Immer Ärger mit den Cookies

Nutzerdaten sind in der heutigen Zeit das Gold der Online-Werbung - aber was ist rechtlich erlaubt, wo fängt der Datenschutz an und wo hört er auf? Grundsätzlich gelte das deutsche Prinzip: "Alles ist verboten, ausser es ist erlaubt." Das stellte Johannes Baumann, Rechtsanwalt bei Osborne Clarke, auf der Search Conference in München klar.

Personenbezogene Daten wie etwa Name, Adresse oder die E-Mail-Adresse erfordern für Werbezwecke hierzulande grundsätzlich eine aktive Einwilligung des Nutzers, auch Opt-in genannt. Bei der Verarbeitung sogenannter pseudonymer Daten sei ein solches Opt-in hingegen nicht erforderlich, so der Rechtsanwalt.

Voraussetzung sei hier allerdings zumindest eine Opt-out-Funktion, also ein Hinweis in der Datenschutzerklärung, mit der Möglichkeit, der Datenverarbeitung zu widersprechen. Um anonymisierte Daten handelt es sich etwa, wenn eine konkrete E-Mail-Adresse durch eine Zahl ersetzt wird.

Trotz dieser eigentlich klaren Regelung werde die Rechtsprechung zunehmend uneinheitlich, stellt Baumann fest. Und das führt oftmals zu Verwirrung und Unsicherheit. Zur Erfassung von Nutzerdaten werden gerne die unter dem Namen Cookie bekannten Textadateien gesetzt. Immer öfter werden Besucher von Websites auch hierzulande mit einem "nervigen Cookie-Banner" konfrontiert.

Sinngemäss werden User damit gefragt, ob sie das Setzen von Cookies, zu deutsch "Kekse", akzeptieren ("Möchtest du diese Cookies zulassen?"). Hintergrund sei, dass grosse internationale Firmen dieses Banner zunehmend aus Einheitlichkeitsgründen verwenden. Meistens können Nutzer dabei aber lediglich die Option "Ja" anklicken. "Ich habe noch nie ein 'Nein' gesehen", so Baumann. Der Rechtsanwalt vermutet allerdings, dass keine Cookies gesetzt werden, wenn der Nutzer das Banner über das X-Symbol wegklickt: "Im Idealfall sollte es so sein."

Die zunehmende Verbreitung dieser Banner gehe nicht zuletzt auf eine neue Vorgabe von Google zurück, eine sogenannte "Richtlinie zur Einwilligung der Nutzer in der EU". Aber auch wenn Google sich gerne in der Rolle des Gesetzgebers sehe, sei dies faktisch nicht der Fall. Tatsächlich sei das Cookie-Banner in den meisten europäischen Mitgliedsstaaten verpflichtend, nicht aber in Deutschland. Das bedeute, auch wenn Google hierzulande ein solches Cookie-Banner verlange: "Man muss es nicht einbinden", stellt Baumann klar. "Im juristischen Bereich rätselt man immer über die Google-Texte, wahrscheinlich ist das beabsichtigt", meint der Jurist. Klar sei eigentlich nur eines: "The future will be confusing".

User wechseln während der Customer Journey häufig die Endgeräte. Damit stösst Tracking über Cookies an seine Grenzen. Und gerade die Deutschen sind empfindlich, was den Umgang mit ihren Daten betrifft. Es gibt Alternativen, doch die haben ihre Tücken.