Die DSGVO ist seit über 4 Jahren in Kraft und seit 2 Jahren gültig. Immer noch wird als externer Datenschutzbeauftragter mit Internetagenturen über die verschiedensten, häufig wenig durchdachten, Einbindungen von externen Scripten und das Setzen von Cookies diskutiert. Teils mit Gültigkeit bis ins Jahr 2266 (Sternzeit 1513,1) oder 9999 (höchste 4-stellige Zahl) ohne begründen zu können, warum dies erforderlich ist. Vieles wird gemacht und auf der Website eingebaut, weil es (einfach) geht und/oder weil alle es so machen. Jedoch nicht, weil es erforderlich wäre!
Aber es wird enger. Bereits seit 2009 höhlt steter Tropfen den „Cookie“. Eigentlich die Daten im Endgerät des Nutzers, was eben auch Cookies sind. (Mehr dazu HIER.)
Jetzt scheint es geklärt zu sein!
Der Europäische Datenschutzausschuss hat in seinem Beschluss am 05.05.2020 veröffentlicht, dass Cookies und andere Trackingmechanismen nur mit ausdrücklicher Einwilligung der Betroffenen eingesetzt werden dürfen.
Die bloße Weiternutzung der Website ist keine Einwilligung und auch die Option, das Tracking zu akzeptieren oder die Seite verlassen zu müssen, sei keine gültige Einwilligung.
Ebenso prüft das „Google-Richtlinienteam“ aktuell Websites auf einen Zustand, den Google für datenschutzrechtlich zulässig hält. Hierbei wird nicht nur die Einbindung der eigenen Tools, sondern auch von anderen Anbietern (wie auch ein eventuelles Cookie Consent-Tool) geprüft. Bei Verstößen droht Google mit der Sperrung des Accounts.
„Wir haben festgestellt, dass die …… aufgeführten Websites oder Apps nicht unserer Richtlinie entsprechen, weil
• keine Einwilligung der Nutzer eingeholt wird und/oder
• nicht genau offengelegt wird, welche Drittanbieter (einschließlich Google) auch Zugriff auf die Nutzerdaten haben, die Sie auf Ihrer Website bzw. in Ihrer App entsprechend den in der Produktoberfläche konfigurierten Google-Einstellungen für Anzeigentechnologie-Anbieter erheben.“
In Deutschland hat nun der BGH in Sachen „Planet49“ am 28.05.2020 entschieden, dass bei Zugriff auf Daten im Endgerät des Nutzers (auch, aber eben nicht nur Cookies) für Zwecke der Werbung und Marktforschung sowie der bedarfsgerechten Gestaltung von Telemedien (d. h. Websites oder Apps) eine Einwilligung erforderlich ist.
ACHTUNG: Das ist nun wohl AGB Recht.
Es geht nicht (nur) um Datenschutz beziehungsweise die DSGVO!Damit geht es nicht um eventuelle Bußgelder, sondern um Abmahnungen, die sehr wahrscheinlich und ab jetzt möglich sind.
Nur in Deutschland ein Problem? Nein, andere Länder sind schon deutlich weiter.
Die irische Aufsichtsbehörde hat am 6. April einen Prüfbericht vorgelegt. In Irland ist es, anders als zum Beispiel in Belgien und Dänemark, ausreichend, wenn es einen „Zustimmen“ und einen „Erweiterte Einstellungen“ Button gibt. Dort braucht es keinen expliziten „Ablehnen“ Button.
Übergreifend Einigkeit besteht aber darin, dass sogenannte *Dark Patterns nicht zulässig sind.
Beispiel für *absichtlich nutzerunfreundliches, manipulatives Design: Ein grüner (sofort ins Auge stechender) JA-Button für "Allen zustimmen" soll dazu animieren, direkt drauf zu klicken. Ein kleiner eher unauffälliger grauer Nein-Button soll dabei in den Hintergrund treten (auf den natürlich nicht draufgeklickt werden soll!) Auch Frankreich hat zu einem solchen Vorgehen verstärkte Sanktionen angekündigt.
Fazit:
Eine Internetseite, die mit externen Scripten und/oder Cookies arbeitet und hierfür eine Einwilligung benötigt (es gibt auch Ausnahmen), muss eine echte Auswahl und Einwilligungsmöglichkeit schaffen.
