Sie sind hier: Home » Markt » Hinweise & Tipps

Deutsche Websites und US-Cookies


Nach Gerichtsurteil zum Einsatz des Consent-Managers "Cookiebot": PSW Group befürchtet weitreichende Konsequenzen
Es geht um den Datentransfer in die USA – ein laut "Schrems II"-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt




Um den Anforderungen aus den Datenschutzgesetzen Rechnung zu tragen, nutzen viele Website-Betreibende sogenannte Consent-Manager: Tools, mit denen sich Banner zur Cookie-Einwilligung erstellen lassen. Einer dieser Consent-Manager ist "Cookiebot". Das Verwaltungsgericht Wiesbaden fällte jüngst ein überraschendes Urteil: Die Richter untersagten der Hochschule Rhein-Main die Verwendung eben dieses Consent-Managers mit der Begründung, deutsche Websites dürften keine US-Cookies setzen.

"Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, könnte weitreichende Konsequenzen haben", meint IT-Sicherheitsexpertin Patrycja Schrenk. Die Geschäftsführerin der PSW Group erläutert: "Das Urteil könnte möglicherweise auf Captchas von Anbietenden aus Drittländern ausgeweitet werden. Zudem stehen nun gleich mehrere Fragen im Raum darunter, wie künftig mit Content Delivery Network Diensten aus Drittländern umgegangen wird und ob auch weitere Website-Plugins von dieser Entscheidung betroffen sein werden. Nicht zuletzt muss geklärt werden, ob Einwilligungsmanagement-Tools am Ende einwilligungspflichtig werden."

Was war passiert? Die antragstellende Partei stellt bei einem ihrer regelmäßigen Besuche der Hochschul-Website fest, dass für den Cookie-Banner Cookiebot eingesetzt wurde. Eine technische Untersuchung im verwendeten Browser zeigte dem Antragsteller, dass offenbar seine IP-Adresse durch Cookiebot an "consent.cookiebot.com" gesendet wurde – und weiter auf Server des Cloud-Hosters Akamai Technologies Inc. mit Sitz in den USA. "Cookiebot-Entwickler Cybot nutzt das Content Delivery Network, ein Server-Verbund, der den Datenzugriff beschleunigt und dadurch Serverüberlastungen verhindern kann, von Akamai. Problematisch ist hierbei das US-Gesetz Cloud Act, bei dem für US-Behörden sehr breit gefächerte Abfragemöglichkeiten existieren – selbst dann, wenn sich der betroffene Server innerhalb der EU befände", erklärt Schrenk und fährt fort: "Genau hier liegt das Problem und führte zum Urteilsspruch der deutschen Richter. Da sich die Akamai-Zentrale im US-Bundesstaat Massachusetts befindet, übermittelt Cookiebot gemäß DSGVO unzulässig Daten in Drittstaaten. Der Cloud-Act, der Dienstanbietende aus den USA verpflichtet, sämtliche in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befindlichen Daten offenzulegen, gelte auch für Akamai – gänzlich unabhängig vom Speicherort jener Daten."

Es geht also um den Datentransfer in die USA – ein laut "Schrems II"-Urteil unsicheres Drittland, da kein Angemessenheitsbeschluss gemäß Artikel 45 DSGVO vorliegt. Datenübermittlungen können auf Garantien nach Artikel 46 DSGVO fußen. Dem Gericht fehlte jedoch ein Rechtshilfeabkommen nach Artikel 48 DSGVO, sodass als Alternative lediglich eine Einwilligung von Nutzenden infrage käme. Diese lägen jedoch nicht vor. Weiter betonte das Gericht, dass die Hochschule aus datenschutzrechtlicher Sicht verantwortliche Stelle im Sinne des Artikels 4 DSGVO sei: Die Hochschule hätte sich für oder gegen Cookiebot auf der hauseigenen Website entscheiden können – und somit auch für oder gegen die Datenverarbeitung zu von Cybot und Akamai definierten Zwecken.

Die vorläufige Entscheidung, die das Verwaltungsgericht Wiesbaden hier getroffen hat, überraschte die Branche – nicht zuletzt deshalb, weil Verwaltungsgerichte die unterste Ebene der Verwaltungsgerichtbarkeit bilden. "Wir stehen also nun, wo die grundsätzliche Cookie-Diskussion ein Ende nimmt, weil ein Rechtsrahmen vorhanden ist, vor einer neuen Grauzone. Wieder müssen Gerichte erst Entscheidungen treffen. Website-Betreibern rate ich, eigene Cookie-Banner einzusetzen, denn dann müssen sie nicht aktiv werden. Wer Cookiebot nutzt, sollte sich über mögliche Alternativen informieren. Auch wer Consent-Manager von anderen Anbietenden einsetzt, sollte prüfen, ob diese ihre Firmenzentrale in Drittländern haben oder ob sie Sub-Dienstleistende einsetzen, die womöglich in Drittländern sitzen", so Patrycja Schrenk. (PSW Group: ra)

eingetragen: 10.02.22
Newsletterlauf: 11.04.22

PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Markt / Hinweise & Tipps

  • Datenschutz erfordert technische Präzision

    Moderne Unternehmensarchitekturen stellen hohe Anforderungen an eine Consent Management Platform (CMP). Nur mit tiefer technischer Integration lassen sich Datenschutz und Nutzerfreundlichkeit effektiv umsetzen - das zeigen aktuelle Entwicklungen in Regulatorik und Praxis. Die Zeiten einfacher Cookie-Banner sind vorbei: In modernen Unternehmensumgebungen muss eine Consent Management Platform mehr leisten als die bloße Einholung einer Zustimmung.

  • Bewertung der Kreditwürdigkeit

    Wer in Anleihen investieren möchte, sollte die Unterschiede zwischen Staats- und Unternehmensanleihen kennen. Beide bieten Chancen aber auch unterschiedliche Risiken. Dieser Artikel zeigt, worauf es bei der Einschätzung von Bonität, Rendite und Sicherheit ankommt.

  • Compliance-Verstöße: Identitäten im Blindflug

    Rund 40 Prozent der Unternehmen verzichten laut einem aktuellen Bericht noch immer auf moderne Identity-Governance- und Administration-Lösungen (IGA). Das ist nicht nur ein organisatorisches Defizit - es ist ein ernstzunehmender Risikofaktor. Denn der Umgang mit digitalen Identitäten ist in vielen Organisationen noch immer ein Flickwerk aus manuellen Abläufen, intransparenten Prozessen und veralteter Technik. Während Cloud-Umgebungen rasant wachsen und Compliance-Anforderungen zunehmen, bleiben zentrale Fragen der Zugriffskontrolle oft ungelöst.

  • So schützen Sie sich vor Anlagebetrug

    Wer im Internet nach lukrativen Geldanlagemöglichkeiten sucht, sollte vorsichtig sein. Oft werden hohe Renditen auch für kleine Anlagebeträge versprochen. Was auf den ersten Blick verlockend klingt, kann Sie schnell um Ihr Geld bringen!

  • Risiko für Wirtschaftlichkeit & Compliance

    Die Begeisterung für KI-Modelle hält ungebrochen an - doch sie hat eine Schattenseite: Systeme wie GPT o3 und o4-mini werden zwar immer leistungsfähiger, halluzinieren aber immer häufiger. Bei Wissensfragen im sogenannten SimpleQA-Benchmark erreichen sie Fehlerquoten von bis zu 79 Prozent - ein alarmierender Wert, der selbst die Entwickler bei OpenAI ratlos zurücklässt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen