Drücke „Enter”, um zum Inhalt zu springen.
Ausprobieren
Online Webseiten-Check
sofort das Ergebnis sehen
Auf meiner Webseite sind externe Links mit dem Symbol gekennzeichnet. Datenschutzhinweise · Wissensartikel

Zentrale Einwilligungsverwaltung (PIMS): 66 Gründe, warum diese Datenschutz-Idee scheitern wird

10

Um Cookie Popups loszuwerden, hat sich der Gesetzgeber in § 26 TTDSG von Lobbyisten und Datenschutz-Beratern hinreißen lassen, eine zentrale Einwilligungsverwaltung ins Leben rufen zu wollen, die PIMS genannt wird. Damit soll jeder idealerweise nur noch einmal seine oder ihre Datenschutzvorlieben angeben und dann nie wieder. Mindestens 66 Gründe sprechen dagegen, dass diese Idee jemals das Licht der Welt erblicken wird.

Einleitung

Am 01.12.2021 trat das deutsche Gesetz namens TTDSG in Kraft. Der § 25 TTDSG realisiert die ePrivacy-Richtlinie als nationales Recht. Dieser Paragraph wird auch (veranschaulichend, aber ungenau) als Cookie-Regel bezeichnet.

Demnach ist ein Cookie einwilligungspflichtig, sofern es nicht unbedingt erforderlich ist, um die vom Nutzer aufgerufene Webseite darzustellen. Jeder ist genervt von diesen vielen Cookie Popups auf Webseiten. Sie nerven einfach nur und sind zudem meist nicht rechtskonform. Übrigens ist hieran nicht die DSGVO schuld. Die Problemverursacher sind Internetkonzerne mit intransparenter Datenverarbeitung und Anbieter sowie Vermarkter dieser Cookie Tools.

Der § 26 TTDSG jedenfalls soll wie durch ein Wunder das Problem mit den vielen Cookie Popups lösen. Sie und ich sollen zukünftig nur noch an möglichst einer zentralen Stelle einstellen, was unsere Datenschutzvorlieben sind. Besuchen wir dann später beliebige Webseiten (aus Deutschland bzw. für den deutschen Markt), dann soll das Cookie Popup automatisch verschwinden. Die besuchte Webseite soll nämlich die Datenschutzvorlieben des Website-Besuchers bei der Zentrale abfragen.

Leider hat der Gesetzgeber keine guten Berater gehabt, sich auf diese verlassen und zudem noch Lobbyisten im Rücken gehabt, die unsinnige Dinge eingeflüstert haben.

Um das Fiasko aufzudecken und zu stoppen, bevor es Ende des Jahres 2023 in Kraft treten soll, habe ich mir 66 Gründe aufgeschrieben, die dagegen sprechen, dass eine zentrale Einwilligungsverwaltung jemals funktionieren wird. Diese zentrale Einwilligungsverwaltung wird auch PIMS genannt. PIMS wird oft als Abkürzung für Privacy Information Management System verwendet, manchmal steht das S auch für Service oder das P für Personal. So genau weiß es eben niemand. Das gleiche gilt für einige Sachverständigen, die ein Gutachten zu PIMS schrieben und der Meinung waren, dass eine zentrale Einwilligungsverwaltung praktisch realisierbar sei. Schade, dass im Gutachten keinerlei hilfreiche Informationen aufzufinden sind, wie eine zentrale Einwilligungsverwaltung konkret aussehen soll. Konkret wäre, wenn mal jemand ein realistisches Beispiel gibt, etwa für das Facebook Plugin oder für eines von Google.

66 Gründe, die gegen PIMS sprechen

Kurz nach dem Reformationstag ist es mir zwar nicht gelungen, 95 Thesen aufzustellen, aber immerhin 66 Argumente gegen PIMS zu erdenken.

Die folgenden 66 Gründe sprechen allesamt dagegen, dass PIMS in der Praxis machbar ist. Es handelt sich überwiegend um rein praktische, organisatorische oder technische Gründe. Nur wenige dieser Gründe sind rechtlicher Natur. Aber selbst die rechtlichen Gründe würden ausreichen, um die zentrale Einwilligungsverwaltung scheitern zu lassen.

Das Cookie-Monster muss weiter fressen.

Die Gründe sind in keiner besonderen Reihenfolge. Einzelne Gründe können durch mühselige Maßnahmen sicher entkräftet werden. In Summe wird aber selbst eine unendliche Anstrengung nicht dafür sorgen, dass PIMS jemals funktionieren kann.

Zu jedem Grund beschreibe ich nur kurz die Argumentation und gebe Hintergrundinformationen, soweit dies für das Verständnis erforderlich ist. Sollte es zu einem der genannten Argumente Menschen geben, die diese entkräften wollen, werde ich das gerne aufgreifen und für einzelne Argumente einen eigenen Beitrag schreiben.

1. PIMS legitimiert nur Cookies

Der § 26 TTDSG bezieht sich auf den § 25 TTDSG. Letztgenannte Rechtsvorschrift kümmert sich aber nur um Endgerätzugriffe (bzw. auch um Zugriffe auf Endeinrichtungen wie Smart Home-Geräte).

Mit PIMS kann also folgendes NICHT legitimiert werden:

  • Verarbeitung der Daten, die in den Cookies stehen (nachdem die Cookies ausgelesen bzw. erhalten wurden)
  • Datentransfer in unsichere Drittländer (vgl. Art. 49 DSGVO und Schrems II-Urteil des EuGH: Urteil vom 16.07.2020 – C-311/18)
  • Alles, was nicht über Art. 6 Abs. 1 DSGVO in Verbindung mit Art. 5 Abs. 1 DSGVO zu rechtfertigen ist. Beispiele: extensive Datenweitergabe; extensive Nutzerprofilbildung; Datenverarbeitung über das mildere Mittel hinaus. Siehe auch Argument Nummer 40.

Soll es ein zweites PIMS geben, das diese weiteren Einwilligungsabfragen vornimmt? Das kann ja lustig werden.

Hier könnten wir bereits aufhören. Die zentrale Einwilligungsverwaltung (PIMS) ist bereits gescheitert. Zur Sicherheit folgen 65 weitere Argumente, die gegen PIMS sprechen.

2. Liste einwilligungspflichtiger Dienste ist unbekannt

Gemäß Art. 5 Abs. 1 lit. b DSGVO und Erwägungsgrund 32 zur DSGVO hat die Einwilligung in informierter Weise zu erfolgen. Dies kann nur eintreffen, wenn für jeden Dienst eine Einwilligung erfragt wird. Sogar das Forschungsgutachten zu PIMS, welches ich für in fahrlässiger Weise falsch halte, kommt zu diesem Schluss.

Ein Dienst ist ein Plugin, Tool oder Script. Beispiele sind: Google Maps Plugin, Adobe Fonts, Facebook Pixel, Adobe Analytics.

Die Liste der Dienste, die für Webseiten und Apps relevant sind, ist vollständig unbekannt. Niemand kennt alle Plugins, die Webseitenbetreiber in Deutschland so nutzen. Selbst, wenn diese Liste bekannt wäre, hätte sie eine Halbwertzeit von wenigen Sekunden. Dann nämlich käme der nächste Dienst auf den Markt. Wie jemand tausende von Diensten in einer übersichtlichen Liste zusammenstellen möchte, erschließt sich ebenso wenig.

Auch ein Registrierungsstelle für Dienste löst das Problem nicht. Der australische Plugin-Anbieter wird sich nicht dauernd mit deutschen Gesetzen beschäftigen wollen. Siehe zudem Argumente Nummer 3, 8, 12 und 14, um nur einige zu nennen.

3. Die Zwecke pro Dienst sind unbekannt

Niemand kennt alle Zwecke aller Dienste. Am Beispiel von einem einzigen Dienst, nämlich Google Analytics, wird dies schön deutlich. Google Analytics kann unter anderem verwendet werden für Conversion Tracking, Verhaltensanalysen, Optimierung von Webseiten, Retargeting. Dies sind aber keine feingranularen Zwecke, sondern Totschlag-Begriffe. Die konkreten Zwecke für Google Analytics ergeben sich aus der gewählten Konfiguration. Die Konfiguration von GA wird bestimmt durch die Einstellmöglichkeiten. Die Multiplikation aller parallel möglichen Parameterausprägungen ergibt die Gesamtzahl der möglichen Konfigurationen. Ich schätze, dass Google Analytics hunderttausende Konfigurationsmöglichkeiten zulässt, die potentiell unterschiedliche Zwecke ergeben.

Um es plastischer zu beschreiben. Viele PKW-Hersteller bieten einen Konfigurator an. Die Außenfarbe, die Sitzbezüge, das Soundsystem, die Motorleistung und viele andere Parameter können so konfiguriert werden. Die Kombinationsmöglichkeiten gehen in die Millionen oder Milliarden.

4. Eine kategorienbasierte Einwilligung ist Bullshit

Da hat jemand der PIMS-Verbrecher anscheinend mitbekommen, dass eine Liste mit Diensten gänzlich unbekannt ist. Siehe das vorige Argument.

Deswegen hat »man« wohl nach einem Ausweg gesucht, der in einem Entwurf der Einwilligungsverwaltungs-Verordnung gemündet ist. Entstanden ist die Idee einer kategorienbasierten Einwilligung. Diese Idee ist aus zwei Gründen Bullshit:

  1. Sie ist rechtlich nicht erlaubt (vgl. rechtliche Ausführungen zu Argument Nummer 2 oder meinen eigenen Beitrag).
  2. Spätestens bei Besuch einer konkreten Webseite muss bekannt sein, ob ein Dienst X einer Kategorie Y angehört.

Zum zweiten Punkt ein paar mehr Details: Wenn Sie in die Kategorie „Marketing“ einwilligen sollen (was rechtswidrig ist, aber irgendwann mal vielleicht nicht mehr) und dann eine Webseite X besuchen, die Plugin Z einbindet. Muss dann nicht die besuchte Webseite X wissen, ob für Plugin Z eine Einwilligung vorliegt? Ja, muss sie, denn darum geht es ja bei PIMS. Also muss Webseite X wissen, für welche Kategorien Y eine Einwilligung vorliegt. Außerdem muss Webseite X wissen, ob Plugin Z von diesen Kategorien Y abgedeckt ist. Denn nur dann wäre ja eine Einwilligung für Plugin Z über die eingewilligten Kategorien Y gegeben. Schade, da haben wir wieder das Problem, dass faktisch alle Dienste bekannt sein müssen. Siehe Grund 2.

Jetzt kommt noch der böse Widerruf. Jede Person hat das Recht, eine erteilte Einwilligung zu widerrufen. Das steht in Art. 7 Abs. 3 DSGVO. Auch dann muss bekannt sein, was genau widerrufen wurde. Diesmal muss es sogar die Zentrale (PIMS) wissen. Das führt wieder zu Problemchen. Siehe Argument 2 oder 41 oder 42.

5. Kategorien sind unbekannt

Angenommen, Argument 4 könnte irgendwie entkräftet werden (nur angenommen!). Für welche Kategorien soll dann eigentlich eine Einwilligung abgefragt werden. Wieder sind wir bei Argument Nummer 2 (Liste der Dienste und somit der Kategorien ist unbekannt). Ich jedenfalls weiß nicht, was mit „Marketing“ genau gemeint ist, und ich möchte es gerne genau wissen.

6. Inhalte der Kategorien sind unbekannt

Anknüpfend an das vorige Argument Nummer 5 sind wir auch bei Argument Nummer 3. Wenn nämlich die Dienste unbekannt sind, sind auch deren Zwecke unbekannt. Dann sind auch die Kategorien und deren Inhalte, in die eingewilligt werden soll, nicht näher bekannt, die diese nebulösen Zweck-Dingse umfassen sollen.

Übrigens sind die Kategorien in den Cookie-Tools eine pure Erfindung der Cookie-Tool-Anbieter. Diese Erfindung ist nicht rechtswidrig, aber sie sorgt immer wieder für Probleme. Vor allem, wenn eine Kategorie „Sonstige“ verwendet wird. Ich möchte gerne Ihre Daten für sonstige Zwecke misshandeln. Darf ich das?

7. Kategorien sind überlappend

Überlappend bedeutet hier, dass eine Kategorie auch Elemente enthalten kann, die auch in anderen Kategorien enthalten sind. Vorher stand hier disjunkt, was aber missverständlich aufgenommen wurde. Wenn eine Kategorie K1 sich unter anderem auf einen Dienst D bezieht, dann kann es sein, dass der Dienst D auch in Kategorie K2 enthalten ist. Dann aber müsste ein Nutzer in K1 und K2 einwilligen, damit Dienst D legitimiert ist.

Kategorien zu finden, die nicht überlappend sind, wäre jedenfalls wünschenswert (auch wenn Kategorien an sich ein zum Scheitern verurteilter Ansatz sind). Dies kann aber in der Praxis nicht gelingen, wie die Realität zeigt. Problemlage immer weiter. Wer kennt den Unterschied zwischen Statistik, Marketing, Leistung, Performanz und Sonstige? Weil dann potentiell jeder Dienst über mehrere Kategorien verschmiert ist, verschlimmbessern Kategorie die Problemlage nur.

Kategorien zu verwenden, die überlappend sind, würde in einer maximalen Beliebigkeit münden. Die Folge wäre im Extremfall eine Superkategorie „Alles“ bzw. mathematisch korrekt müssten es dann zwei Kategorien sein: „Fast alles“ und „fast nichts“ etwa wären geeignete Kandidaten für das nächste Bullshit-Bingo.

Eine zentrale Einwilligungsverwaltung ist weder nützlich noch notwendig noch machbar.

Siehe die genannten 66 Gründe.

Hier noch mal als Sprachausgabe, angereichert mit Zusatzinformationen (es spricht „Gretel“).

Für alle, die es immer noch nicht verstanden haben und alle, die es verstanden haben und lieber hören als lesen möchten.

8. Wer ist verantwortlich für die Einwilligungsabfrage?

Zur Erinnerung: Die Einwilligung soll an zentraler Stelle abgefragt werden, beispielsweise auf einer noch zu schaffenden Website. Ist dann der Betreiber dieser zentralen Website verantwortlich für die »Mega-Einwilligungsabfrage«?

Die Betreiber der Millionen deutschen Webseiten können nicht verantwortlich für etwas sein, bei dem sie nicht mitreden dürfen. Eine zentrale Abfrage zeichnet sich ja dadurch aus, dass sie einheitlich ist. Oder soll fünftausendmal nach dem Google Maps Plugin gefragt werden?

Ich bin gespannt, ob der Betreiber der PIMS-Plattform verantwortlich sein will für den Murks, der auf dieser Plattform zu lesen sein wird. Siehe auch Argumente 18 und 19.

9. Die zentrale Einwilligungsverwaltung ist das Gift jeder Paywall

Mittlerweile hat sich die Wirtschaft etwas gewandelt. Immer mehr Webseiten, vor allem aus dem Pressebetrieb, verwenden Paywalls. Der Nutzer soll entweder mit Daten oder mit Geld bezahlen.

Wie blöd wäre das denn, wenn das Magazin DER Spiegel (eine Datenschleuder, wie ich herausgefunden habe) seine Paywall wegen § 26 TTDSG (PIMS) einstampfen müsste?

10. Fast alle Nutzer lehnen fast alles ab

Heute bereits klickt jeder auf „Alles ablehnen“, wenn diese Möglichkeit existiert und es nicht zu viel Mühe kostet, den Button oder Link dafür zu finden.

Wenn dann zukünftig eine Einwilligung für alle Dienste der Welt auf einmal abgefragt wird, warum soll sich das ändern? Im Gegenteil: Die Wahrscheinlichkeit, dass jemand 10000 Diensten zustimmt, ist doch deutlich geringer, als dass dieser jemand 10 Diensten zustimmt.

Warum dann nicht gleich von einer Ablehnung durch den Nutzer ausgehen? Diese Frage war fast völlig ernst gemeint, mindestens aber ein bisschen.

11. Teilausgefüllte Cookie-Popups

Angenommen, Sie haben die PIMS-Zentrale noch gar nicht besucht. Dann müsste die von Ihnen besuchte Webseite X dennoch dieses blöde Cookie-Popup anzeigen.

Angenommen, Sie haben in der PIMS-Zentrale nur ein paar Einstellungen vorgenommen oder das Plugin, das eine von Ihnen besuchte Webseite X einbindet, wurde in der Zentrale nicht abgefragt. Dann müsste die Webseite X leider das Cookie-Popup wie bisher anzeigen, aber teilausgefüllt.

Betreiber von Webseiten müssten also mehr Aufwand betreiben, um das gleiche Ergebnis zu erzielen: Ein genervter Website-Besucher mehr, der von einem Popup belästigt wird.

12. Wer entscheidet, welche Dienste einwilligungspflichtig sind?

Auch eine Zentrale ändert am Grundproblem, das es heute schon gibt, nichts. Wer definiert eigentlich, ob der Google Tag Manager (GTM) und weitere 9999 Dienste einwilligungspflichtig ist? Zum ersten Teil der Frage: Ich sage: Der GTM ist einwilligungspflichtig. Zum zweiten Teil der Frage: Gerne finde ich es heraus, wenn mich jemand beauftragt. Unabhängig davon: Google hat den GTM für funktionsuntüchtig erklärt.

13. Consent Tool funktionieren nicht

Einwilligungsabfragen werden über Consent Tools realisiert. Diese funktionieren aber heute schon nicht. Lesen Sie meine ausführlichen Testberichte, wenn Sie es nicht glauben.

Das Argument 11 sorgt also dafür, dass die Consent Tools weiter betrieben werden, und zwar nicht rechtssicher.

Zudem können sogenannten Cookie-Blocker in der Praxis nicht zuverlässig funktionieren. Die Gründe sind rein technischer Natur und objektiv feststellbar.

14. Unbekannte Datenverarbeitungen können schlechterdings legitimiert werden

Anscheinend ist geplant, demnächst eine ePrivacy-Verordnung (eVO) zu erlassen, die die Modalitäten einer Einwilligung liberalisieren soll. Die DSGVO gilt weiterhin für alle Bereiche, in denen sie nicht durch die eVO gesperrt ist. Vergleiche Argument 1.

Aber selbst wenn die Einwilligung zukünftig pauschaler abgefragt werden können soll: Wer kann mir erklären, wie für unbekannte Datenverarbeitungen eine Einwilligung abgefragt werden kann, sodass betroffene Personen ihre Privatsphäre ausreichend geschützt wissen?

15. Real-Time Bidding kann faktisch durch nichts legitimiert werden

Real-Time Bidding (RTB) ist das Bieten auf Werbeplätze in Echtzeit. Sie besuchen eine Webseite. Dort sind Werbeplätze vermietet. Nun bieten Werbetreibende über Werbeplattformen in Millisekunden auf diese Werbeplätze. Der Gewinner darf Sie durch Werbung beeinflussen.

Damit die Werbung sie möglichst gut beeinflusst, tauschen die am Bieterwettbewerb beteiligten Werbeplattformen ihre Daten über Sie untereinander aus. Das wird auch als Cookie-Matching bezeichnet. Wer sich dies einmal technisch angesehen hat, wird mir zustimmen. Beim RTB geht es zu wie im Wilden Westen. Wie soll ein von Kontrollverlust gekennzeichneter Datentransfer jemand legitimiert werden?

16. Wer sind Sie überhaupt?

Sie hinterlegen Ihre Datenschutzvorlieben auf einer Webseite in einer zentralen Einwilligungsverwaltung. Nun surfen Sie im Internet auf Webseite X. Woher weiß Webseite X eigentlich, wer Sie sind?

Die Webseite X muss das nämlich wissen, damit sie Ihre Daten bei der Zentrale abfragen kann.

Sind Sie das Cookie-Monster?

Soweit ich weiß, haben nicht alle einen digitalen Personalausweis. Selbst, wenn es diesen gäbe: Der § 25 TTDSG und somit auch PIMS gelten auch für vernetzte Toaster oder Smart Home Geräte. Soweit ich weiß, haben viele dieser Geräte gar keinen Anschluss für ein Kartenlesegerät oder Sonstiges. Auch das Hochladen eines Zertifikats in einen Lautsprecher erscheint mir abenteuerlich. Auch Browser Plugins (statt einer PIMS-Webseite) machen sich so schlecht auf Endeinrichtungen, die gar keinen Browser besitzen. Aber mehr davon im nächsten Argument.

17. Browser Plugins sind keine Lösung

Statt einer Webseite, auf der Sie zentral Ihre Datenschutzvoreinstellungen hinterlegen können sollen, wird auch ein Browser-Plugin diskutiert. Verraten Sie mir doch, wer dieses Plugin für jeden der ca. 10 gängigen Browsertypen und pro Betriebssystem programmieren soll. Bereits die Corona-Warn-App hat dutzende Millionen Euro gekostet und war ihr Geld nicht wert. Wer wäre dann für diese Browser-Plugins verantwortlich? Siehe auch Argument Nummer 61.

Installieren Sie dann auf allen Ihren Endgeräten (bei mir 6 Stück) und jeweils ca. 3 Browsern pro Endgerät jeweils ein Plugin oder ist der Inhaber der Endgeräte der Dumme, der das machen soll? Und wenn ich dann überall die gleichen Datenschutz-Einstellungen haben will, muss ich diese Einstellungen dann 18 Mal vornehmen?

Wie sieht es eigentlich mit Handy-Apps aus? Die haben doch (meist) gar keinen Browser, in dem ein Plugin installiert werden könnte.

18. Wer betreibt die zentrale PIMS-Plattform, und wie?

Egal, ob Webseite oder Browser-Plugin: Wer ist der Betreiber? Auch professionelle Plugins erfordern in der Praxis eine Webseite, die diese propagiert, Support anbietet oder Hilfestellungen gibt.

Hoffentlich weiß die Betreiberin, wie sie die Webseite und Plugins sicher programmiert, sodass russische Hacker keinen Unsinn anstellen können. So eine Webseite sollte auch sehr viele User gleichzeitig verkraften, ohne gleich in die Knie zu gehen. Aber bitte nicht Cloudflare oder Akamai für die Infrastruktur nutzen. Siehe auch Argument Nummer 51.

19. Wer haftet für Browser-Plugins und PIMS?

Wenn dann die PIMS-Zentrale mal nicht erreichbar ist, wird mir dann jemand genannt, bei dem ich mich zusammen mit 50.000.000 (Zahl ist geraten) anderen Internet-Usern aus Deutschland beschweren kann? Wo dürfen wir alle uns beschweren, wenn eines der zahlreichen Browser-Plugins nach einem Update einen kritischen Fehler aufweist?

Was passiert bzw. mit wem, wenn ein Plugin oder die PIMS-Zentrale einen Fehler aufweist, der zum Datenkontrollverlust einer betroffenen Person führt?

20. Jede Endeinrichtung und jeder Browser sind zu berücksichtigen

PIMS muss sich auf Datenverarbeitungen auf jedem netzwerkfähige Computer beziehen. Vom Smartphone über Tablets, Notebooks, PCs bis hin zu vernetzten Toastern, netzwerkfähigen Waschmaschinen oder intelligenten Türklingeln, aber auch Navigationssysteme in Autos.

Übrigens muss die PIMS-Webseite natürlich in allen Browsern ordentlich dargestellt werden. Wer etwas von Web-Programmierung versteht, wird verstehen, welches Problem ich damit adressiere.

Browser-Plugins müssen sich auf alle Browsertypen und alle Betriebssysteme beziehen.

21. Wer programmiert und wartet die Browser-Plugins?

Nachdem herausgefunden wurde, wer der Betreiber der Browser-Plugins sein will (siehe Argument 19), müssen die Plugins nur für alle gängigen Browser programmiert werden (siehe Argument 20). Sicher hat jemand auch daran gedacht, wer die Updates für diese Plugins programmiert. Und wer leistet den Support, wenn ganz viele Menschen auf einmal ein Problem mit einem Plugin haben? Klingt nach Kosten wie für einen Weltraumbahnhof. Siehe auch Argument Nummer 61 (wer bezahlt das eigentlich alles?).

Das Krümel-Monster frisst auch Cookies.

22. Wer sorgt für die Installation von Browser-Plugins?

Klar könnte jeder Nutzer selbst in die Pflicht genommen werden, in allen eigenen Browsern auf allen eigenen Endgeräten ein Plugin zu installieren. Der Staat hat aber noch nie jemanden gezwungen, eine Software zu installieren. Ich erinnere nur an die Meldung der Daten für die Ermittlung der Grundsteuer. Auf besonderen Antrag konnte eine Rückmeldung per Briefpost erwirkt werden, anstatt den wirklich umständlichen Prozess über Elster gehen zu müssen.

Sollen nun also alle älteren oder behinderten Menschen erstmals in ihrem Leben entweder ihrer Grundrechte beraubt oder wieder allen Cookie-Popups ausgesetzt oder zu einer PC-Schulung gezwungen werden?

Und wer installiert eigentlich das Browser-Plugin auf dem alten PC, der noch im Serverraum steht und über den auch jemand im Internet surft? Was ist eigentlich mit Linux? Ich erweitere die Anzahl der Browsertypen von 10 auf 30, nachdem mir vorher entfallen war, dass es neben Windows ja noch andere Betriebssysteme gibt. Siehe Argument Nummer 17.

23. Browser-Signale sind schon einmal gescheitert

Browser-Plugins für PIMS sollen Signale an Webseiten senden, aus denen die Webseiten ableiten sollen, welche einwilligungspflichtigen Vorgänge erlaubt sind und welche nicht.

Das mit dem Browser-Signal gab es schon einmal. Es war Do Not Track (DNT) und ist immer noch live. DNT ist maximal gescheitert. Niemand kümmert sich darum. Warum soll das bei Browser-Plugins anders sein? Und warum soll eine Zentrale, die dazu noch umständlich abgefragt werden muss, den Ausschlag geben?

24. Updates sind praktisch nicht beherrschbar

Auch nicht notwendige Updates können nach § 25 TTDSG einer Einwilligung bedürfen. Alleine der Anbieter eines Updates, der üblicherweise gleich dem Hersteller der Endeinrichtung (= netzwerkfähiges Gerät) ist, kennt das Update. Somit kann höchstens der Update-Anbieter das Update datenschutzrechtlich ordentlich handhaben. Wie soll dieses noch gar nicht existente Update ex ante beherrschbar sein? Ex ante sagen manche immer dann, wenn sie „in die Zukunft gerichtet“ meinen und entweder zu faul zum Schreiben sind oder intelligent klingen wollen …

25. Was passiert nach Wechsel des Eigentümers einer Endeinrichtung?

Eine Endeinrichtung ist ein Endgerät oder ein anderes netzwerkfähiges Gerät. Angenommen, Sie verkaufen Ihr Auto, in das eine Endeinrichtung verbaut ist. Ja, das ist schon wahrscheinlich, denn Ihr Auto hat vielleicht ein eingebautes Navigationssystem mit Android Auto oder ähnliches.

Jetzt verkaufen Sie Ihr Auto mitsamt Endeinrichtung, für die Sie bereits eine Einwilligung in PIMS erteilt hatten (das mit dem Browser-Plugin hat im Auto ja leider nicht funktioniert). Wird der neue Besitzer dann automatisch wieder nach seiner Einwilligung gefragt, und wenn, wie soll das gehen? Oder wird Ihre Einwilligung fälschlicherweise auf den neuen Besitzer übertragen?

26. Was passiert bei Verkauf eines Computers?

Ähnlich zum vorigen Argument, aber eine Betrachtung wert. Immerhin muss die zentrale Einwilligungsverwaltung ja wissen, wer Sie sind. Siehe Argument Nummer 16.

Wenn Sie Ihren Desktop PC oder Notebook verkaufen, wie ist dann sichergestellt, dass Ihre Identifikationsdaten gegenüber der Zentrale nicht ausgelesen oder von jemand anderen recycelt werden können? Ein Identitätsdiebstahl wird durch PIMS hoffentlich nicht ermöglicht. Siehe auch Argument Nummer 27.

27. Was passiert bei einem Auskunftsgesuch an die Zentrale?

Siehe auch voriges Argument. Wenn Sie Ihren Computer verkaufen, kann dann der neue Besitzer „in Ihrem Namen“ für Sie ein akzeptiertes Auskunftsgesuch nach Art. 15 DSGVO an die Zentrale stellen?

Nächster Punkt: Wie werden Sie von der Zentrale authentifiziert, wenn Sie einen Abzug Ihrer zahlreichen Daten, die sich in der Zentrale angesammelt haben, haben wollen? Siehe auch Argument Nummer 16.

28. Wer sanktioniert die PIMS-Betreiber und wie?

Nachdem geklärt ist, wer die Betreiber einer zentralen Webseite und von Browser-Plugins sind (siehe Argument Nummer 18) und wer haftet (siehe Argument Nummer 19), würde mich interessieren, wie Datenschutzbehörden gedenken, die PIMS-Verantwortlichen bei Verstößen zu sanktionieren.

Qualitativ ist es schon etwas anderes, wenn ein Super-Datenimporteur mit potentiellem Zugriff auf sehr viele Bewegungsdaten ausgesprochen vieler Bundesbürger einen Datenschutzverstoß begeht, als wenn der Verstoß von einem simplen Website-Betreiber wie Ihnen und mir begangen wird.

Die Frage ist nicht nur, welche Behörde tätig werden soll und vor allem will und kann, sondern auch, wie. Dies ist nicht nur eine Frage des Wollens und Könnens, sondern auch ein rechtliches Thema.

29. Welche Maßstäbe gelten bei Zivilklagen?

Angenommen, Sie kommen auch mal auf die Idee, als Privatperson eine Zivilklage gegen einen Verantwortlichen zu führen, nämlich gegen den Verantwortlichen für die PIMS-Webseite oder für ein Browser-Plugin. Welche Rechtsgrundlagen stehen Ihnen hierfür eigentlich zur Verfügung?

Muss nicht der PIMS-Verantwortliche befürchten, tausenden solcher Klagen ausgesetzt zu werden? Wer möchte dann eigentlich PIMS-Verantwortlicher sein? Siehe auch die Argumente Nummer 18 und 19.

30. Das Forschungsgutachten zu PIMS ist praktisch nutzlos

Das Bundesministeriums für Wirtschaft und Energie hat ein Forschungsgutachten zur Einwilligungsverwaltung erstellen lassen. Dieses Gutachten glänzt vor allem durch die Abwesenheit von praktisch nützlichen und vor allem machbaren Vorschlägen. Stattdessen widerspricht sich das Gutachten in rechtlichen Themen und beschreibt den eher trivialen Prozess der technischen Umsetzung einer Plattform, die Einwilligungen an sich verwalten kann. Eine Datenverwaltung findet sich in jedem CRM-System. Dazu bedarf es keines Gutachtens.

Was bereits fehlt, ist ein Beispiel, wie eine Einwilligungsabfrage aussehen muss, die populäre Dienste und Plugins für Webseiten und Apps abarbeiten kann. Ich halte das Gutachten somit für nutzlos und kontraproduktiv.

Für die Mülltonne: § 26 TTDSG samt bisheriger, offizieller Studien.

31. White Listing von Anbietern ist keine Lösung

Im besagten Gutachten wird als Idee für das Dilemma, das Argument Nummer 2 thematisiert, ein White Listing von Anbietern von Diensten vorgeschlagen. Sie sollen also zustimmen oder ablehnen, dass irgendwelche Google Dienste Sie irgendwo nachverfolgen.

Dies ist erstens rechtlich unzulässig (was theoretisch in ein paar Jahren anders sein kann). Zweitens erzeugt es zahlreiche Folgeprobleme und verschiebt das Hauptproblem aus Argument Nummer 2 nach hinten. Siehe etwa Argumente Nummer 4 und 11.

32. PIMS macht Tracking-Cookies wieder attraktiver

Manche Nutzer willigen vielleicht doch in „Alles“ ein, wenn die PIMS-Abfrage entsprechend gestaltet ist oder der Nutzer eine entsprechende Disposition hat. Der Website-Betreiber freut sich und denkt, er muss sich nicht mehr kümmern, ob YouTube mit oder ohne Cookies geladen wird (siehe aber Argumente Nummer 1 und 12).

Andererseits muss dort, wo ein Video mit unnötigen Cookies (alle mir bekannten Video-Cookies sind unnötig) eingebunden wird, nach einer Einwilligung gefragt werden, wenn der Nutzer seine Entscheidung in der PIMS-Zentrale oder im Browser-Plugin noch nicht getroffen hat. Siehe auch Argument Nummer 11.

Bestimmte Cookies sind nicht vermeidbar, wenn Website-Betreiber bestimmte Dienste verwenden wollen. Google schert sich nicht um Persönlichkeitsrechte und will nur Cookies von anderen, nicht aber von sich selbst, abschaffen.

33. PIMS verhindert Funktionen

Wenn Nutzer zentral keine Einwilligung erteilen, dann wird ein Website-Betreiber aus Unwissenheit oder mangelnden Fähigkeiten womöglich keine Einwilligung dort abfragen, wo ein einwilligungspflichtiges visuelles Element wie Video oder eine Karte angezeigt werden soll. Das führt dazu, vielleicht nicht in allen, aber in einigen Fällen, dass das Element gar nicht sichtbar wird.

34. Warum soll PIMS das Problem der fehlerhaften Einwilligung lösen?

Auf nahezu jeder Webseite können Fehler in der Ausgestaltung von Cookie-Popups gefunden werden. Dies bezieht sich nicht nur auf die zurückgestellte Ablehnen-Möglichkeit, die in einer Zentrale ordentlich gestaltet werden könnte. Es geht auch um Inhalte (Stichwort: informierte Einwilligung). Wie dies durch PIMS verbessert oder geheilt werden soll, erschließt sich mir nicht. Siehe auch Argument Nummer 11.

35. Widerruf in PIMS hat keine direkte Auswirkung

Eine besuchte Webseite speichert Cookies in Ihrem Endgerät. Das wollen Sie nicht mehr und widersprechen in der Zentrale. Weil Sie nicht wissen, welche Einwilligungen Sie widerrufen sollen, widerrufen Sie alles (siehe Argument Nummer 36).

Das Dumme ist, dass die Webseite, die die Cookies gesetzt hat, nichts vom Widerruf mitbekommt, den Sie auf PIMS abgesetzt hatten. Das müsste sie aber, damit die Cookies in Ihrem Endgerät gelöscht werden könnten. Werden die Cookies erst bei Ihrem nächsten Besuch der Webseite gelöscht, ist es oft zu spät. Cookies von Google und anderen sind so invasiv, dass sie bei Vorhandensein von anderen Websites aufgegriffen und weiterverarbeitet werden.

36. Selektiver Widerruf ist faktisch nicht möglich

Wenn Sie eine Einwilligung, sagen wir für ein Google Maps Karten-Plugin, in der Zentrale widerrufen möchten, ist dies kaum in einer minimalinvasiven Weise möglich.

Entweder wird der kategorienbasierte Ansatz verwendet (vgl. Argument Nummer 4). Dann können Sie einzelnen Diensten die Einwilligung gar nicht widerrufen, sondern nur einer an sich unbekannten Gruppe von Diensten. Das würde dazu führen, dass Sie mehr widerrufen, als Sie womöglich wollten.

Oder Einzeldienste werden in der Zentrale abgefragt. Dann müssten Sie durch eine Liste scrollen, die länger als die Diensteliste des Magazins DER Spiegel ist, die dieser in seiner Paywall verlinkt. Siehe auch Argument Nummer 2.

37. Warum soll eine Verlagerung der Einwilligung die Datenschutzverstöße abstellen?

Geht es nur darum, den Nutzer weniger zu nerven oder geht es auch darum, den Nutzer vor einem Missbrauch seiner Daten durch Dritte zu schützen?

Ich erkenne nicht, wie PIMS dabei helfen soll, dass es weniger Datenschutzverstöße gibt. Dies ist doch letztendlich der wichtige Punkte. Vielleicht gibt es sogar mehr Datenschutzverstöße wegen PIMS.

38. Wer fragt nach einer Einwilligung für einen Endgerätezugriff ohne Cookies?

Hängt mit Argument 1 zusammen, ist aber technisch komplexer. Deswegen glaube ich auch, dass viele Datenschutzberater und Sachverständige das gar nicht verstehen. Google Analytics beispielsweise greift auf Ihr und mein Endgerät zu, ohne dass Cookies verwendet werden. Gemeint ist hier insbesondere der Viewport. Weil dieser Zugriff nicht erforderlich ist, ist Google Analytics nicht einwilligungsfrei.

Wer fragt eigentlich wie nach einer Einwilligung für solche Endgerätezugriffe? Vergleiche auch Argument Nummer 1.

39. Wieso sollen Juristen technisch komplexe Fragen beantworten können?

Die Frage ist gestellt, weil anscheinend Personen Fragen beantworten, die nicht in ihren Kompetenzbereich fallen. Auch die Befragung von Experten im Deutschen Bundestag im Gesetzgebungsverfahren zum TTDSG ließ technische Experten vermissen. Das in Argument Nummer 30 genannte Gutachten enthielt zwar technische Expertise, aber nicht in den relevanten Aspekten (nämlich Einwilligungsabfragen bzw. einwilligungspflichtigen Vorgängen im Internet).

40. Wer untersucht mildere Mittel?

Gibt es ein milderes Mittel für eine Datenverarbeitung, die kritisch sein kann, dann deutet das darauf hin, dass die bisherige Datenverarbeitung nicht dem berechtigten Interesse aus Art. 6 Abs. 1 lit. f DSGVO unterliegt. Siehe auch Argument Nummer 12.

Wer untersucht eigentlich, welche milderen Mittel es gibt, bevor in Browser-Plugins oder auf PIMS-Webseiten nach Einwilligungen gefragt wird. Auch das Anbieten von Widerrufsmöglichkeiten ist hiervon betroffen.

41. Wie erfolgt der Widerruf?

Haben Sie eine Einwilligung in eine Datenverarbeitung erteilt, haben Sie das Recht, diese zu widerrufen. Das steht in Art. 7 Abs. 3 DSGVO. Nun sollte der Widerruf sowohl in der PIMS-Zentrale als auch in einem Browser-Plugin als auch auf jeder besuchten Webseite, die mit Einwilligungen arbeitet, möglich sein, richtig? Das wird ein Spaß.

42. Wie wird der Widerruf an die Zentrale weitergeleitet?

Widerrufen wird ein Dienst. Wenn nur eine ganze Kategorie (siehe Argument Nummer 4 oder ein Anbieter (siehe Argument Nummer 31) widerrufen werden könnte, gäbe es folgende Situation: Sie sehen auf einer Seite entweder Karte und Video gemeinsam oder beide nicht. Kann man machen, findet aber irgendwie keiner gut.

Wenn ein Dienst widerrufen wird, woher weiß die Zentrale, in welche Kategorie dieser Dienst fällt. Siehe auch Argumente Nummer 5 und 7).

43. Wer ist für einen fehlerhaften Widerruf verantwortlich?

Sie haben auf einer besuchten Webseite X einen Widerruf abgesetzt. Die Webseite meldet diesen aber nicht an die Zentrale. Dann besuchten Sie 10 weitere Webseiten. Ihre Daten werden ohne Einwilligung misshandelt, weil der Widerruf von Webseite X nicht korrekt weitergegeben wurde. Dann haftet doch der Betreiber von Webseite X für die Datenschutzverstöße auf den 10 weiteren Webseiten, denen Sie begegnet sind, richtig?

Aliens, die einzigen möglichen Betreiber einer zentralen Einwilligungsverwaltung (Bedingung: die Aliens müssen sich nicht an die DSGVO halten).

Was ist, wenn die Zentrale gerade ein technisches Problem hat und erhaltene Widerrufe nicht korrekt verarbeiten kann oder wenn ein Browser-Plugin aufgrund eines Programmfehlers Ihre und meine Widerrufe nicht korrekt abspeichert? Hmm, jetzt haben wir ein richtig großes Problem bzw. nicht wir, sondern die Verantwortlichen für die PIMS-Plattform und die Browser-Plugins. Siehe auch Argumente Nummer 8, 18 und 19. Allerdings löst Argument Nummer 10 das Problem („Alles ablehnen“ erfordert keinen Widerruf).

44. Die PIMS-Zentrale ist antidemokratisch

Eine PIMS-Zentrale kann nicht demokratisch sein. Wie sollen sich hunderte oder tausende oder noch mehr Interessenvertreter einigen, wie eine Einwilligungsabfrage aussehen soll (Argument Nummer 8), welche Dienste einwilligungspflichtig sind (Argument Nummer 12) oder wer verantwortlich ist (unter anderem Argument Nummer 43)?

Undemokratisch ist nicht per se schlecht. Es kommt eben auf den Kontext an. Aber undemokratisch heißt oft auch inkompetent.

45. Wer hält die PIMS-Daten aktuell?

Täglich gibt es neue Dienste und Plugins auf dem Markt. Andauernd werden Änderungen an bestehenden Diensten vorgenommen. Wer hält die Angaben in der Zentrale oder in Browser-Plugins eigentlich aktuell?

46. Wann wird eine Einwilligung automatisch storniert?

Wenn mal wieder ein Update von Google Analytics kommt, dann gilt doch die zuvor erteilte Einwilligung nicht mehr, oder? Vor allem dann, wenn Google wieder andere Ländergesellschaften einsetzt oder Unterauftragsverarbeiter aus bisher noch nicht eingebundenen unsicheren Ländern (Art. 44 ff DSGVO) beschäftigt. Wie merkt das eigentlich die Zentrale oder ein Browser-Plugin? Siehe auch Argument Nummer 45.

47. Wie aktualisiert sich eine besuchte Webseite?

Wenn sich in der PIMS-Zentrale die Einwilligungsentscheidungen ändern (siehe Argumente Nummer 45 und 46), wie bekommen das dann besuchte Webseiten mit? Wie gehen diese Webseiten damit um? Siehe auch Argument Nummer 11. Wir wollen hierbei auch Apps und vernetzte Smart Home-Geräte nicht vergessen!

48. Wie fragt eine Webseite, App oder eine Endeinrichtung überhaupt die Zentrale ab?

Technisch ist das an sich machbar. Wir reden hier aber über jede Art von Gerät, das an einem Netzwerk wie dem Internet hängt. Siehe auch Argument Nummer 16: Wer sind Sie überhaupt?

Kurzum: In der Praxis ist das faktisch nicht umsetzbar und führt zu weiterhin nervigen Cookie Popups oder teilausgefüllten Popups, die immer noch nervig sind (siehe auch Argument Nummer 11).

49. Wie wird ein Widerruf technisch realisiert?

Damit meine ich nicht, wie eine Webseite, App, Ihre vernetzte Waschmaschine oder Ihr Auto mit Android Auto mitbekommt, dass ein Widerruf vorliegt. Vielmehr stellt sich die Frage, wie ein Widerruf ausgeführt wird.

Wenn Sie in eine Datenverarbeitung einwilligen und diese danach widerrufen, müssen mindestens alle verwendeten Cookies aus Ihrem PC, Auto oder Ihrer Waschmaschine gelöscht werden. Das ist für Waschmaschinen an sich gar nicht so einfach. Aber auch generell ist das Löschen von technischen Drittpartei-Cookies nur dann möglich, wenn der Anbieter des Dienstes eine Schnittstelle dafür anbietet. Leider hat Google für zahlreiche Dienste vergessen, diese Schnittstelle anzubieten. Siehe auch Argument Nummer 61.

50. Wie speichern Webseiten und Apps Einwilligungsentscheidungen?

Werden dafür dann auch Cookies genutzt? Gibt es dann noch mehr Cookies als zuvor? Das würde Datenmissbrauch begünstigen. Wer betreibt den Aufwand dafür bzw. warum soll jemand mehr Aufwand betreiben, wenn er oder sie doch nicht bestraft wird, wenn er oder sie es nicht tut?

51. Wie oft muss eine Webseite, App oder Waschmaschine die Zentrale abfragen?

Antwort: Am besten so oft wie möglich, mindestens aber bei jedem Seitenaufruf. Wenn Sie also auf einer Webseite navigieren und einen internen Link anklicken, dann muss die Webseite bei Aufruf der neuen Unterseite die Zentrale fragen, ob Sie Ihre Einwilligungsentscheidung geändert haben.

Puh, da hat die Zentrale aber viel zu tun. Und erst jede deutsche Webseite. Die Internet Provider werden sich auch freuen, dass das Internet mal so richtig gequält wird. Bin gespannt, wie diese extreme Zusatzlast sich auf Ladezeiten und Netzstabilität auswirken wird. Gut, dass es Browser-Plugins gibt (leider gibt es aber die Argumente 17 bis 19 und 21 bis 23).

Nur ein Quantencomputer kann die Rechenzeit für eine Plattform für die zentrale Einwilligungsverwaltung aufbringen.

52. Woher weiß der Nutzer, wo er widerrufen kann?

Das Problem ist nicht neu, wird aber durch PIMS verschärft. Siehe unter anderem die Argumente 41 bis 49. Wo finden Sie eigentlich die Widerrufsmöglichkeit auf jeder besuchten Webseite? Und mal ganz nebenbei gefragt: Wenn es eine zentrale Webseite gibt: Wie lautet eigentlich deren Internet-Adresse? Müssen wir uns diese Adresse dann irgendwo aufschreiben oder verschickt der Staat jedem Bürger jeden Monat einen Brief und erinnert an diese Adresse? Das gleiche Problem bei Browse-Plugins: Wie heißen diese Biester eigentlich und wo finde ich die Installationsmöglichkeiten im Netz?

53. Auf welcher Infrastruktur wird PIMS laufen?

Siehe auch Argumente 18 oder 51. Wer ist der Glückliche, der eine hochstabile, hochskalierbare, hochperformante, hochresiliente Plattform für 80 Millionen Daily Users und Milliarden Daily Requests entwerfen darf? Ganz zu schweigen von der anspruchsvollen, hochsicheren, unknackbaren Datenhaltung und dem Problemchen mit der Authentifikation (siehe Argument Nummer 16).

Wer bezahlt den Betrieb und wer realisiert dieses Mega-Projekt? Ich helfe gerne gegen Beauftragung und nehme auch den Staatsdiscount in Kauf. Meine Arbeit wird für die nächsten Jahre gesichert sein.

Soweit ich weiß, gibt es keine einzige Plattform dieser Art, die der Staat oder ein Bundesland jemand ins Leben rufen musste.

54. Was ist mit individuellen Zwecken pro Webseite, App oder Waschmaschine?

PIMS soll Cookie Popups im Idealfall eliminieren. Doch das geht gar nicht, wenn eine Webseite, App oder Ihr netzwerkfähiges Thermometer Daten zu Produkt-eigenen Zwecken verarbeitet. In diese können Sie zuvor gar nicht informiert eingewilligt haben. Somit erscheint die Einwilligungsabfrage trotz PIMS doch wieder.

55. Inkonsistenzen zwischen PIMS und Telediensten sind vorprogrammiert

Wenn zwei Stellen (PIMS und eine Webseite) versuchen, das Gleiche zu erklären, und zwar ohne explizite Abstimmung untereinander, dann ist eine zwangsläufige Inkonsistenz die Folge. Das ist eine rein logische Betrachtung, in der es nicht um eine Meinung geht. Entweder lässt PIMS Sie informiert einwilligen (oder auch nicht). Oder PIMS informiert nicht ordentlich. Wenn PIMS aber informiert, dann garantiert anders als 10.000.000 Webseiten, 5.000.000 Apps und 50.000.000 netzwerkfähige Endgeräte (die Zahlen sind von mir geraten).

Wen darf ich wegen welcher Datenschutzerklärung eigentlich abmahnen? Hat PIMS recht, dann kann ich direkt sehen, ob die besuchte Webseite etwas Falsches erklärt, und umgekehrt. Ein Grund mehr für Argument Nummer 10.

56. Was ist mit situativen Einwilligungsabfragen?

Wenn eine Webseite, App oder Ihr Auto situativ nach einer Einwilligung fragen will, dann wird dies womöglich auch noch individuellen Zwecken unterliegen. Vergleiche Argument Nummer 54. Beispielsweise kann dies im Rahmen eines online Bewerbungsprozesses über ein Formular im dritten von fünf Schritten erfolgen (zugegeben, dann weniger im vernetzten Auto oder in der vernetzten Waschmaschine, sondern eher in Apps oder auf Webseiten). Ich sehe nicht, wie dies mit PIMS entschärft werden soll.

57. Wer überwacht die PIMS-Betreiber?

Sicher hat sich schon jemand Gedanken gemacht, wer den Halter von Millionen Bewegungsdaten überwacht, der zudem verantwortlich dafür sein könnte, dass unsere Einwilligungen und Widerrufe korrekt verarbeitet werden. Oder etwa doch nicht?

58. Was passiert bis zu einer Gesetzesänderung auf europäischer Ebene?

Aus zahlreichen Gründen erscheint die Abfrage einer unkonkreten Universaleinwilligung rechtswidrig. Siehe auch meine Begründungen gegen eine Totschlag-Einwilligung.

Heinz Sielmann fände sie bestimmt auch possierlich, diese Cookies.

Möglicherweise gibt es Pläne, die Anforderungen für Einwilligungen aufzuweichen. Das muss aber auf europäischer Ebene passieren, weil Deutschland nicht großzügiger mit Datenschutzregeln umgehen darf, als es in Europa geregelt ist. Was passiert in der Zwischenzeit, bis diese Aufweichung (die ich für nicht realisierbar halte) kommt? Wir reden hier ja von Ende 2023 als Zieldatum für PIMS (siehe § 26 TTDSG).

59. Was ist mit dem Data Governance Act (DGA)?

Der DGA der Europäischen Union soll Datenaltruismus fördern. Auch der DGA geht von einer Einwilligung als Erlaubnistatbestand aus. Soll PIMS dann auch diese Einwilligungen abhandeln und wenn ja, wie (technisch, rechtlich, organisatorisch)?

60. Wie fügt sich PIMS zukünftig in das Rechtsgefüge ein?

Siehe auch das vorige Argument. Der DGA ist ja schon bekannt, aber wie sieht es mit zukünftigen Gesetzen aus? Einfacher wird es jedenfalls aufgrund von PIMS nicht, auf juristischer oder technischer Ebene zukünftig über Einwilligungen zu diskutieren, wenn neue Gesetze auf den Weg gebracht werden sollen. Wer stellt also die rechtlichen und technischen Rahmenbedingungen von und für PIMS im Hinblick auf zukünftige Vorhaben sicher? dauern dann Gesetzgebungsverfahren wegen PIMS noch länger als die Umsetzung der ePrivacy-Richtlinie in Deutschland?

61. Wird mit PIMS alles für jeden teurer?

Siehe beispielsweise die Argumente 53, 60, 11, 16 und 21. Internetprovider werden wohl mehr Geld verlangen, wenn mehr Daten hin und her geschubst werden müssen. Cookie-Tool Anbieter wollen mehr Geld oder mehr Kunden (oder beides), um PIMS zu unterstützen. Webseitenersteller wollen mehr Geld, weil alles komplizierter wird. Webseitenbetreiber wollen mehr Geld für Ihre Waren und Dienstleistungen, weil die Webseite teurer wird. Der Staat braucht mehr Geld, weil PIMS mehr Geld kostet. Tolle Idee, das mit dem PIMS.

62. Wer erfindet die PIMS-Einwilligungstexte?

In einem Browser-Plugin oder auf einer PIMS-Webseite, die eine Einwilligung abfragt, muss irgendein Text stehen, aufgrund dem Sie Ihre Einwilligung erteilen können. Wer denkt sich diesen Text aus? Genauer gesagt, handelt es sich um viele Texte. Wer denkt sich diese vielen Texte aus und wer ist dafür verantwortlich?

Haben Sie schon mal mehrere Datenschutzerklärungen angeschaut, in denen beispielsweise Angaben zum Google Maps Plugin gemacht wurden? Ist Ihnen auch schon aufgefallen, dass diese Erklärungen oft komplett anders lauten? Wer konsolidiert eigentlich diese Angaben? Sicher hat wieder jemand eine schlaue Idee wie das White Listing oder die kategorienbasierte Einwilligung. Aber das hatten wir ja schon (siehe Argumente 4 bis 7 und 31).

63. Was ist die Motivation von Verantwortlichen, PIMS einzuhalten?

Angenommen, der Gesetzgeber erlässt eine Verordnung gemäß § 26 TTDSG. Sie als Betreiber einer Webseite oder App oder als Anbieter einer vernetzten Photovoltaik-Anlage sollen an diese Verordnung halten. Warum sollten Sie das tun? Ohne Kläger kein Richter. Warum sollten Website-Betreiber plötzlich teilausgefüllte Cookie-Popups anbieten, wenn viele dieser Betreiber jetzt schon keinen Wert auf Datenschutz legen? Siehe auch Argument Nummer 11.

Das erinnert mich an die gesetzliche Zusicherung, dass jedes Kind in einem gewissen Altersbereich ein Recht auf einen Tagesstättenplatz hat. Wenn es aber zu wenige dieser Plätze gibt, ist das Gesetz weniger wert als das Papier, auf dem es hoffentlich nicht gedruckt ist.

64. Widerrufsmöglichkeit benennen

In Art. 7 Abs. 3 DSGVO steht: „Die betroffene Person wird vor Abgabe der Einwilligung hiervon [von der Widerrufsmöglichkeit] in Kenntnis gesetzt.“ Dieser Hinweis müsste auch in der PIMS-Zentrale erscheinen. Nun weiß die Zentrale aber nicht, wo die Widerrufsmöglichkeiten auf später besuchten Webseiten vorzufinden sind. Klar könnte man sagen, dass die Zentrale nur auf die Widerrufsmöglichkeit in der Zentrale hinweist. Jedenfalls müssten Website-Betreiber wohl auch einen Link auf die zentrale Einwilligungsverwaltung vorsehen, damit der Widerruf sicher möglich ist. Gleiches gilt für jegliche App, die einwilligungspflichtig Daten verarbeitet und auch für jede vernetzte Endeinrichtung in Ihrem Haushalt. Lösbar, aber macht keinen Spaß.

65. Einwilligungsabfragen können durch Technikgestaltung nicht verbessert werden

Jedenfalls kann in der Praxis die Zahl der Einwilligungsabfragen nicht dadurch reduziert werden, dass ein technischer Ansatz erdacht wird. Siehe hierzu zahlreiche Argumente von oben. Entweder informiert eine Einwilligungsabfrage den Nutzer. Oder die Abfrage findet an zentraler Stelle und ex ante (in die Zukunft gerichtet) statt. Beides gleichzeitig geht nicht, wie jeder logisch denkende Mensch sofort erkennen wird.

66. Zentrale Einwilligungsverwaltung: Weder nützlich noch notwendig noch realisierbar

Der numerisch letzte der 66 Gründe ist die Gesamterkenntnis aus den anderen 65 Gründen. PIMS ist weder machbar noch notwendig noch nützlich. Nur exemplarisch hier ein paar Referenzen, da das Lesen der 66 Argumente, geschweige denn der Entkräftungsversuch, schon sehr viel Zeit in Anspruch nimmt:

  • PIMS ist nicht nützlich: Siehe etwa Argumente 1 bis 7, 9, 10, 11, 32.
  • PIMS ist nicht notwendig: Siehe etwa Argumente 37, 56 oder meinen Beitrag zu vernetzten Toastern. Sanktionierungen, Entbürokratisierung und die Möglichkeit der effektiven Rechtsdurchsetzung hingegen sind notwendig.
  • PIMS ist nicht machbar: Siehe etwa Argumente 8, 12, 15 bis 20, 24, 30, 39, 43, 54.

Kurzum, PIMS ist einer der größten Haufen Unsinn, die jemals in der digitalen Neuzeit erdacht wurden.

Fazit

Die genannten Argumente werfen derart viele ungeklärte und teils hochkomplexe technische, rechtliche, organisatorische und praktische Fragen auf, dass PIMS alleine aufgrund dessen scheitern wird. Selbst wenn es gelänge, alle Argumente zu entkräften, würde dies eine Ewigkeit dauern. Selbst wenn PIMS funktionieren würde, würde dadurch nur eine begrenzte Anzahl an Cookie Popups eingespart werden, und das zu immensen Kosten.

PIMS wird darauf hinauslaufen, dass fast alle Nutzer fast alle nicht erforderlichen Datenverarbeitungen ablehnen. Das könnte man doch billiger und einfacher haben.

Per Mail an das zuständige Referat im Bundesministerium für Digitales und Verkehr (Referat DP 25 – Datenschutz in der digitalen Welt, Cybersicherheit, Vertrauensdienste): Ref-DP25@bmdv.bund.de

Lieber Gesetzgeber, liebe Bundesregierung!

Die vorige Bundesregierung hat den § 26 TTDSG eingeschädelt. Ihr müsst Euch also nicht schuldig fühlen für dieses Fiasko. Bitte sorgt dafür, dass die Idee der zentralen Einwilligungsverwaltung schnellstmöglich beerdigt wird. Wechselt am besten auch die Berater aus, die Euch oder Eurer Vorgängerin nicht mitgeteilt hatten, was für ein Unsinn die Idee mit dem PIMS ist.

Gerne verrate ich Euch hiermit, was die einzige Lösung ist:

Fangt endlich an, Datensünder zu sanktionieren. Bringt den Gerichten bei, dass europäisches Recht anzuwenden ist und dass betroffene Personen ein Recht darauf haben, dass ihre Privatsphäre geschützt wird. Verringert die Bürokratie und die Laufzeit von Gerichtsverfahren.

Bestraft Internetkonzerne, die sich nicht an verbindliche Regeln halten. Denkt bitte auch an deutsche Unternehmen, die Gesetze absichtlich umgehen. Mit den großen anzufangen, wäre super. Wenn dann die kleinen Firmen es auch nicht kapieren, müssen sie wohl auch berücksichtigt werden.

Diese Mail schicke ich nicht an das Referat, dafür aber ein Extrakt der 66 Argumente. Wollen Sie da nicht auch mal hinschreiben?

Ein Leuchtturm-Projekt der Sanktionierung würde schon reichen, damit sich etwas bewegt. Siehe Google Fonts Abmahnungen. Wie wäre es mal mit einem Verbot von ein paar Facebook Fan Pages? Anscheinend hat keine Datenschutzbehörde Zeit oder Lust, sich ihrem Auftrag zu widmen und dies, über 4 Jahre nach Inkrafttreten der DSGVO, einmal in Angriff zu nehmen.

Ich hoffe, mit den genannten 66 Argumenten jeden davon überzeugt zu haben, dass PIMS in der Praxis nicht funktionieren kann. Wer immer noch anderer Meinung ist, den fordere ich auf, seine Meinung so lange für sich zu behalten, bis er oder sie oder jemand anders konkrete Beispiele für die Praxis präsentiert, aus denen hervorgeht, dass PIMS doch funktionieren kann. Bitte dabei nicht vergessen, alle der oben genannten 66 Gründe der Reihe nach durchzugehen. Ich erwarte eine Darstellung einer möglichen Einwilligungsabfrage samt Nennung des Verantwortlichen dafür samt Beschreibung, wie der gesamte Prozess bis hin zum Widerruf stattfindet. Falls Sie das nicht hinbekommen, belästigen Sie mich bitte nicht mit der Aussage, dass Sie PIMS für möglich halten. Sie glauben, das wird schon jemand hinbekommen? Glauben Sie bitte weiter, aber am besten nicht in meiner Gegenwart. Nicht der Glaube versetzt Berge, sondern höchstens der Klimawandel. Mich interessieren nur Fakten, keine Nebelkerzen.

66 is the name of the PIMS.

Angelehnt an Iron Maiden’s Song “666 is the name of the beast”.

Wer meint, Cookie-Popups funktionieren in der Praxis, dem helfen vielleicht folgende Untersuchungen, das Gegenteil zu erkennen:

Alle Bilder in diesem Beitrag wurden von einem Computer-Programm und ohne meine kreative Mitarbeit erzeugt. Verwendet wurde ein KI-Programm, was ähnlich zu Dall-E ist. Die Bilder dürfen auf Webseiten frei verwendet werden, sofern eine üblich sichtbare dofollow-Verlinkung auf diesen Blog gegeben ist.
Wer schreibt hier?
Mein Name ist Klaus Meffert. Ich bin promovierter Informatiker und beschäftige mich seit über 30 Jahren professionell und praxisbezogen mit Informationstechnologie. In IT und Datenschutz bin ich auch als Sachverständiger tätig. Mir sind juristische Gegebenheiten nicht fremd. Meine Ergebnisse gewinne ich durch Betrachtung von Technik und Recht. Das scheint mir absolut notwendig, wenn es um digitalen Datenschutz geht. Über neue Beiträge werden Sie informiert, wenn Sie meinen Newsletter abonnieren. Über Ihre Unterstützung für meine Arbeit würde ich mich besonders freuen.
Bitte nutzen Sie bei Verwendung meiner Ergebnisse die Quellenangabe oder verlinken Sie gut wahrnehmbar auf diesen Artikel:
Einen Kurzlink oder eine Bestätigung für Ihre Quellenangabe erhalten Sie kurzfristig auf Anfrage. Ein Teilen oder Verteilen dieses Beitrags ist natürlich ohne weiteres möglich und gewünscht.

Kommentare von Lesern

Die Kommentare drücken die Meinungen der jeweiligen Kommentargeber aus
  1. Harald M. Müller

    Großartig. Genial. Goldrichtig.

    Wunderbar die Analogie zu Luther und Iron Maiden.

    Minimale Anmerkungen nach dem Lesen aller 66 Punkte:

    2: “Plugin Y” -> “Plugin Z”, wenn ichs richtig verstehe.
    7: “Disjunkt bedeutet teilerfremd” ist, finde ich, missverständlich (und eher falsch). Wäre “Disjunkt bedeutet ‘nicht überlappend'” besser?
    7: Der zweite Absatz endet im Nichts.
    28: Da legt sich bei mir im Firefox ein Bildchen über den letzten Absatz.

    “Die genannten Argumente werfen derart viele ungeklärte und teils hochkomplexe technische, rechtliche, organisatorische und praktische Fragen auf” … das Wort “finanzielle” könnte man noch ergänzen.

    Danke!

    • Dr. DSGVO

      Vielen Dank für die freundliche und wertvolle Rückmeldung!
      Die Texte habe ich gemäß dem Vorschlag angepasst.
      Das Problem mit dem Bildchen kann ich nicht reproduzieren. Vielleicht hilft es, dass ich zwei Bilder kleiner gemacht habe.

  2. Ingo

    Wow… klasse Artikel. Für mich als Webentwickler ist das ein ziemlich nerviges Thema und es stellt sich mir schon lange die Frage, warum man das nicht den Browserentwicklern überlässt. Man könnte doch die Settings für Cookie- und Script-Consent direkt im Browser zur Verfügung stellen. Eine integrierte Lösung, sozusagen, die genau da ansetzt, wo die Seitenanfragen entstehen. So wäre auch sichergestellt, dass die Daten nicht doch wieder von einem Dienstleister gegengecheckt werden müssen. Für die Ladezeiten sollte das ebenfalls die optimalere Lösung sein.

    • Dr. DSGVO

      danke für Ihre freundliche Rückmeldung.
      Der Browser-Ansatz ist schon mal gescheitert, siehe “Do Not Track”.
      Siehe außerdem beispielsweise Argumente 17, 19 und 21.
      Ich möchte jedenfalls nicht, dass Google Chrome über wichtige Datenschutzfragen entscheidet.

      Und was ist mit Apps oder der vernetzten Waschmaschine, wo es keinen Browser gibt?

      • Ingo

        Bei dem Browser-Ansatz, wie ich ihn meine, würden nicht Signale an Websites gesendet, aus denen diese dann etwas ableiten, sondern der Browser würde von vornherein das Laden von Elementen unterbinden, die nicht den Settings entsprechen. Im Prinzip genau wie ein Cookie-Banner, nur eben eine Ebene vorher und bereits so eingestellt, wie man das generell haben möchte.

        Bei Apps und Haushaltsgeräten müsste das analog über die OS-Settings gelöst werden, aber guter Einwand. Bis man da alle auf Linie hat, vergehen Jahrzehnte ^^

        • Dr. DSGVO

          Das Problem ist, es ist unbekannt, welche “Settings” es gibt und welche “Elemente” zu welchen “Settings” passen. Würde dazu führen, dass fast jeder alles ablehnt, was mir recht wäre.

          • Ingo

            Ja, das wäre mir auch recht :-))

            Das Ganze könnte nur funktionieren, wenn man Standards dafür erarbeiten würde. Wenn man aber sieht, was da schon jetzt für ein Chaos veranstaltet wird, ist das wahrscheinlich zu idealistisch gedacht.

            Anyway… vielen Dank für die ausführliche Zusammenfassung und den netten Chat.

  3. Helmut Fuchs

    Sehr gut gemacht.
    Es sind allerdings nur 62 statt 66 Gründe. Reicht auch schon 🙂

    • Dr. DSGVO

      Ja, stimmte. Danke für Ihren freundlichen Hinweis. Die Argumente 33 bis 36 fehlten. Sie sind nun ergänzt

  4. Anonymous

    Iron Maidon zitiert hier die Bibel (in gekürzter Form):
    Offenbarung 13,18 “This calls for wisdom: let the one who has understanding calculate the number of the beast, for it is the number of a man, and his number is 666.”
    (Nach English Standard Version)

Schreiben Sie einen Kommentar

Ihre Mail-Adresse wird nicht veröffentlicht.

Nächster Beitrag

Cloud Computing und Datenschutz: Technische und rechtliche Aspekte, Datenschutzkonferenz IDACON 2022