Prüfung zu Cookies und Drittdiensten auf niedersächsischen Webseiten

Niedersächsische Unternehmen setzen auf ihren Firmen-Webseiten Cookies eher sparsam ein, informieren aber zugleich die Nutzerinnen und Nutzer zu wenig darüber, welche Daten beim Besuch ihrer Seiten erhoben werden. Das geht aus einer branchenübergreifenden Prüfung der Landesbeauftragten für den Datenschutz (LfD) Niedersachsen zum datenschutzkonformen Tracking auf Webseiten hervor. Dafür hatte die LfD einen Fragebogen an 15 kleine und mittelständische Unternehmen verschickt, die eine oder mehrere Webseiten anboten.

Die Seitenbetreiber sollten unter anderem beantworten, ob sie Dienste von Drittanbietern (z.B. Karten- oder Wetterdienste) eingebunden hatten, ob sie Cookies einsetzten und ob sie deren Verwendung auf eine Einwilligung der Nutzerinnen und Nutzer stützten. Zusätzlich wurden die ausgewählten Seiten technisch überprüft – sowohl vor als auch nach der Versendung der Fragebögen.

Webseiten haben eine enorme Bedeutung für die Außendarstellung von Unternehmen. Zugleich bieten sie vielfältige Möglichkeiten, Daten über Nutzerinnen und Nutzer zu sammeln und zu verwerten. Die Datenschutz-Grundverordnung und die E-Privacy-Richtlinie sehen Regelungen vor, welche dabei die Rechte der betroffenen Personen schützen sollen. Mit der Tracking-Prüfung wollte sich die LfD Niedersachsen einen Eindruck davon verschaffen, ob diese von den Verantwortlichen beachtet werden.

„Wenn wir eine Webseite aufrufen, finden dort viele Datenverarbeitungen im Hintergrund statt, für die der Seitenbetreiber eine Einwilligung braucht, damit sie rechtskonform sind“, sagt die Landesbeauftragte für den Datenschutz Niedersachsen, Barbara Thiel.

Damit eine Einwilligung wirksam ist, muss der Betreiber die Nutzerinnen und Nutzer transparent und vollständig informieren, zum Beispiel darüber welche Daten beim Surfen zu welchem Zweck erhoben werden und an welche Empfänger sie gehen. „Viele der geprüften Webseiten zeigten in diesem Bereich Mängel. Einige davon waren so erheblich, dass sie zur Unwirksamkeit der Einwilligung führten“. So war es auf manchen Seiten nicht möglich, die vom Gesetz vorgeschriebene informierte Einwilligung zu geben, da die dafür notwendigen Informationen nicht zur Verfügung gestellt wurden.

Nutzer müssen bei Cookies echte Wahl haben

Ein weiteres Problem bestand darin, dass manche Seiten die Nutzerinnen und Nutzer mehr oder weniger vehement zur Einwilligung „drängten“, indem sie vom sogenannten Nudging Gebrauch machten. Dabei soll das Verhalten von Menschen durch subtile Eingriffe des Verantwortlichen unterschwellig beeinflusst werden. Auf Webseiten geschieht dies häufig dadurch, dass die „Zustimmen"-Option im Cookie-Banner im Vergleich zur „Ablehnen"-Option farblich auffälliger ist oder der Prozess des Ablehnens durch längere Klickwege unnötig verkompliziert wird. „Hat ein User durch solche Nudging-Maßnahmen keine echte Entscheidungsfreiheit mehr zwischen Einwilligung und Ablehnung, ist die Grenze des Erlaubten überschritten“, so Barbara Thiel.

Positiv wertete die Landesdatenschutzbeauftragte dagegen, dass die Mehrheit der Webseiten ein selbst programmiertes Cookie-Fenster oder das Consent-Tool eines Dienstleisters einsetzte, sofern es dort einwilligungsbedürftige Verarbeitungsvorgänge gab. „Seit Geltung der Datenschutz-Grundverordnung beobachten wir die Tendenz, dass auf Webseiten der bis dahin vorherrschende ‚einfache‘ Cookie-Banner durch ein Consent-Tool ersetzt wird“, sagt Thiel. Mithilfe dieser Werkzeuge lassen sich differenziertere Einwilligungen für den Cookie-Einsatz einholen.

Infolge der Prüfung hat die LfD Niedersachsen Hinweise für die Ausgestaltung von Einwilligungen auf Webseiten erarbeitet, die gemeinsam mit den Prüfergebnissen veröffentlicht werden.

Geringe Zahl der Cookies keine Überraschung

Ebenfalls erfreulich war in der aktuellen Prüfung, dass die kontrollierten Webseiten relativ sparsam mit Cookies umgingen. So wurden auf einer Seite maximal 14 Cookies gefunden, manche verwendeten sogar nur ein einziges. „Wir haben den Eindruck gewonnen, dass sich die Mehrheit der Webseitenbetreiber bewusst mit dem Einsatz von Cookies auseinandergesetzt hat und deren datenschutzrechtliche Relevanz weitgehend bekannt ist“, sagt die Landesdatenschutzbeauftragte.

Die geringe Cookie-Zahl war in diesem Fall allerdings keine große Überraschung, da diese generell in den Branchen der geprüften Webseiten nicht so gehäuft zum Einsatz kommen wie in anderen Wirtschaftsbereichen. Die LfD Niedersachsen führt momentan mit den Aufsichtsbehörden mehrerer anderer Bundesländer eine koordinierte Prüfung der Webseiten von Online-Medien durch. Die endgültigen Ergebnisse hierzu liegen noch nicht vor. Aber bereits jetzt lässt sich feststellen, dass auf den Webseiten der Medienhäuser eine erheblich größere Anzahl von Cookies und Drittdiensten eingebunden ist als auf den Seiten der aktuell geprüften Unternehmen.

Mehr Informationen
Wichtigste Ergebnisse der Prüfung im Überblick
Fragebogen der Prüfung
Hinweise für die Ausgestaltung von Einwilligungen auf Webseiten