Cookies richtig setzen! Sonst gibt’s Bröseln!
Beitrag verfasst von Dr. Rainer Knyrim am 06.11.2020 – KTR-Newsletter November 2020
Nach dem EuGH-Urteil zu Planet49 und zahlreichen nationalen Feststellungen zur (Un)zulässigkeit der Cookie-Nutzung, erkennen Webseitenbetreiber einen Anpassungsbedarf und bedienen sich oftmals einem generischen Managementsystem zur Cookie-Einwilligung (Bspw Borlabs, Cookiebot, OneTrust oder TrustArc). Zugegeben, eine bequeme Lösung. Doch zeigen auch die 101 NOYB-Beschwerden gegen Webseitenbetreiber, dass diese Lösungen bloß Werkzeuge sind. Eine rechtskonforme Verwendung von Google-Analytics, eine Einbindung von Social Media oder ein Wiedererkennen von Webseitenbesuchern, können diese nicht garantieren. So zeigt auch der e-dialog Consent Management Report 2020 auf, dass die Cookie-Implementierung auf 76 % der 165 getesteten Webseiten mangelhaft ist! In diesem Fall kann man nur hoffen, nicht Teil des NOYB-Projekts zur richtigen Cookie-Banner-Implementierung zu werden.
Wir haben uns deshalb einige gängige Cookie-Lösungen angesehen und konnten regelmäßig feststellen, dass selbst die grundlegenden Ansprüche nicht erfüllt werden. Einige Beispiele daraus:
- Wenngleich alle von uns geprüften Umsetzungen zwischen den einwilligungsfreien und einwilligungspflichtigen Cookies unterscheiden, wird regelmäßig der Anschein erweckt, dass diese einwilligungsfreien „essenziellen Cookies“ auf einer Einwilligung beruhen, welche der Webseitenbesucher aber gezwungen ist abzugeben. Das ist intransparent und deshalb natürlich ein Unsinn.
- Auch haben wir bei unserer Prüfung mehrfach erkannt, dass die Auswahlmöglichkeiten nicht gleichwertig gestaltet werden, sodass ein Einwilligen oft der augenscheinlich bequemere Weg ist. Rechtskonforme Modifikationen der einzelnen Cookie-Kategorien, sind überhaupt nur bei einem verschwindenden Teil der geprüften Umsetzungen vorhanden.
- Die Einwilligung hat informiert zu erfolgen. Hierfür hat der Webseitenbesucher klar zu erkennen, welche seiner Informationen aus dem Endgerät, von wem, für welchen Zweck und auf welche Weise (insb. Datentransfers in Drittländer) verarbeitet werden. Empfänger sind transparent zu machen. Hierbei scheitern die von uns durchgesehenen Implementierung in weiteren Teilen. Die Erklärung zu den einzelnen Cookies ist oftmals nichtsagend oder überhaupt bloß eine Beschreibung des den Cookie setzenden Unternehmens.
Unser Fazit: Die zahlreichen generischen Cookie-Lösungen sind ein Werkzeug, das durchaus bei der rechtskonformen Verwendung von Cookies helfen kann. Das Prinzip Plug&Play hält damit jedoch in den Datenschutz keinen Einzug.
Wir haben uns deshalb ein Prüfschema überlegt, mit welchem wir die Klassifizierung, Informationsbereitstellung, den Einwilligungsmechanismus, die Speicherdauer, Erneuerung der Einwilligung oder den Widerspruch gegen die Cookie-Verarbeitung und die Dokumentation zur Wahrung der Rechenschaftspflicht im Rahmen eines standardisierten Cookie-Audits durchführen. Gerne führen wir das Cookie-Audit auf Ihrer Webseite für einen Pauschalpreis durch.
Bei Interesse kontaktieren Sie uns bitte unter kt@kt.at
