23.12.2021
Consent Management
Dürfen deutsche Websites noch US-Cookies setzen?
Autor:
![USA vs. EU](/img/1/6/1/5/9/3/3/USA-EU_w320_h200.jpg)
![USA vs. EU](/img/1/6/1/5/9/3/3/USA-EU_w480_h300.jpg)
![USA vs. EU](/img/1/6/1/5/9/3/3/USA-EU_w640_h400.jpg)
Shutterstock/Meshmerize
Ein Gerichtsurteil aus Wiesbaden schlägt hohe Wellen: Darf eine Website in der EU Cookies eines US-Dienstes setzen? Rechtsanwalt David Pfahler und MarTech-Experte Patrick Mohr erklären, worum es in dem Urteil geht und was Website-Betreiber jetzt beachten müssen.
Von David Pfahler, Partner bei Steger & Pfahler, und Patrick Mohr, Mitbegründer und Managing Partner von Mohr Stade
Ein Beschluss des Verwaltungsgerichts Wiesbaden zum Einsatz von Cookies auf der Website der staatlichen Hochschule RheinMain (Az. 6 L 738/21.WI vom 1.12.2021) lässt aktuell bei vielen Datenschutzbeauftragten und Online-Marketing-Verantwortlichen die Alarmglocken schrillen. Doch was hat es damit auf sich und was sollten Verantwortliche jetzt tun?
Bei der Entscheidung geht es um das Verbot des Einsatzes der Consent Management Lösung Cookiebot, die vom dänischen Anbieter Cybot herausgegeben wird. Diese sogenannte Consent-Management-Plattform (CMP) dient dazu, die Zustimmung der Nutzer zum Einsatz weiterer Cookies einzuholen. Dazu erscheint auf der Website ein sogenanntes Consent-Banner mit Informationen, welche Cookies zu welchen Zwecken die Website setzen möchte.
Die 6. Kammer des VG Wiesbaden sieht den Unterlassungsanspruch der Klägerin als begründet an und verkündet in ihrem Beschluss, die Hochschule sei verpflichtet, die Einbindung des Dienstes "Cookiebot“ auf ihrer Webseite zu beenden, da diese mit der rechtswidrigen Übermittlung personenbezogener Daten der Webseiten-Besucher und damit insbesondere des Antragstellers einhergeht. Es lägen personenbezogene Daten vor. Aus einer Kombination eines den Webseiten-Besucher identifizierenden Keys, der im Browser des Nutzers gespeichert werde, und der übermittelten vollständigen IP-Adresse sei der Endnutzer eindeutig identifizierbar.
Zuvor hatte der Kläger auch gegen den Einsatz des Google Tag Managers geklagt, dieser wurde jedoch einen Tag vor Antragstellung von der Beklagten von der Website entfernt, sodass der Antragsteller dies für erledigt erklärte.
Einordnung der Entscheidung
Zunächst einmal handelt es sich um den Beschluss eines Verwaltungsgerichts im einstweiligen Rechtsschutz und damit nicht um ein höchstrichterliches Urteil. Die Entscheidung in der Hauptsache steht noch aus und kann durchaus anders ausfallen. Aus Sicht des Datenschutzes ist es zu begrüßen, dass personenbeziehbare Daten nicht ohne Rechtsgrundlage verarbeitet und auf Server außerhalb der EU übertragen werden dürfen. Allerdings ist dies gerade im Hinblick auf CDN-Anbieter schwierig. Diese sollen dazu beitragen, dass Websites von jedem Ort der Welt möglichst schnell und bei kurzfristig hohem Traffic Volumen skalierbar zugänglich sind. CDNs helfen dabei, Websitebetreiber vor DDoS-Attacken zu schützen sowie Medieninhalte via Caching weltweit im Internet zu verteilen. Eine Anpassung an lokale Gegebenheiten ist daher schwer umzusetzen.
Der technische Aufbau des Internets bedingt, dass ein Server, um mit dem Browser des Nutzers interagieren zu können, dessen IP-Adresse erfasst. Durch die Spiegelung des Webservers der optimierten Website ist es unvermeidbar, dass die IP-Adresse der Nutzer in der Regel auch vom CDN voll erfasst wird. Im vorliegenden Fall kam offensichtlich erschwerend hinzu, dass auch Identifier wie der Opt-Out Cookie auf dem CDN verarbeitet wurden. Viele Consent Management Lösungen nutzen CDNs für die Auslieferung der Consent Banner. Auch aus Firmensicht ist der Einsatz eines CDNs hier sinnvoll, muss doch das Banner auf jeden Fall 100 Prozent ausfallsicher sein, um die datenschutzrechtlichen Vorgaben zu erfüllen.
Was Datenschutzbeauftragte und Online-Marketing-Verantwortliche jetzt tun sollten
Zunächst einmal gilt es, Ruhe zu bewahren. Zum einen handelt es sich nur um eine Entscheidung eines Verwaltungsgerichts im einstweiligen Rechtsschutz. Im Hauptsacheverfahren ist es möglich, dass dasselbe Gericht noch anders entscheiden wird. Außerdem ist es nicht unwahrscheinlich, dass Oberverwaltungsgerichte oder auch das Bundesverwaltungsgericht die Sache anders sehen werden.
Alle diese Fragen sind unter Datenschutzrechtsexperten umstritten. Wer Zweifel an seinem aktuellen Setup hat, sollte dieses von Experten überprüfen lassen. Bevor Entscheidungen anderer Gerichte vorliegen, werden die offenen Fragen aber nicht gänzlich zu klären sein. Wem dieses Risiko zu hoch ist, dem bleibt derzeit ausschließlich EU-Anbieter einzusetzen, die selbst wiederum nur EU-Anbieter einsetzen.
Sie können auch Consent-Banner lokal auf Ihren Servern hosten. Achten Sie darauf, dass die Opt-Out Cookies Ihrer Consent Management Lösung im Browser des Nutzers und nicht extern auf einem Server gespeichert werden.
Auf keinen Fall sollten Sie jetzt das Kind mit dem Bade ausschütten. Ohne eine Consent Management Lösung, ein Tag Management System oder ein Content Delivery Network ist derzeit in vielen Fällen ein wirtschaftlich sinnvoller, datenschutzkonformer und sicherer Betrieb von Webseiten und Online-Marketing kaum möglich. Nach dem am 1. Dezember 2021 in Kraft getretenen Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) sind Datenschutzbeauftragte und Marketingverantwortliche aber gut beraten, ihre bestehenden Consent Banner entsprechend der neuen Vorgaben überprüfen zu lassen und ggf. anzupassen.
Daten auf dem Prüfstand
BI im Zeitalter von KI und ML
Business Intelligence gilt als Hochburg für den Einsatz von Künstlicher Intelligenz und Machine Learning. Neue Möglichkeiten bergen aber auch neue Herausforderungen.
>>
Komplexität meistern
Integration heterogener IT-Architekturen
Der Bedarf an individuellen Lösungen im Unternehmen führt dazu, dass die Ansammlung von diversen Lösungen mit der Zeit wächst und nur noch mit viel Aufwand verwaltet werden kann.
>>
Neues EU-Gesetz
Was Unternehmen über die NIS-2-Richtlinie wissen müssen
Die NIS-2-Richtlinie soll die Cyberresilienz von Unternehmen stärken. Sie betrifft nun auch KMU, die selbst feststellen müssen, ob sie den Anforderungen der NIS-2 entsprechen. TÜVIT bietet einen Betroffenheitscheck an, der bei dieser Einschätzung unterstützen soll.
>>
Digitale Spionage
Neue Studie zu technologiebezogenen Verschwörungstheorien
Technologien spielen eine wichtige Rolle bei der Verbreitung von Verschwörungstheorien und radikalen Meinungen, das zeigt eine neue Studie von Forschenden der Universitäten Paderborn und Göttingen.
>>