Datenschützer: Verordnung gegen Cookie-Banner-Flut verfehlt ihr Ziel

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Nach dem Bundestag stimmte der Bundesrat kurz vor Weihnachten für eine umstrittene Verordnung, mit der die Cookie-Banner-Flut eingedämmt werden soll. Der Rechtsakt wird so voraussichtlich am 1. April in Kraft treten.

Kern der Initiative: Über einen anerkannten Dienst soll den Endnutzern ein transparentes Werkzeug zur Verfügung stehen, mit dem sie dauerhaft Zustimmungen erteilen oder Opt-outs aussprechen können. Der niedersächsische Datenschutzbeauftragte Denis Lehmkemper hält aber wenig von dem beschlossenen Ansatz. Einer seiner Kritikpunkte: Webseitenbetreiber bleibt es freigestellt, zugelassene Services zur Einwilligungsverwaltung zu implementieren.

Kaum Veränderungen für Webseiten-Besucher?

Lehmkemper befürchtet so, dass "viele Anbieter weiterhin auf herkömmliche Einwilligungsbanner setzen". Entsprechend gering dürften die Vorteile für die Besucher ihrer Webseiten sein. Zudem verweist der Datenschützer darauf, dass die nun geregelten Einwilligungsverwaltungsdienste nur Opt-ins oder Ablehnungen nach dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) abdeckten, nicht jedoch solche gemäß der Datenschutz-Grundverordnung (DSGVO). Laut dem EU-Normenwerk müssen Webseiten-Betreiber bei jeder Inanspruchnahme ihres Dienstes Nutzer nach ihren Einwilligungen in die unterschiedlichen Arten zum Einsatz von Cookies fragen.

Die jetzt hierzulande ermöglichten Verwaltungsdienste dürften daher nicht zu einer Vereinfachung im Umgang mit Cookie-Bannern führen, beklagt Lehmkemper. Zudem gebe es bislang gar keine Services, die die Anforderungen der Verordnung erfüllten. Es sei ferner unklar, wer solche Dienste künftig anbieten werde, "insbesondere in Hinblick auf die strengen Zertifizierungsauflagen".

In Betracht kommen etwa "Personal Information Management Systems" (PIMS) oder Single-Sign-on-Lösungen. Lehmkemper geht so davon aus, "dass sich die bisherige Praxis im Umgang mit Einwilligungen auf Webseiten leider kaum ändern wird". Lösen ließe sich das Problem ihm zufolge leichter: Webseitenbetreiber sollten ihre Angebote "konsequent datenschutzfreundlicher gestalten", indem sie etwa auf Drittdienste und Cookies – insbesondere für exzessives und für den Nutzer nicht vorhersehbares digitales Marketing – verzichteten.

Bundesdatenschutzbeauftragte erläutert Anforderungen

Die Ausschüsse für Inneres und Wirtschaft des Bundesrats hatten unter anderem gefordert, dass die Vorgaben zur Einbindung eines Dienstes zur Einwilligungsverwaltung für alle Anbieter von digitalen Services gleichermaßen verpflichtend sein müssten. Sie konnten sich damit im Plenum aber nicht durchsetzen. In einer Entschließung appelliert die Länderkammer an die Bundesregierung, die vorgesehene Evaluierung der Verordnung binnen zwei Jahren "sorgfältig und kritisch" durchzuführen. Möglichst parallel soll zu der Auswertung vorsorglich mit der Erarbeitung alternativer Ansätze begonnen werden.

Die Anerkennung neuer Dienste zur Einwilligungsverwaltung erfolgt laut der Verordnung nach Vorlage eines Sicherheitskonzepts durch die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider. Diese hat die Anforderungen erläutert und ein Formular zur Antragstellung online gestellt. Darzulegen sind demnach etwa diverse technische und organisatorische Schutzmaßnahmen. Erforderlich sind etwa auch Angaben zur wirtschaftlichen und organisatorischen Struktur sowie zur Finanzierung. Für die Zulassung hat die Bundesregierung bei der Datenschutzbehörde jährliche Kosten in Höhe von etwa 79.000 Euro angesetzt. Sie sollen auf die Wirtschaft umgelegt werden. Bislang liegen Specht-Riemenschneider noch keine Anträge auf Anerkennung vor.

(nen)