Datenschutzkonformer Betrieb von Websites mit dem TYPO3 DSGVO Cookie Manager

Nicht erst seit dem 25. Mai 2018 ist klar, dass mit der in Kraft getretenen Datenschutzgrundverordnung, eine rechtskonforme Erhebung von personenbezogenen Daten für den Betrieb einer Website die Grundvoraussetzung ist.

Die Datenschutzgrundverordnung, kurz DSGVO, setzte in zwei maßgeblichen Prinzipien die rechtlichen und technischen Voraussetzungen. Hier sind an erster Stelle Privacy bei Design (Datenschutz durch Technikgestaltung) und Privacy by Default (Datenschutz durch datenschutzfreundliche Voreinstellungen).

Leider lassen diese beiden Grundsätze in ihren gesetzlichen Ausführungen samt Erwägungsgründen sehr viel Spielraum für unterschiedliche Interpretationen und Positionierungen bis heute zu. Die Formulierungen der DSGVO gaben zwar vor, dass ein Opt-in z. B. für Cookies aktiv zu gestalten ist, jedoch ging es nicht auf die praktische Anwendung ein.

Beim genannten Opt-in am Beispiel der Einwilligung für analytische Cookies war zunächst unklar, ob es zulässig sei oder nicht, dass diese Checkbox innerhalb eines Cookie-Consent-Banners vorausgewählt sein darf oder nicht. Verschärft wurde diese Fragestellung in Verbindung mit dem Zeitpunkt, wann diese analytischen Cookies geladen werden dürfen und wann nicht.

Hierbei vertraten sowohl die Datenschutzbeauftragten, Juristen als auch die Deutsche Datenschutzkonferenz (DSK) unterschiedliche Auslegungen sowie Positionen, welche die Unsicherheit bei den Unternehmen zusätzlich erhöhten.

Mit Ablauf der Übergangsfrist zum in Kraft treten der DSGVO veröffentlichten wir bereits die Version 1.0 unseres DSGVO Cookie Managers für TYPO3. In dieser Version waren jedoch die einzelnen Datenkategorien vorausgewählt (sog. Soft-Opt-in), die entsprechenden Code-Snippets wurden jedoch erst mit Einwilligung des Users durch den Klick auf den Akzeptieren-Button geladen.

Mit dem "EuGH Urteil C-673/17 Plantet49“ vom 1. Oktober 2019 wurde höchstrichterlich entschieden, dass z. B. analytische Cookies, Social Media Plugins oder Marketing Cookies ausschließlich mit der aktiven Einwilligung des Users erhoben werden dürfen. Das bedeutet im konkreten Zusammenhang, dass Checkboxen für die einzelnen Datenkategorien nicht vorausgewählt sein dürfen.

Der User muss diesen explizit, aktiv zustimmen. Das hat zur Folge, dass zum Beispiel der Google Analytics Code-Snippet erst nach ausdrücklicher Auswahl und anschließender Einwilligung des Users geladen werden darf. Bereits mit dem "EuGH Urteil C-40/17 Fashion ID“ wurde entschieden, dass Google Analytics nicht zu den technisch notwendigen Technologien zählt, welche über das berechtigte Interesse legitimiert werden können und damit keiner informierten und aktiven Einwilligung des Users bedürfen.

In Verbindung mit beiden Urteilen besteht dahingehend jetzt Rechtssicherheit darin, dass ein Cookie-Consent-Banner, der im Hintergrund Cookies lädt, welchen der User nicht zugestimmt hat, unzulässig ist und entsprechend durch die Aufsichtsbehörden, aber im Rahmen des Verbandsklagerechts empfindlich sanktioniert werden kann.

Wenn Sie auf einer Website einen Cookie-Hinweis-Banner (EU-Richtlinie wurde durch die DSGVO abgelöst) mit nur einem OK-Button oder Ähnlichem vorfinden, oder der Cookie-Consent-Banner bereits ohne Ihre Einwilligung z. B. Google Analytics oder Google Conversion Tracking Cookies lädt, dann können Sie sich sicher sein, dass diese nicht datenschutzkonform sind.

Aktuell gibt es unterschiedliche Ansätze, Cookie-Consent-Banner in einer Website zu integrieren. Die am häufigsten eingesetzte Lösung ist dabei, dass der Cookie-Consent-Banner ein Teil der Website abdeckt.

Der Verdacht, dass etwaige Bußgelder im Vorfeld einkalkuliert würden bei der Durchführung von Performance-Marketing-Maßnahmen könne damit nahe liegen.
Eine alternative Form der Cookie-Consent-Banner-Integration ist, dass der Banner über die komplette Website gelegt wird und dass der User erst durch die Einwilligung in Verbindung mit der Aktivierung bestimmter Datenkategorien, die Website zu sehen bekommt.

Das Modell wird gerne als „Consent to Content“ bezeichnet. Diese Variante eröffnet schnell die Diskussion um das Koppelungsverbot. Das bedeutet, kann ein User gezwungen werden, dass er erst einer Aktivierung von Cookies einwilligen muss, bevor er die Website besuchen kann? Dies würde den Tatbestand des Kopplungsverbots erfüllen, jedoch gibt es hierzu ebenfalls unterschiedlichste Ansichten der einschlägigen Berufsgruppen.
Vergleichen wir die beiden Ansätze und die Ergebnisse der Bachelorthesis mit der Praxis, so bietet die eine Variante die Möglichkeit, dass der User die Website besuchen kann, aber der Websitebetreiber im Hintergrund keine auswertbaren Daten mehr erheben kann.

Die Alternative hierzu wäre, dass der User die Website gar nicht besuchen kann. Unsere Meinung ist dabei eindeutig: Lieber dem User die Website zeigen, als einem potenziellen Neukunden den digitalen Zugang zu versperren.

Auf Grundlage der Ergebnisse aus der Bachelorarbeit und im Zusammenhang mit dem EuGH Urteil „C-673/17 Plantet49“ vom 1. Oktober 2019 erweiterten wir unseren TYPO3 DSGVO Cookie Manager in der 3.0 Version nochmals um weitere Funktionen und Einstellmöglichkeiten. Mit dieser Version werden die Anforderungen hinsichtlich aktiver und informierter Einwilligung erfüllt, die Snippet-Codes erst damit geladen, aber auch das unternehmerische Interesse nach auswertbaren Daten oder digitalen Direktmarketingmaßnahmen können realisiert werden.
In verschiedenen Ansätzen und Untersuchungen hat sich dabei eine Lösung herauskristallisiert, dass der User dazu animiert werden sollte, unter rechtskonformer Voraussetzung den Einsatz der Cookies zu aktivieren.
Am Beispiel unserer eigenen zeroseven Website sehen Sie, wie nach unserem datenschutzrechtlich geprüften Konzept, die optimale Integration des Cookie-Consent-Banners für TYPO3 aussehen kann. Die Google-Anatytics Zahlen bestätigen dabei unsere Untersuchung und Einschätzung zur Integration des Banners.
Wie erkenne ich, welche Cookies geladen werden?
Wenn Sie Interesse daran haben zusehen, welche Cookies eine Website bei Ihnen im Hintergrund zu setzen versucht, installieren sie hierzu das Browser-Plug-in „ghostery“. Hier können sie sehen, welche Aktivitäten im Hintergrund einer Website laufen. Natürlich können sie dies entsprechend unterbinden und über das Browser-Plug-in steuern.