Deutsche Websites und US-Cookies
Nach Gerichtsurteil zum Einsatz des Consent-Managers "Cookiebot": PSW Group befürchtet weitreichende Konsequenzen
Es geht um den Datentransfer in die USA – ein laut "Schrems II"-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt
Um den Anforderungen aus den Datenschutzgesetzen Rechnung zu tragen, nutzen viele Website-Betreibende sogenannte Consent-Manager: Tools, mit denen sich Banner zur Cookie-Einwilligung erstellen lassen. Einer dieser Consent-Manager ist "Cookiebot". Das Verwaltungsgericht Wiesbaden fällte jüngst ein überraschendes Urteil: Die Richter untersagten der Hochschule Rhein-Main die Verwendung eben dieses Consent-Managers mit der Begründung, deutsche Websites dürften keine US-Cookies setzen.
"Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, könnte weitreichende Konsequenzen haben", meint IT-Sicherheitsexpertin Patrycja Schrenk. Die Geschäftsführerin der PSW Group erläutert: "Das Urteil könnte möglicherweise auf Captchas von Anbietenden aus Drittländern ausgeweitet werden. Zudem stehen nun gleich mehrere Fragen im Raum darunter, wie künftig mit Content Delivery Network Diensten aus Drittländern umgegangen wird und ob auch weitere Website-Plugins von dieser Entscheidung betroffen sein werden. Nicht zuletzt muss geklärt werden, ob Einwilligungsmanagement-Tools am Ende einwilligungspflichtig werden."
Was war passiert? Die antragstellende Partei stellt bei einem ihrer regelmäßigen Besuche der Hochschul-Website fest, dass für den Cookie-Banner Cookiebot eingesetzt wurde. Eine technische Untersuchung im verwendeten Browser zeigte dem Antragsteller, dass offenbar seine IP-Adresse durch Cookiebot an "consent.cookiebot.com" gesendet wurde – und weiter auf Server des Cloud-Hosters Akamai Technologies Inc. mit Sitz in den USA. "Cookiebot-Entwickler Cybot nutzt das Content Delivery Network, ein Server-Verbund, der den Datenzugriff beschleunigt und dadurch Serverüberlastungen verhindern kann, von Akamai. Problematisch ist hierbei das US-Gesetz Cloud Act, bei dem für US-Behörden sehr breit gefächerte Abfragemöglichkeiten existieren – selbst dann, wenn sich der betroffene Server innerhalb der EU befände", erklärt Schrenk und fährt fort: "Genau hier liegt das Problem und führte zum Urteilsspruch der deutschen Richter. Da sich die Akamai-Zentrale im US-Bundesstaat Massachusetts befindet, übermittelt Cookiebot gemäß DSGVO unzulässig Daten in Drittstaaten. Der Cloud-Act, der Dienstanbietende aus den USA verpflichtet, sämtliche in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befindlichen Daten offenzulegen, gelte auch für Akamai – gänzlich unabhängig vom Speicherort jener Daten."
Es geht also um den Datentransfer in die USA – ein laut "Schrems II"-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt. Datenübermittlungen können auf Garantien nach Artikel 46 DSGVO fußen. Dem Gericht fehlte jedoch ein Rechtshilfeabkommen nach Artikel 48 DSGVO, sodass als Alternative lediglich eine Einwilligung von Nutzenden infrage käme. Diese lägen jedoch nicht vor. Weiter betonte das Gericht, dass die Hochschule aus datenschutzrechtlicher Sicht verantwortliche Stelle im Sinne des Artikels 4 DSGVO sei: Die Hochschule hätte sich für oder gegen Cookiebot auf der hauseigenen Website entscheiden können – und somit auch für oder gegen die Datenverarbeitung zu von Cybot und Akamai definierten Zwecken.
Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, überraschte die Branche – nicht zuletzt deshalb, weil Verwaltungsgerichte die unterste Ebene der Verwaltungsgerichtbarkeit bilden. "Wir stehen also nun, wo die grundsätzliche Cookie-Diskussion ein Ende nimmt, weil ein Rechtsrahmen vorhanden ist, vor einer neuen Grauzone. Wieder müssen Gerichte erst Entscheidungen treffen. Website-Betreibern rate ich, eigene Cookie-Banner einzusetzen, denn dann müssen sie nicht aktiv werden. Wer Cookiebot nutzt, sollte sich über mögliche Alternativen informieren. Auch wer Consent-Manager von anderen Anbietenden einsetzt, sollte prüfen, ob diese ihre Firmenzentrale in Drittländern haben oder ob sie Sub-Dienstleistende einsetzen, die womöglich in Drittländern sitzen", so Patrycja Schrenk. (PSW Group: ra)
eingetragen: 10.02.22
Newsletterlauf: 11.04.22
PSW Group: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.