Einwilligungsdienste: IT-Wirtschaft unzufrieden mit Plänen für Cookie-Manager
Die IT- und Werbewirtschaft ist unzufrieden mit der geplanten Regelung für sogenannte Dienste zur Einwilligungsverwaltung im Internet. "Der Entwurf gibt keine Antworten auf die zahlreichen technischen und rechtlichen Herausforderungen, die mit der Regulierung einhergehen" , kritisiert der Bundesverband Digitale Wirtschaft (BVDW) am 29. August 2022 laut Pressemitteilung(öffnet im neuen Fenster) . Zwar hat das Bundesdigitalministerium den Entwurf der geplanten Einwilligungsverwaltungs-Verordnung noch nicht veröffentlicht. Doch erste Details wurden bereits bekannt.
Hintergrund der Regulierung ist das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) vor, das am 1. Dezember 2021 in Kraft trat . Dieses sieht in Paragraf 26 die Schaffung "anerkannter Dienste zur Einwilligungsverwaltung" vor, die unter anderem "nutzerfreundliche und wettbewerbskonforme Verfahren und technische Anwendungen zur Einholung und Verwaltung der Einwilligung haben" . Damit sind Cookie-Manager, Personal Information Management Services (PIMS) oder Single-Sign-on-Dienste wie Verimi, NetID oder ID4me gemeint.
Bestimmte Vorgaben für solche Dienste sind bereits im Gesetz formuliert. So ist für deren Anerkennung unter anderem erforderlich, dass sie "kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten haben und unabhängig von Unternehmen sind, die ein solches Interesse haben können" . Das schließt Firmen wie Facebook oder Google praktisch als Anbieter von Single-Sign-on-Diensten nach dem TTDSG aus. Inwieweit das bei Anbietern wie NetID der Fall ist, scheint unklar. Denn dieser wird von Medienunternehmen wie RTL, ProSiebenSat1, dem Axel-Springer-Verlag sowie Dutzenden Lokalzeitungen getragen, die ein Interesse an solchen Daten haben könnten.
Generelle Einwilligungen nach Kategorien
Einem Bericht des Tagesspiegels (Paywall)(öffnet im neuen Fenster) zufolge enthält die 21-seitige Verordnung Anforderungen an die Nutzerfreundlichkeit, Wettbewerbskonformität und technische Anwendung der Dienste. Laut Heise.de(öffnet im neuen Fenster) können Nutzer entweder "generelle Einwilligungen geordnet nach Kategorien für bestimmte Zugriffe auf Endeinrichtungen und Gruppen von Telemedienanbietern erteilen" . Über den Inhalt der darunter erfassten Webseiten müssten Nutzer "in verständlicher Weise aufgeklärt werden" , um gegebenenfalls einzelne Angebote ausnehmen zu können. Spätestens nach sechs Monaten soll eine Erinnerung an die Einstellungen und deren Überprüfung erfolgen.
Das bedeutet jedoch nicht, dass Webseitenbetreiber nicht doch um eine konkrete Einwilligung bitten können. So könnten diese darauf hinweisen, dass sich eine Webseite "ganz oder teilweise durch Werbung finanziert" , so dass Cookies notwendig seien. In diesem Fall sei zulässig, auf ein "kostenpflichtiges Alternativangebot" wie beispielsweise Golem Pur zu verweisen oder den Nutzer "zur Änderung seiner Voreinstellungen beim Dienst zu Einwilligungsverwaltung" aufzufordern, berichtete Heise.de.
Laut der Begründung will das Bundesdigitalministerium unter Volker Wissing (FDP) so dem Umstand Rechnung tragen, "dass ein Großteil der für die Endnutzer angebotenen Dienste im Internet kostenlos" ist und sich über Werbung refinanziert, "die auf dem Einsatz von Cookies und ähnlichen Tracking-Technologien basieren" .
Diese Möglichkeit reicht der Digitalwirtschaft jedoch nicht aus.
Wirtschaft pocht auf konkrete Einwilligung
Denn die Regelung bedeutet, dass Anbieter ohne "kostenpflichtige Alternativangebote" die Voreinstellungen akzeptieren müssen und nicht mehr individuell um eine Einwilligung zum Tracking bitten dürften. "Dies ist umso fragwürdiger, da der Gesetzgeber in den letzten Jahren zunehmend darauf hingewirkt hat, die Einwilligung als Rechtsgrundlage für Datenverarbeitung zu forcieren und nun deren Einholung quasi untersagen will" , kritisiert der BVDW und fügt hinzu: "Dieser unmittelbare Einschnitt in die direkte Beziehung zwischen Konsumenten und Unternehmen erscheint nicht nur rechtssystematisch kritisch."
Auch dem Zentralverband der deutschen Werbewirtschaft (ZAW) gefällt das gar nicht. Die Verordnung stelle die Anbieter "weitgehend schutzlos, weil sie ihnen kein eigenes Einwilligungsmanagement mehr zugesteht, Kundenbeziehungen weitgehend kappt und den rechtlich fundierten Vorrang individuell erteilter Einwilligungen vor generellen Einwilligungsmanagern nicht kennt" , sagte ZAW-Hauptgeschäftsführer Bernd Nauen dem Tagesspiegel.
Wenn die Anbieter die pauschalen Einstellungen der Nutzer akzeptieren müssen, wäre dies "aus Sicht der Datenökonomie und besonders aus Sicht der informationellen Selbstbestimmung der Nutzerinnen und Nutzer nicht der große Wurf, sondern ein großer Rückschritt" , moniert der BVDW. Sollte sich die Wirtschaft mit ihren Forderungen durchsetzen, würde die Cookiebanner-Flut bei Webseiten wohl eher nicht eingedämmt.
Keine Dark Patterns zulässig
Positiver beurteilen hingegen Datenschützer die Pläne. So begrüßte Frederick Richter, Vorstand der Stiftung Datenschutz, dem Bericht zufolge, "dass 'Anforderungen an die Nutzerfreundlichkeit' im Entwurf an erster Stelle stehen. Denn nur nutzungsfreundliche Einwilligungsdienste werden Erfolg haben" . Zudem sei kein Nudging der Nutzer, also eine Beeinflussung in eine gewisse Richtung, durch eine tendenziöse Ausgestaltung der Abfragemaske erlaubt.
Solche Praktiken sind auch als Dark Patterns bekannt (g+). Die Entscheidung zur Erteilung oder Ablehnung eines Opt-ins soll laut Heise "gleichberechtigt nebeneinanderstehen" . Inzwischen gehen aber selbst Anbieter wie Google und dessen Videodienst Youtube dazu über, Ablehnung und Zustimmung gleichberechtigt mit einem Mausklick zu ermöglichen.
Bis der Verordnungsentwurf verabschiedet wird, dürfte es aber einige Zeit dauern. Nach der Ressortabstimmung ist noch eine Verbändeanhörung vorgesehen. Zudem müssen nach dem Kabinettsbeschluss Bundestag und Bundesrat zustimmen. Auch eine Notifizierung bei der EU-Kommission soll erforderlich sein.
Nachtrag vom 30. August 2022, 14:32 Uhr
Ebenfalls kritisch äußerten sich die Verbraucherschützer zu dem Entwurf. Es sei zweifelhaft, ob der Entwurf das Ziel erreiche, um mit Einwilligungsdiensten "eine echte, nutzer- und wettbewerbsfreundliche Alternative zu den lästigen Einwilligungsbannern zu bieten" , sagte Lina Ehrig vom Verbraucherzentrale Bundesverband (VZBV) auf Anfrage von Golem.de. So sei aus Sicht der Nutzer wichtig, dass Einwilligungsdienste ermöglichen könnten, "generelle Einwilligungen oder Ablehnungen für bestimmte Arten von Telemedienanbieter (Suchmaschinen, Nachrichtenseiten, Einkaufen, soziale Medien) zu erteilen" .
Dazu Ehrig: "Hier müssen wir genau schauen, ob die Anforderungen an eine datenschutzkonforme Einwilligung auch erfüllt sind." Weiter sehr kritisch sei die Ausnahme für werbefinanzierte Webseiten.
Aus Sicht des VZBV ist für einen Erfolg von Einwilligungsdiensten entscheidend, dass Telemedienanbieter den über die Einwilligungsdienste signalisierten Entscheidungen der Nutzer Folge leisten müssen. Das bedeutet laut Ehrig: "Nicht alleine die Erteilung von Einwilligungen über Einwilligungsdienste darf die Anzahl der Cookie-Banner reduzieren. Dies muss auch die Folge bei einer bekundeten Ablehnung über einen Einwilligungsdienst sein."