Source: https://www.geld-online-blog.de/internetrecht/neues-zur-dsgvo-wird-das-cookie-opt-in-jetzt-doch-pflicht/
Timestamp: 2020-07-14 12:19:06
Document Index: 132964511

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

EuGH: Coo­kies sol­len erst nach Opt-In gesetzt wer­den kön­nen
Wel­che Coo­kies gibt es?
Coo­kies von bekann­ten Dritt­an­bie­tern: Wie gehe ich vor?
Opt-In-Lösun­gen mit­hil­fe von Wor­d­Press-Plugins
Borlabs Coo­kie 2.0
Pixel­Ma­te
Nach der gro­ßen Unru­he kurz vor der Ein­füh­rung der DSGVO im Mai 2018 war es eine Zeit­lang recht ruhig gewor­den, doch nun gab es wie­der ein EuGH-Urteil bezüg­lich Coo­kie-Opt-In und Face­book-But­ton.
Bis­her sind auf den meis­ten Web­sites und Blogs Coo­kie-Ban­ner ein­ge­bun­den, die nur ein Opt-Out zulas­sen, d. h. dem Web­site­be­su­cher bleibt nichts ande­res übrig, als das Set­zen von Coo­kies bei sei­nem Besuch zu akzep­tie­ren. Er selbst kann aktiv kei­ne Ein­wil­li­gung abge­ben, wel­che Coo­kies er zulas­sen will und wel­che nicht.
Recht­lich gese­hen kann Untä­tig­keit der betrof­fe­nen Per­son, Still­schwei­gen oder bereits ange­kreuz­te Käst­chen NICHT als Ein­wil­li­gung gewer­tet wer­den. Außer­dem infor­mie­ren die übli­chen Opt-Out-Ban­ner nicht dar­über, wel­che Coo­kies die Web­site zu wel­chem Zweck setzt.
Des­halb sind die klas­si­schen Coo­kie-Ban­ner für bestimm­te Coo­kies nicht mehr aus­rei­chend.
Ich bin kei­ne Anwäl­tin, daher gebe ich in die­sem Bei­trag nur mei­ne per­sön­li­che Mei­nung wie­der. Es han­delt sich NICHT um eine Rechts­be­ra­tung. Falls du kon­kre­te Hil­fe bei der Umset­zung der DSGVO auf dei­ner Web­site benö­tigst, soll­test du einen Rechts­an­walt her­an­zie­hen.
EuGH: Cookies sollen erst nach Opt-In gesetzt werden können
Bei der Ver­hand­lung vor dem EuGH stand in ers­ter Linie der Face­book-But­ton im Vor­der­grund. Es ging dar­um, ob die Ver­wen­dung des But­tons erlaubt ist und falls ja, wie sich die Vor­aus­set­zun­gen gestal­ten.
Wer einen sol­chen Like-But­ton in sei­nen Web­auf­tritt ein­bin­det, soll­te wis­sen, dass schon beim Auf­ruf der Sei­te — und nicht erst beim Kli­cken auf den Face­book-But­ton — per­so­nen­be­zo­ge­ne Daten, wie z. B. IP-Adres­se und wei­te­re Brow­ser­in­for­ma­tio­nen, von Face­book erfasst wer­den, auch wenn der Web­site-Besu­cher kein Mit­glied der Platt­form ist. Bei der Erfas­sung der Daten wer­den Coo­kies ein­ge­setzt.
In dem Urteil wur­de nun ent­schie­den, dass der Web­site-Betrei­ber für das Sam­meln die­ser Daten mit­ver­ant­wort­lich ist und daher von den Web­site-Besu­chern eine Ein­wil­li­gung ein­ho­len muss, bevor der Face­book-But­ton Daten abgreift und ein Coo­kie setzt.
Dage­gen wird der Web­site-Betrei­ber für die Daten­ver­ar­bei­tung durch Face­book nicht in die Ver­ant­wor­tung genom­men, da dar­auf die Web­site-Betrei­ber ohne­hin kei­nen Ein­fluss haben. Inwie­weit man dies­be­züg­lich vor einer Abmah­nung geschützt ist, bleibt aller­dings offen.
Das heißt, Social Plugins in Form von But­tons oder Wid­ge­ts von Face­book, Insta­gram, Twit­ter, Pin­te­rest und ande­ren Netz­wer­ken, soll­te man als Web­site-Betrei­ber nicht auf sei­nen Inter­net­sei­ten ver­wen­den oder solan­ge deak­ti­viert hal­ten, bis über eine Opt-In-Mög­lich­keit der User über die Daten­er­fas­sung infor­miert wur­de und sei­ne Zustim­mung zum Set­zen des Coo­kies erteilt hat. Dann erst dür­fen die­se frei­ge­schal­tet wer­den.
Ein blo­ßer Hin­weis in der Daten­schutz­er­klä­rung, dass Daten an Face­book wei­ter­ge­lei­tet wer­den, reicht nicht aus.
Außer­dem ver­weist das EuGH auf die Coo­kie-Richt­li­nie. Ob die schon wirk­sam ist, dar­über strei­ten sich die Juris­ten, denn in natio­na­les Recht ist sie noch nicht umge­setzt.
Und so legen man­che das Urteil so aus, dass von nun an jedes Set­zen eines Coo­kies eine User-Ein­wil­li­gung braucht. Um auf der siche­ren Sei­te zu sein, emp­fiehlt es sich daher, von einem Opt-Out-Coo­kie-Ban­ner auf ein Opt-In-Coo­kie-Ban­ner umzu­stei­gen.
Unter Coo­kies sind Infor­ma­tio­nen bzw. klei­ne Datei­en zu ver­ste­hen, die im End­ge­rät des Web­site-Besu­chers abge­spei­chert wer­den.
Die­se wer­den ein­mal benö­tigt, um eine Web­sei­te über­haupt rich­tig dar­zu­stel­len (dabei han­delt es sich tech­nisch not­wen­di­ge Coo­kies).
Auf der ande­ren Sei­te wer­den Coo­kies für die Ana­ly­se des Ver­hal­tens von Web­site-Besu­cher sowie für Wer­be­zwe­cke gesetzt.
Gene­rell kann man zwi­schen Ses­si­on-Coo­kies, per­sis­ten­ten und Tracking-Coo­kies unter­schei­den.
Ses­si­on-Coo­kies: Sie spei­chern Infor­ma­tio­nen, die Online-Akti­vi­tä­ten einer ein­zel­nen Brow­ser-Sit­zung zuord­nen. Ses­si­on-Coo­kies sind nicht-per­sis­ten­te Coo­kies, die nur für die Dau­er einer User­sit­zung gespei­chert und danach wie­der gelöscht wer­den.
Per­sis­ten­te Coo­kies: Sie wer­den dau­er­haft im Brow­ser des Users gespei­chert und ermög­li­chen ein ses­si­onüber­grei­fen­des Tracking.
Tracking-Coo­kies: Sie stam­men nicht vom Web­ser­ver der besuch­ten Sei­te, son­dern bei­spiels­wei­se von einem auf der Sei­te ein­ge­bun­de­nen Wer­be­an­bie­ter. Durch das gesetz­te Coo­kie kann der Wer­be­an­bie­ter die User­ak­ti­vi­tä­ten im Inter­net ver­fol­gen und per­so­na­li­sier­te Wer­bung aus­lie­fern.
Da gera­de Tracking-Coo­kies und Third-Par­ty-Coo­kies per­so­nen­be­zo­ge­ne Daten wie die IP-Adres­se spei­chern, soll­te man als Web­site-Betrei­ber vom User eine aus­drück­li­che Ein­wil­li­gung ein­ho­len, ob er die­se Coo­kies zulas­sen will oder nicht.
Doch auch hier bewe­gen wir uns auf unsi­che­rem Ter­rain.
Tracking- und Ana­ly­tics-Coo­kies wie sie bei­spiels­wei­se von Goog­le Ana­ly­tics ver­wen­det wer­den, bräuch­ten also eine Zustim­mung des Users. Um Goog­le Ana­ly­tics daten­schutz­kon­form zu ver­wen­den, kann (und soll­te) man die IP-Anony­mi­sie­rungs­funk­ti­on nut­zen. Ist dann ein Opt-In immer noch nötig, obwohl kei­ne per­so­nen­be­zo­ge­nen Daten gesam­melt wer­den?
Eine kla­re Ant­wort gibt es dar­auf lei­der nicht, denn auch hier exis­tie­ren unter­schied­li­che Mei­nun­gen.
Um her­aus­zu­fin­den, wel­che Coo­kies dei­ne Web­site setzt, kannst du die­se Online-Tools ver­wen­den:
Webb­koll von Datas­kydd
Coo­kie­me­trix
Web­site Coo­kie Che­cker
Coo­kie­bot
Cookies von bekannten Drittanbietern: Wie gehe ich vor?
Auf unzäh­li­gen Web­sites wer­den mitt­ler­wei­le Ser­vices bekann­ter Dritt­an­bie­ter ein­ge­bun­den, wie z. B. Goog­le Ana­ly­tics, Goog­le Maps, You­Tube, But­tons von sozia­len Netz­wer­ken, VG Wort und eini­ge mehr. Fast alle Diens­te spei­chern per­so­nen­be­zo­ge­ne Daten ab.
Soll­te man die­se in sei­ne Web­site noch ein­bin­den, um sich daten­schutz­kon­form zu ver­hal­ten? Ich habe mich für die fol­gen­den Schrit­te ent­schie­den, ob die­se nun als abso­lut daten­schutz­kon­form sind, will ich nicht beur­tei­len. Ich hof­fe es aller­dings. :-)
Social-Media-But­tons
Ich selbst bin­de auf mei­nen Web­sites die Tei­len-But­tons des Shariff-Wrap­per-Plugins ein. Hier auf Geld-online-Blog ist es noch nicht inte­griert, wird aber bald instal­liert. Das Plugin sen­det kei­ne Daten an die ein­zel­nen sozia­len Netz­wer­ke und setzt kei­ne Coo­kies.
Ande­re But­ton-Lösun­gen ver­wen­de ich nicht mehr.
Ich ver­wen­de Zähl­pi­xel von VG Wort. Die­se set­zen auch ein Coo­kie, doch nach den Anga­ben von VG Wort wer­den kei­ne per­so­nen­be­zo­ge­nen Daten erho­ben. Daher soll­ten die Zähl­pi­xel auch ohne Opt-In ein­ge­fügt wer­den kön­nen. In dem Pas­sus zur VG Wort in mei­ner Daten­schutz­er­klä­rung fin­det sich eine Opt-Out-Mög­lich­keit.
Lesen DSGVO: Wie setze ich die neuen Bestimmungen um? 1. Analyse der personenbezogenen Daten
Ich habe mich ent­schlos­sen, Goog­le Ana­ly­tics in der nächs­ten Zeit wei­ter zu nut­zen und dafür ein Opt-In ein­zu­set­zen, wie es wohl ver­langt wird. Wie ver­läss­lich dann die Zah­len auf Goog­le Ana­ly­tics wer­den, muss ich abwar­ten.
Par­al­lel habe ich ein Sta­tis­tik-Plugin instal­liert, das kei­ne per­so­nen­be­zo­ge­nen Daten sam­melt. Mal sehen, wie dort die Zah­len aus­se­hen wer­den. Detail­lier­te Aus­wer­tun­gen (wie z. B. Besu­cher nach Län­dern fil­tern etc.) kann man damit aller­dings nicht vor­neh­men.
Für das Ein­bin­den von You­Tube-Vide­os grei­fe ich auf eine inter­ne The­me-Funk­ti­on von Ava­da zurück. In den Pri­va­cy-Ein­stel­lun­gen kann ich u. a. Vide­os von You­Tube und Vimeo zuerst sper­ren las­sen. Nach einem Klick auf den But­ton “Akzep­tie­ren” wird das Video ange­zeigt. bzw. erst dann eine Ver­bin­dung auf­ge­baut.
Bild: So sieht die Video­sper­rung bei Ava­da aus.
Wer auf Num­mer sicher gehen will, soll­te das Video per Link in sei­ne Web­site ein­fü­gen, was aller­dings nicht so kom­for­ta­bel für den User ist.
Wenn es geht, ver­zich­te ich mitt­ler­wei­le auf das Ein­fü­gen von Vide­os, wirk­lich vie­le sind nicht mehr in mei­nem Blog inte­griert.
Kar­ten von Goog­le Maps füge ich mit erwei­ter­tem Daten­schutz in mei­ne Web­sites ein. D. h. sie sind zuerst gesperrt, mit dem Hin­weis, dass Goog­le Maps aus Daten­schutz­grün­den eine Erlaub­nis braucht, um gela­den zu wer­den. Mit einem Klick kann die Kar­te frei­ge­schal­tet wer­den.
Mit dem Ava­da-The­me las­sen sich sol­che Dritt­an­bie­ter-Ein­bin­dun­gen sehr gut sper­ren, nicht nur Goog­le Maps, son­dern auch — wie schon unter dem Punkt You­Tube-Vide­os erwähnt — Vide­os von Vimeo und You­Tube, Sound­cloud und Tracking-Coo­kies.
Affi­lia­te-Mar­ke­ting
Skrip­te von Affi­lia­te-Mar­ke­ting-Anbie­tern bzw. ‑Netz­wer­ken (wie z. B. von blog­fos­ter) ver­wen­de ich auf mei­nem Blog nicht mehr, nur nor­ma­le Affi­lia­te-Links. Pro­duk­te von Ama­zon bin­de ich über das AAWP-Plugin ein, das eine daten­schutz­kon­for­me Ein­bin­dung von Affi­lia­te-Links und Pro­dukt­bil­dern ermög­licht.
Opt-In-Lösungen mithilfe von WordPress-Plugins
Da ich selbst kei­ne Opt-In-Lösung pro­gram­mie­ren kann, bin ich auf der Suche nach zuver­läs­si­gen Opt-In-Coo­kie-Ban­nern auf zwei kos­ten­pflich­ti­ge Wor­d­Press-Plugins gesto­ßen.
Seit ver­gan­ge­nem Jahr sind die bei­den mir bekannt, bis­her ein­ge­setzt habe ich noch keins. Das wird sich bald ändern.
Seit weni­gen Tagen fällt mir auf, dass immer mehr Web­sites und Blogs Opt-In-Coo­kie-Ban­ner ein­set­zen, und meis­tens ist es der Ban­ner von Bor­lab Coo­kies 2.0.
Das Pre­mi­um-Plugin unter­stützt die fol­gen­den Ser­vices:
Tag Mana­ger
und wei­te­re Diens­te
Die Coo­kies las­sen sich in ver­schie­de­ne Coo­kie-Grup­pen ein­tei­len, wie z. B. essen­zi­el­le Coo­kies, Coo­kies für Mar­ke­ting, Sta­tis­ti­ken und exter­ne Medi­en. Zu den ein­zel­nen Coo­kies las­sen sich Name, Lauf­zeit, Zweck und Her­kunft ange­ben. Wich­tig ist auch, dass das Plugin mit allen Caching-Plugins kom­pa­ti­bel ist.
Die Dar­stel­lung des Opt-In-Coo­kie-Ban­ners von Borlabs Coo­kie 2.0 sieht so aus:
Zuerst wird beim Sei­ten­auf­ruf ein klei­nes Hin­weis­fens­ter ein­ge­blen­det, in dem die ver­schie­de­nen Coo­kie-Grup­pen auf­ge­führt sind.
Will der User wei­te­re Infor­ma­tio­nen, klickt er auf „Indi­vi­du­ell ein­stel­len“.
Dann öff­net sich ein wei­te­res Fens­ter, in dem die Daten­schutz­ein­stel­lun­gen sowie die ein­ge­setz­ten Coo­kies ein­ge­se­hen wer­den kön­nen und der User die Mög­lich­keit hat, die Coo­kies zu akzep­tie­ren oder nicht (sie­he Bild unten).
Klickt der User auf „Ja, wei­ter“, nimmt er alle Coo­kies an.
Auch wenn ich das Plugin noch nicht tes­ten konn­te, macht es einen sehr guten Ein­druck auf mich. Wei­te­re Infos zu Borlabs Coo­kie 2.0 fin­dest du hier.
Das zwei­te Pre­mi­um-Plugin Pixel­Ma­te macht eben­falls einen soli­den Ein­druck. Die fol­gen­den Ser­vices sind schon in das Plugin inte­griert und kön­nen per Opt-In vom User ange­nom­men oder blo­ckiert wer­den:
Die Dar­stel­lung des Opt-In-Coo­kie-Ban­ners von Pixel­Ma­te sieht fol­gen­der­ma­ßen aus:
In einem klei­nen Fens­ter wird beim Öff­nen der Web­site dar­auf hin­ge­wie­sen, dass bestimm­te Coo­kies (wer­den in dem Text benannt) gesetzt wer­den, wenn der User auf „Akzep­tie­ren“ klickt.
Lehnt der User ab bzw. trifft kei­ne Ent­schei­dung, wer­den kei­ne Coo­kies gesetzt. Dann las­sen sich aller­dings kei­ne Vide­os von You­Tube oder Vimeo star­ten, denn die sind aus­ge­blen­det.
In dem Hin­weis­text steht auch, dass man in der Daten­schutz­er­klä­rung manu­ell ein­zel­ne Diens­te per Opt-In akti­vie­ren kann. Die Dar­stel­lung, die mit einem Short­code in die Daten­schutz­er­klä­rung ein­ge­bun­den wird, sieht so aus:
Wei­te­re Infor­ma­tio­nen zum Pixel­Ma­te-Plugin fin­dest du hier.
Da ich in den nächs­ten Tagen mir ein Opt-In-Plugin zule­gen will, wer­de ich mich für eines der bei­den ent­schei­den müs­sen. Noch weiß ich nicht, wel­ches ich neh­men wer­de.
Das von mir gewähl­te Opt-In-Plugin wer­de ich zeit­nah genau­er vor­stel­len und die Ein­stel­lun­gen zei­gen, die ich vor­ge­nom­men habe.
Nach dem Urteil des EuGH ist man als Web­site-Betrei­ber nicht wirk­lich viel schlau­er gewor­den. Ein gewis­ses Risi­ko bleibt bestehen, auch wenn man ein Opt-In-Plugin ver­wen­det und sich von man­chen Ser­vices, die Coo­kies set­zen, ver­ab­schie­det.
Den­noch glau­be ich, dass man mit oben genann­ten Lösun­gen rela­tiv gut abge­si­chert ist gegen Abmah­nun­gen.
Ich hof­fe, dass irgend­wann kla­re Ent­schei­dun­gen von den Gerich­ten gefällt wer­den, die kaum Inter­pre­ta­ti­ons­spiel­raum zulas­sen und dass die gro­ßen Play­er wie Goog­le und Face­book viel mehr in die Ver­ant­wor­tung genom­men wer­den, was Daten­schutz angeht.
DSGVO: Wie set­ze ich die Bestim­mun­gen um? 3. Wei­te­re Infor­ma­ti­ons­pflich­ten der DSGVO Im drit­ten Teil mei­ner Arti­kel­se­rie über die DSGVO kom­me ich…
Kategorien: Internetrecht|Tags: Cookie-Banner, DSGVO, Opt-In|4 Kommentare
Franz 5. September 2019 um 17:39 Uhr
dan­ke für die­sen inter­es­san­ten Arti­kel!
Franz 6. September 2019 um 14:36 Uhr
wie bin­det man Goog­le Maps mit erwei­ter­ten Daten­schutz ein?
Könn­ten Sie bit­te einen Link zu einer Sei­te tei­len, auf der das gan­ze so rea­li­siert wur­de?
Susanne Braun 7. September 2019 um 07:53 Uhr
Sie fin­den so eine Con­tent-Sper­rung für Goog­le Maps hier: https://​haar​-crea​tiv​-mar​ti​na​.de/​s​t​a​n​d​o​r​te/
Franz 8. September 2019 um 13:19 Uhr
Das ist eine vor­bild­li­che Lösung. Fin­de ich super.