Einleitung

Am 14. Mai 2024 ging das TTDSG in das TDDDG über. Der § 26 TDDDG führt eine zentrale Einwilligungsverwaltung ein. Diese wurde vermehrt als PIMS bezeichnet. PIMS ist eine Abkürzung, die mir jedenfalls bislang unbekannt war. Seitdem gibt es mehrere Varianten der Abkürzung, nämlich unter anderem Personal Information Management System, Privacy Information Management Service oder Kombinationen der Variationen.

Kürzlich las ich in einer juristischen Fachzeitschrift von dem Fall, dass mit PIMS nun endlich auch eine Einwilligung für einen Toaster abgefragt werden könne. Gemeint ist das, was landläufig als Cookie Popup bezeichnet wird. Ansonsten, so wurde es dargestellt, könnten vernetzte Toaster oder andere Smart Home Geräte, ab dem 1. Dezember 2021, dem Inkrafttreten des TDDDG, nicht mehr rechtskonform betrieben werden, vor allem, wenn sie kein Display haben. Das ist Bullshit.

Die Idee hinter PIMS ist, dass jede Person an einer zentralen Stelle im Internet ihre Datenschutzvorgaben hinterlegen kann. Beispielsweise soll so eine Einwilligung pauschal für alle möglichen Dienste (Webseiten, Apps, Smart Home Geräte etc.) erteilt werden können. Wenn nun ein Dienst gestartet wird, also der Toaster angeschaltet wird, fragt der Dienst die Zentrale nach den Voreinstellungen des Nutzers. So kann, angeblich, eine lästige Einwilligungsabfrage vermieden werden. Außerdem kann so, angeblich, verhindert werden, dass Endeinrichtungen ohne Monitor oder Display an ihrer Arbeit gehindert werden.

Dazu muss man wissen, dass das TDDDG die ePrivacy-Richtlinie in nationales Recht umsetzt, die auch als Cookie-Richtlinie bezeichnet wird, obwohl das Wort Cookie an entscheidender Stelle gar nicht auftaucht.

Das TDDDG macht aber noch mehr: Es weitet die Cookie-Richtlinie aus, nämlich von Endgeräten auf Endeinrichtungen. Endgeräte sind Smartphones, Tablets, Notebook, Desktop PCs und dergleichen. Endeinrichtungen hingehen sind bereits vernetzte Toaster, Smart Home Geräte oder Multi Room Lautsprecher.

PIMS ist gescheitert

Die zentrale Einwilligungsverwaltung, also PIMS, ist eine Idee, die in der Praxis für Webseiten und Apps nicht funktionieren kann. Das habe ich bereits gezeigt. Nun könnte es sein, dass PIMS zwar nicht für Webseiten und Apps funktioniert, die populäre Dienste wie die von Google nutzen, aber doch für Toaster oder Waschmaschinen.

Diese Frage untersuche ich nachfolgend. Kann ein zentral verwaltetes Cookie Popup also für einen Toaster funktionieren?

Cookie Popups für Toaster

Wenn ich von Cookie Popups spreche, meine ich Einwilligungsabfragen. Diese sprachliche Unschärfe ist dem Umstand geschuldet, dass der Begriff des Cookie Popups leichter verständlich erscheint als der korrektere Begriff der Einwilligungsabfrage. Der Begriff wird auch häufiger verwendet, was ihn allerdings nicht richtiger macht. Denn Einwilligungen sind für alle möglichen Datenverarbeitungen erforderlich, etwa für externe Google Schriften, die keine Cookies nutzen.

Eine Einwilligung muss laut § 25 TDDDG dann abgefragt werden, wenn auf Informationen im Toaster zugegriffen wird oder diese im Toaster gespeichert werden. Dies gilt aber nur, wenn der Zugriff oder die Speicherung technisch nicht notwendig sind.

Mein Toaster speichert keine Informationen. Niemand greift von außen auf meinen Toaster zu, auch nicht über ein Netzwerk. Wieso der Toaster als Beispiel für eine Rechtfertigung des § 26 TDDDG verwendet wird, ist mir unklar.

Mit dem „Gesetz zur Regelung des Verkaufs von Sachen mit digitalen Elementen und anderer Aspekte des Kaufvertrags“ hat der Gesetzgeber eine Update-Pflicht für vernetzte Geräte auf den Weg gebracht. Demnach sind Updates, die der Sicherheit oder dem Aufrechterhalten der Funktionsfähigkeit dienen, gesetzlich vorgeschrieben, so denn das Gesetz kommt. Der Art. 6 Abs 1. c DSGVO legitimiert damit Updates aufgrund einer rechtlichen Verpflichtung. Eine Einwilligung ist hierfür nicht erforderlich.

Was ist mit Funktions-Updates?

Wie sieht es mit Funktions-Updates für den Toaster aus? Hierfür ist wohl eine Einwilligung erforderlich. Sind wir ehrlich: Ein Toaster kann nicht besonders viel und ist normalerweise nicht sehr teuer. Ein Hersteller wird für gewöhnlich nicht viel Geld investieren, um neue Funktionen via Software aufzuspielen. Bzw. wenn neue Funktionen aufgespielt werden können, dann müssen diese doch irgendwie nutzbar sein. Dies geschieht üblicherweise über ein Display. Dort könnte auch eine Einwilligung abgefragt werden.

Aber es gibt noch eine andere Möglichkeit, eine Einwilligung vom Nutzer zu erfragen. Komisch, dass diese offensichtlichste Möglichkeit kaum bis gar nicht diskutiert wird. Vielleicht liegt es daran, dass manche gerne eine bestimmte Organisation, die dieselbe Adresse wie die United Internet AG hat, als Datentreuhänder nach vorne bringen wollen.

Wie wäre es, wenn auf der Webseite des Herstellers des Toasters eine Einwilligung abgefragt wird, und zwar am besten dort, wo über das Update informiert wird? Wenn ein Toaster kein Display hat, wie kann dann eigentlich ein Update gestartet werden? Es gibt neuerdings ja Stromzähler, die über Signale mit einer Taschenlampe gesteuert werden können. So kann durch Lichtsignale jeweils ein anderer Wert abgefragt werden. Soll das beim Toaster auch stattfinden, damit ein Update gestartet wird? Oder gibt es einen neuen Knopf am Toaster, mit dem ein Update gestartet werden kann, wenn links neben dem Kopf eine rote Lampe leuchtet? Alternativ könnte der Toaster das Toastbrot höher auswerfen als üblich, um ein neu verfügbares Update anzuzeigen. Die Möglichkeiten erscheinen schier unendlich.

Realistischer ist doch entweder ein Display am Toaster oder ein Update über das Internet, indem eine Webseite, etwa des Herstellers, besucht wird, die durch den Prozess leitet. Fertig. Hier sehe ich keine weiteren Probleme. Wozu eine zentrale Einwilligungsverwaltung? Und woher weiß der Toaster-Anbieter aus Australien überhaupt, dass er sich bei der Zentrale in Deutschland registrieren muss, damit sein Toaster bei der zentralen Einwilligungsabfrage erfasst wird? Wenn sich nämlich der Hersteller nicht bei der Zentrale meldet, wie soll die Zentrale dann vom Toaster wissen? Und wie soll die Zentrale wissen, welche Informationen bei der Einwilligungsabfrage gemäß Art. 13 DSGVO überhaupt zu geben sind? Wer ist eigentlich verantwortlich für die zentrale Einwilligungsabfrage? Fragen über Fragen, aber lassen wir das.

Es gibt Toaster, die toasten ein Motiv auf das Weißbrot. Solche Motive können möglicherweise vom Besitzer selber hochgeladen werden. Dies erscheint technisch notwendig, wenn der Nutzer das Motiv auf dem Toast sehen möchte. Hierfür ist keine Einwilligung erforderlich. Vielmehr ist es sogar ein aktiver Vorgang, bei dem der Nutzer etwa einen USB-Stick in den Toaster steckt oder diesem über das Netzwerk und möglicherweise über eine App ansteuert. Auch in einer App kann eine Einwilligung abgefragt werden, wie jeder sich leicht vorstellen kann.

Die Installation eines vernetzten Toasters

Hat sich eigentlich schon einmal irgendjemand außer mir im Kontext des TDDDG gefragt, wie ein vernetztes Gerät überhaupt am Einsatzort, also etwa in der Küche, installiert wird? Jeder weiß wohl, welche Umstände es bereitet, ein Gerät an ein Netzwerk wie das Internet anzuschließen. Das geht nicht von selber, wie mindestens jeder Besitzer eines WLAN-fähigen Geräts berichten kann.

Gerät einschalten, Netzwerkkabel anschließen, fertig. So jedenfalls geht es meist nicht. Vor allem im WLAN muss ein Netzwerk ausgewählt und ein Passwort eingegeben werden. Wie soll das bei einem Toaster ohne Display eigentlich möglich sein? Die Antwort: Entweder gar nicht, weil der Toaster kein Netzwerk benötigt. Oder über eine mitgelieferte App oder eine Webseite des Toasters, die im lokalen Netzwerk in einem Browser aufgerufen werden kann.

Tataa, nun haben wir wieder gleich mehrere sich zwangsläufig ergebende Möglichkeiten, eine Einwilligung für den vernetzten Toaster abzufragen, sofern diese überhaupt nötig ist.

Was ist mit wechselnden Besitzern?

Bekanntlich muss eine Einwilligung bei der betroffenen Person eingeholt werden. Ein Toaster, der verkauft, verschenkt oder vermietet wird, wurde vom neuen Besitzer jedenfalls noch nicht legitimiert, technisch nicht notwendige Updates zu fahren.

Bisher habe ich nirgends gelesen, dass die zentrale Einwilligungsverwaltung auf einer festen Netzwerkadresse basiert. Dann nämlich wäre zumindest ein Gros der Fälle abgehandelt, in denen ein Toaster den Besitzer zeitweilig oder dauerhaft wechselt. Wahrscheinlich hat sich bisher niemand hierzu nähere Gedanken gemacht bzw. gemerkt, dass es hier keine gute Lösung geben wird.

Verschiedene Besitzer eines Toasters können auch innerhalb eines Hauses mit derselben Netzwerkadresse existieren. Dies führt dazu, dass eine Einwilligung am Toaster widerrufen können werden muss. Denn nur so kann der Toaster rechtskonform für einen neuen Besitzer bereitgestellt werden. Auch zu diesem Problemchen habe ich bisher noch nichts gelesen. Bitte informieren Sie mich, wenn irgendwo etwas dazu geschrieben steht. Ich baue es gerne in diesen Beitrag ein.

Sobald also ein Besitzerwechsel stattfindet, darf die ursprüngliche Einwilligung (einer anderen Person) nicht mehr als Rechtsgrundlage verwendet werden.

Fazit

Ob ein Toaster vernetzt sein muss, wage ich zu bezweifeln. Damals hörte ich von einer Smart Home Spülmaschine, die mit dem Handy gestartet werden kann. Ob vorher das Geschirr auch mit dem Handy eingeräumt werden kann, wurde nicht geklärt. Wenn das Handy als Tablett genutzt wird, kann damit sogar Geschirr in die Maschine eingeräumt werden, vermute ich.

Am oft herangezogenen Beispiel des vernetzten Toasters jedenfalls kann ich nicht erkennen, warum eine zentrale Einwilligungsverwaltung überhaupt erforderlich sein soll. Weiterhin löst diese Zentrale das Problem wechselnder Besitzer nicht.

Zusätzlich erscheint es in vielen Fällen unrealistisch, dass ein Toaster kein Display hat, aber Funktions-Updates fahren möchte.

Als wäre dies nicht genug, kann über eine Webseite oder App zum Toaster jederzeit eine Einwilligung für Funktions-Updates eingeholt werden. Niemand würde wohl erwarten, dass für den Toaster zentral eine Einwilligung erteilt werden können muss.

Je mächtiger ein Gerät erscheint, desto wahrscheinlicher ist, dass das Gerät ein Display hat. Ein Display wiederum bedeutet: Eine Einwilligungsabfrage ist direkt am Gerät möglich. Meinen Sie nicht auch, dass eine Einwilligung direkt am vernetzten Gerät am meisten Sinn ergibt, oder in einer App für die Steuerung des Smart Home, aber nicht in irgend einer von bestimmten Unternehmen und Lobbyisten hochgejubelten zentralen Plattform?

Wenn es um Autos geht, kann eine Einwilligung für eine Kartensoftware sowieso kaum zentral abgefragt werden. Die Gründe in Kürze:

1. Ein Fahrerwechsel macht Einwilligungen anderer Personen irrelevant. Das könnte das Auto erkennen durch Abfrage eines personengebundenen Schlüssels, den aber auch eine andere Person als die eigentliche haben könnte. In der Praxis muss im Auto die Einwilligung jedesmal erneut abgefragt werden, außer, die eindeutige Identifikation des aktuellen Fahrers gelingt dem Fahrzeug.
2. Ein Autowechsel macht frühere Einwilligung wohl ungültig.
3. Werden Kartendienste wie die von Google oder Microsoft verwendet, halte ich eine rechtskonforme Einwilligungsabfrage für nahezu unmöglich. Schließlich sind die stattfindenden Datenverarbeitungen samt Cookie-Zwecken oft Geheimwissen der Anbieter

Bleibt nur, auf dem Display des Automobils eine Einwilligung abzufragen. Aber es gibt eine noch bessere Lösung:

Die Lösung lautet keine Einwilligung abzufragen und keine Dienste von Google, Microsoft und anderen Internetkonzernen im Auto zu nutzen, die Nutzerverhalten ausspionieren. Ja, das geht. Ja, es funktioniert. Ja, so fahren viele Millionen Bundesbürger, inklusive mir, täglich mit dem Auto herum, ohne irgendetwas zu vermissen.

Warum eigentlich muss eine Kartensoftware den Nutzer ausspionieren? Wenn ein Nutzer bevorzugte Standorte in der Karte speichern will, bedarf dies keiner Einwilligung. So einfach ist es. Viele machen es nur kompliziert, um ihre angeblichen Lösungen, die keine sind, zu verkaufen. Siehe Cookie Popups.

Update: Lesen Sie hier 66 Gründe, warum PIMS, die zentrale Einwilligungsverwaltung nicht realisierbar ist und scheitern wird.

Einleitung

Das neue deutsche Datenschutzgesetz heißt TDDDG. Es gilt seit dem Dezember 2021 unter dem Namen TTDSG und wurde im Jahr 2024 in TDDDG umbenannt.

Im TTDSG steht (§ 26 TTDSG), dass eine zentrale Einwilligungsverwaltung einzuführen ist. Eine solche Zentralstelle soll es jeder Person erlauben, Datenschutzvoreinstellungen zu hinterlegen. Wird dann später eine Webseite besucht, soll die Webseite in der Zentrale nachschauen, was der Wunsch des Besuchers ist.

In der obigen Grafik ist das mit folgenden Schritten dargestellt:

1. Ein Nutzer hinterlegt seine Voreinstellungen in einer Zentrale
2. Der Nutzer besucht eine Webseite
3. Daraufhin fragt die Webseite bei der Zentrale die Voreinstellungen des Nutzers ab

So soll ein ansonsten erscheinendes Cookie Popup gar nicht erst erscheinen, sondern unsichtbar weggeklickt werden. Darüber würden sich viele freuen, denn Cookie Popups nerven nicht nur, sie funktionieren zudem nicht richtig. Der letzte Halbsatz ist allerdings dem Gesetzgeber nicht bekannt gewesen, denn ansonsten hätte er sich gar nicht auf den von einigen öffentlich einsehbaren Stellungnahmen (die das Ministerium Mitte 2025 entfernt hat) und Gutachten lancierten Vorschlag eingelassen, eine zentrale Verwaltung für Datenschutzeinstellungen zu erdenken. Die Gutachten sind seit 29.10.2021 nicht mehr online (vorher: https://www.bundestag.de/ausschuesse/a09/Anhoerungen/834132-834132), aber wurden von mir in Kopie heruntergeladen.

Einige Beteiligte am Beratungsprozess hatten gute Absichten, sind aber wohl nicht in der Lage gewesen, die technische Komplexität des Themas zu erfassen oder die Kritik entsprechend deutlich zu formulieren. Genannt sei hier die Verbraucherzentrale (vzbv) oder auch Frau Domscheit-Berg. Ich habe mir das Video zur öffentlichen Anhörung im Bundestag zum TTDSG noch einmal angesehen (Video seit 29.10.2021 nicht mehr verfügbar, zuvor unter https://www.bundestag.de/ausschuesse/a09/Anhoerungen#url=L2F1c3NjaHVlc3NlL2EwOS9BbmhvZXJ1bmdlbi84MzQxMzItODM0MTMy&mod=mod543440). Ja, Herr Glatzner von der vzbv kritisiert PIMS hier. Auch Herr Kelber (BfDI) sieht nur einen engen Rahmen, innerhalb dessen PIMS möglich sei. Meine Kritik an den Ausführungen ist allerdings, dass diese nicht deutlich genug, sondern kaum wahrnehmbar formuliert sind. Es klingt so, als könnte einiges geregelt werden, auch im Positionspapier der vzbv (etwa "Gleichmaßen sollte diskutiert werden, inwieweit Datenintermediäre die Datennehmer überprüfen und deren Zuverlässigkeit gewährleisten müssen."). Meiner Meinung nach ist das Gegenteil der Fall. Die wichtigsten Fragen können mit PIMS nicht beantwortet werden. Die wenigen Aspekte, für die PIMS gut sein könnte, sind meines Erachtens so untergeordnet, dass sie entweder keine Rolle spielen oder, falls sie nicht untergeordnet wären, dann einer konkreten kurzen Erwähnung im § 26 TTDSG bedurft hätten (fiktives Beispiel von mir, welches den Forschungsbezug, den die vzbv erwähnt, aufgreift: Eine zentrale Einwilligungsverwaltung ist nur für Forschungszwecke zulässig).

Mancher Gutachter, der den zentralen Cookie-Popup-Killer im Gesetzgebungsverfahren vorschlug, hatte möglicherweise bei seiner Empfehlung hin zu einem zentralen Datentreuhänder eher eine Empfehlung im Sinn und weniger das Finden einer echten Lösung, die es mit dem Ansatz aus § 26 TTDSG nicht geben wird.

Einige Gutachter haben festgestellt, dass das Vorhaben aus rein rechtlichen Gründen nicht funktionieren könne, etwa weil Europarecht dem entgegensteht.

Aus mehreren objektiven und praktischen Gründen kann eine solche zentrale Einwilligungsverwaltung für Datenschutzvorlieben nicht funktionieren. Eine solche Zentralverwaltung wurde auf PIMS genannt. PIMS steht für Personal Information Management System, manchmal auch für Privacy Information Management System. Gelegentlich wird statt System der Begriff Service verwendet.

Liest man sich die Stellungnahmen und Gutachten zum TTDSG durch, die vor der Gesetzgebung eingereicht wurden, fällt ein gewisser Lobbyismus auf, der sogar nachweisbar ist. Offenbar wurde versucht, eine immer wieder genannte, wohl eher nicht gemeinnützige Organisation zu positionieren, die alle Probleme mit Cookie Popups lösen können soll. Dies ist ein unsäglicher Vorgang.

Die folgende Fallstudie gibt eine Idee, warum das Konzept der Zentrale gescheitert ist, bevor vom Gesetzgeber weiter darüber nachgedacht wird. Dieser hat sich nämlich eine zweijährige Frist eingeräumt (§ 26 Abs. 3 TTDSG). Auch, wenn die Zeit viele Wunden heilt: Die durch die DSGVO gegebene Realität kann die Zeit nicht abändern.

Wenn es pro Webseite nicht gelingt, die Informationspflichten für stattfindende Datenverarbeitungen zu erfüllen, kann dies global erst recht nicht gelingen. Die Fallstudie zeigt an Datenschutzhinweistexten, wie aussichtslos das Vorhaben in der Praxis erscheint, über gängige Datenverarbeitungen rechtskonform zu informieren. Eine Einwilligungsabfrage müsste zwar nicht dieselben Ausführungen bieten, ist aber nur möglich, wenn die Details bekannt sind. Zudem müssen die Details irgendwo genannt sein, spätestens in den Datenschutzhinweisen zur Webseite und zur Einwilligungsabfrage.

Als Grundlage für die Fallstudie dient die Annahme, dass der Rechtsrahmen nicht weiter geöffnet wird, eine Verschlechterung des Datenschutzes also nicht stattfinden wird. Eine solche Öffnung könnte zudem nur auf europäischer Ebene erfolgen.

Fallstudie: Inkonsistente Datenschutztexte

Anhand von zwei bekannten Diensten, die auch als Tools bezeichnet werden, soll gezeigt werden, wie unterschiedlich heutzutage versucht wird, die Informationspflichten gemäß Art. 13 DSGVO zu erfüllen. Beim Einholen einer Einwilligung muss ein Teil dieser Informationen gegeben sein, der Rest aber spätestens in der Datenschutzrichtlinie. Dort, wo eine Einwilligung abgefragt wird, müssen also alle Informationen zur Erfüllung der Informationspflicht bekannt sein.

Daher bediene ich mich beispielhaft der Datenschutztexte zu Diensten, die auf Webseiten genutzt werden. Zusätzlich müsste man noch die Texte auf den Einwilligungsabfragen der Webseiten betrachten, was die Komplexität und das Problem einer zentralen Einwilligungsabfrage erheblich erhöht.

Als Beispiele dienen folgend Google Maps und Google Analytics. Beide Dienste sind einwilligungspflichtig, wie man aus DSGVO, TMG (Telemediengesetz) und TTDSG (u.a. Umsetzung der ePrivacy-Richtlinie in Deutschland, gilt ab Dezember 2021) ableiten kann:

• Google (Universal) Analytics: Mit Cookies aufgrund von § 15 Abs. 3 TMG (i. V. m. BGH-Urteil zu Planet49) bzw. § 25 TTDSG, ansonsten auch aufgrund Art. 44ff DSGVO (Datentransfer in die USA) und aufgrund einer Nutzerprofilbildung (§ 15 Abs. 3 TMG, Art. 5 DSGVO, Art. 25 DSGVO). Mein Grundlagenartikel zur Einwilligungspflicht für Google Analytics betrachtet dies näher.
• Google Maps: zahlreiche Datenabrufe, Nutzung zahlreicher kritischer Cookies. Für mehr Details, siehe meinen Beitrag zu Google Maps.

Für jeden dieser Dienste habe ich die Datenschutzhinweise von verschiedenen Webseiten extrahiert. Es sei angemerkt, dass bei der Suche nach Webseiten, die diese Tools einsetzen und hierzu etwas erklären, jede gefundene Webseite einen anderen Erklärungstext als die vorigen Webseiten bereitstellt. Das bedeutet, keine der zufällig gefundenen Webseiten verwendete einen gleichen oder direkt vergleichbaren Text wie die anderen. Wären weitere Webseiten berücksichtigt worden, wäre die Wahrscheinlichkeit hoch gewesen, wiederum einmalige Texte zu Google Maps und Analytics vorzufinden.

Google Maps

Google Maps wird auf zahlreichen Webseiten eingesetzt, um einen Standort darzustellen. Der Nutzen dieses Karteneinsatzes erscheint oft fraglich, soll hier aber nicht weiter thematisiert werden.

Datenschutzhinweise auf Webseite 1

Die Hinweise zu Google Maps auf Webseite 1 lauten:

Offenbar wird hier fälschlicherweise das berechtigte Interesse als Grundlage für das Laden der Karte verwendet, indem auf Art. 6 Abs. 1 lit. f DSGVO verwiesen wird. Hier stellt sich bereits die Frage, ob der Betreiber dieser Webseite bereit wäre, das Signal aus einer zentralen Einwilligungsverwaltung zu respektieren, dass ein Laden der Karte unterdrücken soll.

Datenschutzhinweise auf Webseite 2

Die Hinweise lauten hier:

Im Unterschied zu den vorigen Datenschutzhinweisen zu Google Maps fehlt hier die Angabe der Daten, die an Google übertragen werden. Auch sind die Zwecke andere, zu denen die Karte eingesetzt wird, als bei der vorigen Webseite.

Datenschutzhinweise auf Webseite 3

Die Hinweise zu Google Maps lauten auf der dritten Webseite wie folgt:

Hier findet sich im Gegensatz zu den beiden vorigen Hinweistexten ein Link auf die Google Datenschutzerklärung. Außerdem wird hier darauf aufmerksam gemacht, dass die IP-Adresse des Nutzers zu Google übertragen wird, wo sie von Google, außerhalb der Kontrolle des Verantwortlichen, weiterverwendet werden kann. Was nach einer halbwegs wahrheitsgemäßen Aussage klingt, widerspricht dem berechtigten Interesse aus der Erklärung der Webseite 1 zu Google Maps. Dass eine Datenübermittlung in die USA stattfinden kann, wird nur auf dieser Webseite erwähnt, nicht auf den anderen beiden vorgenannten.

Fazit zu Google Maps

Einige Unterschiede in den Hinweisen zu Google Maps, die die drei angeschauten Webseiten aufweisen, stellt die folgende Tabelle dar.

Drei zufällig herausgesuchte Websites, die Google Maps einsetzen, halten drei gänzlich verschiedene Datenschutzhinweise zum genutzten Dienst vor. Kein einziger Hinweistext enthält die gesetzlich vorgeschriebenen Informationen zu eingesetzten Cookies und deren Zwecken. Die von mir identifizierten Cookies, die von Google Maps geladen oder erzeugt werden, sind:

Diese Cookies werden auf allen Webseiten nicht gewürdigt. Alle drei Hinweistexte zu Google Maps sind alleine aus diesem Grund bereits rechtswidrig. Bisher konnte mir niemand verraten, welchen Zwecken die gezeigten Cookies dienen. Nur für einige wenige dieser Cookies gibt Google selbst Informationen (beispielsweise zum NID-Cookie, das zum weit reichenden Nachverfolgen von Nutzern verwendet wird).

Eine Vereinheitlichung der drei Texte zum Kartenprodukt von Google mag gelingen (hin zu einem wegen der fehlenden Cookie-Informationen rechtswidrigen Einheitstext). Bereits hier stellt sich die Frage, wie diese Vereinheitlichung stattfinden soll, wer sie vornimmt, wer dafür haftet und wer den Aufwand dafür trägt.

Google Analytics

Datenschutzrechtlich auf den ersten Blick komplexer als Google Maps erscheint Google Analytics.

Mit Google Analytics können Besucher von Webseiten nachverfolgt und deren Verhalten ermittelt werden. Dazu bedient sich Google einer globalen Datenbank, die in Analyse-Ergebnisse eingestreut wird. Somit können für einzelne Besucher sogar anzunehmende Monatsnettoeinkommen und deren wahrscheinliches Geschlecht angezeigt werden. In den USA weist Google Analytics sogar aus, welche Partei ein Nutzer wahrscheinlich wählt.

Google Analytics kann in verschiedenen Konfigurationen betrieben werden. Es handelt sich also um dasselbe genutzte Tool, nur um anderen Einstellungen. Da potentiell viele Einstellmöglichkeiten existieren, erscheint es in der Praxis nahezu unmöglich, für jede Einstellung eine eigene Einwilligungsabfrage zu Google Analytics vorzuhalten. Zudem würden sich viele fragen, was denn eine Consent-Abfrage wie die folgende (rein illustrative) soll:

Neben diesen drei dargestellten Varianten sind zahlreiche weitere möglich und im Einsatz. Alleine hieran sollte das Problem einer zentralen Abfrage nach einer Einwilligung für Google Analytics oder vergleichbaren Diensten deutlich werden. Auch für Matomo wäre das Problem gegeben, weil Matomo auch zahlreiche Einstellmöglichkeiten bietet.

Datenschutzhinweise auf Webseite 1

Das erste Praxisbeispiel für konkrete Datenschutzhinweise zu Google Analytics lautet:

Diese Webseite nutzt nicht nur Google Analytics, sondern auch die Remarketing-Funktion von Google Analytics. Diese Konstellation ist besonders spannend, denn eine Einwilligung wird aus technischen Gründen für gewöhnlich nur für Google Analytics mit Remarketing-Funktion eingeholt und nicht getrennt für Google Analytics und für die Remarketing-Funktion. Würde also eine Einwilligung für jeden der beiden Teile abgefragt, müsste eine Webseite (in der Praxis) das Laden von Google Analytics unterbinden, sofern die Remarketing Funktion genutzt wird, für diese aber keine Einwilligung vorliegt. Auch wenn dies technisch lösbar wäre, könnten die meisten es nicht bewerkstelligen, behaupte ich. Ich berufe mich auch darauf, dass viele es nicht einmal hinbekommen, auf den Google Tag Manager zu verzichten, was mir das einfachere Problem zu sein scheint.

Die Datenschutzhinweise für die Remarketing-Funktion lauten auf Webseite 1:

Datenschutzhinweise auf Webseite 2

Die Datenschutzhinweise auf der zweiten Webseite zu Google Analytics lauten:

Diese Hinweise sind völlig unterschiedlich zu denen auf Webseite 1. Nicht nur, dass ein anderer Anbieter angegeben wird (Google LLC statt Google Ireland Ltd.), sondern auch, dass keine Angabe zur Speicherdauer existiert. Außerdem fehlt der Hinweis auf einen abgeschlossenen Auftragsverarbeitungsvertrag. Auch die Remarketing-Angaben fehlen hier. Ob zurecht oder nicht, sei dahingestellt.

Wollte man den Hinweis auf einen AVV bei den Informationen, die zur zentralen Einwilligung gegeben werden, berücksichtigen, hätte man ein Problem. Eine zentrale Einwilligungsabfrage kann nicht wissen, ob ein Anbieter einer erst später besuchten und zum Zeitpunkt der Einwilligungsabfrage unbekannten Webseite einen AVV mit Google geschlossen hat und falls ja, welchen. Immerhin sorgt einn Nennung eines AV-Verhältnisses für Klarheit und vermeidet Fragen betroffener Personen.

Datenschutzhinweise auf Webseite 3

Die Hinweise zu Google Analytics, die Webseite 3 gibt, sind recht umfangreich. Der erste Teil lautet:

Der zweite Block enthält weitere Informationen, insbesondere zur Rechtfertigung des Einsatzes von Google Analytics durch Nennung mehrerer Zwecke.

Der dritte Block ergänzt den eben genannten Block und führt zudem Google Optimize ein.

Im Gegensatz zu Webseiten 1 und 2 wird hier also auch Google Optimize eingesetzt.

Google Optimize wird als Unterdienst von Google Analytics dargestellt. Laut Google Marketing-Plattform trifft dies zu (Quelle: https://marketingplatform.google.com/intl/de/about/optimize/). Dort steht „Optimize ist von vornherein mit Analytics verknüpft, damit Sie schnell analysieren können, wie Ihre Website verbessert werden kann.“

Eine Einwilligung für Google Analytics bei fehlender Einwilligung für Google Optimize führt also auf Webseite 3 dazu, dass keines der beiden Tools geladen werden darf. Immerhin fragt die Webseite selbst nur eine Einwilligung ab und nicht zwei, um diese beiden Tools zu laden, die zusammen technisch als ein Super-Tool betrachtet werden müssen.

Extra: Datenschutzhinweise von Twitter zu Google Analytics

Die Twitter-Plattformbetreiber scheinen es nicht für nötig zu halten, Pflichtangaben zu Google Analytics bereitzustellen. Das entspricht der Einstellung, das Tracking Tool ohne Einwilligung zu nutzen, so wie Twitter es auch bei unangemeldeten Besuchern tut.

Der Screenshot zeigt den einzigen Passus zu Google Analytics, der nach endlicher Suche auffindbar war. Genannt ist lediglich der Name des Tools. Die Twitter-Angaben fließen nicht in die Fallstudie ein, weil sie offensichtlich ausgesprochen ungenügend sind.

Fazit

Die Unterschiede in den Hinweisen zu Google Analytics, die die drei genannten Webseiten bereitstellen, sind erheblich. Die Tabelle zeigt einige der Unterschiede:

Die Unterschiede sind extrem. Keine der Webseiten hält es für nötig, die vorgeschrieben Angabe zu verwendeten Analytics-Cookies zu machen. Gesucht wurde hierfür in der Datenschutzerklärung selbst sowie auf der Webseite durch Suchen eines Links wie „Cookie Informationen“, der nirgends gefunden werden konnte. Sollten die Cookie-Informationen irgendwie vorhanden sein, sind sie gut versteckt und gelten somit meiner Einschätzung nach als nicht vorhanden.

Was die IP-Anonymisierung anbelangt, sei erwähnt, dass die genannte Angabe „Kürzung um 8 Bit“ falsch ist, weil sie IPv6-Adressen nicht ausreichend würdigt. Dieses Detail ist nur als Randnotiz zu verstehen, um die große Fülle der Probleme zu verdeutlichen.

Gesamtfazit

Die GDD (Gesellschaft für Datenschutz und Datensicherheit e.V.) hat sich nicht mit Ruhm bekleckert, als sie sich für PIMS eingesetzt hat (ca. erst am 02.11.2023 war der Link auf das fragwürdige GDD-Fokusgruppenpapier ungültig). Die Fokusgruppe Datenschutz erscheint ungeeignet, derartige Fragestellungen kompetent zu betrachten. Zu viele Industrievertreter scheinen einer guten Lösung entgegenzustehen.

Für nicht konfigurierbare Produkte wie Google Maps ist eine Vereinheitlichung mehrerer Datenschutzhinweise denkbar. Rechtskonform werden diese Hinweise aber nur, wenn die genutzten Cookies, die allesamt funktional nicht notwendig sind, konkret benannt werden (vgl. auch EuGH-Urteil zu Planet49). Weil dieses Geheimwissen fehlt, steht der Verantwortliche für die (zentrale) Einwilligungsabfrage direkt voll in der Haftung.

Auch die rechtskonforme Nennung von stattfindenden Datentransfers, die bei Google Produkten häufig nicht funktional sind, sondern Google zu eigenen Marketing-Zwecken dienen, kann nur erfolgen, sofern dieses Wissen von Google offengelegt wurde. Dies ist aber regelmäßig nicht oder nur in erheblich intransparenter Weise der Fall.

Für Dienste, für die ein AVV abgeschlossen werden kann, wird durch eine zentrale Abfrage eine Unschärfe eingeführt. Denn dort kann auf einen individuell abzuschließenden AVV nicht hingewiesen werden.

Auch das Nennen konkreter, im Einzelfall für jede Webseite potentiell immer anders gegebener Zwecke, kann auf zentraler Ebene nicht erfolgen. Jedenfalls gilt dies bereits für vermeintlich simple Tools wie Google Maps, die für verschiedene Zwecke einsetzbar sind. Beispielsweise kann eine Karte einen eigenen Standort anzeigen, mehrere Standorte anzeigen, eine Route anzeigen oder zur Suche eines Standorts in der Nähe genutzt werden.

Dienste wie Google Analytics, die hochgradig parametrisiert werden können, können nicht zentral eingewilligt werden. Hieran mangelt es alleine schon an der konkreten Nennung der Datenverarbeitung und der im Voraus festgelegten Zwecke, die zentral nicht bekannt sein können. Alleine die verschiedenen konkreten Varianten eines Dienstes wie Google Analytics sind unbekannt. Selbst der Dienstanbieter Google könnte die wahrscheinlich tausenden Kombinationsmöglichkeiten nicht benennen.

Dienste, die Zusatzdienste ermöglichen, wie Google Optimize für Google Analytics, können aus ähnlichem Grund zentral nicht eingewilligt werden. Dies wäre nur möglich, wenn mehrere Einwilligungen abgefragt würden, nämlich eine nur für Google Analytics und eine nur für das Paket aus Google Analytics und Google Optimize. Natürlich müsste dies für jede der an sich möglichen Varianten von Analytics und Optimize stattfinden. Die Übersichtlichkeit wird hierdurch ganz erheblich leiden, was die Rechtmäßigkeit der Einwilligungsabfrage infrage stellt.

Wenn ein Dienst wie Google Analytics tausende von Varianten hat, ergibt sich daraus eine weitere, kaum lösbare Problematik. Die Varianten müssen sauber ermittelt werden, was praktisch kaum möglich ist. Jede Variante muss einen internen Identifizierer erhalten. Jede Webseite, die eine Variante von Google Analytics einsetzt, muss den internen Identifizierer dazu kennen, um die Zentrale zu fragen, ob der Nutzer dafür eine Einwilligung gab. Dieses Vorhaben ist praxisfern.

Wie auch immer man es dreht und wendet: Eine rechtskonforme zentrale Einwilligung scheitert bereits an objektiven Gründen, die in der Praxis nicht heilbar sind. Heilbar wären sie selbst dann nicht, wenn einem Konzern wie Google unterstellt werden würde, Datenschutz auf einmal ausgesprochen ernst zu nehmen und sämtliche Informationen gemäß Art. 13 DSGVO für sämtliche öffentlich verfügbare Google Dienste für Webseiten offenzulegen.

Wie Sie Einwilligungen heute korrekt einholen oder ganz vermeiden, erklärt die Übersicht Cookies und Einwilligung.

Anbieter melden ihre eigenen Datenschutztexte

Der Google-Konzern hat bisher recht erfolgreich vermieden, eine transparente Information zu den Verarbeitungsvorgängen von Daten von Nutzern bereitzustellen. Dies wird sich anzunehmender Weise nicht ändern.

Sollten sämtliche Diensteanbieter alle Informationen ordentlich offenlegen, gäbe es immer noch das Problem mit den verschiedenen Konfigurationen, etwa für Google Analytics, Google Optimize, Google Remarketing-Funktionen usw.

Weitere Fragen und Anmerkungen

Auch ist oft unklar, wie die Rechtslage für bestimmte Dienste liegt. Ist für Google Maps eine Einwilligung einzuholen? Werden beim Einbinden von Google Maps Daten in die USA übertragen? Ist der Vertragspartner Google (USA) oder Google (Irland) oder beide oder noch weitere? Wer möchte dafür verantwortlich zeichnen, diese Angaben zentral zu hinterlegen, damit eine globale Einwilligungsabfrage möglich wird?

Noch gar nicht betrachtet wurden Dienste wie externe Google Web Fonts. Hier scheidet das berechtigte Interesse meiner Untersuchung nach aus. In einer Einwilligungsabfrage müssten Google Signale, die in einem späteren Beitrag beschrieben werden, noch mit aufgeführt werden.

Selbstverständlich gilt all das festgestellte auch für Dienste anderer Anbieter, wie etwa von Facebook, Adobe, Salesforce usw.

Ein Browser, der den Nutzerwunsch berücksichtigen soll, muss an die Zentralstelle angeschlossen sein, die den Nutzerwunsch verwaltet. Ob diese Zentrale direkt im Browser des Nutzers liegt oder anderswo, ist zweitrangig. Das Grundproblem bleibt dasselbe. Somit sind die Ansätze, die Browser-Signale fordern, ebenfalls gescheitert.

Zuletzt sei erwähnt, dass neben diesen technischen Fakten rein juristische Überlegungen zeigen, dass ein Datentreuhänder für globale Consents eine schlechte Idee ist. Siehe hierzu die Stellungnahme von Herrn Assion zum TTDSG. Dort schreibt er u. a. „Dieses Problem kann nur dadurch überwunden werden, dass der Gesetzgeber selbst regelt, dass (bzw. unter welchen Bedingungen) eine PIMS-gestützte Einwilligung immer wirksam sein soll – und zwar unabhängig von der Frage, ob die Anforderungen der DSGVO im Einzelfall erfüllt sind oder nicht.“

Ein Blick in den Art. 5 Abs. 1 b DSGVO zeigt bereits, dass personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden“ müssen und „nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“ dürfen. Dies sollte als Argument schon ausreichen, um nach den gezeigten unterschiedlichen Nutzungen einzelner Dienste zu zeigen, dass Rechtskonformität nicht gegeben ist.

Da ich gerne Lösungen vorschlage, sei hier die einzige meiner Meinung nach funktionierende genannt: Datenschutzbehörden sollen endlich anfangen, ihre Arbeit zu machen und Datensünder sanktionieren. Mein Dank gilt aktuell dem Bundesdatenschutzbeauftragten wenigstens dafür, dass er Facebook Fanpages für öffentliche Stellen des Bundes eliminieren will. Der Hamburgische Datenschutzbeauftragte ordnete sogar an, dass WhatsApp-Nutzerdaten durch Facebook nicht weitergeleitet werden dürfen.

Von Bußgeldern zu Web Tracking hört man nichts. Vielleicht haben die Behörden nicht mitbekommen, dass jede zweite Webseite Google Analytics oder andere Tracking-Tools ohne Einwilligung nutzt. Meine Behauptung, dass die Bußgelder für Web Tracking in Deutschland sich auf 0 Euro belaufen, konnte mir noch niemand widerlegen.

Einmal sanktioniert, werden sich zahlreiche Datenschutzprobleme und Cookie Banner plötzlich in Luft auflösen. Auch die Internetkonzerne können so erzogen werden, vor allem durch zielgerichtete Bußgelder, die anscheinend in Deutschland unerwünscht sind.

Auch Privatpersonen rufe ich auf, Abmahnungen gegen Webseitenbetreiber zu erlassen, die sich um Datenschutzgesetze nicht kümmern, sondern meinen, tun zu können, was sie wollen.

Einleitung

Ein Consent Tool für Webseiten wird oft auch als Cookie Popup, Cookie Consent, Cookie Tool oder Einwilligungslösung bezeichnet. Viele meinen, sie brauchen so ein Tool für ihre Webseite. Das stimmt zwar nicht. Aber um den Wildwuchs der in meinen Augen unseriösen Lösungen, die auch noch Geld kosten, einzudämmen, stelle ich eine kostenfreie Lösung zur Verfügung.

Ob Ihre Website überhaupt eine Einwilligungsabfrage braucht, klärt die Übersicht zu Cookies und Einwilligung auf Websites.

Merkmale der Lösung

• Lädt Tools und Cookies erst, nachdem der Nutzer eingewilligt hat (im Gegensatz zu angeblichen Cookie Blockern oder Cookie Scannern: Beweis)
• Speichert erteilte Einwilligungen von Nutzern ab, so dass dies später nachgewiesen werden kann
• Zwingt dazu, eigene Texte für die Einwilligung zu pflegen. Ja richtig, nur so verstehen Sie das rechtliche Risiko. Alle mir bekannten Consent Management Plattformen liefern meist Bullshit Texte (Beweis: Praxistest). Es gibt kaum Datenschutztexte für Tools von Google o.ä., die rechtskonform sind. Nein, ein Anwalt kann das auch nicht leisten. Warum sollte gerade jemand, der sich mit Webseiten oder Technik nicht auskennt, so etwas können?
• Sie müssen selbst herausfinden, welche Tools auf Ihrer Webseite vorhanden sind und können so direkt einige unnütze Tools entfernen und andere durch datenschutzfreundliche Alternativen ersetzen. Nur so gelingt Datenschutz wirklich. Nutzen Sie meinen online Webseiten Scanner zur Unterstützung. Beispiele für das Versagen von sogenannten Cookie Scannern: YouTube Videos ohne Cookies, externe Google Schriften, Datenabrufe aus unsicheren Drittländern)
• Kostenfrei

Übrigens wird eine Einwilligung nicht für Cookies abgefragt, sondern für Datenverarbeitungen. Cookies werden von Tools eingebracht, also muss der Ladevorgang von Cookie-behafteten Tools bis zur Einwilligung unterbunden werden. Cookies können nicht direkt unterbunden werden!

Außerdem muss für bestimmte Tools eine Einwilligung abgefragt werden, auch wenn diese gar keine Cookies nutzen.

Hier sehen Sie die wichtigsten Rechtsgrundlagen für eine Einwilligungspflicht:

• §15 Abs. 3 TMG und Art. 5 Abs. 3 ePrivacy-Richtlinie (die aufgrund des BGH-Urteils zu Planet49 anzuwenden ist): Betrifft technisch nicht notwendige Cookies
• Art. 5 Abs. 1 c DSGVO: Betrifft nicht notwendige Datentransfers. Beispiel: Externe Google Fonts
• Art. 44 DSGVO: Betrifft Datentransfers in unsichere Drittländer. Beispiel: Abruf einer Datei von Google USA

Wie Sie sehen, sind Cookies nur einer von drei Fällen, in denen eine Einwilligung erforderlich ist.

Installation auf Webseiten

Laden Sie die Installationsdateien herunter.

Sie finden dort eine PDF-Datei mit einer Installationsanleitung.

Kurzanleitung

1. Entpacken Sie das ZIP-Archiv in ein lokales Verzeichnis
2. Binden Sie am Ende jeder Seite das Consent Script drdsgvo-consent-script.js ein
3. Binden Sie ein Script auf jeder Seite ein, das nach Einwilligung geladen werden soll (siehe demo.html)
4. In diesem Script laden Sie alle Tools, die einer Einwilligung bedürfen
5. Hinterlegen Sie die Texte, die im Einwilligungs-Popup angezeigt werden sollen, in der Datei drdsgvo_consent.def
6. Definieren Sie die Adressen von Impressum und Datenschutzerklärung (siehe demo.html)
7. Binden Sie das Stylesheet ein (siehe demo.html)
8. Binden Sie die jQuery-Biliothek ein, falls Ihre Webseite diese noch nicht nutzt (siehe demo.html)
9. Fügen Sie als Widerrufsmöglichkeit eine Aufrufmöglichkeit für die Einwilligungsabfrage ein (siehe demo.html)
10. Sicherheitshalber: Ändern Sie den Dateinamen „user_consent_drdsgvo.json“ in der Datei consent_backend.php in etwas anderes (geheimes) um. Sie müssen die Änderung an zwei Stellen analog vornehmen.

Machen Sie sich bewusst, dass eine Ablehnung genauso leicht möglich sein sollte wie eine Einwilligung. Im Wenn die Einwilligung optisch hervorgehoben ist, könnte dies unerlaubt sein. Dies wird als Nudging bezeichnet. Dies erscheint rechtswidrig. Das LG Rostock hat dies sogar schon bestätigt (Urteil vom 15.09.2020 – 3 O 762/19).

Wenn Sie eine Einwilligung für mehrere Zwecke einholen, empfehle ich, auf der ersten Ebene (Startbild der Abfrage) bereits Angaben zu den Zwecken zu machen. Schreiben Sie mindestens ungefähr, welche Zwecke dies sind und erklären Sie es dann auf der zweiten Ebene (Detailebene) genauer und in Ihren Datenschutzhinweisen ganz genau.

Um zu wissen, welche kritischen Datenverarbeitungen auf Ihrer Webseite stattfinden, können Sie meinen Website Scanner nutzen:

Erklärung zum Tool

Auf der Einwilligungsabfrage müssen Sie zumindest in Kurzform erklären, welche Dienste eingesetzt werden. Dazu gehören folgende Angabe:

• Anbieter (inkl. Firmierung Adresse und Land)
• Allgemein verständliche Beschreibung des Dienstes
• Eingesetzte Cookies, sofern technisch nicht notwendig
  • Name
  • Lebensdauer
  • Beschreibung des Zwecks
• Risiken. Wenn ein Datentransfer in unsichere Drittländer wie die USA stattfinden kann, ist dies zu benennen
• Datenempfänger

Sie finden die Rechtsgrundlagen in meiner Checkliste für Einwilligungsabfragen.

In Ihrer Datenschutzerklärung muss eine ausführliche Beschreibung pro Dienst genannt sein.

Der EuGH sagt zur Einwilligung im Urteil vom 11.11.2020 (C61/19, Orange Rumania):

Das [..] Erfordernis, dass die Einwilligung „in Kenntnis der Sachlage“ bzw. „in informierter Weise“ erfolgen muss, bedeutet nach Art. 10 dieser Richtlinie [Vorgänger der DSGVO] in Verbindung mit ihrem 38. Erwägungsgrund sowie nach Art. 13 [DSGVO] in Verbindung mit ihrem 42. Erwägungsgrund, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lassen muss, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird […].

Rn. 40 des EuGH-Urteils zu Orange Romania

Auf den ersten Blick wird deutlich, dass eine rechtskonforme Einwilligungsabfrage kaum möglich und nur etwas für ganz Mutige ist. Das Problem ist hier aber nicht das Gesetz, sondern die maximale Intransparenz und Datensammelwut von Google & Co. Für Matomo gelingt eine Erklärung, wie vorgeschrieben, für Google Analytics kaum bis gar nicht.

Zusätzliche Informationen

Bei Widerruf einer erteilten Einwilligung müssen Sie dafür sorgen, dass die gesetzten Cookies entfernt werden. Das können Sie aber für Third-Party Cookies gar nicht selber tun, sondern müssten eine Service-Funktion des Anbieters des entsprechenden Tools aufrufen, sofern dieser eine solche bereitstellt. First Party Cookies können Sie selber abräumen. First-Party Cookies können aber auch von Drittdiensten gesetzt werden. Populäres Beispiel ist Google Analytics. Um das sauber handhaben zu können, müssen Sie tiefer einsteigen. Wenn Sie sich jetzt aufregen, dass alles so kompliziert ist: bedanken Sie sich bei den Anbietern von datenschutzfeindlichen Tools!

Das Consent Tool speichert IP-Adressen ab, um eine erteilte Einwilligung im Zweifel nachweisen zu können. Eventuell reicht ein Hash-Wert aus. Es gibt aber sicher aus Fälle, in denen selbst die volle IP-Adresse als Nachweis nicht ausreicht. Bei Bedarf passen Sie die Programmlogik entsprechend an.

Der benötigte Speicherplatz für die Ablage der getätigten Einwilligungen ist gering. Wenn Ihre Webseite nicht sehr viele Besucher hat, werden Sie kein Problem haben. Andernfalls sollten Sie den Speichermechanismus anpassen oder jemanden fragen, der das gegen Bezahlung tun kann … (Webseite mit vielen Besuchern = Budget sollte vorhanden sein).

Alternative

Ihnen ist das zu kompliziert? Hier sind weitere Möglichkeiten:

1. Nutzen Sie eines dieser populären Wunder Consent Tools, die allesamt Bullshit produzieren, wie man permanent feststellen und beweisen kann. Bitte suchen Sie sich eine andere Lektüre als meine Webseite
2. Missachten Sie Datenschutzgesetze, entweder weil Sie es nicht besser wissen oder weil Ihnen Datenschutz nicht wichtig ist oder weil Sie verzweifelt sind. Bitte suchen Sie sich eine andere Lektüre als meine Webseite
3. Fragen sie jemanden, der sich wirklich damit auskennt. Viel Erfolg bei der Suche. Ich kenne nur einen, der weiß, wie es geht. Vielleicht sind mir die drei anderen unbekannt oder es gibt sie nicht
4. Verzichten Sie auf jegliche Tools, die einwilligungspflichtig sind. Die gute Nachricht: Das wird Ihnen mit über 90%iger Wahrscheinlichkeit gelingen, denn mindestens so viele Webseiten können nach vorsichtiger Schätzung ohne Einwilligungsabfrage auskommen

Wenn Sie Möglichkeit 4 wählen möchten, können Sie über meinen online DSGVO Website Check eine erste Idee erhalten, wie das geht. Der Website Check zeigt für häufige Datenschutzprobleme mögliche Lösungen. Wenn Sie eine Lösung vermissen, schreiben Sie mir.

Hier eine Kurzanleitung für häufig verwendete Webseiten-Tools und eine datenschutzfreundliche Alternative, die ohne Einwilligung auskommt.

Diese Liste lässt sich noch ewig fortsetzen. Für die meisten Webseiten kann nach meiner Erfahrung so auf eine Einwilligungsabfrage verzichtet werden.

Fazit

Meine Consent-Lösung wird bereits in der Praxis eingesetzt (nicht von mir, ich brauche keine Einwilligungsabfrage).

Die rechtlichen Risiken sind m. E. geringer als bei Standard Consent Tools, die gerne mal als Wunder verkauft werden. Außerdem hilft Ihnen mein Ansatz, sich bewusst zu werden, ob Sie wirklich eine Einwilligungsabfrage benötigen.

Der Einwilligen-Button sollte gegenüber dem Ablehnen-Button nicht hervorgehoben sein. Sie können das bei Bedarf in den Quelldateien ändern. Falls Sie es nicht hinbekommen, schreiben Sie kurz.

Die Auslieferung, die Sie oben abrufen können, ist allerdings im Frühstadium. Sollte etwas unklar sein oder nicht funktionieren, schreiben Sie mir.

Was ist ein Cookie Consent Tool?

Ein Consent Tool ist eine Einwilligungslösung. Ich verwende hier den Begriff Lösung nur ungern, da er die Tatsachen nicht richtig darstellt. In Wirklichkeit sind Consent Tools Garanten für Unzuverlässigkeit, wie ich zeigen und beweisen werde.

Eine Einwilligung vom Nutzer wird für Datenverarbeitungsvorgänge benötigt, die nicht durch die DSGVO legitimiert sind. Hierfür ist insbesondere Art. 6 DSGVO relevant.

Im Wesentlichen gilt für Webseiten: Tools Dritter dürfen erst nach Nutzereinwilligung geladen werden, wenn ein berechtigtes Interesse ausgeschlossen werden kann.

Ein Consent Tool verspricht nun, alle Einwilligungen vom Besucher einer Webseite einzuholen, bevor die einwilligungspflichtigen Tools geladen werden. Vordergründig geht es um Cookies, weshalb sich der Begriff Cookie Consent etabliert hat. Dieser Begriff ist irreführend und falsch, wie ich nachher zeigen werde.

Eine typische Einwilligungsabfrage sieht so aus:

Wofür wird eine Einwilligung vom Nutzer benötigt?

Im Wesentlichen gibt es drei Gründe, warum eine Einwilligung auf einer Webseite eingeholt werden muss:

1. Einsatz eines Tools, das technisch nicht notwendige Cookies verwendet. Dies geht aus § 15 Abs. 3 TMG hervor. Der BGH hatte nämlich im Planet49-Urteil festgestellt, dass das TMG in diesem Punkt gemäß Art. 5 Abs. 3 ePrivacy Richtlinie auszulegen ist.
2. Technisch nicht notwendige Datentransfer, etwa das Laden eines externen Bildes oder externer Schriften. Vgl. Art. 5 Abs. 1 c DSGVO. Dies gilt nur dann nicht, wenn ein wirksamer AVV o.ä. mit dem Anbieter des eingebundenen Tools geschlossen wurde
3. Datentransfer in unsichere Drittländer, beispielsweise in die USA. Vgl. Art. 44 DSGVO

Ein Transfer personenbezogener Daten findet auf Webseiten immer statt, weil IP-Adressen personenbezogene Daten sind. Deswegen muss übrigens auch jede Webseite eine Datenschutzerklärung vorweisen.

Was ist das Problem mit Consent Tools?

Die Probleme mit sogenannten Cookie Tools sind vielfältig. Hierzu habe ich diverse Untersuchungen angestellt und Artikel veröffentlicht. Die Gründe sind:

1. Cookie Scanner können objektiv nicht alle relevanten Cookies zuverlässig erkennnen
2. Cookie Blocker fokussieren sich nur auf Cookies, nicht aber auf technisch vermeidbare Datentransfers und nicht auf Datentransfers in unsichere Drittländer. Das ist offensichtlich unzureichend
3. Cookie Blocker können Cookies nicht wirkungsvoll unterdrücken. Vielmehr können Cookies überhaupt nicht direkt unterdrückt werden, sondern nur Tools, welche Cookies setzen. Der Ladevorgang von Tools wiederum kann von einem Consent Script nicht unterdrückt werden. Hierfür gibt es objektive technische Gründe
4. Die Zwecke von Cookies müssen erklärt werden. Zunächst kennt nur der Anbieter eines Tools die vom Tool erzeugten Cookies und deren Bedeutung. Die Anbieter vieler populärer Tools verraten diese Zwecke meist nicht oder nur unzureichend
5. Die Anbieter von Consent Tools scheinen Datenschutzregeln oft selbst nicht ausreichend zu kennen. Vgl. Praxistest Borlabs Cookie oder Test UserCentrics oder Test Cookiebot.
6. Einige Consent Tools initiieren selber einen Datentransfer in unsichere Drittländer, wenn sie eingebunden werden. Demnach wäre eine Einwilligung für die Einwilligungslösung notwendig. Beispiele: OneTrust, Cookiebot, UserCentrics (hier gibt der Anbieter selber zu, dass ein Datentransfer in unsichere Drittländer nicht ausgeschlossen werden kann).
7. In der Praxis versagen alle Consent Tools. Siehe Cookiegeddon.

Ein Consent Tool teilt Ihnen auch nicht mit, wenn Sie ein YouTube Video ohne erweiterte Datenschutzeinstellungen eingebunden haben. Vielmehr versucht das Consent Tool, das Laden des Videos bis zur Einwilligung zu unterdrücken. Das hat mehrere Probleme zur Folge:

Erstens gelingt das Unterdrücken des Ladevorgangs oft nicht. Zweitens müssen Zwecke von Cookies erklärt werden, die oft nicht ausreichend bekannt sind. Drittens finden beim Laden eines YouTube Video Scripts zahlreiche unnötige Datenübertragungen statt, die von Ihnen kaum erklärbar sind. Viertens stellt sich die Frage, warum eine Einwilligungsabfrage für ein Video, welches nur auf einer Seite der Webseite existiert, dafür sorgt, dass eine Webseiten-weite, globale Einwilligungsabfrage den Nutzer stört, der die Seite mit dem Video wahrscheinlich gar nicht besuchen oder das Video gar nicht abspielen möchte.

Datenschutzverstöße können von jeder Privatperson abgemahnt werden. Eine Abmahnung hat eine Unterlassungserklärung zur Folge, die auf ewig einzuhalten ist. Ansonsten droht eine Vertragsstrafe, und zwar immer wieder, nicht nur einmal.

Wenn Sie Datenschutz ernst nehmen oder wahlweise ruhiger schlafen möchten, verwenden Sie keine Einwilligungsabfragen. Sehen Sie auf dieser Webseite eine Consent Abfrage? Offensichtlich geht es auch ohne.

Für prozentual wenige Webseiten ist ein Cookie Popup erforderlich. Ihre Webseite gehört nach meiner Schätzung mit 90%iger Wahrscheinlichkeit nicht dazu.

Welche Alternativen gibt es?

Wenn Sie unbedingt eine Einwilligungsabfrage vorhalten wollen bzw. müssen, nehmen Sie doch eine kostenfreie Variante. Sie erhalten diese hier:

Diese Lösung hat einen Vorteil gegenüber den populären Tools: Sie ist ehrlich und macht Ihnen bewusst, wo das Risiko liegt. Sie ist außerdem umständlicher als diese angeblichen Wunder-Lösungen. Es gibt keine Wunder. Ein angebliches Wunder ist eine Anti-Lösung, die oft mehr Probleme macht als sie lösen soll.

Zuerst empfehle ich Ihnen allerdings, Ihre Webseite zu prüfen. Das geht sofort und in wenigen Sekunden mit meinem Online Tool

Nun versuchen Sie, alle Tools, die datenschutzfeindlich sind, zu entfernen oder durch datenschutzfreundliche Alternativen zu ersetzen. Geht nicht? Doch! Wenn Sie unbedingt Google Analytics einsetzen wollen, geht es nicht. Die meisten Webseiten brauchen Tools dieser Art nicht. Möchten Sie etwas derartiges tun, kennen Sie hoffentlich die Risiken.

Zusammenfassung

Ich kann nur dazu raten, Einwilligungsabfragen zu vermeiden. Sollten Sie unbedingt einwilligungspflichtige Dienste einsetzen wollen, wäre es besser, wenn Ihnen die rechtlichen Verpflichtungen und die Risiken bekannt sind. Meiner Erfahrung nach ist den meisten Betreibern von Webseiten samt Beraterstab nicht ausreichend bekannt, was die rechtlichen Pflichten sind.

Meiner Erfahrung nach ist es allerdings auch so, dass die meisten Webseiten ohne kritischen Tools auskommen und somit keine Einwilligung benötigen. Denken Sie doch mal drüber nach, warum Sie unbedingt ein bestimmtes Tool benötigen.

Auf meiner Webseite finden Sie zu zahlreichen populären Tools, die meistens datenschutzfeindlich sind, gute Alternativen.

Wann eine Einwilligung wirklich nötig ist und welche Wege es ohne Popup gibt, zeigt die Übersicht Cookies und Einwilligung.