No more willkürliche Cookies - YES YES YES (dance)

Kein einziges Cookie darf ohne Einwilligung gesetzt werde. Noch nicht mal ein Cookie für die Ablehnung von Cookies. Technisch ist es anders möglich, rechtlich ist es nicht erlaubt. Der EuGH sagt: Das gilt unabhängig davon, ob es sich um personenbezogene Cookies handelt oder nicht. 

Was sind Cookies wirklich? Verwanzung.
Der EU-Generalanwalt nennt sie beim Namen: Spy Ware oder Hidden Identifiers. Verantwortliche, die Ihnen willkürliche Cookies als schmackhaft verkaufen wollen, tun im Grunde genommen dies: Stellen Sie sich vor, Ihr Vermieter verwanzt Ihr Wohndomizil und sagt Ihnen "Ist nicht schlimm, tut nicht weh. Das ist für ein besseres Wohnerlebnis, verstehst du?! Aber ok, wenn du das nicht willst, kannst du die Verwanzung ja rausschmeissen, aber nicht alle, denn es gibt welche, die sind unbedingt erforderlich, sonst kann die Wohnfunktionalität eingeschränkt sein, verstehst du?! Möglicherweise kommst du gar nicht in die Wohnung.
Allgemeine Websitenbesuche sind wie Schaufensterbummel in einer Fussgängerzone, und nun möchte dich jedes Geschäft, in dessen Schaufenster du guckst, mehrfach verwanzen und wissen, wo du sonst noch so langgehst und reinguckst. Also wenn das nicht wehtut. Der Europäische Gerichtshof sieht das wohl ähnlich und sagt in seinem Urteil EuGH C‑673/17 vom 01.10.2019:  
Erst Cookies setzen, dann fragen? Falsch!
Richtig: Erst fragen, dann Cookie!  Das gilt für alle Cookies. Egal, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. 

Für mich ist auch dieses Urteil des EuGH ein neuer Tag der Europäischen Einheit, Stärke und Freiheit.
Ich unterscheide zwischen allgemeinen und speziellen Websitebesuchen. Die allgemeinen sind wie gesagt wie Schaufensterbummel, die speziellen sind z.B. Kundenaccounts, in die ich mich online einlogge - erst dann kann der Verantwortliche mich darauf hinweisen, dass mir spezielle Seiten oder Funktionen nicht oder nicht flüssig zur Verfügung stehen, wenn ich die dafür erforderlichen Cookies nicht akzeptiere. 

Besonders bei allgemeinen Websitebesuchen gilt jedoch: Die Frage nach der Einwilligung darf je Endgerät nur einmal gestellt werden und nicht bei jedem Besuch wieder. Das ist technisch möglich, ohne dafür auch nur ein einziges Cookies auf dem Endgerät eines Nutzers setzen zu müssen. Ausserdem muss es möglich sein, siehe Urteil EuGH, wer das nicht sicherstellt, darf gar nicht erst fragen und natürlich auch nichts setzen. Hat der Nutzer DNT aktiviert, darf ebenfalls nicht gefragt werden, weil die Frage schon beantwortet ist. S.a. Art. 21 Abs. 5 DSGVO.

Mit Gruss an Jimdo u.a.: Cookies auf den Endgeräten seiner Websitebesucher zu setzen ist eine Sache, Cookies auf den Endgeräten der Besucher seiner Kunden zu setzen eine andere. Websitenanbeiter machen sich zu unberechtigten Dritten, denn Auftragsdatenverarbeiter sind sie dergestalt sicher nicht. Selbst wenn ein Auftraggeber/Kunde, einen solchen Auftrag zu willkürliche Cookies über seine Website erteilen würde, wäre das ein rechtswidriger Auftrag, den der Websitenanbieter gar nicht ausführen dürfte. Den Kunden gar nicht erst zu fragen, sondern über seinen Kopf hinweg zu entscheiden, macht den Websitenanbieter zum Datendieb. Das ist nicht nur strafbewehrt nach § 42 BDSG, sondern auch erheblich schadenersatzträchtig nach Art. 82 DSGVO.

Infos zu Straftatbeständen und Folgen siehe weiter unten. Nicht aufgelistet sind die Artikel aus der DSGVO, die hier bei Klagen nützlich sind.

01.10.2019, susanne fritz

Nachtrag 30.01.20: Rückdeckung gibt es nun auch vom BVerfG mit seinem ebenso spektakulären und gleichfalls längst überfälligen Urteil 2BvR1763/16 vom 15.01.20, wonach Betroffene Anspruch auf effektive Strafverfolgung haben. Es lebe der gesunde Menschenverstand #freu. Bleibt zu schauen, wie weit sich die Praxis an die Theorie hält.
Auszug:

Die verfassungsrechtliche Verpflichtung zu effektiver Strafverfolgung bezieht sich auf das Tätigwerden aller Strafverfolgungsorgane. (Datenschutzaufsichtsbehörden sind Strafverfolgungsorgane!)... Ein Verzicht auf eine effektive Verfolgung solcher Taten kann zu einer Erschütterung des Vertrauens in die Integrität staatlichen Handelns führen. Daher muss bereits der Anschein vermieden werden, dass gegen Amtswalter des Staates weniger effektiv ermittelt wird oder hierbei erhöhte Anforderungen an eine Anklageerhebung gestellt werden

Kennst du das? Du besuchst eine neue Website und als erstes erscheint ein Cookie-Hinweis, dass du mit Cookies einverstanden bist, wenn du die Website weiter nutzt, und egal ob du OK klickst oder nicht oder die Seite sofort wieder verlässt und eben nicht weiter benutzt: Die Cookies sind bereits auf deinem Rechner installiert. Das ist als würdest du in ein Schaufenster schauen - und schon bist du verwanzt.

Den Zwang zur Implementierung aller nicht notwendigen Cookies bei Besuchern/Nutzern/Kunden halte ich für hochgradig rechtswidrig, das ist Datenausbeutung vom schlimmsten. Die Frage ist doch, ob und welche Cookies für die Nutzung des Internets einer Website wirklich zwingend notwendig sind. Am unnötigsten sind sicher Marketing- und sog. Drittanbieter-Cookies. Wenn ich mir anschaue, dass in wenigen Tagen tausende Cookies auf meinem Rechner installiert werden, bin ich sicher, dass diese auswüchsige und schlechte Gewohnheit dringend zu beenden ist und hoffe, dass das schon bald sehr teuer wird für den ein oder anderen (am liebsten Konzern). Ich kann Ihnen definitiv versichern, dass es gelinde gesagt ungewohnt ist, als Firma keine willkürlichen Analysen und Kundenauswertungen mehr erstellen und anschauen zu können. Aber es ist wie es ist: Wann wer wo wie warum surft, geht niemanden etwas an. DAS ist Datenschutz. Datenschutz ist Persönlichkeitsschutz.

Websiten funktionieren auch ohne Cookies, alles andere ist eine Lüge. Betroffene habe nicht nur das Recht, detailliert und transparent zu erfahren, wie jedes einzelne Cookie funktioniert, sondern auch Anspruch auf  die transparente Information je Cookie, wie eine Website im Detail nicht mehr genutzt werden kann, wenn man dieses Cookie nicht hätte/akzeptiert. Sie werden feststellen, dass seitens der Anbieter vieles vorsätzlich behindernd programmiert ist, wenn man den Cookies nicht zustimmt.

Cookiezustimmungen dürfen nirgendwo untergeschummelt werden und Cookies dürfen auf keinen Fall unter Art. 6 Abs. 1 f) DSGVO fallen, denn Cookies kann man nicht mit üblicher unerwünschter Werbung u.ä. Vermarktungsstrukturen vergleichen. Ob personalisiert oder unpersonalisiert - unerwünschte Werbung landet vlt. in meinem eMail-Postfach oder in meinem Briefkasten, aber niemand betritt dafür mein Haus oder meinen Rechner.

Besuchern die Nutzung von Websites zu verweigern, wenn sie Cookies nicht einwilligen, nicht erlauben resp. deaktiviert haben, ist nicht datenschutzkonform und kann u.a. gegen das sog. Kopplungsverbot gem. DSGVO verstossen. Unberechtigte resp. willkürliche Cookies ohne Einwilligung und/oder ohne Möglichkeit des Widerspruchs bei Erstkontakt zu implementieren, stellt nicht nur eine Verletzung gegen die alten und neuen Rechtsgrundlagen dar, sondern unterliegt verschiedenen Vorwürfen. Erfreulicherweise ist wenigstens der EU-Generalanwalt iS Cookies deutlich geworden. Noch deutlicher und schärfer sind die deutschen Rechtsgrundlagen. Man muss sich nun fragen, warum deutsche Datenschutzaufsichtsbehörden nicht ebenso deutlich sind. Vielleicht weil sie selber rechtswidrig Cookies einsetzen und do-not-track-Infos ignorieren? Zumindest der BfDI. Tracking bedeutet Computeraktivitäten nachverfolgen, das wird über Cookies ermöglicht. Viele Anwender haben in ihrem PC do-not-track aktiviert, was aussagt: "Ich wünsche ausdrücklich keine Nachverfolgung meiner Aktivitäten." Leider ignorieren das die meisten Institutionen. Obwohl die Information "do-not track" einem Widerspruch gegen Tracking und Cookies gleichzusetzen ist, wird dieser Widerspruch wird vorsätzlich missachtet. Dagegen kann man vorgehen. Sollte man auch. Denn egal, wie Cookies heissen, also welchen Namen die Programmierer den Cookies gegeben haben - es reicht 1 Cookie, um eine erhebliche Gefahr für Datenmissbrauch sein zu können. Deshalb müssen Cookies von Websitenanbietern auf deaktiviert voreingestellt sein, denn sicher ist es nicht unsere Aufgabe, in die Tiefen von hunderten/tausenden Websites einsteigen zu müssen, um irgendwelche Einstellungen suchen und anpassen zu müssen. Art. 21 Abs. 5 DSGVO ist unmissverständlich : "...Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden..."  Klartext: Wer do-not-track aktiviert hat, hat dem Setzen von Cookies widersprochen. Aber auch ohne DNT braucht die verantwortliche Institution meistens ausdrückliche Einwilligungen! Also keine allgemeinen, in irgendwelchen Datenschutzhinweistiefen untergeschummelte Einwilligungen. 

Rechtswidrige Cookies, vorsätzliche Missachtung von do-not-track-Anforderungen und mögliche
Folgen für Verantwortliche

FAZIT

Cookies unterliegen natürlich der DSGVO! Cookieplatzierung bei allgemeinen Websitebesuchen gehört sofort und gänzlich unterbunden. Missachtung von DNT-Informationen ist eine gesonderte Straftat. Es darf kein Cookie (der EU-Generalanwalt spricht zu Recht von Spy Ware) ohne zwanglose Einwilligung geben, kein einziges, noch nicht mal ein Cookie für die Ablehnung von Cookies. Rechtlich ist es untersagt und technisch ist es anders möglich, wie ich in den notwendigen Gerichtsverfahren beweisen werde.

By the way: Auch der rechtswidrige Einsatz von Cookies unterliegt der Strafvorschrift nach § 42 BDSG. 

Da ich selber noch Typo3-Websiten habe, weiss ich, dass für die Nutzung und Funktionalität von Websites Cookies nicht zwangsläufig erforderlich sind. Ich setze mich dafür ein, dass Cookie- und Tracking-Missbrauch schnellstmöglich unterbunden wird. Jeder Nutzer sollte die einzige Person sein, die über die Sicherheit (Software, Updates etc.) auf seinen Endgeräten entscheidet. Niemand sollte ohne ausdrückliche  Einwilligung etwas auf fremden Rechnern installieren dürfen - definitiv nicht aus Marketing-Gründen, aber auch manch andere Nutzung ist allzu oft rechtswidrig.

Es mag sein, dass manche in ihrem Privat- oder persönlichen Geschäftsleben kein Problem mit tausenden Cookies und Drittcookies auf ihren Geräten haben, aber glücklicherweise fragen immer mehr Websites die Besucher ausdrücklich nach deren Einverständnis.

• Alle Cookies von Anbietern müssen vom Anbieter auf deaktiviert voreingestellt sein.
  Die automatische Deaktivierung MUSS sichergestellet sein.
• Es braucht deutliche Auswahlfelder resp. Opt-In: "Akzeptieren Sie Cookies?   o Ja   o Nein  "  und ggfs. wenn ja welche, wobei die deaktivierte Voreinstellung besonders wichtig ist. Datenschutzkonform wird das bestenfalls nur ein einziges Mal abgefragt und kann jederzeit vom Nutzer -und nur vom Nutzer- manuell geändet werden.
• Cookie-Handling resp. Einwilligung darf nicht in allgemeinen Datenschutzerklärungen oder sonstwo untergeschummelt werden!
• Auf angeblich unbedingt erforderliche Cookies muss transparent hingewiesen werden, trotzdem bedarf es der unmissverständlichen Zustimmung.
• Auch jedwede neue Cookies dürfen nicht einfach so willkürlich nachinstalliert werden, PCs und Mobiles von Usern sind kein Freiland!
• Der Nutzer braucht eine Erklärung und Unterscheidung einzelner Cookiegruppen. Wenn man z.B. einen Kundenaccount hat, der bestimmte Informationen speichern soll, wird man um Cookies nicht herum kommen.

Die Nötigung zur Einverständniserklärung/Unterschrift zu Datenschutzhinweisen ist rechtwidrig. Egal ob online oder offline mit handschriftichen Unterschriften, die sogar von Ärzten und vielen Rechtsanwälten gefordert werden. Es ist nicht unsere Aufgabe, irgend jemandem zu bestätigen, das dieser jemand datenschutzkonform -also rechtmässig- handelt. Das dürfen wir wohl erwarten! Ob das dann wirklich so ist, dass der Anbieter rechtskonform handelt, das festzustellen ist Aufgabe von Gerichten, aber sicher nicht von Nutzern. Gleiches muss auch für AGB gelten (was sicherlich mittelfristig per Urteil bestätigt werden wird), denn man kann kaum erwarten, dass die Bevölkerung erstmal Jura studiert haben muss, bevor sie online einen Eierschneider kauft.

Es ist rechtswidrig, allgemeinen Datenschutzhinweisen zustimmen zu müssen, egal ob online per Häkchen oder offline per Unterschrift.  Datenschutzhinweise müssen jederzeit zur Verfügung gestellt werden, das war's!
Kein Häkchen, keine Unterschrift. Auch das muss endlich von den Datenschutzaufsichtsbehörden klargestellt werden!

Datenschutz ist ein Gesetz wie jedes andere Gesetz auch. Handelsgesetze, GmbH-Gesetz, Arzt- und Anwaltsgesetze etc. pp. Und Sie mussten doch bisher auch niemandem bestätigen, dass der andere seine Gesetze einhält, oder?!

Sehr wohl sind Unternehmen, Behörden, Ärzte, Anwälte etc pp dazu verpflichtet, ihre allgemeinen Datenschutzhinweise jederzeit transparent zur Verfügung zu stellen, sie dürfen uns aber keine Einwilligung abzwingen. Alles, was tatsächlich einer Zustimmung des Nutzers bedarf (z.B. für Werbung), gehört nicht in den allgemeinen Datenschutzhinweisen untergeschummelt, sondern bedarf eben genau das: Einer ausdrücklichen und nachweisbaren Zustimmung. So wie für die mit Abstand meisten Cookies, die definitiv härter zu bewerten sind als Print-Werbung, die 'nur' in den Briefkasten flattert, sich aber nicht in Ihren Geräten mit hochsensibelsten Informationen einnistet und Sie ausspäht.