Während das Krümelmonster nicht genug davon haben kann, sind Webseitenbesucher oft genervt von ihnen: Cookies. Das sind kleine Textdateien, die vom Webserver&Webseiten-Osterhasen wie Ostereier in unserem Browser-Nest abgelegt werden. Ist eine praktische Sache, wenn wir z.B. online shoppen oder unsere Social-Media-Profile checken und zwischendurch was anderes machen wollen. Cookie sei Dank, kann uns der Osterhase anhand der individuellen Eiermuster (eindeutige Identifikationskennung) wiedererkennen  – und wenn wir beim nächsten Mal im Shop oder auf der Seite vorbeischauen, ist sofort klar, wer wir sind und was wir zum Beispiel bei unserem letzten Besuch in unser Einkaufskörbchen gelegt haben. Aber Cookies helfen nicht nur dabei, dass der Inhalt von Warenkörben oder persönliche Seiteneinstellungen und Anmeldeinformationen nicht jedes Mal vergessen werden – sie sammeln auch zahlreiche Informationen, die oftmals dazu dienen, detaillierte Nutzerprofile zu erstellen, etwa indem unser Surfverhalten genau protokolliert wird. Auf diese Weise erfahren Unternehmen, die uns ein Ei ins Nest gelegt haben, wo wir so rumhängen. Das ist wiederum nicht ganz so cool, weshalb sich EuGH-Generalanwalt Maciej Szpunar jüngst kein bisschen begeistert vom Überwachungsei-Osterhasen gezeigt hat.
Das Problem ist, dass uns Cookies oft aufgedrängt werden. Wir werden nicht höflich gefragt: „Lust auf `n Cookie? Ja oder nein?“ Stattdessen werden wir lediglich darüber in Kenntnis gesetzt: „Hier ein Cookie! Okay?“ Die Möglichkeit „Ähm, nein danke!“ zu sagen, gibt es quasi nicht. Die Gewinnspielseite Planet49, um die es im aktuellen Fall geht, knallt den Besuchern z.B. eine Einverständniserklärung vor den Latz, die bereits ausgefüllt ist. Das ist so, als ob wir ein „Willst du mit mir gehen?“-Briefchen bekommen würden, auf dem schon „ja“ angekreuzt ist. Ganz schön übergriffig! Die Cookie-Richtlinie der EU schreibt eigentlich eine aktive Zustimmung vor, was in diesem Fall nicht gegeben wäre.

WAS VERSTECKT SICH IM Ü-EI?

Maciej Szpunar findet es aber nicht nur nicht okay, dass Webseitenbesucher mit bereits abgesegneten Einverständniserklärungen konfrontiert werden. Er moniert auch den Mangel an Information hinsichtlich der Daten, die erhoben werden. Würden Cookies z.B. nach dem Besuch einer Seite nicht gelöscht, müsse ein Hinweis darauf erfolgen. Außerdem müsse klar sein, wer auf die Daten zugreifen kann. In Zukunft soll auf den Überwachungseiern also genau draufstehen, was drin ist – auch wenn die Cookie-Banner dadurch noch länger werden.
Webseitenbetreiber, die Cookies nutzen, sehen das Ganze nicht so eng. Sie erklären, dass Cookies ja keine personenbezogenen Daten beinhalten würden und zudem ein absolut DSGVO-konformes „berechtigtes Interesse“ (in diesem Fall: Werbung) hinter der Sache stecke.
Doch auch der Bundesbeauftragte für Datenschutz und Informationsfreiheit schließt sich der Auffassung des EuGH-Generalanwalts an. Das aktuelle deutsche Telemediengesetz sei in puncto Cookies noch nicht ausgereift.

FRISS ODER GEH IST NICHT OKAY

Die niederländische Datenschutzbehörde beschäftigte sich im März ebenfalls mit dem Thema Cookies: „Websites moeten toegankelijk blijven bij weigeren tracking cookies.“ Zu Deutsch: Webseiten müssen auch nach Ablehnung von Tracking-Cookies zugänglich bleiben. Sogenannte Cookie-Walls, die den Besuch der Seite an die Bedingung knüpfen, dass einem ein Ei ins Nest gelegt wird, sind also unzulässig. Der Webseitenbesucher muss frei entscheiden können, ob er getrackt wird oder nicht – folglich darf ihm kein Nachteil dadurch entstehen, dass er sich gegen das Ablegen von Cookies im Browser entscheidet.

COOKIES AUF REGIERUNGSSEITEN

Richtig brisante Cookie-Nachrichten kamen aus Dänemark: „EU citizens being tracked on sensitive government sites“ titelte die Financial Times vor wenigen Tagen. Die dänische Firma Cookiebot (Cookiebot.com/de), die sich auf den DSGVO-konformen Einsatz von Cookies spezialisiert hat, fand im Rahmen einer Studie heraus, dass zahlreiche europäische Regierungsseiten, die eigentlich werbefrei sind und als besonders sicher gelten, trotzdem mit Werbetrackern „verseucht“ sind. Dies ist über Drittanbieter-Tools (etwa Social-Sharing-Tools) möglich. Die Websites der deutschen Bundesregierung sind übrigens nicht betroffen, werbefinanzierte Portale von deutschen Großstädten hingegen schon. So fanden sich auf dem offiziellen Hamburg-Stadtportal (www.hamburg.de) zum Beispiel ganze 70 Werbetracker.
Richtig heikel ist das Ganze, wenn es um besonders sensible Daten geht. Cookiebot untersuchte deshalb v.a., inwiefern auf Suchanfragen basierende Gesundheitsdaten weitergegeben werden. Wer sich auf Regierungsseiten z.B. über Themen wie Mutterschutz, AIDS oder psychische Erkrankungen informierte, hinterließ also unter Umständen unwissentlich eine Menge Datenspuren, die von datenhungrigen Unternehmen bereitwillig gesammelt und weiterverkauft werden können. Ein ziemlich faules Ei im Nest…

NUR ABWARTEN UND TEE TRINKEN?

Mit Cookies kann man sich ganz schön den Magen verderben – das dürfte jetzt klar sein. Wer auf sie verzichten möchte, kann dies in seinen Browsereinstellungen festlegen. Es können sowohl Cookies aller Websites als auch Cookies bestimmter Seiten oder Cookies von Drittanbietern blockiert werden. Dadurch wird der Browser natürlich vergesslich – das gefüllte Einkaufskörbchen ist dann wieder leer und man muss sich überall immer aufs Neue einloggen. Cookies haben also durchaus Vorteile, aber wie bei ihren Kekskollegen aus Mehl und Zucker gilt: Die Dosis macht das Gift.
Die Causa Cookie ist elementarer Bestandteil der ausstehenden ePrivacy-Verordnung, die eigentlich mit ihrer Kollegin, der DSGVO hätte kommen sollen. Doch das Bundeswirtschaftsministerium vertröstet derzeit auf einen Zeitpunkt irgendwann nach der Europawahl. Das ist ePrivacy-Prokrastination vom Feinsten. Ähnlich wie beim BREXIT wird die Sache immer wieder hinausgezögert und es gilt: Abwarten und Tee trinken. Passt ja auch prima zu Keksen…