Hallo
… in der DSGVO steht u.a.
Och bitte, wenn dann auch richtig. Da steht nämlich auch:
Zitat von DSGVOArt 6, 1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen …
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
Mit „die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ sind wir nämlich ganz schnell bei:
Allerdings besagt das TMG netterweise, dass man personenbezogene Daten benutzen darf, solange sie für die Inanspruchnahme des Dienstes nötig sind (zB braucht man halt die IP, um die Webseite an den Nutzer zu senden).
Die Benutzung der übermittelten IP ist nunmal technisch für die Erbringung des Dienstes notwendig, auch mit der DSGVO. Die Speicherung der IP übrigens nicht, aber das hat man als Websitebetreiber oft nicht in der Hand, da üblicherweise der Hoster die IPs der Besucher in den Logs speichert. Das kann man aber abstellen, wenn der Hoster denn mitspielt. Ansonsten liegt das in dessen Verantwortung und man muss als Websitebetreiber„nur“ darauf hinweisen.
Die so genannte "Cookie Richtlinie" der EU, durch die bereits vor einiger Zeit die erste Cookie-Banner Welle ausgelöst wurde, wurde nach meinen Informationen in Deutschland nicht umgesetzt - ist für uns also irrelevant. Verschont bleiben wir aber nicht, denn wir haben stattdessen das TMG § 15 Abs. 3, welches ziemlich ähnliche Formulierungen findet …
Wir sollten bitte die DSGVO (eine EU-Verordnung) von der „Cookie-Richtlinie“ unterscheiden. Eine EU-Verordnung ist unmittelbar gültiges Recht, eine Richtlinie muss von den EU-Staaten in nationales Recht umgesetzt werden. Sie ist also mitnichten „irrelevant“, stattdessen erhält sie ihre Relevanz durch ein nationales Gesetz, hier offensichtlich (auch?) durch das Telemediengesetz (TMG).
Anyway, die zweite Cookie-Banner Welle kam nun ein mal mit der DSGVO, weil diese auch erfordert, dass ein Nutzer einer Verarbeitung eben auch nicht zustimmen kann. Daher gibt es zu dem bisherigen "ich benutze cookies, deal with it" banner nun auch die tollen "click here to change your settings" banner, in denen man durch 10 Menus klicken kann, um zB personalisierte Werbung auszuschalten.
Dass das so ist, liegt aber nicht an der DSGVO, sondern an jenen Websitebetreibern, die es den Nutzern möglichst schwer machen wollen, der Datenerhebung, -speicherung und -verarbeitung nicht zuzustimmen.
Oder man klickt auf "dismiss" oder "accept" und hat nun endlich ganz offiziell der Auswertung aller personenbezogener Daten zugestimmt - also noch besser als vorder DSGVO
Die DSGVO ändert also eigentlich nichts an der Cookie-Richtlinie. Die verpflichtende Einwilligung vor jeglicher Datenverarbeitung sorgt halt bei einigen Seitenbetreibern dazu, die Banner um diese Funktionalität zu erweitern.
Die DSGVO ändert in diesem Zusammenhang den nicht unwesentlichen Punkt, dass dir als Nutzer die explizite Entscheidungsrecht gegeben wird, der Datenerhebung, -speicherung und -verarbeitung nicht zuzustimmen. Die hattest du nämlich – abgesehen von technischen Lösungen wie NoScript – vorher nur, indem du einen Dienst/eine Website nicht aufgerufen hast. Und ja, viele Anbieter geben dir als Nutzer diese Möglichkeit praktisch noch immer nicht, weil sie dich ohne Zustimmung von der Nutzung der Site/des Dienstes aussperren oder dir die Ablehnung der Datenerhebung so schwer wie möglich machen. Das ist leider so und das ist meiner Meinung nach nur gerichtlich zu klären (etwas, was vorher so auch nicht möglich war).
Außerdem, und das ist eigentlich das schlimme, ist der aktuelle Rechtsstatus zu Cookies im allgemeinen eher eine Grauzone. Wie es E-Recht24 so schön formuliert:
Naja, das ist meiner Meinung nach recht unspezifisch. Cookies können ja für unterschiedliche Zwecke eingesetzt werden und sind damit (je nach Sichtweise des Betrachters) mehr oder minder legitim. Gegen Cookies zum Betrieb einer Session (Wiedererkennung eines Websitebesuchers über die Browsersitzung oder die Anmeldung (zum Beispiel in einem Forum) hinweg) kann man nur wenig sagen. Die fallen wohl in den Augen der meisten unter „betrieblich notwendig“. Cookies zur Wiedererkennung beim nächsten Websitebesuch (in diesem Forum „angemeldet bleiben“) sind zwar nicht notwendig, bieten aber einen Mehrwert, den man nutzen oder nicht nutzen kann. Damit akzeptiert man das Cookie oder eben nicht.
Bei den von E-Recht24.de angesprochenen Tracking-Cookies liegt die Sache wohl anders. Die bindet man in den meisten Fällen von anderen Diensten (beispielsweise Google, Facebook, Amazon, Twitter) ein. Man verkauft quasi die Daten seiner eingenen Besucherschaft an diese Dienste. Das muss man nicht. Es ist technisch und betrieblich nicht notwendig und jeder Websitebetreiber kann auf den Verkauf seiner Besucherschaft verzichten, ohne, dass es den Betrieb seiner Website an sich einschränkt. Eventuell sind die Verknüpfungen zu diesen Diensten dann erst nach Zustimmung durch den Klick auf einen Button oder Link erreichbar, aber das ist einerseits keine Hürde und erfüllt andererseits die Anforderungen der DSGVO.
Klar, man kann auch eine Webseite komplett ohne Cookies betreiben, sich bei der Verarbeitung der IP auf das TMG verlassen und muss ich dann nur noch von einem online-Generator eine passende Datenschutzerklärung heraussuchen, seine Serverlogs ausschalten und am besten in einem Sandloch vergraben
Aber von einem modernen Internet und einer Kundenfreundlichen Webseite kann man sich dann halt auch verabschieden.
Warum hältst du die Einhaltung eines Gesetzes für einen Gegensatz zu einem modernen Internet? Warum musst du an der Stelle zu dem sarkastischen Seitenhieb mit dem Sandloch greifen?
Ist es eine Notwendigkeit für ein modernes Internet, seine Website mit Megabytes von Fonts und JS-Bibliotheken, die von fremden Servern geladen werden zu überfrachten? Ist es eine Notwendigkeit für eine kundenfreundliche Website seine Besucher an fremde Dienste zu verkaufen, ohne, dass die Besucher darüber informiert sind und dem zustimmen oder es ablehnen können?
Wenn ich für den Betrieb eines Dienstes Cookies einsetze, dokumentiere ich das gegenüber den Websitebesuchern und erwähne die Einsatzzwecke und die Möglichkeit, die Cookies abzulehnen. Wenn ich eine JavaScript-Bibliothek oder einen Webfont einsetze, stelle ich die oder den über den eigenen Webserver zur Verfügung, so dass darüber keine Daten meiner Besucher an externe Dienste gelangen. Der Einsatz dieser Techniken erfolgt sparsam aber er erfolgt, wo ich es technisch/betrieblich oder eines Features wegen für notwendig erachte.
Möglichst viele Daten über meine Besucher zu erheben, ist per se kein Zeichen für ein modernes Internet oder eine kundenfreundliche Website.
Tschö, Auge
