Überblick Consent Management Plattformen (I): Darauf kommt es an

Lange Zeit gab es Diskussionen zwischen den Aufsichtsbehörden für den Datenschutz in Deutschland und Vertretern der Digitalwirtschaft, ob Cookies nur nach einer informierten Einwilligung (Opt-In) gespeichert und ausgewertet werden dürfen oder ob eine Information und das Angebot eines Widerrufs (Opt-Out) genügen.

Rechtlich stand dahinter die Frage, ob man sich weiter auf das deutsche Telemediengesetz (TMG) beziehen darf (Opt-Out reicht demnach) oder ob die Datenschutz-Grundverordnung (DSGVO) der EU hier zur direkten Anwendung kommen muss (demnach ist ein Opt-In erforderlich).

Mit dem Urteil zum Rechtsstreit zwischen dem Bundesverband der Verbraucherzentralen   und der Planet49 GmbH   hat der Bundesgerichtshof   (BGH) Ende Mai 2020 das Einwilligungserfordernis vor der Verarbeitung von personenbezogenen Daten klargestellt. Werbetreibende Unternehmen benötigen demnach beim Setzen von personenbezogenen Cookies die freiwillige, explizite Einwilligung der Nutzer, wie es auch die Datenschutz-Grundverordnung (DSGVO) und die europäische E-Privacy-Richtlinie vorschreiben.

Der Verband der Internetwirtschaft eco    zum Beispiel begrüßt, dass durch das Urteil nun Unklarheiten beim Setzen von personenbezogenen Cookies beseitigt wurden und der Umgang mit Daten europäisch einheitlich geregelt worden ist, wie eco-Geschäftsführer Alexander Rabe betonte:

"In Deutschland wurde für das Setzen von Werbecookies lange das Opt-Out-Modell angewendet - Nutzer mussten informiert werden und konnten dann aktiv dem widersprechen. Die EU-Gesetzgebung sieht jedoch bereits seit 2009 eine Einwilligung vor. Seit dem Inkrafttreten der DSGVO haben sich die Anforderungen an eine Einwilligung nochmals verändert, die nun ,ausdrücklich´ lautet - es muss also eine eindeutige, bestätigende Handlung seitens der Nutzer geben. Somit gibt das Urteil Unternehmen und Nutzern endlich Klarheit und Rechtssicherheit im Umgang mit Cookies."

Doch es gibt neue Leitlinien zu Cookie-Bannern

Mit dem aktuellen Urteil des BGH hat sich die Rechtslage rund um Cookies und die erforderliche Einwilligung zwar gefestigt. Das bedeutet aber nicht, dass es nicht weitere Verschärfungen geben könnte. So hat der Europäische Datenschutzausschuss (EDSA), das Gremium der Datenschutzaufsichtsbehörden aller Mitgliedsländer der EU, seine Leitlinie zur Einwilligung bei Internetseiten   aktualisiert. Der EDSA stellt darin klar, dass der Zugang zu einem Web-Service nicht abhängig von der Erlaubnis in das Setzen von Cookies sein darf. Auch die bloße Weiternutzung einer Seite wird nicht als wirksame Einwilligung angesehen.

Trotzdem meint der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber , dass noch nicht alle Websites die Anforderungen umgesetzt haben: "Es gibt immer noch Internetseiten, die durch ihren Aufbau den Nutzenden Tracking aufdrängen. Die aktualisierten Leitlinien machen erneut deutlich, dass Einwilligungen nicht erzwungen werden können. Die meisten Cookie-Walls und die Annahme, dass das Weitersurfen eine Einwilligung bedeutet, widersprechen dem Aspekt der Freiwilligkeit und verstoßen gegen die Datenschutz-Grundverordnung."

Als "Cookie-Wall" wird ein Verfahren bezeichnet, das von Nutzenden eines Online-Angebots einfordert, Cookies zu akzeptieren, um das Angebot nutzen zu können. Ausnahmsweise sind Cookie-Walls dann zulässig, wenn ein vergleichbarer Dienst auch ohne Tracking angeboten wird, beispielsweise als bezahlter Dienst.

Third-Party-Cookies stehen vor dem Aus, Vorgaben bleiben aber bestehen

Immer mehr Browserhersteller (nach Safari auch Firefox und Chrome) planen, zukünftig keine Third-Party-Cookies mehr zuzulassen, von Fristen wie "innerhalb der nächsten zwei Jahre" ist die Rede, berichtete der Bundesverband Digitale Wirtschaft  (BVDW). Deshalb werden bereits alternative Tracking-Verfahren eingesetzt und weitere, neue Verfahren diskutiert und entwickelt.

Doch Vorsicht: Aus dem absehbaren Ende von Third-Party-Cookies folgt nicht, dass die zuvor erwähnten Rechtsgrundlagen und Leitlinien bald keine Bedeutung mehr haben. Mit dem Ende der Drittanbieter-Cookies enden nicht etwa auch die Vorgaben des Datenschutzes und der Gerichte.

Die Aufsichtsbehörden für den Datenschutz in Deutschland haben bereits klargestellt: "Verantwortliche müssen sicherstellen, dass die Einwilligung nicht nur das Setzen von einwilligungsbedürftigen Cookies umfasst, sondern alle einwilligungsbedürftigen Verarbeitungstätigkeiten, wie zum Beispiel Verfahren zur Verfolgung der Nutzer durch Zählpixel oder diverser Fingerprinting-Methoden, wenn diese nicht aufgrund einer anderen Rechtsgrundlage zulässig sind."

Das aber bedeutet auch, dass es nicht nur für Cookies ein Einwilligungsmanagement bedarf, sondern für alle weiteren Tracking-Verfahren wie Browser- oder Device-Fingerprinting, bei dem Parameter, Kennzeichen und gewählte Optionen bei Browsern oder Geräten genutzt, verdichtet und ausgewertet werden, um eine möglichst genaue Identifizierung zu ermöglichen. Auch neue Tracking-Verfahren sollten sich deshalb unterstützen lassen, durch eine Offenheit des eingesetzten Einwilligungsmanagements.

Hohe Anforderungen an das Einwilligungsmanagement

Um alle rechtlichen Vorgaben an eine Einwilligung zu erfüllen und um auch alle technischen Anforderungen umzusetzen (wie neue Tracking-Verfahren, Integrationen in Websites und Customer Relationship Management), ist ein vollständiges, durchdachtes Consent Management erforderlich.

Eine Vielzahl an Plattformen, sogenannte Consent Management Plattformen (CMP), bieten sich auf dem deutschen Markt an. Die Suche nach der richtigen Plattform hängt zwar von den individuellen Erfordernissen jedes einzelnen Unternehmens ab, doch es gibt bestimmte Auswahlkriterien, die man berücksichtigen sollte bei seiner Suche.

Die Aufsichtsbehörden für den Datenschutz in Deutschland haben ihre Vorstellungen an eine Einwilligung per Cookie-Banner bereits erläutert:

• Beim erstmaligen Öffnen einer Website erscheint das Banner beispielsweise als eigenes HTML-Element. In der Regel besteht dieses HTML-Element aus einer Übersicht aller einwilligungsbedürftigen Verarbeitungsvorgänge, die unter Nennung der beteiligten Akteure und deren Funktion ausreichend erklärt wird und über ein Auswahlmenü aktiviert werden können.
  
• Aktivieren bedeutet in diesem Zusammenhang, dass die Auswahlmöglichkeiten nicht "aktiviert" voreingestellt sein dürfen.
  
• Während das Banner angezeigt wird, werden zunächst alle weitergehenden Skripte einer Website oder einer (Web-)App, die potenziell Nutzerdaten erfassen, blockiert.
  Der Zugriff auf Impressum und Datenschutzerklärung darf durch "Cookie-Banner" nicht verhindert werden.
  
• Erst wenn der Nutzer seine Einwilligung(en) durch eine aktive Handlung, wie zum Beispiel das Setzen von Häkchen im Banner oder den Klick auf eine Schaltfläche abgegeben hat, darf die einwilligungsbedürftige Datenverarbeitung tatsächlich (durch technische Maßnahmen sichergestellt) stattfinden.
  
• Zur Erfüllung der Nachweispflichten ist es nicht erforderlich, dass die Nutzer dazu direkt identifiziert werden. Eine indirekte Identifizierung ist ausreichend. Damit die Entscheidung des Nutzers für oder gegen eine Einwilligung bei einem weiteren Aufruf der Website berücksichtigt wird und das Banner nicht erneut erscheint, kann deren Ergebnis auf dem Endgerät des Nutzers ohne Verwendung einer User-ID o. ä. vom Verantwortlichen gespeichert werden.
  
• Durch ein solches Verfahren kann der Nachweis einer vorliegenden Einwilligung erbracht werden.
  
• Da eine Einwilligung widerruflich ist, muss eine entsprechende Möglichkeit zum Widerruf implementiert werden. Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung.

Diese Punkte sollten natürlich in die Auswahlkriterien eines Unternehmens für eine CMP einfließen. Eine ausführliche Beratung inklusive einer großen Übersicht über die zur Verfügung stehenden Lösungen, finden Sie im zweiten Teil dieses Artikels (erscheint morgen, am 23.7.2020).

---

iBusiness-Autor Oliver Schonschek ist Analyst für KI-, Security- und Privacy-Themen.