung greift viel zu kurz

Somit kann eine Einwilligungsverwaltung aus § 26 TDDDG lediglich für ein oder zwei von mindestens fünf verschiedenen Arten von einwilligungspflichtigen Vorgängen eine Einwilligung einholen.

Noch schlimmer: Der § 25 TDDDG bezieht sich nur auf Speicherung und Zugriff von Cookies. Somit ist lediglich Punkt eins meiner obigen Liste berücksichtigt. Das TDDDG ist ein Sondergesetz (lex specialis) zur DSGVO. Es sperrt die DSGVO also genau dann, wenn es speziellere (und strengere) Regeln als die DSGVO enthält.

Vom 15. bis zum 17. September 2022 fand die Herbstakademie der Deutschen Stiftung für Recht und Informatik (DSRI) in Hannover statt. Dort trug nicht nur ich zum § 26 TDDDG vor (aus technischer und etwas rechtlicher Sicht), sondern auch – ganz unabhängig von mir – Bernhard Harle (als Jurist). Auch Herr Harle hatte bemerkt, dass der § 26 TDDDG sich nur auf den § 25 TDDDG bezieht und nicht auf Einwilligungen, die sich aus anderen Rechtsvorschriften ergeben.

Somit ist PIMS als zentrale Einwilligungsverwaltung beschränkt auf den Zugriff auf Cookies.

Dumm nur, dass ein Cookie, welches m. E. immer einen Personenbezug darstellt, sinnlos ist, wenn man zwar dessen Wert erhält, mit diesem Wert aber nicht arbeiten darf (siehe § 25 TDDDG). Die Verarbeitung des Cookie-Wertes ist in der DSGVO, nicht aber im TDDDG geregelt. Wer negiert, dass Cookies an sich einen Personenbezug über die personenbezogene IP-Adresse hat, die mit einem Cookie immer zusammen übertragen wird, der sollte sich folgende Beispiele ansehen. Die Beispiele zeigen Cookie-Werte, die bereits aufgrund ihrer Wertausprägung einen Personenbezug zulassen.

• Identifizierer: nfdmsnd3457sl. Siehe beispielsweise Google Analytics (somit auch ohne Cookies alleine deswegen problematisch, siehe Client Id). Der Wert muss nicht sehr lange sein. Für 8 Milliarden Menschen reichen bei einem Alphabet von 36 Zeichen (26 Kleinbuchstaben + 10 Ziffern) bereits sieben Stellen (36^7 = 78.364.164.096 Kombinationsmöglichkeiten = 78 Milliarden)! Eine Stelle mehr würde dann ganz sicher für alle Endgeräte der Welt reichen (36^8 = 2,8 Billionen)
• Mailadresse: newsletter-abonnent@ichbins.nit. Siehe beispielsweise Formulare für Newsletter auf Webseiten.
• IP-Adresse im Cookie als Wert: Auch das kommt gelegentlich vor (damals bei Google Analytics, heutzutage in manch anderem Tool. Beispiel gerade nicht zur Hand).
• Cookie-ID: Haben CMP-Anbieter als Konstrukt erfunden. Damit soll eine Einwilligung nachgewiesen werden können, was Unsinn ist, weil ein vom Nutzer gelöschtes Cookie, das die Cookie-ID enthielt, das Verfahren zunichtemacht.
• Geo-Koordinate: OneTrust führt diese nach meiner Beobachtung mit. Ist sie genau genug und/oder sind weitere Angaben vorhanden, kann daraus eine Person ermittelt werden. Es soll Menschen geben, die in dünn besiedelten Gebieten leben.
• Kundennummer: Online-Shop o. ä., kein Problem, wenn als Kunde angemeldet. Was aber, wenn nicht angemeldet?
• Fingerprint: Siehe zahlreiche alle Analyse-Tools und Tracker, die ohne Cookies auskommen wollen oder müssen.

Noch dümmer, dass die anderen drei oben von mir genannten Arten nicht einwilligungsfreier Vorgänge ganz und gar nicht vom PIMS aus § 26 TDDDG erfasst sind. Zu diesen Vorgängen gehören beispielsweise auf Webseiten:

• Google Fonts
• Adobe Fonts (typekit.net), Monotype Fonts, Fast Fonts (verwenden oft auch Zählpixel, angeblich zu Abrechnungszwecken)
• Google Tag Manager (ohne Cookies)
• Google Maps (ohne Cookies)
• Google Analytics (ohne Cookies)
• YouTube Video Player (ohne Cookies, dafür aber mit DoubleClick-Werbetracker Script)
• Google irgendwas-Plugins ohne Cookies
• Facebook irgendwas-Plugins ohne Cookies
• Abruf von JavaScript-Bibliotheken wie jQuery von einem CDN, mit dessen Anbieter kein AVV abgeschlossen wurde, vor allem, wenn der Anbieter aus den USA stammt

Der § 26 TDDDG und PIMS wurden ja ins Leben gerufen, um Cookie Popups möglichst weitgehend zu eliminieren. Wenn man Cookie Popups als Cookie-Einwilligungsabfragen ansieht, stimmt das immerhin zur Hälfte. Wenn man unter Cookie Popup eine Einwilligungsabfrage versteht, stimmt es nur zu einem Fünftel.

Wie auch immer, PIMS ist ein zum Scheitern verurteilter Ansatz. Selbst wenn dieses Problemchen der mangelnden Abdeckung des § 26 TDDDG gelöst werden sollte, sprechen immer noch 65 andere Gründe gegen PIMS. Sie werden alle davon erfahren, sofern der Gesetzgeber nicht vorzeitig einsieht, dass es sinnvoll ist, die Einwilligungsverwaltungs-Verordnung zu stornieren.

Fazit

Eine Einwilligungsverwaltungs-Verordnung wird nicht kommen. Sofern sie doch das Licht der Welt erblicken wird, wird das Desaster riesengroß und an Peinlichkeit kaum zu überbieten sein.

Es ist egal, ob Browser-Plugins oder eine zentrale Webseite zur Verwaltung von Einwilligungen kommen sollen. Beide Ansätze können nicht funktionieren. Zu Browser-Plugins werde ich in Kürze rein logische Gründe für deren Scheitern nennen. Übrigens hat auch der oben genannte Herr Harle einiger dieser Gründe in seinem Beitrag für den Tagungsband der DSRI-Herbstakademie 2022 benannt.

Wer weniger Popups will, hat zwei Möglichkeiten: Selber dafür sorgen, dass die eigenen Webseiten keine einwilligungspflichtigen Vorgänge enthalten. Wenn Sie wissen wollen, wie das geht, fragen Sie nach. Für visuelle Elemente wie Videos kann eine Einwilligung zudem In-Place, also am Platze des Elements, abgefragt werden. Das nervige und seitenweit erscheinende Popup entfällt dann für das visuelle Element. Die zweite Möglichkeit ist, daran mitzuwirken, dass Website-Betreiber für Datenschutzverstöße verantwortlich gemacht werden. Dafür gibt es mehrere Eskalationsstufen, die Sie als Privatperson nutzen können:

• Deutliches Anschreiben per Mail mit Androhung weiterer Konsequenzen
• Nicht anonyme Beschwerde bei einer Aufsichtsbehörde (anonym bringt quasi nix, nicht anonym quasi fast nix)
• Berichterstattung
• Abmahnung als Privatperson
• Klage als Privatperson
• Verbandsklage (Verbraucherzentrale o. ä.)

Für viele Zwecke gibt es datenschutzfreundliche Lösungen. Hier eine Auswahl:

• Google Maps: Mein Karten-Plugin
• Google Analytics: Matomo
• Google Fonts: Schriften lokal einbinden
• Google Tag Manager: Kein Tag Manager oder Untagmanager
• Facebook Pixel: Besseren Marketing-Ansatz wählen
• Shopify: Anderes Shop-System (leider nicht anders möglich)
• Homepagebaukästen von Wix usw.: Deutschen Anbieter oder noch besser: Selber hosten auf deutschem Server
• Consent Tools von UserCentrics (Google Cloud), Cookiebot (Akamai) oder OneTrust (US-Mutter): Kein Consent-Tool oder eines von rein europäischem Anbieter+Speicher oder mein Consent-Tool, das nur das Nötigste kann (nämlich das, was eigentlich nur möglich ist).
• VG Wort Pixel: Hierfür gibt es eine gesetzliche Grundlage. Wer anderer Meinung ist, sollte die VG Wort anschreiben: datenschutz@vgwort.de und Metis.Support@vgwort.de
• Berater der bisherigen Bundesregierung: Neue Berater (vielleicht gibt es diese schon?). Fragen Sie doch mal nach: Ref-DP25@bmdv.bund.de (Bundesministerium für Digitales und Verkehr – Referat DP 25 – Datenschutz in der digitalen Welt, Cybersicherheit, Vertrauensdienste)

Welche Vorgänge auf Websites eine Einwilligung brauchen, ordnet der Überblick zu Cookies und Einwilligung ein.

Der Datenschutz Deluxe Podcast geht in die nächste Runde. Die fünfte Folge widmet sich Themen, die Leser dieses Blogs sowie Hörer des Podcasts eingereicht haben.

Server Side Tracking

Das Thema Server Side Tracking wird immer populärer, seit Cookies als abzuschaffen gelten. Das Grundprinzip ist, dass ein Nutzer zwar immer noch nachverfolgt wird, das aber nicht mehr durch Verteilen der Daten an Dritte aus dem Browser heraus passiert, sondern ein Umweg über den Web Server gegangen wird.

Aus Datenschutzsicht ändert sich zunächst wenig. Manche nutzen diese Möglichkeit womöglich, um ein Tracking zu verschleiern. Im Gegensatz zum serverseitigen Tracking geht das serverseitige Tagging noch weiter. Es reichert nämlich die Nutzerdaten an, bevor diese an Datenpools von Drittanbietern weitergegeben werden. Auch die Skalierbarkeit bei großen Webseiten mag ein Grund für diese beiden Ansätze sein.

Dem Thema habe ich mich bisher unter anderem in folgenden Beiträgen gewidmet:

• Serverseitiges Tracking: Unterschied zum Client Side Tracking und Datenschutzaspekte
• Ausflug: Conversion Tracking ohne Cookies
• Server side tracking mit Cookies: Warum?
• Google Analytics und SST

Cookies und Cookie Popups

Das Thema ist so umfangreich, dass es bereits eine eigene Podcast-Folge dazu gab. Darin ging es unter anderem auch um die fragwürdige Idee einer zentralen Einwilligungsverwaltung.

Viele meinen, Cookies würden (auch) auf einem Server verwaltet. Das ist falsch. Cookies existieren nur auf Endgeräten oder Endeinrichtungen.

Cookie Popups sind der Versuch, einwilligungspflichtige Vorgänge datenschutzrechtlich sauber abzubilden. Das funktioniert aber meistens leider nicht. Der Hauptgrund: Webseitenbetreiber verlassen sich auf vorgefertigte Lösungen, die nicht funktionieren. Die Anbieter dieser „Lösungen“ (das Wort ist schon falsch) tun oft so, als würde es sich um Lösungen handeln.

Im Podcast sprechen wir auch darüber, ob man überhaupt anonym im Internet surfen kann und ob bereits vor dem Ablehnen über ein Cookie Popup Daten des Nutzers zu Dritten fließen. Auch geht es um die Frage, ob Cookie Popups automatisch weggeklickt werden können.

Wie mir ein Zuhörer oder Leser mitteilte, gibt es eine Browser-Erweiterung, mit der Cookie Abfragen automatisch weggeklickt werden können. Sie heißt I don't care about cookies. Mein Test mit einer handvoll Webseiten war positiv. Mich würde interessieren, ob es Webseiten gibt, auf denen die Erweiterung nicht funktioniert.

Weitere Beiträge von mir zu diesem Themenkomplex (Auszug):

• Cookies sind keine Textdateien: Bitte ändern Sie Ihre Datenschutzerklärung, sofern Sie nicht nach Ausreden suchen wollen
• Cookie Popups funktionieren nicht
• Großer Praxistest von Consent Tools
• Was sind Cookies?
• Reichweitenmessung: Cookies erlaubt?

Weitere Themen

Wir widmen uns auch YouTube Video Plugins, der Möglichkeit, Datenkraken so wenig Futter bzw. Daten wie möglich zu geben. Hierfür gibt es sogar eine Hardware-Lösung. Auch gehen wir auf die Reichweitenmessung ein, die statt Tracking für die meisten Website-Betreiber völlig ausreichend ist.

In dem Zusammenhang möchte ich eine Empfehlung aussprechen: Wer eine Webseite mit sehr wenig Inhalt betreibt, benötigt weder einen Tracker noch einen Besucherzähler. Zuerst sollten mehr Inhalte geschaffen werden. Dann ergibt das Besucherzählen vielleicht Sinn, oft aber auch dann nicht.

Den Podcast gibt es hier:

Wenn Sie ein Tool kennen, mit dem Cookie Abfragen umgangen werden können, melden Sie sich doch!

Die bisherigen Folgen mit weiterführenden Informationen finden Sie hier:

• Folge 1: Spannende Datenschutzfragen
• Folge 2: Cookies und Cookie Tools
• Folge 3: Google Topics und Google FloC (das Ende aller Cookies? Nein!)
• Folge 4: Reichweitenmessung für Webseiten und Apps

Gerne nehmen wir Ihre Fragen in zukünftigen Folgen auf. Schreiben Sie einfach einen Kommentar unter diesen Beitrag (wird nicht veröffentlicht, sofern reine Frage für den Podcast, sondern aufgegriffen), eine Mail an mich oder nutzen Sie die Möglichkeit auf Datenschutz Deluxe

Einleitung

Der Landesdatenschutzbeauftragte für Baden-Württemberg (LfDI BW) hat eine Sammlung von Fragen und Antworten zu Cookies und Tracking herausgegeben. In dieser Sammlung werden Hinweise und Empfehlungen zur rechtskonformen Ausgestaltung von Webseiten und Smartphone-Apps gegeben.

Insbesondere werden Beispiele für Ausgestaltungen von sogenannten Cookie Popups genannt, die als kritisch zu bewerten sind.

Diese FAQ nehme ich zum Anlass für diesen Beitrag, in dem ich gleich fünf Webseiten bekannter deutscher Organisationen und Unternehmen gegen diese FAQ prüfe. Ich bezeichne Cookie Popups hier etwas überspitzt als offiziell für Bullshit erklärt, weil die betrachteten Popups in wirklich erstaunlicher Deckung mit den als vom LfDI als kritisch hervorgehobenen Punkten liegen.

Alle Äußerungen sind meine eigenen und erheben nicht den Anspruch, eine gemeinsame Meinung mit dem LfDI BW zu sein, auch wenn dies in den folgenden Beispielen, bei denen ich die FAQ des LfDI BW hinzuziehe, mein Eindruck ist.

Nur auszugsweise hier ein paar Rechtsgrundlagen, die für Webseiten und Apps wichtig sind:

• § 25 TTDSG: Cookies und ähnliche Technologien
• Art. 5 DSGVO: Grundsätze der Datenverarbeitung
• Art. 25 DSGVO: Datenschutz durch Technikgestaltung
• Art. 44ff DSGVO: Datentransfer in unsichere Drittländer (insbesondere in die USA, einem Datenschutz-Entwicklungsland der untersten Stufe)

Diese Rechtsgrundlagen werden von zahlreichen Webseiten weitgehend nicht eingehalten. Hierauf möchte ich aber in diesem Beitrag nicht eingehen, um das Trauerspiel nicht noch größer werden zu lassen. Es sei darauf hingewiesen, dass die folgend betrachteten Fälle allesamt Unternehmen mit ausreichenden Ressourcen, die einen ordentlichen Datenschutz erlauben sollten, betreffen.

Weiterhin verweise ich auf meine früheren Untersuchungen zu Cookie Popups:

• Großer Praxistest
• Praxistest OneTrust
• Praxistest Borlabs Cookie
• Praxistest Usercentrics
• Cookiebot ohne AVV, Gerichtsbeschluss gegen Cookiebot
• Fünf Gründe für das Scheitern von Cookie Tools

Hier ein paar Beispiele für Webseiten von Firmen von A bis Z in alphabetischer Reihenfolge, für die ich mir die Einwilligungsabfragen exemplarisch angesehen habe. Zu jedem Einwilligungs-Banner schreibe ich kurz einige Kritikpunkte auf und beziehe mich dabei auf meine eigene Meinung, aber auch auf die des LfDI BW und seiner FAQ.

ADAC

Starten wir mit dem Buchstaben A wie ADAC und der Webseite adac.de.

Die Webseite des ADAC, einem fast unbedeutenden Verband mit sehr wenigen Mitarbeitern und kaum Geld für Personal, das sich um Datenschutzregeln kümmern könnte, zeigt folgende Einwilligungsabfrage bzw. Cookies-Tags-und-Ähnliches-Abfrage:

Der ADAC fragt nach Cookies, Tags und ähnlichen Technologien. Das ist einfach nicht richtig. Es geht nicht nur um Cookies und ähnliche Technologien, wie vielen Datenschutzberatern bekannt ist. Was der ADAC mit Tags meint, ist mir als Informatiker unklar. Ich kann nur vage Mutmaßungen anstellen. Eine solche Ausdrucksweise ("Tags") ist einfach nur respektlos gegenüber dem Leser. Die gesamte Einwilligungsabfrage erscheint mir alleine deswegen schon als rechtswidrig.

Dass der Ablehnen-Button in roter Farbe dargestellt wird, ist ein weiteres Indiz für die Rechtswidrigkeit der Abfrage. Hingegen ist der Einwilligen-Button in einem angenehmen Grünton gehalten. Schade, dass die Einwilligungsmöglichkeit ganz weit oben im Text genannt ist, die Ablehnen-Möglichkeit aber weit unten.

Eigentlich müsste die Zustimmen-Möglichkeit in gelber Farbe gehalten sein, immerhin seid ihr doch die gelben Engel!

Dieses Nudging, also das Verführen zu einer nur vom Anbieter gewünschten Aktion, erklärt der LfDI BW für kritisch:

Keine Manipulation (Nudging): Nutzer dürfen nicht unterschwellig zur Abgabe einer Einwilligung beeinflusst werden. Das ist beispielsweise dann der Fall, wenn Buttons/Schaltflächen durch eine farbliche Hervorhebung, Größe oder Position deutlich auffälliger gestaltet sind. Auf Nudging, also die Beeinflussung des Nutzenden, um sein/e Entscheidung zu manipulieren, soll verzichtet werden.

FAQ des LfDI BW, S. 21: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2022/03/FAQ-Tracking-online.pdf

Das LG Rostock stellte ähnliches bereits am 15.09.2020 fest. Demnach hat der ADAC auch in diesem Punkt versagt. Der ADAC ist wohl eine Art Datenschutzversager. Wer schon auf der ersten Ebene seines öffentlichsten Unternehmensteils (Webseite) versagt, obwohl ausreichend Ressourcen für eine ordentliche Ausgestaltung zur Verfügung stehen sollten, hat schon etwas versagt.

BASF

Die BASF fasst sich auf ihrer Webseite basf.com deutlich kürzer als der ADAC:

Alleine die Überschrift ist schon unnötig und wahrscheinlich irreführend. Es ist genau so als würde mal erklären „Ich halte mich an die Gesetze“. Zu nett von der BASF, dass sie alles so ernst nehmen.

Der LfDI BW schreibt auf S. 25 seiner oben genannten FAQ:

„Die Überschrift eines Einwilligungsbanners ist missverständlich, für die Zwecke nicht
angemessen, irreführend, falsch oder erweckt einen falschen Eindruck über das wahre
Ausmaß der Verarbeitungen. Dies ist insbesondere der Fall, wenn die Überschrift nicht
zu den Verarbeitungen passt, in die eingewilligt werden soll. Beispiele für grundsätzlich
irreführende Überschriften für den Fall, dass in die Weitergabe von Nutzungs- und
Verhaltensdaten zur Erstellung personenbezogener Werbeprofile eingewilligt werden soll:“

FAQ des LfDI BW, S. 25: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2022/03/FAQ-Tracking-online.pdf

Danach werden einige Beispiele für missverständliche, irreführende, falsche oder anderweitig unbrauchbare Überschriften genannt. Unter anderem zählen zu diesen Beispielen des LfDI BW:

„Wir respektieren Ihre Privatsphäre“

Die BASF verwendet also eine solche Überschrift, die man als Missachtung des Nutzers bezeichnen darf.

Noch schlimmer als beim ADAC ist die erheblich versteckte Ablehnen-Möglichkeit. Die Ablehnung ist nämlich nicht mit einem Klick möglich. Wir kennen das ja. Vielleicht hat die BASF bald Zeit, sich mit dem Datenschutz auf deren Webseite zu beschäftigen, sobald die russischen Gaslieferungen, auf die die BASF wohl erheblich angewiesen ist, ausbleiben. Die FAQ des LfDI BW führt hierzu folgendes aus.

Einfach zugängliche Ablehnung: Bereits auf der ersten Ebene muss es möglich sein, dem Ablegen von Cookies bzw. dem Zugriff auf Informationen auf dem Endgerät zu widersprechen. Nicht Einwilligen muss genauso einfach sein wie Einwilligen. Zum Hintergrund: Oftmals ist die Verweigerung erst auf Ebene zwei (oder drei) bzw. über mehrere Klicks erreichbar. Wie auch bei der Einwilligung muss dem Nutzenden eine einfache Möglichkeit angeboten werden, der Verarbeitung seiner Daten zu widersprechen.

FAQ des LfDI BW, S. 21: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2022/03/FAQ-Tracking-online.pdf

Auch das alleinige Abstellen auf Cookies durch BASF ist grober Unsinn. Fast Fonts werden einfach so geladen, aber immerhin unter Übertragung eines Cookies. So kommen wir wieder näher an die Aussage der BASF, dass es nur um Cookies gehe.

Im Gegensatz zum ADAC versäumt es die BASF, den Art. 7 Abs. 3 DSGVO einzuhalten (Hinweis auf Widerrufsrecht). Ein Detail, das hier mehr oder weniger irrelevant erscheint.

Commerzbank

Im ABC kommt Commerzbank nach B wie BASF.

Die Commerzbank hatte mir auf meinen Hinweis damals (nach dem 25.05.2018) einmal erklärt, Google Analytics dürfe ohne Einwilligung, dafür aber mit Cookies eingesetzt werden. Insofern halte ich von der Commerzbank nicht viel. Deren Einwilligungsabfrage auf commerzbank.de sieht so aus:

Wie bei BASF ist das Einwilligen ganz leicht möglich, das Ablehnen aber nicht. Einmal klicken reicht da schon nicht mehr. Durchgefallen, Commerzbank.

Der LfDI BW wertet Überschriften wie die folgende als kritisch (S. 21 der FAQ):

• "Wir benötigen Ihre Zustimmung"
• "Ihr bestmögliches Nutzererlebnis"

Das klingt ziemlich genau nach dem, was die Commerzbank schreibt ("kurz zustimmen für optimale Nutzung"). Noch schlechter wäre es nur gewesen, wenn die Commerzbank das ebenfalls vom LfDI negativ bewertete Beispiel „Mit Liebe serviert“ verwendet hätte.

Wer hat Empfehlungen für gute deutsche Banken? Die Commerzbank scheitert ja schon auf der ersten Stufe. Auch sie verpasst die Gelegenheit, den Hinweis auf das Widerrufsrecht korrekt anzugeben. Dieser Hinweis wird zwar gegeben, aber ohne die sehr unwesentliche Angabe, wo denn die Widerrufsmöglichkeit existiert. Die Commerzbank beschreibt nämlich nur, wo der Widerruf auf dem Popup für die Einwilligungsabfrage gegeben werden kann. Und was ist nach Erteilung der Einwilligung, wenn dieses Popup nicht mehr zu sehen ist?

Stiftung Warentest

Die Buchstaben D bis R sind in der Buchstabensuppe untergegangen. Besser so, denn sonst gäbe es noch mehr Negativbeispiele.

Die Stiftung Warentest ist nach meinen Informationen aus Steuergeldern finanziert. Das soll sich womöglich bald ändern (die Gründe kenne ich nicht). Nur als Randnotiz sei erwähnt, dass die Stiftung Warentest ein besonders perfides Tracking auf ihrer Webseite test.de betreibt, indem dort der Einsatz des Trackers Webtrekk verschleiert wird. Statt Webtrekk direkt von der Adresse des Anbieters Webtrekk zu laden, nutzt die Stiftung Warentest die Adresse images1.test.de und routet diese Adresse heimlich auf eine von Webtrekk weiter. Dazu verwendet sie CNAME Cloaking. Aber es soll um die Einwilligungsabfrage gehen:

Wieder einmal kennt hier jemand die Regeln des Datenschutzes anscheinend nicht und redet von „Cookies und vergleichbaren Technologien“. Dass Suchbegriffe, etwa zu Artikeln über Krankheiten, völlig ohne Not an Webtrekk weitergegeben werden, hat nichts mit Cookies zu tun. Auch der Datentransfer in die USA ist keine Frage von Cookies.

Das Nudging auf den Button "Alle akzeptieren" ist gegeben. Damit wäre die Einwilligungsabfrage wohl bereits unwirksam. Noch bösartiger ist allerdings, dass „Auswahl bestätigen“ dasselbe bedeutet, außer, man klickt noch zwei weitere Male und wählt „Marketing“ und „Statistik“ ab.

Der LfDI schreibt hierzu in seinen FAQ (S. 23):

De LfDI bewertet folgende Angaben negativ (S. 25 der FAQ):

• "Diese Webseite mit Werbung und Cookies nutzen"
• "Cookies zustimmen"
• „Diese Webseite verwendet Cookies“ (obwohl umfangreiche Verarbeitungen oder Übermittlungen stattfinden)

Überraschend viel davon findet sich sinngemäß im "Cookie Popup" der Stiftung Warentest, die sich hoffentlich nicht in Stiftung Datentest umbenennt, denn dann hätte sie ihren Zweck völlig verfehlt.

Die Stiftung Warentest sollte sich selber mal einem Test unterziehen und sich danach mit dem Löschen von sich selbst beschäftigen.

Auch die Stiftung Warentest kennt das Widerrufsrecht nicht ausreichend. Sie erwähnt es nur, verrät aber nicht, wie der Widerruf abgesetzt werden kann. Per Brieftaube?

ZDF

Es fing mit A wie ADAC an und hört hier mit Z wie ZDF auf. Die Mainzelmännchen auf der Einwilligungsabfrage von zdf.de habe ich rein vorsichtshalber hier ausgepixelt.

Der LfDI bewertet die Überschrift „Wir benötigen Ihre Zustimmung“ negativ (S.25 der FAQ). Immerhin fragt das ZDF nicht nach „Ihrer“ Zustimmung, sondern nach „Deiner“. Vielleicht ist es dann nicht so schlimm.

Auch das Ablehnen ist wieder mal stark erschwert. Somit erscheint auch diese Einwilligungsabfrage rechtswidrig und somit ungültig. Kaum der Rede wert, dass das ZDF ebenfalls nicht weiß, dass die Angabe „Cookies und vergleichbare Technologien“ keine auch nur annähernd vollständige Aufzählung einwilligungspflichtiger Datenverarbeitungen darstellt.

ZDF: Viel Blabla, keine relevanten rechtskonformen Informationen. So könnte man diese Einwilligungsabfrage, die nach meiner Ansicht keine ist, nennen. Die Mainzelmännchen haben schon eine Anti-ZDF-Gewerkschaft gegründet, denn auch sie wurden enttäuscht. Nicht nur ich, sondern auch die Mainzelmännchen haben den Hinweis auf das Widerrufsrecht nicht gefunden. Der Mutige, der das Mini-Popup durch Scrollen erweitert, findet zwar einen abstrakten Hinweis, aber nichts Konkretes. Suchen hat eine heilende Wirkung, lautet wohl das Motto des ZDF und der anderen oben genannten Problemkinder.

Was sagt der Europäische Datenschutzausschuss?

Der EDSA hat die Opinion 03/2022 zu Dark Patterns veröffentlicht. Der EDSA stellt klar, dass humorvolle, und somit eine Datenverarbeitung verharmlosende, Aussagen in einer Einwilligungsabfrage wenig zu suchen haben (siehe Nummer 100 im EDSA-Papier) .

Auch stellte der EDSA fest, dass nicht der Eindruck erweckt werden darf, es gehe nur um Cookies. Vielmehr müsste das ganze Angebot in der Bäckerei dargestellt werden (Nummer 101).

Sogenannte Sackgassen, in denen der Nutzer das Gefühl hat, keine Wahl zu haben, außer "alles zu akzeptieren", sind nicht nur laut EDSA keine gute Idee (Nummer 102f).

Für all diese Feststellungen bedarf es eigentlich nicht einer Stellungnahme des EDSA. Der gesunde Menschenverstand ist aber leider keine Rechtsgrundlage.

Fazit

Die Webseiten von ADAC, BASF, Commerzbank, Stiftung Warentest und ZDF habe ich rein zufällig ermittelt. Es waren die ersten fünf von fünf zufällig ausgesuchten Webseiten. Ich musste also nicht lange suchen, um Datenschutz-Versager zu finden. Die Negativbeispiele, denen es schwerfällt, Datenschutzregeln einzuhalten, sind also:

• ADAC
• BASF
• Commerzbank
• Stiftung Warentest
• ZDF

Sicher wären bisher nicht genannte Datenschutzverstöße auf diesen Webseiten zu finden gewesen. Ich habe es mir hier erspart, noch mehr Zeit zu investieren bzw. die augenscheinlichen Verstöße öffentlich zu dokumentieren, die ich schon im Rahmen dieses Beitrags gefunden hatte.

Danke an den LfDI BW dafür, diese nützliche FAQ zu Cookies und Tracking erstellt zu haben. Ich habe derartiges in dieser Klarheit und Detailtiefe nur selten gesehen. Wenn es weitere solche Dokumente von anderen Behörden gibt, bin ich für einen Hinweis dankbar. Übrigens hänge ich nicht an den Lippen von Behörden, sondern sehe es oft noch strenger. Aber in den oben genannten Fällen scheint es völlig Übereinstimmung zu geben. Noch besser fände ich es, wenn Datenschutzbehörden wirksam sanktionieren würden.

In einem Punkt bin ich anderer Meinung als der LfDI BW (eventuell auch in weiteren, aber ich habe nicht die gesamten FAQ durchgelesen, da mir im Gegensatz zu den Firmen von A bis Z die Datenschutzregeln auf Webseiten hoffentlich besser bekannt sind).

Und zwar geht es um die Speicherung von Informationen in Server Log Files, die in den FAQ auf S. 14 benannt sind. Dort ist suggeriert, dass (volle) IP-Adressen (immer) in Server Logs gespeichert werden dürfen. Das ist falsch. Jedenfalls konnte mir niemand das Gegenteil zeigen. Mein Beitrag beschreibt, warum die anlasslose Protokollierung voller IP-Adressen nicht zu rechtfertigen ist. Bis zur Nennung eines Gegenbeispiels bleibt meine Haltung bestehen. Kennen Sie eines? Falls Sie sofort meinen, das wäre so, liegen Sie sicher falsch. Lesen Sie erst meinen Beitrag dazu und antworten Sie dann.

Zum Abschluss noch etwas Amüsantes in Form eines Kommentars eines Lesers dieses Beitrags auf einer Social-Media-Plattform:

Den Herrn hatte ich schon mal gebeten, seine Ansicht zu begründen. Wir hatten sogar einmal telefoniert. Es kam aber bisher keine Rückmeldung oder gar eine Begründung.

PS: Das Bild zu diesem Beitrag habe ich entfernt an das Titelbild der FAQ des LfDI angelehnt. Der LfDI würde aber wahrscheinlich widersprechen, wenn ich sagen würde, die beiden Bilder wären ähnlich…

PPS: Gut wäre es, wenn das Land Baden-Württemberg die Empfehlungen Ihres Landesdatenschutzbeauftragten einmal verinnerlichen würde.

An Cookies können sich manche Menschen aufgeilen, vor allem die Hersteller von sogenannten Cookie-Tools. Der Begriff ist schon falsch. Denn es geht um einwilligungspflichtige Vorgänge und nicht um Cookies. Wie man dem Urteil des LG München vom 20.01.2022 entnehmen kann, sind auch vermeidbare Dateiabrufe aus den USA einwilligungspflichtig. Es hätte übrigens nicht dieses Urteils bedurft, um das einzusehen. Der EuGH stellte es bereits in seiner als Schrems II bekannten Entscheidung fest.

Was sind Cookies und Cookie Tools?

Cookies sind keine Textdateien. Manche verstehen das nicht oder wollen unbedingt wissentlich falsche Begriffe weiter verwenden. Manchmal ist es schwer, über seinen Schatten zu springen und zuzugeben, dass der andere objektiv recht hat. Ich rede von einem Beweis im technischen Sinne. Das Schöne an Naturwissenschaften ist deren meist exakte Ausrichtung, ganz anders als in der Rechtswissenschaft. Letztere ist aufgrund ihrer Komplexität mit Schuld daran, dass wir in Deutschland beim Schutz persönlicher Daten noch nicht weiter vorne sind. Probleme werden eben oft wegdiskutiert.

Im Podcast geht es aber nicht um die juristische Einordnung von Cookies. Wir sprechen auch über Cookie-Tools. Ich erkläre in Kürze, warum diese regelmäßig für rechtswidrige Webseiten sorgen und warum das achte Weltwunder anderswo zu suchen ist. Stattdessen existieren reale rechtliche Gefahren, auf die wir ebenfalls eingehen.

Was ist PIMS?

Außerdem sprechen Frank und ich über PIMS. PIMS ist ein anscheinend erst vor nicht allzu langer Zeit kreierter Begriff. Er steht für eine zentrale Einwilligungsverwaltung. Der Gesetzgeber hat dieses Konzept in § 26 TTDSG verankert und sich zwei Jahre Zeit vorgeschrieben, eine Lösung zu finden. Die Wahrheit ist: Es wird keine Lösung geben. Mindestens, weil das Vorhaben gegen europäisches Recht verstößt. Sollten Lobbyisten die DSGVO in der Zwischenzeit vermurksen können, gibt es weitere Gründe praktischer Art für das Scheitern von PIMS.

Mir ist in der zweiten Folge des Podcasts übrigens ein kleiner Patzer unterlaufen. Er hat etwas mit Geografie zu tun. War noch nie meine Stärke

Das Interview mit Frank startet mit einem philosophischen Zitat, um den Anspruch etwas in die Höhe zu treiben. Frank hat mich hiermit überrascht. Wir sprechen vor dem Podcast immer nur ganz kurz über das allgemeine Thema und nicht über Details. So ist das Gespräch authentischer und hoffentlich lebhafter.

Wir werden in Zukunft nach Möglichkeit immer ein Zitat einbauen, so auch in der dritten Folge. Daraus entstehen immer spannende Gesprächsansätze. Übrigens werden wir recht häufig neue Folgen anbieten, um möglichst viele Themen behandeln zu können. Auch aktuelle Themen müssen dann nicht einen Monat lang liegenbleiben, sondern können direkt besprochen werden. Wir werden ab der vierten Folge mehrere Podcast-Plattformen unterstützen. Das war der Wunsch unserer Zuhörer. Dem sind wir nachgekommen.

Frank baut gerade eine Webseite zum Podcast. Dort werden die einzelnen Folgen verfügbar gemacht und Links auf die Plattformen bereitgestellt, auf denen wir vertreten sind. Außerdem bindet er einzelne Folgen lokal ein, für alle, die lieber den Download aus erster Hand bevorzugen. Die neue Webseite, unter der alle Infos zu Datenschutz Deluxe bereitgestellt werden, lautet DatenschutzDeluxe.de. Ganz nach dem inkrementellen Ansatz werden wir stückchenweise Verbesserungen einführen und dabei auch Rückmeldungen berücksichtigen. Neben Themenvorschlägen erreichen uns Eingaben zur gewünschten Länge der Folgen. Wir bleiben erst einmal bei 20 bis 25 Minuten Sendezeit. Eventuell gehen wir demnächst leicht höher, aber sicher nicht auf eine Stunde. Immerhin soll der Aufwand zum Schneiden der Podcast-Folgen beherrschbar bleiben.

Was sind Cookies und Cookie Tools?

Cookies sind keine Textdateien, sondern einwilligungspflichtige Vorgänge, die auf Webseiten verwendet werden. Cookie Tools sind Programme, die dazu dienen, die Einwilligung der Nutzer für diese Vorgänge einzuholen und zu verwalten.

Die dritte Folge unseres Datenschutz-Podcasts wurde gerade aufgenommen. Wir sprechen über Google Topics und Google FloC sowie über männliche Skifahrer, die Heavy Metal hören.

Weitere Anmerkungen zum Podcast gibt es im Beitrag zur ersten Folge. Die dritte Folge behandelt Google Topics und Google FloC.

Das TTDSG gilt seit dem 01.12.2021. Am 14. Mai 2024 ging es in das TDDDG über. Soweit ich es nachvollziehen konnte und es die Antwort der Tagesschau-Verantwortlichen verkündet, gilt das TDDDG auch für den öffentlich-rechtlichen Bereich. Falls das TDDDG hier nicht gilt, bin ich für eine Rückmeldung dankbar.

Der § 25 TDDDG ist die Umsetzung der ePrivacy-Richtlinie. Konkret regelt diese Rechtsvorschrift den Zugriff auf Endeinrichtungen von Nutzern, also etwa auf Smartphones oder Desktop PCs. Dieser Zugriff kann insbesondere in Form von Cookies erfolgen. Auch, wenn Cookies oft überhöht und als einziger kritischer Punkt gesehen werden, gehe ich hier nur auf Cookies ein.

Insgesamt könnte man der Tagesschau-Webseite aus meiner Sicht weitere Dinge vorwerfen, wie etwa die Nutzung eines CDN, welches der Problematik des Schrems II Urteils unterworfen ist und demnach nicht verwendet werden dürfte.

Update: Bisher hatte ich die drei folgenden Cookies nur INFOnline zugeordnet, nun auch AT-Internet, nachdem der NDR mir antwortete.

Die Tagesschau verwendet die Dienste INFOnline und AT-Internet zur Nutzermessung. Dabei kommen folgende Cookies zum Einsatz:

• atidvisitor: Funktionsdauer ca. 6 Monate. Wert: %7B%22name%22%3A%22atidvisitor%22%2C%22val%22%3A%7B%22vrn%22%3A%22-595936-%22%7D%2C%22options%22%3A%7B%22path%22%3A%22%2F%22%2C%22session%22%3A15724800%2C%22end%22%3A15724800%7D%7D
• atuserid: Funktionsdauer 13 Monate. Wert: %7B%22name%22%3A%22atuserid%22%2C%22val%22%3A%221654aadb-9bae-44bf-8e82-c5415077cd80%22%2C%22options%22%3A%7B%22end%22%3A%222023-02-14T17%3A47%3A55.759Z%22%2C%22path%22%3A%22%2F%22%7D%7D
• breakingNewsId: Funktionsdauer: Sitzung. Wert: 51fa5bcc-042f-4e20-ba90-68a9aaa1a24c

Ich schrieb die Tagesschau unter anderem deswegen an, um zu erfahren, warum diese Cookie-Nutzung angeblich einwilligungsfrei sei. Die Tagesschau antwortete mir. Die Antwort erfolgte wenige Tage nach meiner Anfrage. Da Mike Kuketz eine ähnliche Antwort auf eine womöglich andere Anfrage hin erhielt und die Antwort analysierte, gehe ich folgend nur auf die INFOnline und AT-Internet Cookies ein.

Cookies sind dann einwilligungsfrei, wenn sie unbedingt erforderlich sind, um "einen vom Nutzer ausdrücklich gewünschten Telemediendienst" zur Verfügung zu stellen, so das TDDDG.

Die Tagesschau argumentiert, dass es zur Ausübung des öffentlich-rechtlichen Auftrags unbedingt notwendig ist, Cookies zu verwenden. Die Argumentation wird also rein rechtlich geführt.

Wie ich nachfolgend zeigen möchte, sind Cookies in der oben genannten Ausprägung bereits aus technischen Gründen nicht erforderlich, um Besucher zu zählen, um die Nutzermessung mal etwas landläufiger zu beschreiben.

Untersuchung

Vorab möchte ich noch mitteilen, welche Zwecke für die oben genannten Cookies mir von der Tagesschau genannt wurden:

Zitat: "Hinsichtlich breakingNewsId gilt, dass diese Technik der Darstellung von Eilmeldungen dient." Angemerkt wurde direkt danach, dass dabei "keine personenbezogenen Daten erhoben und an Dritte weitergegeben" würden. Dies ist irrelevant, wie ein Blick in § 25 TDDDG verrät. Das TDDDG kennt hier keine Kategorie des Personenbezugs. Den kennt nur die DSGVO, die hier nicht zur Diskussion steht.

Für die Cookies atidvisitor und atuserid wurden mir gar keine Auskünfte zum Zweck gegeben, außer, dass es sich nicht um personenbezogene Daten handeln würde. Später erfuhr ich auf Nachfrage, dass es Cookies von AT-Internet seien. Ich würde diese Auskünfte bereits in der Datenschutzerklärung der Tagesschau-Webseite erwarten und nicht erst erfragen müssen. Dann aber auch auf meine Frage hin keine ordentliche Antwort zu erhalten, würde ich noch weniger erwarten. Dass Cookies keine personenbezogenen Daten speichern, ist bezüglich des TDDDG irrelevant. Zudem sind Cookies immer als personenbezogen anzusehen.

Meine Betrachtung wird zeigen, dass die genutzte Ausprägung des INFOnline Analysedienstes auf der Webseite tagesschau.de technisch in keinster Weise notwendig und somit nicht einwilligungsfrei ist. Somit läge eine rechtswidrige Nutzung auf tagesschau.de vor, da die Rechtsgrundlage, nämlich die Einwilligung, fehlt.

Die genannten Cookies betrachte ich dazu einfach nach den Kriterien Lebensdauer, Werteausprägung und Anzahl. Anschließend betrachte ich noch den Fall, dass Cookies gar nicht verwendet werden können oder die Lebensdauer der Cookies aus Gründen, die im Rechner des Nutzers zu finden sind, auf eine Sitzung beschränkt sind.

Update: Es gibt zusätzlich ein Cookie in der Domäne tagesschau.de, welches iom_consent heißt. Die Lebensdauer beträgt ca. 28 Tage. Wenn man dieses Cookie manuell löscht, wird es sofort wieder angelegt. Es ist also unmöglich, das Cookie durch Löschen zu entfernen. Man müsste schon sämtliche Cookies über den Browser blockieren, um dieses Cookie nicht mehr zu erhalten. Das geht im Firefox anscheinend nur über folgende Einstellung:

Diese Einstellung sorgt vielleicht für Ruhe wegen Cookies, sorgt aber für Webseiten, die nicht mehr funktionieren.

Lebensdauer der Cookies

Das INFOnline-Cookie auf tagesschau.de hat eine kurze Lebensdauer, die Cookies von AT-Internet haben eine maximale Lebensdauer von 13 Monaten. Somit kann ein Nutzer 13 Monate lang mithilfe eines Cookies wiedererkannt und nachverfolgt werden.

Zur Erinnerung: Die Tagesschau beruft sich darauf, zum Zweck der Nutzermessung Cookies einwilligungsfrei nutzen zu wollen. Zur Nutzermessung ist ein Betrachtungszeitraum von 13 Monaten nicht erforderlich. Mir liegen jedenfalls keinerlei Argumente des NDR vor, warum auf der Tagesschau-Webseite Nutzer 13 Monate lang nachverfolgt werden müssen. Warum reichen nicht zwei Wochen oder gar nur ein Tag oder eine Sitzung?

Unter Nutzermessung versteht die Verantwortliche „statistische Zwecke“ und nennt „Optimierungszwecke“ als Vorhaben (vgl. die Datenschutzhinweise auf tagesschau.de).

Ich habe den Verantwortlichen des NDR am 25.01.2022 gefragt, warum die Cookies derart lange Laufzeiten haben und warte auf eine Antwort. Mir als Informatiker ist völlig unklar, warum zum statistischen Nutzerzählen überhaupt Cookies verwendet werden müssen, geschweige denn welche mit einer Lebensdauer von 13 Monaten.

Die Antwort kam, aber ohne Begründung der Lebensdauer. Folgendes wurde mir mitgeteilt: „Die Funktionsdauer des Cookies von INFOnline ermittelt über den genannten Zeitraum etwaig wiederkehrende Visits ermittelt, die für die IVW-Messung notwendig sind.“ (Zitat unverändert, inklusive Rechtschreibfehler, widergegeben).

Die IVW schreibt übrigens selbst (Link bis 09.10.2024 vorhanden, danach nicht mehr), dass die Messung auf die Anforderungen des TDDDG umgestellt werden muss und dass Zählungen, die dem nicht entsprechen, nicht gewertet werden. Dies gilt für INFOnline. Was mit AT-Internet ist, ist eine andere, noch kritischere Frage, da dort zwei Cookies zum Einsatz kommen.

Wozu zwei Dienste notwendig sein sollen, um Nutzer zu messen, erschließt sich mir nicht. Die Tagesschau-Datenschutzerklärung schreibt: "Auf dieser Webseite werden Informationen über die Nutzung auch mit einem Verfahren von AT Internet in anonymisierter Form gesammelt und gespeichert." Der Fettdruck ist von mir und deutet auf eine Doppelmessung hin, die erst recht nicht als notwendig angesehen werden kann.

Anzahl der Cookies

Insgesamt werden mindestens drei Cookies für die Dienste INFOnline und AT-Internet auf tagesschau.de eingesetzt. Warum reicht nicht ein Cookie?

Aus technischer Sicht reicht generell immer ein Cookie (pro Dienst) aus, wenn der gespeicherte Wert nicht zu groß wird (das sind wohl 4096 Bytes, also ziemlich viel. Bei LocalStorage ist es noch viel, viel mehr). Man könnte mehrere Werte aneinanderhängen und hätte dann nur ein Cookie.

Warum zwei Dienste statt nur einem nötig sind, konnte mir nicht beantwortet werden.

Wozu überhaupt mehrere Werte pro Nutzer gespeichert werden müssen, ist mir zusätzlich unklar. Ich erhielt auf meine Frage nach den Cookie-Zwecken keine zufriedenstellende Antwort. Die Zwecke von zwei der drei Cookies blieben unklar.

Werte der Cookies

Die Werteausprägung der Cookies würde ein Jurist wohl als überschießend bezeichnen. Ich bezeichne die Werte als extensiv und in diesem Umfang nicht zu rechtfertigen. Offenbar werden Online-Kennungen in den Cookies gespeichert, die als personenbezogene Daten anzusehen sind (vgl. Art. 4 Nr. 1 DSGVO).

Warum reicht nicht ein kurzer Wert? Immerhin sollen angeblich nur statistische Erhebungen durchgeführt werden.

Übrigens können Statistik-Dienste wie Matomo oder Trackboxx ganz ohne Cookies arbeiten und Nutzer ausreichend gut analysieren. Sogar Google Analytics kann ganz ohne Cookies genutzt werden.

Milderes Mittel: Weniger invasive Cookies

Für mich steht fest, dass das Nutzerzählen selbst mit Cookies auf der Tagesschau-Webseite in einer Form hätte stattfinden können, die deutlich unkritischer ist als die aktuell vorgefundene Situation.

Die Verantwortliche hätte folgende Maßnahmen umsetzen können:

• Weniger Cookies verwenden, also nur eines oder zwei statt dreien bzw. nur ein Dienst statt zwei Diensten.
• Eine kürzere Cookie-Lebensdauer als 13 Monate verwenden.
• Gekürzte Cookie-Werte statt langer Werte mit dem Charakter einer Identifikators verwenden.

All dies wäre möglich, ohne dass erkennbare Nachteile bei der Nutzermessung entstünden. Alleine deshalb halte ich die aktuelle Ausprägung auf der Tagesschau-Webseite für nicht mit dem TDDDG vereinbar. Zudem scheint die Datenverarbeitung der Cookie-Werte wegen der möglichen milderen Mittel nicht mit der DSGVO vereinbar. Vgl. etwa die Grundsätze der Datenverarbeitung aus Art. 5 DSGVO.

Was passiert ohne Vorliegen von Cookies?

Wenn angeblich die INFOnline Messung der Nutzer der Tagesschau-Webseite (aus technischer Sicht) unbedingt auf Cookies angewiesen ist, was passiert dann, wenn diese Cookies nicht in Ansatz gebracht werden können?

Hierzu sind mehrere Szenarien möglich:

1. Ein Nutzer blockiert Cookies in seinem Browser. Immerhin besagt die Tagesschau-Datenschutzerklärung, dass die Webseite auch ohne Cookies genutzt werden kann. Dort wird auch beschrieben, dass Cookies im Browser durchaus blockiert werden können.
2. Ein Nutzer löscht Cookies nach einer Browser-Sitzung manuell. Das ist in Browsern wie dem Firefox von Mozilla einfach möglich.
3. Ein Nutzer löscht Cookies nach jeder Browser-Sitzung automatisch. Hierfür gibt es Hilfsprogramme wie CCCleaner. Aber sogar der Browser bietet derartige Funktionen von Hause aus.

Hierzu habe ich am 25.01.2022 den NDR-Verantwortlichen gefragt, wie die Tagesschau-Webseite diesem Problem begegnet, wenn die auf Cookies angewiesene Nutzermessung ganz ohne Cookies arbeiten oder mit einer Laufzeit von einem Tag statt 13 Monaten auskommen muss. Ich bin auf die Antwort gespannt.

Die Antwort kam wie folgt: "Das Löschen von Cookies nach einer Sitzung oder auch die Deaktivierung der Nutzungsmessung durch die Nutzer*innen führt dazu, dass die Messung nicht stattfinden kann, wodurch das Gesamtergebnis der Messung unscharf wird.". Das bestreite ich zunächst und gebe hierzu wie folgt Argumente.

Nutzermessung ohne Cookies

Die Messung ohne Cookies bringt laut IVW sogar bessere Ergebnisse als mit Cookies.

Anscheinend wissen die Verantwortlichen für die Tagesschau-Webseite doch, dass eine Nutzermessung auch ohne Cookies möglich ist. Denn in den Datenschutzhinweisen der Webseite steht:

„Die Nutzungsmessungen erfolgen mit und ohne Cookies unter Beachtung der gesetzlichen Vorgaben, insbesondere der DSGVO und der ePrivacy-Richtlinie.“

Für den von der Tagesschau-Webseite auch eingesetzten AGF-Zählpixel der Firma Nielsen schreiben die Verantwortlichen weiterhin: „Dabei wird – wie bei dem SZMnG-Verfahren – eine kleine Bilddatei bzw. ein JavaScript in abrufbare Internetseiten eingebaut, um die Messung der Videonutzung ohne Verwendung von Cookies zu ermöglichen.“

Anscheinend geht es also auch ohne Cookies. Ob es mit Cookies besser funktioniert, spielt an sich zunächst keine Rolle. Denn Nützlichkeit ist keine juristische Kategorie im Datenschutzrecht, wenn man das Prinzip des milderen Mittels zugrunde legt.

Rein technisch können Nutzer von anderen Nutzern durch deren IP-Adresse und den Browser User-Agent sehr gut unterschieden werden. Pseudonymisiert man diese Daten entsprechend und hält sie am besten nur für wenige Stunden, dann ist keine Einwilligung nach DSGVO erforderlich. Das TDDDG wäre in diesem Fall sowieso außen vor, da kein Zugriff auf die Endeinrichtung des Nutzers vorliegt. Sowohl IP-Adresse als auch User-Agent werden sowieso beim Abruf einer Webseite übertragen. Ein expliziter Zugriff auf diese Nutzerdaten erübrigt sich somit. Für Firmennetzwerke kann eine Unschärfe entstehen, wenn alle Mitarbeiter-Rechner synchron aktualisiert werden. Ob ein Mitarbeiter die Tagesschau-Webseite während der Arbeitszeit aufrufen darf, sei dahingestellt. Nur ein geringer Anteil aller Zugriffe auf die Tagesschau-Webseite dürfte über solche nach außen einheitlich wirkenden Firmennetzwerke erfolgen. Zudem können auch Einzelpersonen über die oben genannten Möglichkeiten Cookies eliminieren.

So oder so, die Nutzermessung wird nie ganz exakt sein, und sie muss es auch nicht sein. Wer wissen will, welche journalistischen Beiträge gut ankommen und welche nicht, kann und muss mit aussagekräftigen Tendenzen arbeiten. Ob 95% aller Besucher einen Artikel gelesen haben oder 87 %, dürfte nicht entscheidend sein. Zudem kann die Messung mit Cookies die Genauigkeit der Messung nicht erhöhen, wenn Nutzer Cookies deaktivieren.

Übrigens hat die öffentlich-rechtliche Niederländische Rundfunkanstalt NPO nach Umstellung auf eine Werbung ohne Cookies die Werbeeinnahmen um mehr als 60 % steigern können. Das berichtete zumindest der Deutschlandfunk. Dort wird allerdings auch berichtet, dass Nutzer ohne Cookies nicht mehr hätten erkannt werden können. Dass die letzte Aussage falsch ist, kann man technisch zeigen (siehe oben). Wahrscheinlich wusste es nur niemand bei den NPO-Verantwortlichen.

Nutzermessung innerhalb einer Sitzung

Wie dargestellt, können Cookies vom Nutzer entweder komplett blockiert werden oder (durch Browser-Konfiguration oder eingesetzte Hilfsprogramme) auf eine Sitzung begrenzt sein.

Ohne Cookies kann jedenfalls ohne Weiteres eine Nutzermessung innerhalb einer Sitzung stattfinden. Dazu kann einmal die Kombination aus IP-Adresse und Browser Fingerprint verwendet werden (aus Datenschutzgründen als zeitlich begrenzt rückführbarer Hashwert abgespeichert). Oder es können URL-Parameter verwendet werden, um eine Sitzung nachzuverfolgen. Der Webseitenbetreiber kann also ohne Cookies, mit milderen Mitteln, Nutzer zählen.

Das Zählen ohne Cookies ist sogar mit dem Vorteil behaftet, dass es nicht ausgeschaltet werden kann durch Mittel, die der Nutzer in der Hand hält.

Fazit

Ganz offensichtlich ist der konkret vorliegende Einsatz von INFOnline und AT-Internet auf tagesschau.de ohne Einwilligung nicht mit dem § 25 TDDDG vereinbar. Dies ist jedenfalls für jeden offensichtlich, der bereit ist, einzusehen, dass technische Gegebenheiten eine Rolle spielen, wenn Technik eingesetzt wird.

Die Anzahl, Lebensdauer und Wertausprägung der in der Verantwortlichkeit des NDR eingesetzten Cookies sind in keinster Weise technisch notwendig, um die vom NDR ins Feld geführten Zwecke zu erfüllen.

Unabhängig davon halte ich die vom NDR genannten Zwecke für irrelevant, weil das TDDDG diese Zwecke nicht berücksichtigt.

Dies erscheint mir ein klarer Fall für eine Untersuchung durch eine Datenschutzbehörde zu sein. Die Tagesschau-Verantwortlichen jedenfalls werden von sich aus wohl keine datenschutzfreundliche Ausgestaltung vornehmen. Vielleicht möchte jemand stattdessen lieber selber die Tagesschau in die Pflicht nehmen und zivilrechtlich dagegen vorgehen. Bei Behörden weiß man ja nie, was am Ende als Ergebnis herauskommt. Während manche Behörden engagiert sind, verstehen andere unter „Bearbeiten von Beschwerden“ auch den Erhalt mit daran anschließender Ablage.

Einleitung

Die Fragestellung ergab sich, als ich vor Gericht in einer nicht öffentlichen Anhörung gebeten wurde, als Sachkundiger auszusagen. In einem früheren Beitrag hatte ich bereits untersucht, ob Cookies als personenbezogene Daten anzusehen sind.

Seit dem 01.12.2021 ist die Fragestellung noch brisanter, weil das TTDSG gilt. In § 25 TTDSG wird geregelt, dass Cookies nur dann einwilligungsfrei sind, wenn sie unbedingt notwendig sind. Ich habe das hier etwas verkürzt dargestellt. Schauen Sie bei Bedarf in den überschaubaren Text des § 25 TTDSG.

Consent Tools müssen irgendwo abspeichern, ob ein Nutzer bereits eine Einwilligung erteilt hatte und wenn ja, wann. Auch sollte vermerkt werden, wenn ein Nutzer keine Einwilligung erteilt hat, also abgelehnt hat, dass einwilligungspflichtige Vorgänge stattfinden. Ebenso wichtig zu wissen ist, wann ein Nutzer eine vormals erteilte Einwilligung widerrufen hatte.

Einwilligungspflichtige Dienste

Einwilligungspflichtig sind beispielsweise folgende Dienste, wenn sie auf einer eigenen Webseite eingebunden werden:

• Google (Universal) Analytics: Egal, ob mit oder ohne Cookies, da Google Daten auch zu eigenen Zwecken verarbeitet und die Datenverarbeitung immer in den USA stattfindet.
• Externe Google Fonts: Hier versagen sogenannte Cookie Tools, weil sie so tun, als wären nur Cookies relevant für die Frage, ob eine Einwilligung erforderlich ist oder nicht (wohlwollend kann den Anbietern dieser Dienste unterstellt werden, dass sie zu wenig von Datenschutz verstehen; böswillig würde man hingegen unterstellen, dass die Anbieter von Cookie Tools in erster Linie Geld verdienen möchten und außerdem wenig Ahnung von Datenschutz haben).
• Dienste mit Servern in den USA oder von Anbietern aus den USA oder von Anbietern mit einer Muttergesellschaft aus den USA: Siehe EuGH-Urteil zum Privacy Shield und Art. 44ff DSGVO.

Cookie-Dienste versagen vollständig bei Diensten wie Google Fonts, die bis dato keine Cookies nutzen. Die Cookie-Dienste können diese externen Schriften nicht wirksam blockieren und wollen es deswegen auch gar nicht, ist meine Vermutung. Sie können es aus technischer Sicht nicht, wie ich bereits gezeigt habe. Sie können es aber auch aus rein fachlicher Sicht bereits nicht. Stellen Sie sich eine Webseite vor, die nicht in der vorgedachten Schriftart, sondern in einer nicht vorhersehbaren Ersatzschrift angezeigt wird. Das möchte niemand. Statt Schriften lokal einzubinden, lassen sich Webseitenbetreiber lieber falsch beraten oder beraten Agenturen lieber falsch. Bei manchen fehlt einfach die Lust, oder es scheitert an Programmierkenntnissen, die bei Experten für Webseiten erwartet werden dürften, wie ich finde.

Ein Cookie für die Einwilligung

In Art. 7 Abs. 1 DSGVO ist gefordert, dass Webseitenbetreiber nachweisen können müssen, dass ein Besucher in etwas eingewilligt hat. Unter uns: Dieser Nachweis kann kaum geführt werden. Nimmt man die IP-Adresse, scheitert das bei vielen an wechselnden IP-Adressen oder teilweise an gemeinsam genutzten IP-Adressen (Wohngemeinschaft). Die Browser-Kennung (User Agent) ist nicht selten nur für einige Tage brauchbar. Hingegen ist das Nachverfolgen von Nutzern mittels sämtlicher Verkehrsdaten mit hoher Wahrscheinlichkeit möglich. Hier reicht eine logische Herleitung und Wahrscheinlichkeitsbetrachtung. Google muss schließlich nicht jemandem gegenüber beweisen, dass Nutzer X der Nutzer von mir 2 Wochen ist. Der Verantwortliche für eine Webseite muss im Zweifel aber hart beweisen (nachweisen) können, dass Nutzer X vor 2 Wochen einwilligte. Wie das gehen soll, erschließt sich mir noch nicht. Ich warte mal den ersten Fall ab und berichte dann gerne darüber.

Technisch wichtiger als der rechtliche Nachweis ist das Vermerken des Einwilligungsstatus für den Webseitenbetreiber. Denn der Nutzer soll nicht dauernd das Cookie-Popup präsentiert bekommen, sondern am besten unsichtbar und am liebsten möglichst unbemerkt nachverfolgt werden.

Dafür wird ein Cookie verwendet. In diesem Cookie können die vom Nutzer erteilten Einwilligungen gespeichert werden. Ein solches Cookie könnte beispielsweise folgende Werte speichern:

Zeitpunkt der Einwilligung: 04.01.2022 10:33:44 Uhr
Erteilte Einwilligungen: Tool 1; Tool 4

Gespeichert wird also der Zeitpunkt der Einwilligung sowie der Umfang dieser. Hier denke ich, dass dieses Cookie technisch notwendig und somit einwilligungsfrei ist.

Anstatt „Tool 1“ oder „Tool 4“ sind in Wirklichkeit die Zwecke zu speichern, in die eingewilligt wurde. Die Zwecke sind auf Webseiten oft mit Diensten (Tools) identisch. Schließlich willigt niemand in Cookies ein, sondern in Dienste, die diese Cookies verwalten. Diese Erkenntnis hat sich allerdings bei vielen, auch bei Anbietern von Cookie-Diensten, noch nicht durchgesetzt. Das führt zu regelmäßig rechtswidrigen Einwilligungsabfragen und somit zu ungültigen Einwilligungen.

Das Speichern einer selbst generierten Identifikation, die den Einwilligungsvorgang kennzeichnet, kann wohl auch als technisch notwendig angesehen werden. Denn so kann (wenigstens) dann ein Nachweis über die erteilte Einwilligung geführt werden, wenn ein Nutzer seine Identifikation kennt. Diese kennt der Nutzer dann, wenn das Cookie zum Speichern der Einwilligung noch im Browser des Nutzers gespeichert ist.

Würde diese Einwilligungs-ID nämlich nicht gespeichert werden, ist der Nachweis der Einwilligung bei von mehreren Nutzern gemeinsam genutzten Netzwerken noch weniger möglich. Die Einwilligungs-ID wird oft auch als Cookie ID, Cookie Key oder Consent Key bezeichnet. Die ersten beiden Bezeichnungen (Cookie ID und Cookie Key) halte ich für irreführend und somit für falsch. Aber zumindest verstehen viele diese Begriffe.

Weil eine Einwilligungs-ID explizit auf einen Nutzer rückgeführt wird, ist sie ein personenbezogenes Datum. Wer Einwilligungs-IDs verwaltet, verarbeitet also personenbezogene Daten. Wenn ein Dritter dies tut, wäre es für den Verantwortlichen besser, mit dem Dritten einen AVV abgeschlossen zu haben. Anbieter wie Cookiebot lehnen AVVs ab, soweit ich weiß.

Ein Cookie für die Ablehnung

Möchte ein Nutzer in nichts einwilligen, lehnt er somit ab. Die Ablehnung ist nicht der Widerruf. Der Widerruf einer Einwilligung bedingt, dass zuvor eine Einwilligung erteilt wurde. Die Ablehnung bedeutet, dass gar keine Einwilligung erteilt wurde.

Ablehnen heißt also in etwa, auf einen Button wie "nur notwendige Cookies" zu klicken. Ich nenne dieses plakative Beispiel, auch wenn die Begriffe falsch sind. Denn niemand willigt in Cookies ein, sondern in Zwecke und somit auf Webseiten meist in Dienste, die Cookies verwalten. Wahrscheinlich niemals willigt jemand direkt in ein Cookie ein, denn ein Cookie ist kein Selbstzweck.

Lehnt ein Nutzer also alle Datenverarbeitungen zu technisch nicht notwendigen Zwecken ab, sollte dies im Interesse des Webseitenbetreibers ebenso vermerkt werden. Denn ansonsten würde dem Nutzer jedes Mal das sowieso schon nervige „Cookie-Popup“ präsentiert. Ich verwende hier wieder den falschen Begriff „Cookie-Popup“, weil er sich eingebürgert hat, obwohl er als falsch, weil zu kurz gegriffen, zu bezeichnen ist.

Eine Ablehnung muss nicht nachgewiesen werden. Warum auch? Es wurden deswegen schließlich gerade keine Datenverarbeitungen durchgeführt! Logischerweise muss auch keine Einwilligungs-ID gespeichert werden. Vielmehr reicht ein kurzer Merker, dass ein Nutzer vollständig alle nicht notwendigen Datenverarbeitungen abgelehnt hat. Dieser Merker wird von Technikern auch als Flag bezeichnet.

Etwas anderes ist es, wenn ein Nutzer irgendwann eingewilligt und dann die Einwilligung widerrufen hat. Hier sollte der Zeitraum der Einwilligung dokumentiert werden. Ansonsten kann der Nachweis der Einwilligung nicht ordentlich geführt werden.

Leider halten sich viele Consent Tools nicht daran, Ablehnungen nur minimal zu speichern.

Beispiel Cookiebot:

Dieser sogenannte Cookie Dienst vermerkt in einem Cookie mit dem Namen CookieConsent folgendes, wenn ich bei einem Erstbesuch auf einer Webseite X alles ablehne, also keinerlei Einwilligung erteile.

{stamp:%277RyAJL+h2qchl9uUKRZrH4tXCfHuWi2+G4WAcwo6SdL3FRshcaUIrg==%27%2Cnecessary:true%2Cpreferences:false%2Cstatistics:false%2Cmarketing:false%2Cver:1%2Cutc:1241287506672%2Cregion:%24de%27}

Mir fehlt das Verständnis, warum derart viele Informationen über meine Ablehnung aller technisch nicht notwendigen Datenverarbeitungen gespeichert werden müssen, wenn folgende Information ausreichen würde:

0

Die Zahl null könnte auch durch ein anderes Zeichen oder eine kurze Zeichenfolge ersetzt werden. beispielsweise durch das Minus-Zeichen, durch die -1 oder durch "NEIN".

Beispiel Borlabs Cookie:

Auch dieses Cookie-Tool trägt den Namen "Cookie" im Namen. Ein für mich untrügliches Zeichen, dass der Anbieter wenig von Datenschutz versteht oder seinen Kunden nicht verraten will, wo die Probleme mit dem Cookie-Tool liegen.

Borlabs Cookie speichert bei völliger Ablehnung aller nicht notwendigen Datenverarbeitungen folgende Informationen über meine Entscheidung auf der Webseite xyz-anonymisiert.de:

%7B%22consents%22%3A%7B%22essential%22%3A%5B%22borlabs-cookie%22%5D%7D%2C%22domainPath%22%3A%22www.xyz-anomymisiert.de%2F%22%2C%22expires%22%3A%22Wed%2C%2004%20Jan%202013%2109%3A15%3A54%20GMT%22%2C%22uid%22%3A%22zw4l10at-rk7oxdde-4od23o3h-c2dze5p4%22%2C%22version%22%3A%221%22%7D

Offensichtlich soll hier die Encyclopedia Britannia nachgebildet werden. Auch hier hätte ein verkürzter Wert wie "-“ gereicht.

Beispiel iubenda:

Bereits ohne Nutzeraktion wird folgendes Cookie erstellt (Stand: 04.01.2022, genau wie alle anderen Angaben, sofern nicht anders angegeben):

_iubenda_session: AXh7B0kiD3Nlc3Npb25faWQGOgZFVEkiJTc5YTkxMmU0NzE1MmRmM2Q4MmMzNTU1MTJlNmJiNTI3BjsAVEkiEF9jc3JmX3Rva2RuBjsARkkiMVYxb2dXaThmbWJkVU9YU3JsQ1Vaa0dxOWl6QUtIb0x4b0VseXgweWdiN3M9BjsARg%3D%3D--ce6b9683ce775ffba213c1e397729b0e2b23741d

Dieses Verhalten konnte ich auf der Webseite des Anbieters feststellen. Eine falsche Integration des iubenda-Scripts kann also ausgeschlossen werden (bzw. wenn der Anbieter bereits daran scheitert, ist das kein gutes Zeichen).

Nachdem ich abgelehnt hatte, also keine einzige Einwilligung erteilte, wird ein zweites Cookie von iubenda angelegt. Es hat folgenden Inhalt:

_iub_cs-33725009: %7B%22timestamp%22%3A%222022-01-04T10%3A19%3A16.642Z%22%2C%22version%22%3A%221.35.3%22%2C%22purposes%22%3A%7B%221%22%3Atrue%2C%222%22%3Afalse%2C%223%22%3Afalse%2C%224%22%3Afalse%2C%225%22%3Afalse%7D%2C%22id%22%3A78728009%2C%22cons%22%3A%7B%22rand%22%3A%225db271%22%7D%7D

Das macht die Sache nicht besser. Scheinbar nimmt es iubenda mit der Datensparsamkeit nicht so genau. Ich sehe hier einen Verstoß gegen das TTDSG.

Beispiel UserCentrics:

Auch hier gibt es keine Überraschung. Der Cookie-Dienst verhält sich bezüglich der Speicherung von Einwilligungsinformationen genauso schlecht wie die anderen Beispiele.

Ruft man eine Webseite auf, die UserCentrics als CMP nutzt, setzt UserCentrics gleich zu Beginn und ohne mir ersichtliche Motivation drei Monster-Cookies:

ucConsents: {"settings":{"settingsId":"INAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","buttonPrivacyOpenIcon":"","buttonPrivacyCloseIcon":"","buttonPrivacyOpenIconUrl":"","bannerMobileDescription":"","consentSharingIFrameUrl":"","ban
ucSettings:{"INAdE4pxP":{"usercentrics":{"curentOpenedDomainCounter":"1","settingsIds":["INAdE4pxP"],"firstUserInteraction":{"value":1,"stateSaved":false},"settings":{"settingsId":"INAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","butto
usercentrics: {"curentOpenedDomainCounter":"1","settingsIds":["INAdE4pxP"],"firstUserInteraction":{"value":1,"stateSaved":false},"settings":{"settingsId":"IAdE4pxP","version":"19.1.30","isLatest":true,"buttonDisplayLocation":"bl","moreInfoButtonUrl":"","actionClickOnViewConsentInSearchApp":"","layout":"layout-1","privacyModal":1,"urlConsentInfo":"","stylesCss":"#usercentrics-button #uc-consents-info-modal .uc-modal-header,\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tbackground-color: #3d3d3d;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-modal-header .uc-info-modal-search-bar input {\n\tborder-color: #eee;\n}\n\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar,\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbackground-color: #eee;\n}\n#usercentrics-button #uc-consents-info-modal .uc-info-modal-sidebar .uc-powered-by {\n\tbox-shadow: none;\n}","buttonPrivacyOpenIcon":"","button

Die Werte der Cookies sind derart lange, dass die Zwischenablage beim Kopieren und Einfügen die Daten abschneidet. Bei einer solchen Datenmenge möchte ich am liebsten den Kopf gegen die Wand schlagen, aber nicht meinen eigenen. Es tut einfach nur weh, so etwas zu sehen.

Die Werte werden in der LocalStorage (Web Storage) des Browsers des armen Webseitenbesuchers gespeichert, was gleichbedeutend mit „Super Cookie“ ist. Es handelt sich um ein First Party Cookie mit potentiell riesiger Datenkapazität. Das macht es nicht besser. Zum Glück sind heutige Festplatten so riesig, denn ansonsten würden Webseiten, die UserCentrics einsetzen, womöglich dauernd abstürzen.

Nach erteilter Einwilligung bleibt die Datenmenge wohl ungefähr gleich. Genau konnte ich es wegen der riesigen Datenmenge nicht prüfen.

Vielleicht möchte UserCentrics mal die Programmierer wechseln. Dann werden die Probleme womöglich weniger.

Cookies vor Anklicken des Cookie-Popups

Mit großem Erstaunen stellte ich auf einer Webseite fest, dass die dort eingebaute Einwilligungsabfrage Cookies setzte, bevor ich etwas anklickte. Das Cookie Popup war also zu sehen, aber ich als Besucher der Webseite habe noch gar nichts getan. Ich erteilte weder eine Einwilligung, noch eine Ablehnung, noch klickte ich etwas an noch berührte ich meine Tastatur.

Das Popup stand also da und fragte nach meiner Einwilligung. Dennoch wurden folgende Cookies bereits gesetzt:

dsgvoaio_formidable_rv2: false
dsgvoaio: dsgvoaiowp=!mycustomservice=true!soundcloud=wait!vimeo=wait!youtube=wait

Was das soll, wage ich lieber nicht nachzufragen, denn die Antwort kann nur unbefriedigend ausfallen.

Fazit

Bei Nichterteilung einer Einwilligung reicht eine verkürzte Speicherung des Nutzerwunsches aus. Dies gilt zumindest, wenn ein Nutzer eine Webseite zum ersten Mal besucht. Ein Folgebesuch einer Webseite, der stattfindet, nachdem relevante Cookies im Browser gelöscht wurden, gilt in diesem Sinne als erster Besuch.

Viele Nutzer lassen durch Hilfsprogramme oder durch Browser-Einstellungen die Cookies auf ihrem System regelmäßig löschen, um ihre Privatsphäre besser zu schützen. Wie dann eine zuvor erteilte Einwilligung nachgewiesen werden soll, bleibt mir rätselhaft. Ich freue mich auf den ersten Fall. Hier ein fiktiver Dialog zwischen Webseitenbetreiber als Verantwortlichem und Besucher der Webseite als betroffene Person:

• Betroffene Person: Weisen Sie mir nach, dass ich am 27.12.2021 auf Ihrer Webseite eingewilligt habe, dass Google reCAPTCHA genutzt werden darf
• Verantwortlicher: Bitte nennen Sie mir Ihre Cookie-ID. Diese finden Sie, wenn Sie unsere Datenschutzerklärung unter xzy-anonymisiert.de/datenschutz aufrufen
• Betroffene Person: Ich finde da keine Cookie-ID.
• Verantwortlicher: Merkwürdig. Haben Sie etwa Ihre Cookies gelöscht?
• Betroffene Person: Ja, das passiert automatisch, wenn ich meinen Computer herunterfahre
• Verantwortlicher: Dann können wir Ihnen nicht helfen
• Betroffene Person: Sie müssen mir den Nachweis über meine damals erteilte Einwilligung erbringen. Wenn Sie das nicht können, habe ich damit ein Problem. Wo steht eigentlich, dass ich meine Cookies nicht löschen darf? Wollen Sie mich etwa zwingen, alle Cookies auf meinem Rechner dauerhaft zu speichern, damit Sie und andere mein Verhalten im Internet ausspionieren können?
• Verantwortlicher: keine Antwort
• …
• Das Gericht stellt nach Klageerhebung fest, …

Cookie-Popups, die Cookies erzeugen, bevor etwas eingewilligt oder abgelehnt wurde, sollten vom Markt genommen werden.

Ebenso verfehlt sind Cookie Popups, die eine völlige Ablehnung des Nutzers in epischer Länge abspeichern anstatt ein einzelnes Zeichen oder eine kurze Zahl dafür zu verwenden.

In Art. 6 DSGVO sind die Rechtsgrundlagen genannt, nach denen eine Datenverarbeitung erlaubt ist. Für Webseiten gibt es im Wesentlichen genau zwei Gründe, warum eine Datenverarbeitung erlaubt sein kann.

Der erste Grund ist eine vom Besucher der Webseite freiwillig erteilte Einwilligung. Diese wird auch als Consent bezeichnet und kann vom Erteilenden jederzeit wieder entzogen werden.

Der zweite Grund ist das berechtigte Interesse des Betreibers einer Webseite.

Weil an Einwilligungen erhebliche formale Voraussetzungen geknüpft sind und die Einwilligungsabfrage gerne vermieden wird, versuchen viele, das berechtigte Interesse als Legitimation anzuführen. Dieses wird auch als Ausrede verwendet, wenn einem gar nichts mehr einfällt, etwa bei der Beantwortung einer Betroffenenanfrage oder in einer juristischen Auseinandersetzung.

Wofür bedarf es eigentlich einer Einwilligung?

Cookies

Ziemlich eindeutig ist die Lage, wenn auf einer Webseite Cookies eingesetzt werden, die technisch nicht notwendig sind. Dazu gehören sämtliche Cookies, die nicht wirklich absolut notwendig sind. Als wirklich notwendig können beispielsweise Cookies zur Sitzungsverwaltung oder zur Abrechnung mit der VG Wort für die Berechnung einer gesetzlich verankerten Autorenvergütung angesehen werden.

Alles, was zum Nachverfolgen von Nutzern dient, also zum Abzählen von Nutzern, muss erst einmal kritisch hinterfragt werden und ist m.E. garantiert nicht notwendig, wenn die Cookie-Lebensdauer über 24 Stunden hinausgeht.

Die Rechtsgrundlage für die Notwendigkeit einer Einwilligung beim Einsatz von Cookies ist in Art. 5 Abs. 3 ePrivacy Richtlinie bzw. neuerdings im § 25 TTDSG geregelt. Das TTDSG besagt allerdings, dass Cookies für das Nachverfolgen von Nutzern technisch nicht notwendig sind, denn Sitzungs-Cookies zum Zählen von Nutzern sind nicht notwendig, "damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann." Ähnliches ist in der ePrivacy Richlinie genannt, denn das TTDSG orientiert sich sehr eng am Wortlaut der genannten Richtlinie.

Unnötige Datentransfers

In Art. 5 Abs. 1 c DSGVO ist das Gebot der Datenminimierung genannt. Demnach muss eine Datenverarbeitung dem Zweck angemessen und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Auch Art. 25 DSGVO bedingt eine datenschutzfreundliche Ausgestaltung.

Ein Beispiel für unnötige Datentransfers sind auf einer Webseite eingebundene Bilder, die von einem Dritt-Server geladen werden. Selbstverständlich kann ein Bild auch auf dem eigenen Server abgelegt werden. Beim Abruf von einem anderen Server werden Verkehrsdaten inklusive der Netzwerkadresse des Nutzers zu einem Dritten übertragen. Weil die Netzwerkadresse als personenbezogenes Datum gilt, ist ein solcher Datentransfer zunächst nicht erlaubt. Es ist also anders herum als viele meinen: Datentransfers zu Dritten sind an sich nicht erlaubt und nur im zu betrachtenden konkreten Einzelfall möglicherweise zulässig.

Kritische Datentransfers

Als kritisch bezeichne ich hier Datentransfers in unsichere Drittländer. Ein unsicheres Drittland ist jedes Land, für welches die DSGVO nicht gilt und für welches kein Angemessenheitsbeschluss durch die Europäische Kommission existiert. Auch gilt dies nach meiner Einschätzung für Angemessenheitsbeschlüsse, die nicht haltbar erscheinen. Beispielsweise ändert kein Beschluss der Europäischen Kommission etwas daran, dass die USA Daten europäischer Bürger aus Sicht der DSGVO rechtswidrig verarbeiten.

Mit Anbietern aus unsicheren Drittländern können Standardvertragsklauseln (SCC) oder verbindliche Unternehmensregeln (CBR) abgeschlossen werden, um das Problem zu heilen. Dies geht jedoch nur, wenn die nationale Gesetzgebung derartige Vereinbarungen respektiert. In den USA ist dies nicht der Fall. Solange es Cloud Act, FISA und EO 12333 gibt, lautet die Antwort auf die Frage, ob Datentransfers zu Dritten in die USA ohne Einwilligung erlaubt sind, immer: Nein.

Artikel 44 DSGVO und folgende Artikel dort nennen die Anforderungen. Eine Einwilligung für risikobehaftete Datentransfers darf nur ausnahmsweise und nicht dauernd auf eine Einwilligung gestützt werden, wie Artikel 49 DSGVO verrät. Hiergegen verstößt nahezu jede Webseite, die eine Einwilligung für Tools amerikanischer Anbieter abfragt., beispielsweise für den Facebook Pixel oder für Google Analytics.

Ein kritischer Datentransfer findet beispielsweise beim Abruf einer Datei von einem Server eines amerikanischen Anbieters statt. Auch hier gilt, dass immer die Netzwerkadresse des Nutzers als personenbezogenes Datum übertragen wird.

Ausflug: Einwilligungslösungen

Anscheinend wollen es viele nicht zur Kenntnis nehmen, oder sie wissen es nicht. Beides ist gleich schlimm: Consent Tools von OneTrust und UserCentrics funken potentiell Daten in die USA, und zwar dann, wenn die Scripte zum Aufbau der Einwilligungsabfrage geladen werden (siehe die hier verlinkten Praxistests, die zeigen dass in der Praxis OneTrust und UserCentrics contra DSGVO zu werten sind).

Demnach bedürften die Einwilligungsabfragen von OneTrust und UserCentrics selbst einer Einwilligung, bevor dieses nervige und oft stark mangelbehaftete sogenannte Cookie Popup eingeblendet wird.

Technisch notwendige Dienste

Ein digitaler Dienst wird auch als Tool bezeichnet. Dienste in diesem Sinne sind etwa Matomo, Google Maps, OpenStreetMap oder externe Schriften. Die Bezeichnung Dienst ist hier also im Weitesten Sinne gemeint und schließt auch externe Bilder ein. Die Bezeichnung kann durch das englische Wort "to serve" gerechtfertigt werden. Ein Server ist somit ein Diener oder Bediener. Jeder Abruf von einem externen Server bedeutet insofern die Nutzung eines Dienstes. Hierin eingeschlossen ist auch das reine Senden von Daten an einen Server, wobei also keine Antwort vom Server erwartet wird (Beispiel: Tracking-Daten durch Google Analytics an einen Google Server senden).

Die gerade besuchte Webseite selbst kann auch als Dienst angesehen werden. Die Bereitstellung einer im Browser angeforderten Webseite ist offenbar technisch notwendig, wenn jemand diese Webseite anbieten möchte. Hierfür bedarf es keiner Einwilligung.

Beliebige Dateiabrufe von einem eigenen Server, die sowohl keine Datenweitergabe an Dritte als auch keine zusätzliche Datenverarbeitung als die durch die Bereitstellung der Webseite sowieso schon erlaubterweise stattfindende bedeuten könnten, sind unkritisch und bedürfen keiner Einwilligung.

Ansonsten sind zunächst keine weiteren Dienste technisch notwendig. Jede Webseite kommt an sich erst einmal ohne weitere Dienste aus. Bindet eine Webseite eine Terminverwaltung eines anderen Anbieters an, kann diese aufgrund des Zwecks der Webseite ggfs. technisch notwendig sein. Allerdings darf dann erwartet werden, dass ein AVV mit dem Anbieter der Terminverwaltung geschlossen wurde und der Anbieter sich vollständig und garantiert der DSGVO unterwirft. Anbieter aus unsicheren Drittländern scheiden hier also aus, sofern keine Einwilligung eingeholt werden will.

Wird unbedingt eine Terminverwaltung benötigt, dann hat der Betreiber der Webseite einen Anbieter zu suchen, der datenschutzkonform ist. Findet sich kein solcher Anbieter, dann hat der Betreiber der Webseite entweder auf die Terminverwaltung zu verzichten oder selber eine zu entwickeln. Letzteres kann meiner Erachtens zugemutet werden. Bzw. spielt diese Einschätzung letztendlich keine Rolle. Wenn Sie keinen Parkplatz finden, um von dort zum Supermarkt zu laufen und einkaufen zu gehen, dürfen Sie deswegen nicht falsch parken. Es spielt keine Rolle, ob Sie wegen eines nicht vorhandenen regulären Parkplatzes nicht einkaufen gehen können. Höchstens in einem Notfall könnte man im Einzelfall argumentieren, dass ein Falschparken tolerabel ist. Dieser Einzelfall kommt aber auf Webseiten quasi nie vor, denn eine Webseite richtet sich mit ihrem gesamten öffentlich zugänglichen Angebot automatisch immer an zahlreiche potentielle Nutzer.

Übrigens bietet Cookiebot selbst keinen AVV an, weil der Anbieter Cybot meint, dies wäre nicht notwendig, weil gar keine personenbezogenen Daten durch Cookiebot verarbeitet werden würden. Dies ist natürlich Bullshit und zeugt von erheblicher Unkenntnis in Datenschutzfragen.

Kurzum, gibt es kaum technisch notwendige Dienste. Je nach Art der Webseite kann die ein oder andere benötigte Funktion wichtig sein, muss dann aber datenschutzkonform umgesetzt werden. Kein voller Datenschutz wegen angeblich wichtiger Funktion scheidet jedenfalls als Argument aus.

Technisch notwendige Cookies

Die meisten Cookies sind absolut nicht notwendig. Dies beginnt schon damit, dass Cookies nicht einfach so existieren, sondern von Diensten erzeugt und genutzt werden. Diese Dienste sind aber, wie eben geschildert, in den meisten Fällen technisch nicht notwendig. Somit sind auch die allermeisten Cookies technisch nicht notwendig.

Die technisch notwendigen Cookies lassen sich an weniger als einer Hand abzählen. Dazu gehören:

• Cookies zur Sitzungsverwaltung
• VG Wort Cookies zur Verrechnung der Autorenvergütung
• Cookies zur Speicherung von Nutzereinstellungen, wie etwa der Sprache
• Zur Absicherung können Cookies notwendig sein, aber nicht unbedingt anlasslos. Siehe CSRF Tokens
• Mehr fällt mir erst einmal nicht ein

Die Sitzungsverwaltung schließt die Möglichkeiten ein, dass Redakteure, Administratoren, aber auch Nutzer eines Online Shops sind anmelden können. Auch schließt die Sitzungsverwaltung die Verwaltung eines Warenkorbs mit ein.

Die VG Wort Cookies sind deshalb notwendig, damit sowohl Betrug als auch das doppelte Erfassen von schnell hintereinander erfolgenden Zugriffen durch dieselbe Person (halbwegs wirksam) erkannt werden können.

Für mehrsprachige Webseite kann auch ein Cookie zum Vermerken der gewählten Sprache sinnvoll sein. Diese Sprachsteuerung wäre auch ohne Cookies möglich, wäre dann aber möglicherweise umständlicher und bedürfte von Anfang an der Wahl einer geeigneten Struktur der Webseite. Beispielsweise müssten URL-Pfade auf Inhalte so gewählt sein, dass die Sprache im Pfad kodiert ist. Andererseits müsste dann für jede Seite eine Ausprägung pro angebotener Sprache existieren, damit immer klar ist, in welchem Sprachraum sich ein Nutzer gerade bewegt.

Auch andere Einstellungen, die ein Nutzer auf einer Webseite vornehmen kann, sind denkbar. Hierzu gehören außerdem die Entscheidung über Datenschutzeinstellungen (Consent). Opt-Out Cookies hingegen, die von Dritten ausgelesen werden, halte ich für nicht zulässig. Denn ein optionaler Dritt-Dienst, der geladen wird, um danach doch nichts tun zu sollen, hat keinen Sinn und ist somit nicht notwendig. Er darf gar nicht erst geladen werden, wenn der Nutzer das nicht möchte.

Fazit

Ich behaupte bis auf Weiteres, dass sämtliche Drittanbieter-Cookies immer einer Einwilligung bedürfen. Ein AVV ist schon das Mindeste, was erwartet werden darf. Dann nämlich ist der Dritte kein solcher mehr, sondern ein Erster. Bitte schreiben Sie mir, wenn Sie einen Fall sehen, wo ein Drittanbieter-Cookies technisch notwendig sei, wenn also kein AVV vorliegt!

Gleiches gilt für Datenabrufe von Dritten. Mir fällt bis auf den VG Wort Zählpixel oder ähnliche Konstellationen gesetzlich geregelter Vorgaben kein Beispiel ein, dass ein Datenabruf ohne AVV zulässig wäre, weil dieser unvermeidbar sei. Bitte nennen Sie mir ein Beispiel, wenn Sie eines kennen.

Dieser Beitrag soll zur Diskussion anregen und erhebt (noch) nicht den Anspruch, alle Konstellationen berücksichtigt zu haben. Ich vermute aber, dass ich mindestens nah dran an der Wahrheit bin, wenn sie nicht sogar schon direkt getroffen wurde.

Weitere Beiträge zu Einwilligung, Consent-Tools und Alternativen ohne Banner finden Sie in der Übersicht Cookies und Einwilligung.