Cookie-Zustimmungsabfragen im Web nerven nicht nur viele Verbraucher - sie sind nach Einschätzung der europäischen Datenschutzorganisation Noyb in aller Regel auch rechtswidrig gestaltet. Mit einer juristischen Beschwerdewelle will das Team um den Datenschutzaktivisten Max Schrems nun gegen Cookie-Banner vorgehen, die rechtswidrig eine Zustimmung zum Tracking einfordern. Am Montag verschickte sein Verein rund 560 Beschwerdeschreiben an Unternehmen in Europa und in den USA, über 10.000 weitere sollen folgen.
Verein will „Klick-Labyrinthe“ verhindern
Cookies sind kleine Datensätze, die Webseiten hinterlegen, um die Nutzer identifizierbar zu machen. Mit ihrer Hilfe können individuelle Profile erstellt werden, die weitreichende Rückschlüsse über Surfverhalten, Vorlieben und Lebensgewohnheiten zulassen. Dieses Wissen wird dann etwa für personalisierte Werbung herangezogen.
Nun bekommt es die werbetreibende Industrie im Netz mit einem Gegner zu tun, der in zwei spektakulären Fällen bereits Facebook in die Knie gezwungen hat. Max Schrems setzte zum einen im Oktober 2015 vor dem Europäischen Gerichtshof (EuGH) durch, dass die von Facebook genutzte transatlantische Datenschutzvereinbarung „Safe Harbor“ gekippt wurde. Im vergangenen Juni brachte er vor dem EuGH schließlich auch die Nachfolgeregelung „Privacy Shield“ zu Fall.
Schrems hat jetzt ein neues Ziel vor Augen: eine „ganze Industrie von Beratern und Designern, die verrückte Klick-Labyrinthe entwickelt, um vollkommen unrealistische Zustimmungsraten zu generieren“. Menschen mit Tricks zum Zustimmen zu verführen, sei ein klarer Verstoß gegen die Prinzipien der europäischen Datenschutz-Grundverordnung DSGVO, erklärte der Vorsitzende des Noyb-Vereins.
„Nur drei Prozent aller Nutzer wollen tatsächlich Cookies akzeptieren“
Nach dem Gesetz müssten die Anbieter ihre Systeme fair gestalten und den Nutzern eine echte Wahlmöglichkeit bieten. „Unternehmen geben offen zu, dass nur drei Prozent aller Nutzer tatsächlich Cookies akzeptieren wollen, aber mit Tricks mehr als 90 Prozent zur Zustimmung verleitet werden können.“
Viele Anwenderinnen und Anwender machen nach Einschätzung von Schrems die DSGVO für „diese ärgerliche Praxis“ verantwortlich. „Tatsächlich verwenden jedoch viele Unternehmen Designs, die gegen das Gesetz verstoßen.“ Die DSGVO verlange nämlich ein einfaches „Ja“ oder „Nein“ – und wolle damit irreführende Banner eigentlich verhindern.
Die Entscheidung, wie die DSGVO genau umgesetzt und kommuniziert wird, liege bei den Unternehmen. Einige von ihnen versuchten nun offensichtlich alles, um Datenschutz für die Nutzer möglichst schwer zu machen, betonte Schrems. „Nach dem Gesetz haben sie aber die Pflicht, eine einfache Wahlmöglichkeit zu bieten. Fast alle Situationen, in denen Nutzer mit Datenschutz konfrontiert werden, werden von Unternehmen gestaltet. Diese machen Datenschutz-Einstellungen oft bewusst zu einem Albtraum, geben aber gleichzeitig der DSGVO die Schuld dafür.“ Im Fall von Cookie-Hinweisen würden Buttons, Aufbau und Beschriftung gezielt so gewählt, dass die Besucher am ehesten eine datenschutzunfreundliche Auswahl treffen – und damit gegen ihre eigenen Interessen agieren.
Noyb hat eine Software entwickelt, die eigenen Angaben zufolge verschiedene Arten von rechtswidrigen Cookie-Bannern erkennen und automatisch Beschwerden generieren kann. Nach dem Start mit rund 560 großen Websites will der Verein bis zu 10.000 der meistbesuchten Seiten in Europa unter die Lupe nehmen.
Internationale Aktion „ohne Gewinnerzielungsabsicht“
In Deutschland richten sich die Beschwerden unter anderem gegen Online-Händler wie Tchibo.de und Heine oder den Logistik-Dienstleister DHL, aber auch gegen Mittelständler wie Grohe und Hunkemöller sowie den Europa-Park in Rust. Außerdem nimmt Noyb die Cookie-Praxis von etlichen Medien-Unternehmen ins Visier.
International will Noyb die Cookie-Banner bei etlichen US-Internetkonzernen ändern. Die Liste reicht von Facebook, Google und Twitter über Slack und Webex bis hin zu Akamai und dem Newsletter-Dienstleister Mailchimp. Außerdem bekommen Medien wie CNN, Vox Media, CBS, „New York Post“ und „Wired“ Post von Noyb.
Bevor die formalen Beschwerden bei den zuständigen Datenschutzbehörden eingebracht werden, räumt der Verein den betroffenen Unternehmen jeweils einen Monat lang Zeit ein, um die Cookie-Banner an die rechtlichen Anforderungen anzupassen. Wenn ein Unternehmen seine Einstellungen nicht innerhalb eines Monats ändere, werde Noyb die Beschwerde bei der zuständigen Behörde einreichen, die ein Bußgeld von bis zu 20 Millionen Euro verhängen könne.
Im Gegensatz zu manchen Abmahnvereinen will Noyb aus der Beschwerdewelle aber selbst kein Geld machen: „Wir machen das auf einer Pro-Bono-Basis ohne Gewinnerzielungsabsicht.“ Das Projekt werde aus dem allgemeinen Etat von Noyb finanziert, der zu einem großen Teil auf rund 4000 Mitglieder aus ganz Europa angewiesen sei.
