Sind Cookie-Management-Plattformen datenschutzkonform?

Das Verwaltungsgericht Wiesbaden untersagte der Hochschule RheinMain am 1. Dezember 2021 die Nutzung einer konkreten Cookie-Management-Plattform (CMP) auf ihrer Webseite – dies mit Blick auf die Bestimmungen der DSGVO. [...]

CMPs sind Consent-Tools, die Webseitenbetreibern dabei helfen, die Einwilligung von Usern in Bezug auf den Zweck der Verwendung von Cookies einzuholen. Den Usern wird das Überwachen der eingesetzten Cookies und das Blockieren jener Cookies, die nicht von ihrer Zustimmung erfasst sind, ermöglicht. Damit Webseitenbetreiber diese Verwaltung nicht selbst durchführen müssen, übernehmen diese Aufgabe sowie das Aufklären der User die CMPs. Da Cookies aber als eine Form der Datenverarbeitung gelten, muss eine Einwilligung im Vorhinein eingeholt werden.

Im Falle der HS RheinMain stellte ein User einen Antrag auf Unterlassung wegen Verletzung der DSGVO-Bestimmungen, dem das Verwaltungsgericht Wiesbaden mit Beschluss nun stattgab. Die Nutzung des von der HS eingesetzten Tools auf der Webseite zur Einholung von Einwilligungen sei rechtswidrig, wenn dadurch personenbezogene (oder -beziehbare) Daten an einen von einem externen Unternehmen betriebenen Server übermittelt werden. 

Im Rahmen der Nutzung der konkreten CMP werden gerade solche personenbezogenen Daten, v.a. IP-Adressen, an die Plattform selbst übermittelt. Nach Ansicht des Gerichts sind User in Folge des Zusammenspiels des im Browser gespeicherten, identifizierenden Keys und der übermittelten IP-Adresse eindeutig identifizierbar. Allerdings verarbeitet die konkrete Plattform diese Daten der User auf Servern eines Unternehmens, dessen Unternehmenszentrale sich in den USA befindet.

Warum ist Vorsicht geboten?

Einerseits ist es gem. Beschluss aufgrund der Schrems II-Entscheidung unzulässig, einen Drittland-Bezug herzustellen, denn die Webseitennutzer der Hochschule werden gerade nicht um eine Einwilligung für eine Datenübermittlung in die USA gebeten. Andererseits werden sie auch nicht auf etwaige Risiken durch den sog. Cloud-Act im Hinblick auf diese Übermittlung belehrt. Diese Art der Datenübertragung sei außerdem nicht für das Betreiben einer Hochschulwebseite erforderlich. Die Webseitenbetreiberin, die Hochschule RheinMain, ist Verantwortliche für die Datenübermittlung in die USA, da sie über den Einsatz der Mittel der Datenverarbeitung, und somit der Nutzung der CMP, entscheidet. 

In Österreich erging noch keine öffentliche Entscheidung zu diesem Thema. Es ist nicht abschätzbar, ob die österreichische Datenschutzbehörde die (durchaus schlüssigen Argumente) des deutschen Verwaltungsgerichts übernehmen wird. Jedenfalls aber ist im Hinblick auf den Einsatz und die Nutzung solcher Dienste Vorsicht geboten.

*Mag. Andreas Schütz ist Anwalt bei Taylor-Wessing.