Verstöße gegen DSGVO: Datenschutzbehörden überprüfen Cookie-Tracking durch Zeitungsverlage

Die Landesdatenschutzbeauftragten von zehn Bundesländern wollen den Einsatz von Tracking-Cookies und ähnlichen Technologien auf Websites überprüfen. Häufig erfüllten die dort eingesetzten Cookie-Banner nicht die Anforderungen der Datenschutz-Grundverordnung (DSGVO) und „eine freiwillige und tatsächlich informierte Wahl“ sei nicht gegeben, heißt es in einer Mitteilung des Baden-Württembergischen Landesbeauftragten für Datenschutz und Informationsfreiheit (LfDI). In einem ersten Schritt nehmen sich die Datenschutzbehörden die Websites von reichweitenstarken Zeitungsverlagen vor. Weitere Website-Betreiber:innen könnten später folgen.

Cookie-Banner sind beim Surfen im Internet nicht mehr wegzudenken. Sie ploppen immer dann auf, wenn ein:e Nutzer:in eine Website aufruft und informieren darüber, dass diese Website Cookies verwendet. Diese kleinen Textdateien sorgen zum einen dafür, dass Websites bestimmte grundsätzliche Funktionen wie einen Warenkorb anbieten können. Sie können aber auch Klick-Bewegungen der Nutzer:innen verfolgen, über verschiedene Websites hinweg. Dadurch können Unternehmen Nutzungsprofile erstellen, Interessen und Vorlieben ihrer Nutzer:innen erkennen und ihnen persönlich zugeschnittene Werbung ausspielen.

Idealerweise würden Kund:innen und Leser:innen genau das auf den erwähnten Cookie-Bannern erfahren und könnten daraufhin über den Einsatz dieser Tracking-Technologien entscheiden. Leider informieren Websites bislang sehr unterschiedlich über ihre Cookies. Wie Nutzer:innen deren Einsatz auswählen und ablehnen können, ist oft unübersichtlich und versteckt gestaltet.

Zeitungsverlage sind beim Tracking ganz vorne dabei

Auch Zeitungsverlage mit mehr oder weniger seriösen journalistischen Produkten tracken fleißig ihre Leser:innen. Sie sind auf ihre Werbepartner:innen angewiesen und versorgen diese so mit wertvollen Daten. Zeitungsverlage würden Cookies nach Ansicht des LfDI jedoch „häufig in besonders großem Umfang auf ihren Websites“ einsetzen. „Wollen Medienunternehmen Tracking-Technologien nutzen, können diese nur erlaubt sein, wenn die/der Nutzer*in hierin wirksam einwilligt – d. h. informiert, freiwillig, vorab, separat und in Kenntnis einer zumutbaren Möglichkeit, die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.“ Große Zeitungsverlage finden aber selbst mit vermeintlich tracking- und werbefreien, zahlungspflichtigen Abonnements, sogenannten Pur-Abos, Wege, Daten ihrer Leser:innen an Facebook, Google und Co. weiterzugeben.

Bereits im Frühjahr 2019 hatte der Arbeitskreis Medien der Konferenz der deutschen Datenschutzbehörden festgestellt, „dass vielen Aufsichtsbehörden Beschwerden gegen Websites von Online-Medien vorlagen“, teilte ein Sprecher der niedersächsischen Landesdatenschutzbeauftragten auf Anfrage mit. Interesse an einer koordinierten Prüfung meldeten demnach neben Baden-Württemberg und Niedersachsen die Länder Brandenburg, Bremen, Hamburg, Hessen, Nordrhein-Westfalen, Rheinland-Pfalz, Sachsen und Schleswig-Holstein an.

Verlage wissen oft selbst nicht, was mit Daten passiert

Jedes Bundesland prüft in seinem eigenen Zuständigkeitsbereich. Die Datenschutzbehörden begutachten zum einen die Online-Medien, über deren Cookie-Einsatz sie Beschwerden erreicht haben. Zudem kontrollieren sie die reichweitenstärksten Online-Präsenzen von Medienverlagen, wobei jedes Bundesland auf etwa fünf Medienhäuser komme, teilte eine Sprecherin des Landesdatenschutzbeauftragten Baden-Württemberg gegenüber netzpolitik.org mit. „Wir in Baden-Württemberg haben gezielt noch einige Zeitungsverlage hinzu genommen.“

Das Prüfverfahren beinhaltet einen umfangreichen Fragebogen, in dem die Verlage zum Beispiel gefragt werden, wie sie Cookies einsetzen und ob sie wissen, was mit den Daten passiert, heißt es aus Baden-Württemberg. Die Datenschutzbehörde beurteilt aufgrund dieser Angaben und eigener Kontrollen der Websites aus technischer und juristischer Perspektive, ob das betreffende Unternehmen Cookies rechtskonform einsetzt. Entspricht eine Technologie nicht geltendem Recht, muss sie abgeschaltet werden. Werden Leser:innen nicht ausreichend informiert, muss ein Verlag zum Beispiel das Cookie-Banner umgestalten.

Die Behörde in Baden-Württemberg geht davon aus, dass längst nicht allen Verlagen klar ist, was mit den Daten ihrer Leser:innen geschieht und wie Dritte sie nutzen. Dahinter stehe eben ein Geschäftsmodell. Wann mit ersten Ergebnissen gerechnet werden kann und welche Websites die Behörden als nächstes unter die Lupe nehmen, ist noch unklar.

Unternehmen müssen Cookie-Richtlinien endlich umsetzen

Der Bundesgerichtshof hatte erst im Mai dieses Jahres entschieden, dass Website-Betreiber:innen Cookie-Einstellungen nicht vorausfüllen dürfen. Nutzer:innen müssten bewusst in den Einsatz von Tracking-Cookies einwilligen können.

Eine vor einem Jahr angekündigte Initiative des Wirtschaftsministeriums, die Rechtslage in Deutschland diesbezüglich klarer zu gestalten, hat bisher noch zu keinem Ergebnis geführt. Auch die Versuche der EU, das Thema Online-Tracking einfacher zu regeln, stecken aufgrund des erheblichen Drucks der Werbeindustrie seit Jahren in der Sackgasse.

Nach langem Zögern und Verhandeln gehen die Datenschutzbehörden mit der jetzt angekündigten Prüfung nun endlich einen Schritt, um deutsche Medien zu einem datenschutzkonformen Umgang mit den Daten ihrer Nutzer:innen zu verpflichten. „Journalistische Angebote genießen ein besonderes, gleichzeitig auch fragiles Vertrauen vonseiten der Bevölkerung, indem sie zur freien Meinungsbildung beitragen“, so der Landesdatenschutzbeauftragte von Baden-Württemberg, Stefan Brink. „Dieses Vertrauensverhältnis sollte sich auch im verantwortungsvollen Umgang der Medien mit Nutzerdaten widerspiegeln.“