UserCentrics: Praxistest des Consent Tools für Webseiten

Kategorien: Consent Tools, Datenschutz und Empfehlungen

Eines der bekannteren Consent Tools für Webseiten ist UserCentrics. In meinem Praxistest untersuche ich, wie gut es mit diesem sogenannten Cookie Tool gelingt, Webseiten datenschutzkonform zu gestalten.

Einleitung

Ein Beschluss des Verwaltungsgerichts Wiesbaden erklärt Cookiebot für rechtswidrig. UserCentrics und Cookiebot haben sich nach eigenen Angaben am 01.09.2021 zusammengeschlossen. Der Fall läuft immer noch. Wer sich im Rechtssystem unseres Landes nicht auskennt, dem sei gesagt, dass viele Verfahren absichtlich in die Länge gezogen werden, damit die Beklagte (oder Antragsgegnerin) lange Zeit hat, bis möglicherweise ein negatives Urteil (oder Beschluss) zu befürchten ist.

Meiner Wahrnehmung nach ist UserCentrics eines des bekannteren Consent Tools. Andere Tools dieser Art, die ich ebenfalls bereits untersucht habe, sind Cookiebot, Borlabs Cookie, Consent Manager, CCM19, OneTrust (mit den Ablegern CookieLaw und Optanon) und Klaro! (wenngleich nicht so bekannt). Die Ergebnisse zeigt mein Praxistest von Consent Tools.

An dieser Stelle gehe ich näher auf UserCentrics ein und untersuche insbesondere die Schwächen. Die angeblichen Stärken beschreibt der Anbieter auf seiner eigenen Webseite, so wie es jeder andere Anbieter auch tut.

Vorab möchte ich noch erwähnen, was die meisten Anbieter von sogenannten Consent Lösungen verschweigen: Kein Consent Tool dieser Welt ist aktuell und bis auf Weiteres in der Lage, Webseiten zuverlässig datenschutzkonform zu gestalten. Dies gilt bis zu einer grundlegenden Reform des Internet, die wahrscheinlich nie kommen wird. Die Gründe beschreibe ich in einem eigenen Beitrag, der sogar objektive, unwiderlegbare Gründe nennt.

Praxistest

Eigentlich wollte ich zu UserCentrics ein paar beliebige Webseiten raussuchen, die das Tool von UserCentrics verwenden und für diese einen Praxistest machen. Zeitlich davor habe ich den folgenden Abschnitt angefangen zu schreiben, in dem die Webseite von UserCentrics selbst aufgegriffen wird. Dabei habe ich festgestellt, dass UserCentrics es auf seiner eigenen Webseite mit seinem eigenen Consent Tool beschämenderweise selbst nicht hinbekommt, datenschutzkonform zu sein.

Daher habe ich es mir gespart, weitere Webseiten zu untersuchen und nur die von UserCentrics selbst herangezogen. Ich hoffe, es wird besonders deutlich, dass das Consent Tool von UserCentrics nicht besonders wertvoll zu sein scheint, wenn der Anbieter des Tools es nicht einmal mit seinem eigenen Tool hinbekommt, Datenschutzgesetze einzuhalten.

Datenabruf aus den USA

Update: Mittlerweile wurde das Data Privacy Framework (DPA) zwischen der EU und den USA ins Leben gerufen. Dieses Framework erscheint mehr als fragwürdig, wie beispielsweise der Präsidialerlass von Biden zeigt, der diesem Framework zugrunde liegt. Dieser Präsidialerlass enthält zahlreiche fragwürdige Regelungen. Jedenfalls ist bis auf Weiteres der Datentransfer zwischen der EU und den USA nicht generell verboten. Voraussetzung dafür, dass die Datenübermittlung rechtmäßig sein kann, ist die Selbstregistrierung des Anbieters (hier UserCentrics) beim DPA. Danach muss aber immer noch sichergestellt sein, dass die erhobenen Daten auf einer Rechtsgrundlage basieren.

Beim Abruf eines CMP Scripts von UserCentrics kann ein Datenabruf aus den USA nicht ausgeschlossen werden. Jedenfalls deutet das Zertifikat zur genutzten Adresse app.usercentrics.eu auf Google Trust Services LLC in den USA:

Ferner kann aufgrund der von UserCentrics genutzten Google Cloud nicht ausgeschlossen werden, dass aufgrund einer Lastverteilung ein Datentransfer in die USA stattfindet. Übrigens schließt UserCentrics das explizit selbst nicht aus, wie mir vorliegende Schriftsätze von UserCentrics zeigen.

Bekanntlich ist dies hochproblematisch, siehe Art. 44 ff DSGVO. Mir scheint es so, dass für die Nutzung von UserCentrics auf einer Webseite selbst eine Einwilligung notwendig ist. Als weitere Stichworte für eine Einwilligungspflicht bei Datentransfer in die USA seien FISA 702, EO 12333 und Cloud Act genannt (mehr Infos dazu). Bekanntermaßen sind IP-Adressen personenbezogene Daten, die beim Abruf von UserCentrics immer übertragen werden.

Was ist mit der Webseite von UserCentrics?

Update: Zum Anfang des Jahres 2024 ist festzuhalten, dass auf usercentrics.com/de/ leider Dinge passieren, die das Gegenteil von Datenschutz sind. Da wird Google Analytics ohne Einwilligung geladen. Dies kann aus meiner Sicht als Todsünde bezeichnet werden. Weiterhin wird der Google Tag Manager (GTM) ohne Einwilligung geladen. Der GTM ist grundsätzlich nicht notwendig. Er wird von vielen aus Bequemlichkeit, Unwissenheit oder beidem eingesetzt. Google forciert zudem den Einsatz des GTM, indem Google Analytics zusammen mit dem GTM angeboten wird, was völlig unnötig ist. Google Analytics kann ohne Weiteres auch ohne GTM eingebunden werden.

Auf der deutschen Version der UserCentrics Webseite wird das eigene Consent Tool eingesetzt. Wie steht es hier um den Datenschutz? Ich finde, dass die Glaubwürdigkeit eines Anbieters sehr stark davon abhängt, ob auf der eigenen Webseite alles richtig gemacht wurde.

Da ich nicht bezahlt werde, kommerzielle Anbieter auf deren eigene Datenschutzfehler hinzuweisen, werde ich an dieser Stelle nicht übermäßig konkret, sondern sage zunächst:

Sicherheitshalber habe ich einen Zeugen eine Aufzeichnung des Istzustands der Webseite von UserCentrics machen lassen, falls sich jemand angegriffen fühlt und behauptet, ich würde die Unwahrheit behaupten.

An dieser Stelle nur einer von mehreren möglichen Belegen, um die nicht wirklich vollständig vorhandene Datenschutzkompetenz von UserCentrics zu belegen. Auf der Startseite befindet sich ein eingebundenes YouTube Video. Das YouTube Script wird nicht direkt geladen (was gut ist). Vielmehr erscheint folgender Dialog, nachdem der Nutzer auf den Play Button gedrückt hat:

Dieser Dialog verstößt eindeutig mindestens gegen eine Gesetzesvorgabe. Wer findet die Verstöße? Kleiner Hinweis: Wer sich das DSGVO-Gesetz ansieht, wird fündig.

OK, hier noch ein Problemchen von der UserCentrics Webseite, diesmal mit konkreter Nennung des Mangels. Klickt man im eben gezeigten Dialog auf Mehr Informationen erscheint folgendes Popup:

Können Sie mir mal erklären, seit wann eine E-Mail-Adresse kein @-Zeichen mehr enthält, sondern in Form einer Web-Adresse (URL) angegeben wird? Wer auf den Link klickt, wird übrigens auf eine Webseite von Google geleitet, auf der keine Mailadresse ersichtlich ist …

So ernst nimmt UserCentrics den Datenschutz offenbar, dass in meinen Augen irreführende Angaben wie die eben gezeigte gemacht werden.

Auch interessant ist in diesem Zusammenhang die Angabe Verwendete Technologien zum Video:

Hierzu fallen mir zwei Dinge ein. Im Gesetz steht, dass Angaben

…in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln…

Artikel 12 Abs. 1 DSGVO

sind. Ich bin mir nicht sicher ob jeder weiß, was Privacy-Enhanced Mode bedeutet.

Weiterhin steht im Gesetz:

Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden…

Artikel 5 Abs. 1 b) DSGVO

Eine Angabe wie „Es werden Cookies gesetzt, je nach dem, was Sie auf Ihrem Computer so alles eingestellt haben“ ist demnach nicht erlaubt. Damit beziehe ich mich auf die o.g. konditionale Aussage von UserCentrics, dass Cookies dann eingesetzt werden, falls „Privacy Enhanced Mode“ nicht aktiviert ist. Als Informatiker mit über 30 Jahren IT-Erfahrung weiß ich nicht, was der Privacy Enhanced Mode sein soll. Ich habe eine Idee, die aber nicht ganz zur Aussage passt, weil der Privatmodus von Browsern, falls das gemeint sein soll, an sich nicht grundsätzlich verhindert, dass Cookies gesetzt werden. Mich macht es etwas ratlos, um es höflich zu formulieren, dass anscheinend absichtlich Begriffe erdacht werden, die möglichst wenige Menschen verstehen. Ich könnte diesen Artikel so schreiben, dass ihn genauso viele Menschen verstehen, wie zu Einsteins Zeiten die Relativitätstheorie. Warum mache ich das nur nicht …?

Fazit

Wie bei sehr vielen Webseiten, wird auch Ihre Webseite nicht wirklich datenschutzkonform, wenn sie es vor dem Einsatz von UserCentrics auch nicht war. Die Wahrheit ist, dass Sie selbst sich um den Datenschutz auf Ihrer Webseite kümmern müssen. UserCentrics macht für Sie nicht die Drecksarbeit. Leider arbeiten viele Consent Tool Anbieter mit der Angst und Unwissenheit von Menschen und tun so, als würde deren "Lösung" Ihnen ganz sicher dabei helfen, eine datenschutzkonforme Webseite zu erhalten. Das ist Bullshit. Fallen Sie nicht auf diese Marketing-Lügen herein, sondern erstellen Sie eine Webseite mit Ihren Kerninhalten. Dann benötigen Sie kein sogenanntes "Cookie Popup". Ja, richtig. Eine Webseite benötigt keinen Cookie Banner, wenn dort keine Dinge passieren, die nicht notwendig sind.

Ich denke, die Tatsache, dass die UserCentrics Webseite und das dort eingesetzte eigene Consent Tool in mehrfacher Hinsicht datenschutzrechtlich mangelhaft sind, spricht für sich. Wer noch mehr Belege für die aus meiner Sicht mangelnde Eignung des Tools haben möchte, findet weitere Tests in meinem großen Praxistest zahlreicher populärer Consent Tools.

Wer dieses Tool aus lauter Verzweiflung einsetzen möchte, sollte sich lieber einer kostenfreien Alternative bedienen, die höchstens genauso schlecht, möglicherweise aber besser, sicher aber nicht teurer ist.

Wer gar nicht weiter weiß, kann mich gerne für einen kostenfreien Rat kontaktieren.

Auch interessant

• Praxistest Borlabs Cookie
• Praxistest OneTrust
• Praxistest populärer Consent Tools
• Nutzung von Cookiebot ist abmahnbar
• Checkliste für Einwilligungsabfragen
• Fünf Gründe, warum Cookie Popups keine gute Idee sind
• Die lustigsten Cookie-Beschreibungen
• Alternativen für Google Tools