PSW Group kommentiert Gerichtsurteil

Cookiebot-Urteil mit weitreichenden Konsequenzen

10. Februar 2022, 11:10 Uhr | Autor: Jörg Schröper | Kommentar(e)
Patrycja Schrenk,PSW Group.
© PSW Group

Um den Datenschutzanforderungen Rechnung zu tragen, nutzen viele Website-Betreibende Consent-Manager, mit denen sich Banner zur Cookie-Einwilligung erstellen lassen. Das Verwaltungsgericht Wiesbaden untersagte diese jüngst mit der Begründung, deutsche Websites dürften keine US-Cookies setzen.

„Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, könnte weitreichende Konsequenzen haben“, meint IT-Sicherheitsexpertin Patrycja Schrenk. Die Geschäftsführerin der PSW Group erläutert: „Das Urteil könnte möglicherweise auf Captchas von Anbietenden aus Drittländern ausgeweitet werden. Zudem stehen nun gleich mehrere Fragen im Raum; darunter, wie künftig mit Content Delivery Network Diensten aus Drittländern umgegangen wird und ob auch weitere Website-Plugins von dieser Entscheidung betroffen sein werden. Nicht zuletzt ist zu klären, ob Einwilligungs-Management-Tools am Ende einwilligungspflichtig werden.“

Was war passiert? Die antragstellende Partei stellt bei einem ihrer regelmäßigen Besuche einer Hochschul-Website fest, dass für den Cookie-Banner Cookiebot zum Einsatz kam. Eine technische Untersuchung im verwendeten Browser zeigte dem Antragsteller, dass offenbar seine IP-Adresse durch Cookiebot an „consent.cookiebot.com“ gesendet wurde – und weiter auf Server des Cloud-Hosters Akamai Technologies mit Sitz in den USA.

„Cookiebot-Entwickler Cybot nutzt das Content Delivery Network von Akamai, ein Server-Verbund, der den Datenzugriff beschleunigt und dadurch Server-Überlastungen verhindern kann. Problematisch ist hierbei das US-Gesetz Cloud Act, bei dem für US-Behörden sehr breit gefächerte Abfragemöglichkeiten existieren – selbst dann, wenn sich der betroffene Server innerhalb der EU befände“, erklärt Schrenk und fährt fort: „Genau hier liegt das Problem und führte zum Urteilsspruch der deutschen Richter. Da sich die Akamai-Zentrale im US-Bundesstaat Massachusetts befindet, übermittelt Cookiebot gemäß DSGVO unzulässig Daten in Drittstaaten. Der Cloud-Act, der Dienstanbietende aus den USA verpflichtet, sämtliche in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befindlichen Daten offenzulegen, gelte auch für Akamai – gänzlich unabhängig vom Speicherort jener Daten.“

Es geht also um den Datentransfer in die USA – ein laut „Schrems II“-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt. Datenübermittlungen können auf Garantien nach Artikel 46 DSGVO fußen. Dem Gericht fehlte jedoch ein Rechtshilfeabkommen nach Artikel 48 DSGVO, sodass als Alternative lediglich eine Einwilligung von Nutzenden infrage käme.

Diese lägen jedoch nicht vor. Weiter betonte das Gericht, dass die Hochschule aus datenschutzrechtlicher Sicht verantwortliche Stelle im Sinne des Artikels 4 DSGVO sei: Die Hochschule hätte sich für oder gegen Cookiebot auf der hauseigenen Website entscheiden können – und somit auch für oder gegen die Datenverarbeitung zu von Cybot und Akamai definierten Zwecken.

Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, überraschte die Branche – nicht zuletzt deshalb, weil Verwaltungsgerichte die unterste Ebene der Verwaltungsgerichtbarkeit bilden. „Wir stehen also nun, wo die grundsätzliche Cookie-Diskussion ein Ende nimmt, weil ein Rechtsrahmen vorhanden ist, vor einer neuen Grauzone. Wieder müssen Gerichte erst Entscheidungen treffen. Website-Betreibern rate ich, eigene Cookie-Banner einzusetzen, denn dann müssen sie nicht aktiv werden. Wer Cookiebot nutzt, sollte sich über mögliche Alternativen informieren. Auch wer Consent-Manager von anderen Anbietenden einsetzt, sollte prüfen, ob diese ihre Firmenzentrale in Drittländern haben oder ob sie Sub-Dienstleistende einsetzen, die womöglich in Drittländern sitzen“, so Schrenk weiter.

Zuerst erschienen auf lanline.de.


Verwandte Artikel

funkschau, PSW Group

Anbieterkompass