Sicherheitsexperten kommentieren Gerichtsurteil zum Einsatz des Consent-Managers

PSW Group: Cookiebot-Urteil mit weitreichenden Konsequenzen

10. Februar 2022, 8:00 Uhr |
Patrycja Schrenk, Geschäftsführerin der PSW Group.
© PSW Group Consulting

Um den Anforderungen aus den Datenschutzgesetzen Rechnung zu tragen, nutzen viele Website-Betreibende sogenannte Consent-Manager: Tools, mit denen sich Banner zur Cookie-Einwilligung erstellen lassen. Einer dieser Consent-Manager ist Cookiebot. Das Verwaltungsgericht Wiesbaden fällte jüngst ein für manche Insider überraschendes Urteil. Die Richter untersagten der Hochschule Rhein-Main die Verwendung eben dieses Consent-Managers mit der Begründung, deutsche Websites dürften keine US-Cookies setzen.

„Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, könnte weitreichende Konsequenzen haben“, meint IT-Sicherheitsexpertin Patrycja Schrenk. Die Geschäftsführerin der PSW Group erläutert: „Das Urteil könnte möglicherweise auf Captchas von Anbietenden aus Drittländern ausgeweitet werden. Zudem stehen nun gleich mehrere Fragen im Raum; darunter, wie künftig mit Content Delivery Network Diensten aus Drittländern umgegangen wird und ob auch weitere Website-Plugins von dieser Entscheidung betroffen sein werden. Nicht zuletzt ist zu klären, ob Einwilligungs-Management-Tools am Ende einwilligungspflichtig werden.“

Was war passiert? Die antragstellende Partei stellt bei einem ihrer regelmäßigen Besuche der Hochschul-Website fest, dass für den Cookie-Banner Cookiebot zum Einsatz kam. Eine technische Untersuchung im verwendeten Browser zeigte dem Antragsteller, dass offenbar seine IP-Adresse durch Cookiebot an „consent.cookiebot.com“ gesendet wurde – und weiter auf Server des Cloud-Hosters Akamai Technologies mit Sitz in den USA.

„Cookiebot-Entwickler Cybot nutzt das Content Delivery Network von Akamai, ein Server-Verbund, der den Datenzugriff beschleunigt und dadurch Server-Überlastungen verhindern kann. Problematisch ist hierbei das US-Gesetz Cloud Act, bei dem für US-Behörden sehr breit gefächerte Abfragemöglichkeiten existieren – selbst dann, wenn sich der betroffene Server innerhalb der EU befände“, erklärt Schrenk und fährt fort: „Genau hier liegt das Problem und führte zum Urteilsspruch der deutschen Richter. Da sich die Akamai-Zentrale im US-Bundesstaat Massachusetts befindet, übermittelt Cookiebot gemäß DSGVO unzulässig Daten in Drittstaaten. Der Cloud-Act, der Dienstanbietende aus den USA verpflichtet, sämtliche in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befindlichen Daten offenzulegen, gelte auch für Akamai – gänzlich unabhängig vom Speicherort jener Daten.“

Es geht also um den Datentransfer in die USA – ein laut „Schrems II“-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt. Datenübermittlungen können auf Garantien nach Artikel 46 DSGVO fußen. Dem Gericht fehlte jedoch ein Rechtshilfeabkommen nach Artikel 48 DSGVO, sodass als Alternative lediglich eine Einwilligung von Nutzenden infrage käme.

Diese lägen jedoch nicht vor. Weiter betonte das Gericht, dass die Hochschule aus datenschutzrechtlicher Sicht verantwortliche Stelle im Sinne des Artikels 4 DSGVO sei: Die Hochschule hätte sich für oder gegen Cookiebot auf der hauseigenen Website entscheiden können – und somit auch für oder gegen die Datenverarbeitung zu von Cybot und Akamai definierten Zwecken.

Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, überraschte die Branche – nicht zuletzt deshalb, weil Verwaltungsgerichte die unterste Ebene der Verwaltungsgerichtbarkeit bilden. „Wir stehen also nun, wo die grundsätzliche Cookie-Diskussion ein Ende nimmt, weil ein Rechtsrahmen vorhanden ist, vor einer neuen Grauzone. Wieder müssen Gerichte erst Entscheidungen treffen. Website-Betreibern rate ich, eigene Cookie-Banner einzusetzen, denn dann müssen sie nicht aktiv werden. Wer Cookiebot nutzt, sollte sich über mögliche Alternativen informieren. Auch wer Consent-Manager von anderen Anbietenden einsetzt, sollte prüfen, ob diese ihre Firmenzentrale in Drittländern haben oder ob sie Sub-Dienstleistende einsetzen, die womöglich in Drittländern sitzen“, so Schrenk weiter.

Anbieter zum Thema

zu Matchmaker+

Lesen Sie mehr zum Thema


Jetzt kostenfreie Newsletter bestellen!

Weitere Artikel zu PSW Group

Weitere Artikel zu Service-Provider

Weitere Artikel zu IT-Service-Management

Weitere Artikel zu CARLO GAVAZZI GmbH

Weitere Artikel zu M & W Informationssysteme

Weitere Artikel zu Adobe Systems GmbH

Matchmaker+