Cookie-Banner darf Daten nicht in die USA weitergeben

Ein Nutzer der Hochschul-Webseite ging gegen die Hochschule vor, weil auf der Seite der Dienst „Cookiebot“ verwendet wurde, um die Einwilligung der Webseitenbesucher zur Nutzung von Cookies einzuholen. Solche „Consent-Tools“ oder „Cookie-Banner“ sind bei gewerblich genutzten Webseiten, zum Beispiel auch bei einem Online-Shop, nötig, um die Einwilligung der Nutzer DSGVO-konform einzuholen. 

Der Antragsteller nutzt regelmäßig den Onlinekatalog der Hochschule, um sich über die Verfügbarkeit von Fachliteratur zu informieren. Dabei sei ihm aufgefallen, dass mit dem Tool, welches die Hochschule nutzt, seine Daten in unzulässiger Weise weitergegeben werden. Das VG Wiesbaden gab dem Antragsteller im Eilverfahren recht (VG Wiesbaden: 6 L 738/21.WI vom 01.12.2021).

Datenweitergabe erfolgt unzulässigerweise mit Drittlandbezug

Der Dienst, den die Hochschule RheinMain nutzte, übermittelte die Daten des Webseitenbesuchers an ein externes Unternehmen, welches in den USA sitzt. Bei den übermittelten Daten handelte es sich unter anderem um die IP-Adresse des Nutzers, die unverschlüsselt weiter gegeben wurde. Zusammen mit weiteren Daten, zum Beispiel über die Eigenschaften des Endgeräts und die eingestellte Sprache, ergibt sich so ein „digitaler Fingerabdruck“ des Nutzers, weil keine andere Person exakt diese Zusammensetzung an Parametern zur selben Zeit aufweist.

Diese Daten werden an einen Server weitergegeben, der zu einem Unternehmen gehört, welches seine Unternehmenszentrale in den USA hat. Zu einer solchen Datenübermittlung an die USA, haben die Nutzer der Webseite nicht eingewilligt, noch handelt es sich um eine technisch erforderliche Datenübermittlung, die für das Betreiben der Website notwendig ist.  

Auch wenn nicht die Hochschule selbst die Daten übermittelt, ist sie doch verantwortlich, da sie entschieden hat, diesen Dienst zu nutzen. Sie hätte auch die Möglichkeit einen anderen Anbieter zu wählen, bei dem die Datenweitergabe ohne Drittlandbezug erfolgt. 

Was bedeutet das für Cookies im Online-Handel?

Der EuGH hat bereits im Juli 2020 erklärt, dass besondere Vorsicht geboten ist, wenn personenbezogene Daten an ein Land außerhalb des Europäischen Wirtschaftsraumes weitergegeben werden. Online-Händler sollten sich gegebenenfalls an den Anbieter ihres Consent-Tools wenden, wenn nicht klar ist, inwiefern die rechtlichen Vorgaben eingehalten werden.

Eine Weitergabe der Daten an die USA oder ein anderes Drittland ist jedoch nicht generell ausgeschlossen, es muss allerdings sichergestellt werden, dass die Daten im jeweiligen Drittland ausreichend geschützt sind. In den USA gilt der sogenannte „CLOUD Act“, ein Gesetz, welches US-Behörden Zugriff auf gespeicherte Daten im Internet gibt, wenn diese von einer US-amerikanischen Firma außerhalb der USA gespeichert werden. Vor diesen Behördenzugriff sollen die Daten der Einwohner der EU geschützt werden. Hierbei ist nicht entscheidend, ob der Server, auf dem die Dateien gespeichert werden, in den USA liegt, sondern ob es sich um eine amerikanische Firma handelt.

Endgültige Entscheidung steht noch aus

Bei der Entscheidung handelt es sich lediglich um eine vorläufige Entscheidung. Der Antragsteller hat im Zuge einer einstweiligen Anordnung bewirkt, dass die Hochschule den Dienst zunächst nicht mehr nutzen darf. Denn bis zur Entscheidung im Klageverfahren kann nicht sichergestellt sein, dass die Daten des Antragstellers, oder der anderen Nutzer ausreichend geschützt sind. Im Hauptsacheverfahren findet dann eine erneute Prüfung des Sachverhaltes statt. Dann lässt sich auch sagen, welche Auswirkungen die Entscheidung für andere Consent-Tools mit Drittstaatenbezug haben könnte. 

Die Entscheidung ist noch nicht rechtskräftig. Wie genau die Auswirkungen auf den Online-Handel sind, wird frühstens mit der endgültigen Entscheidung im Hauptverfahren geklärt sein. Dann könnten es auch Auswirkungen auf andere Dienste geben, die einen Firmensitz in den USA haben.

Der Händlerbund wird seine Mitglieder rechtzeitig informieren, falls in Zukunft Änderungen notwendig sind und bietet Online-Händlern aktuell auch ein rechtssicheres Consent-Tool an.