Wer das Online-Wörterbuch dict.cc besucht, soll mit einem Klick der Datenverarbeitung durch 1.741 „Partner" zustimmen. Die Datenschutzorganisation noyb hat am 30. Juli Beschwerde bei der österreichischen Datenschutzbehörde eingereicht und dazu eine Rechnung aufgemacht: Wer alle Datenschutzerklärungen dieser Partner läse und sich pro Unternehmen sechs Minuten Zeit nähme, wäre mindestens 170 Stunden beschäftigt. Mehr als eine volle Arbeitswoche für eine einzige Einwilligung.
Die DSGVO verlangt eine informierte Einwilligung. Bei 1.741 Empfängern ist das keine juristische Grauzone mehr, sondern eine arithmetische Unmöglichkeit.
Wie eine Website auf 1.741 Partner kommt
Interessant ist nicht der Rechtsverstoß. Interessant ist die Frage, wie eine Website überhaupt zu einer solchen Zahl gelangt.
Die Antwort ist unspektakulär: Sie hat sie nicht ausgewählt. Consent-Management-Plattformen liefern die Anbieterliste des IAB-Frameworks vollständig mit. Wer sie nicht aktiv zusammenstreicht, fragt Einwilligung für Firmen ab, mit denen er nie einen Vertrag geschlossen hat und deren Namen er nicht kennt. Die Voreinstellung ist Vollständigkeit, nicht Sparsamkeit.
Ich sehe das regelmäßig in Projekten, und zwar keineswegs nur bei Werbeportalen. Ein Hersteller von Laborgeräten, eine Branche ohne jedes Werbenetzwerk-Geschäft, deklariert in seinem Banner rund 750 Cookies. Genutzt wird davon ein verschwindender Bruchteil. Niemand im Unternehmen hatte die Liste je gelesen. Sie war beim Einbau der Software mitgekommen.
Das Banner als Selbstauskunft
Genau hier liegt der Punkt, den ich für unterschätzt halte. Ein Consent-Banner ist keine Rechtsformalität, die man einmal einbaut und dann vergisst. Es ist eine öffentliche Erklärung darüber, was die eigene Website mit den Daten der Besucher tut.
Wenn diese Erklärung 1.741 Empfänger nennt und tatsächlich zwölf im Einsatz sind, ist sie falsch. Und der Betreiber weiß nicht, dass sie falsch ist – was bedeutet, dass er die eigene Website nicht kennt.
Warum das mehr als ein Rechtsthema ist
Jedes überflüssige Cookie ist Datenmüll, der sich stillschweigend summiert. Cookies werden bei jeder Anfrage an die zugehörige Domain mitgeschickt, bei jedem Bild, jedem Stylesheet, jedem Aufruf. Jeder aktivierte Drittanbieter bedeutet potenziell zusätzliche Skripte, zusätzliche Verbindungen, zusätzliche Namensauflösungen. Und die Einwilligungen selbst müssen protokolliert, versioniert und über Jahre aufbewahrt werden. Und das für Zustimmungen zu Partnern, die nie eine Anfrage gesehen haben.
Einzeln ist das jeweils vernachlässigbar. In der Summe, über Millionen Seitenaufrufe und mehrere Jahre Aufbewahrungsfrist, ist es Infrastruktur, die niemand braucht und alle bezahlen: in Bandbreite, in Speicher, in Energie.
Auf datensm.art gibt es kein Cookie-Banner. Nicht aus Prinzipienreiterei, sondern weil ich nichts einsetze, das eine Einwilligung erfordern würde: selbst gehostete Statistik, keine externen Werbenetzwerke, keine eingebetteten Drittanbieter. Das Banner entfällt nicht, weil ich es weggelassen habe, sondern weil es nichts abzufragen gibt.
Der einfachste Weg zu einem rechtssicheren Cookie-Banner ist, so wenig zu verarbeiten, dass man keines braucht.
Quellen: noyb: 1.741 „informierte" Einwilligungen mit einem Klick?!