Das h\u00f6rt sich im ersten Schritt nicht sehr komplex an und betrifft augenscheinlich nur das Tracking. Beim genaueren Hinschauen schl\u00e4gt es jedoch weite Kreise. Denn wann findet eine Verarbeitung von personenbezogenen Daten statt? Die eigenen oder auch Drittanbieter-Cookies fallen einem dabei sofort ein.<\/p>\n
Eine Verarbeitung bzw. Weiterleitung des pers\u00f6nlichen „Fingerabdrucks“ erfolgt jedoch mit jedem Laden externer Ressourcen. Bindet man also nur eine Grafik von einem fremden Anbieter per externen Pfad ein, so wird diese bei Aufruf durch den Browser des Nutzers geladen und erh\u00e4lt seitens des Anbieters eine pers\u00f6nliche Identifizierung per IP. Da man nun nicht sicherstellen kann, dass der Anbieter\/ Betreiber die \u00fcbermittelten Informationen nicht weiterverarbeitet (analysiert), muss f\u00fcr jede externe Ressource eine explizite Einwilligung durch den Nutzer eingeholt werden. Folgend ein paar Beispiele:<\/p>\n
- \n
- YouTube oder andere Videoplattformen<\/li>\n
- Google Maps<\/li>\n
- Siegel \/ Zertifikate ( z.B. TrustedShop, eKomi, … )<\/li>\n
- Externe iFrames und Widgets (z.B. Wetter, Anzeigen, Feeds)<\/li>\n<\/ul>\n
Und was hei\u00dft das jetzt f\u00fcr den Kunden?<\/strong><\/h2>\n
Die bisherige Cookie-L\u00f6sung mittels einfacher Informationen und OK-Button ist so nicht zul\u00e4ssig.<\/p>\n
![\"\"](\"https:\/\/www.clickstorm.de\/blog\/wp-content\/uploads\/2020\/01\/cookie-loesung-alt-1024x62.jpg\")
<\/p>\nWir als Agentur mussten also die Keksdose wiederholt aufmachen und das Thema erneut betrachten.<\/p>\n
Unser Ziel war es, eine schnelle, einfache und transparente L\u00f6sung f\u00fcr unsere Kunden zu finden. Und wir waren nat\u00fcrlich nicht die Ersten, welche sich diesem Thema umf\u00e4nglich widmeten. Einige Agenturen hatten bereits Tools entwickelt, mit welchen es m\u00f6glich ist per Konfigurator einen Datenschutzhinweis mit Opt-In-Buttons zusammenzuklicken, zum Beispiel:<\/p>\n
- \n
- CookieFirst<\/li>\n
- Borlabs Cookie<\/li>\n
- Cookiebot<\/li>\n<\/ul>\n
Auf den ersten Blick war alles recht vielversprechend, 1-2-3 – fertig<\/strong>. Mit einer kurzen Registrierung und ein paar Klicks wurde ein Codeschnipsel generiert und nach Einbindung in den Sourcecode sollte alles laufen. Zun\u00e4chst sah auch alles gut aus. Die Cookies der Seite wurden gecrawlt, Texte automatisch erzeugt und beim \u00d6ffnen der Seite wurde bei jeder L\u00f6sung auch ein mehr oder weniger \u00fcbersichtlicher Banner dargestellt. Das war ja einfach ;).<\/p>\n
Doch beim genaueren Hinschauen waren die Cookiel\u00f6sungen nicht vollst\u00e4ndig integriert. Wenn man Tracking-Pixel au\u00dferhalb des Standards (z.B. Google Analytics) deaktiviert bzw. erst gar nicht aktiviert hat, wurde trotzdem im Hintergrund weiterhin getrackt und personenbezogene Daten abgegriffen. Wir haben uns daraufhin auch ein paar benannte Referenzen der Cookiel\u00f6sungen angeschaut. Dabei stellten wir mit erschrecken fest, dass kaum eine Webseite, ein Portal oder Onlineshop eine umfassend saubere Implementierung hinbekommen hatte.<\/p>\n
Absicht oder Unwissenheit? Rechtlich w\u00fcrde man es sicherlich unter T\u00e4uschung oder Vorsatz einordnen, wenn einem Besucher vorgegaukelt wird, dass er das Tracking nicht aktiviert hat, dieses im Hintergrund jedoch trotzdem l\u00e4uft. Dann doch lieber den alten Cookiehinweis belassen, als vors\u00e4tzlich zu t\u00e4uschen (wenn auch unbewusst).<\/p>\n
Den o.g. Tools selbst ist rein technisch kaum ein Vorwurf zu machen. Jedes Tracking ist individuell, kein Javascript gleicht dem Anderen. Es ist ohne tiefgreifende Kenntnisse und manuelle Eingriffe durch Entwickler kaum m\u00f6glich, ein Tracking und Laden von externen Quellen zu unterbinden, bei welchem der Website-Besucher zus\u00e4tzlich die M\u00f6glichkeit hat, mit seiner Entscheidung aktiv Einfluss zu nehmen.<\/p>\n
So wird das leider nichts!<\/h2>\n
So der Tenor zu den fertigen Tools. Wir haben deshalb unsere eigene L\u00f6sung geschaffen. Grafisch gleicht sie den bestehenden Tools, rein technisch ist sie an unsere Agentur, Frameworks und Workflows angepasst. Eine umf\u00e4ngliche Implementierung sieht bei uns meist wie folgt aus:<\/p>\n
- \n
- \u00d6ffnet sich die Internetpr\u00e4senz wird am Rand oder zentral (je nach Kundenwunsch) ein Cookie-Hinweis eingeblendet. Der Button \u201eAlle akzeptieren\u201c ist deutlich hervorgehoben, in der Hoffnung, dass Kunden diese Schaltfl\u00e4che anklicken und s\u00e4mtliche Tools aktiviert werden k\u00f6nnen wie bisher.
![\"\"](\"https:\/\/www.clickstorm.de\/blog\/wp-content\/uploads\/2020\/01\/01_footer-1024x717.jpg\")
<\/li>\n - Dr\u00fcckt der Nutzer auf \u201eNein, anpassen\u201c muss er die gew\u00fcnschten Features explizit \u00fcber eine sich \u00f6ffnende Lightbox anhaken. In der Praxis wird kaum jemand Tool f\u00fcr Tool aktivieren, also haben wir auch hier wieder prominent den Button \u201eAlle akzeptieren\u201c eingebaut.
![\"\"](\"https:\/\/www.clickstorm.de\/blog\/wp-content\/uploads\/2020\/01\/02_lightbox-1024x746.jpg\")
<\/li>\n - Deaktiviert ein Kunde nun alle Tools (au\u00dfer explizite, technische Cookies) d\u00fcrfen auch keine externen Medien wie z.B. Google Maps, geladen werden. Hat ein Kunde beim ersten Betreten der Seite alle Tools deaktiviert, so \u00f6ffnet sich beim Klick auf eine Seite mit z.B. einem YouTube Video wieder die Lightbox, wor\u00fcber der Nutzer explizit zustimmen kann.
![\"\"](\"https:\/\/www.clickstorm.de\/blog\/wp-content\/uploads\/2020\/01\/03_externe_medien-1024x714.jpg\")
<\/li>\n - Die Zustimmung muss jederzeit widerrufbar sein. Deshalb platzieren wir zus\u00e4tzlich auf der Datenschutz-Seite einen Link zum \u00d6ffnen der Lightbox, sodass jederzeit \u00c4nderungen vorgenommen werden k\u00f6nnen.<\/li>\n<\/ul>\n
Wo weichen wir aktuell von den Hinweisen des EuGH ab?<\/h2>\n
- \n
- Wir f\u00fchren nicht s\u00e4mtliche Cookies mit Namen und Laufzeit auf.<\/strong>
\nWir haben keine Kontrolle \u00fcber die Drittanbieter-Cookies. Diese werden in Verbindung mit den entsprechenden Tools (Tracking, externe Medien, z.B. YouTube oder Maps) gesetzt. Die Benennung und Laufzeit kann sich stetig \u00e4ndern, ohne dass der Webseitenbetreiber etwas merkt. Eine wirklich verbindliche Angabe zum Zeitpunkt des Setzens kann eigentlich nur der Browser selbst liefern. Wir f\u00fchren deshalb nur die eigentlich eingesetzten Tools \/ Pixel auf und verweisen auf die in Verbindung stehenden Cookies.<\/li>\n- Dokumentationspflicht<\/strong>
\nIn verschiedenen Foren wird eine notwendige Dokumentation in Verbindung mit dem oben aufgef\u00fchrten Urteil hei\u00df diskutiert. Das macht in unseren Augen jedoch keinen Sinn. Wie soll eine nachweisliche Dokumentation aussehen, wenn der Nutzen keiner Datenverarbeitung bzw. keinem Tracking zustimmt?<\/li>\n<\/ol>\nWas f\u00fcr Auswirkungen hat die Einf\u00fchrung einer solchen L\u00f6sung?<\/h2>\n
Man muss sich im Klaren sein, dass kein verbindliches Tracking mehr m\u00f6glich ist. Gerade im Bereich Onlinemarketing sind die Auswirkungen erheblich. Keine Adwordsagentur kann eigentlich noch verbindliche Aussagen f\u00fcr den Erfolg von Anzeigen machen.\u00a0 Die Statistiken geben kein wahres Bild des tats\u00e4chlichen Traffics und Nutzerverhaltens wieder. Denn keiner kann wirklich sagen, ob ein Ausschlag nach oben oder unten mit einer vermehrten Zustimmung oder Ablehnung des Cookie-Banners zu tun hat oder vielleicht wirklich mehr Nutzer auf meiner Seite auf Grund einer guten Anzeige und SEO-Rankings kamen.<\/p>\n
Folgend ein Auszug unserer Statistik nach Einf\u00fchrung der Cookiel\u00f6sung auf unserer eigenen Seite.<\/p>\n
![\"\"](\"https:\/\/www.clickstorm.de\/blog\/wp-content\/uploads\/2020\/01\/statistik-cookie-loesung-1024x425.jpg\")
<\/p>\n<\/p>\n
Auch f\u00fcr die Nutzung externer Tools ist die Gesetzgebung in einer solchen Form nicht optimal. Wir selbst nutzen f\u00fcr unsere Kunden im Bereich eCommerce gern externe Tools von Spezialdienstleistern (z.B. Suchen \/ Doofinder, Empfehlungsmarketing \/ Nosto). Nicht weil Shopsysteme keine eigene L\u00f6sung an Board h\u00e4tten, sondern weil \u00fcber Dienstleister mit einem speziellen Fokus bessere Ergebnisse erzielt werden. Geht man aber auch hier streng nach Vorschrift, d\u00fcrften diese Tools erst aktiv geschalten werden wenn der Nutzer explizit zugestimmt hat. Hier sind in Zukunft auf jeden Fall die Dienstleister mit innovativen L\u00f6sungen gefragt, um eine gute Usability aufrecht zu erhalten.<\/p>\n
Auch bei der Definition von technisch, notwendigen Cookies muss der Gesetzgeber klarere Regeln definieren. Ist ein Cookie im Onlineshop f\u00fcr „Wunschliste“ oder „Zuletzt gesehene Artikel“ essentiell oder nicht? Bei all diesen offenen Fragen hoffen wir nat\u00fcrlich, dass in naher Zukunft klare Regeln f\u00fcr Alle definiert werden. Bei den Entscheidungstr\u00e4gern sollte dabei zumindest ein Rechner auf dem Tisch stehen und die Praxis sowie Machbarkeit nicht g\u00e4nzlich ignoriert werden.<\/p>\n
- Dokumentationspflicht<\/strong>
- Wir f\u00fchren nicht s\u00e4mtliche Cookies mit Namen und Laufzeit auf.<\/strong>
- \u00d6ffnet sich die Internetpr\u00e4senz wird am Rand oder zentral (je nach Kundenwunsch) ein Cookie-Hinweis eingeblendet. Der Button \u201eAlle akzeptieren\u201c ist deutlich hervorgehoben, in der Hoffnung, dass Kunden diese Schaltfl\u00e4che anklicken und s\u00e4mtliche Tools aktiviert werden k\u00f6nnen wie bisher.