In einem aktuellen Urteil hat das Verwaltungsgericht Hannover (VG Hannover, Urt. v. 19.3.2025, Az. 10 A 5385/22) konkrete Aussagen zur Ausgestaltung von Lösungen zum Einwilligungsmanagement auf Internetseiten („Cookie-Banner“) sowie zur Einwilligungsbedürftigkeit des Google Tag Manager getroffen. In diesem Blog-Beitrag beleuchten wir die wesentlichen Aussagen des Gerichts und geben wichtige Hinweise für Betreibende von Internetseiten.

Zum Sachverhalt

Gegenstand des Gerichtsverfahrens war die Internetseite der Neuen Osnabrücker Zeitung sowie insbesondere die Ausgestaltung des implementierten Cookie-Banners. Nutzenden wurde beim Besuch der Internetseite zunächst eine Auswahl mit eingeschränkten Entscheidungsoptionen präsentiert – namentlich Schaltflächen mit den Beschriftungen „Alle akzeptieren“ und „Einstellungen“. Erst durch einen weiteren Klick auf die Schaltfläche „Einstellungen“ öffnete sich eine detailliertere Ansicht, in der einzelne Kategorien von Cookies beziehungsweise Datenverarbeitungen auswählbar waren. Gleichzeitig kam ein Dienst zur Verwaltung von Tracking-Skripten – konkret der Google Tag Manager – ohne vorherige Einwilligung der Nutzenden zum Einsatz.

Die zuständige Datenschutz-Aufsichtsbehörde des Landes Niedersachsen äußerte Kritik an der Art und Weise der Einholung von Einwilligungen und beanstandete im Rahmen eines Bescheids insbesondere den Einsatz des Google Tag Managers ohne ausdrückliche Zustimmung. Das betroffene Unternehmen erhob Klage gegen den Bescheid.

Zum Urteil

Zunächst stellte das Gericht klar, dass die niedersächsische Datenschutz-Aufsichtsbehörde auch in Bezug auf die Überwachung und Einhaltung des § 25 TDDDG („Schutz der Privatsphäre bei Endeinrichtungen“) zuständig ist. Bei dieser Regelung hinsichtlich der rechtmäßigen Verarbeitung von Cookies handele es sich um „andere datenschutzrechtliche Bestimmungen“ im Sinne des § 20 Abs. 1 Niedersächsisches Datenschutzgesetz (NDSG).

Weiterhin sah es das Gericht als erwiesen an, dass die Beanstandung durch die Datenschutz-Aufsichtsbehörde zu Recht erfolgte:

„Insbesondere vor dem Hintergrund, dass Nutzer sich des Umfangs der erteilten Einwilligung möglicherweise nicht bewusst sind […] werden sie regelmäßig durch Interaktion mit dem Banner auf erster Ebene versuchen, dieses verschwinden zu lassen und die dahinterliegende Website lesen zu können. Deshalb werden sie eine Auswahl auf erster Ebene treffen, die dies möglich macht – im Rahmen der Bannergestaltung der Klägerin folglich die Erteilung einer umfassenden Einwilligung, da eine Ablehnungsoption auf erster Ebene nicht besteht.“

Und weiter:

„Darüber hinaus findet sich auf erster Ebene des Banners kein Hinweis darauf, dass beim Klick auf “Einstellungen” die Einwilligung verweigert werden kann. Nutzer sind sich deshalb auf erster Ebene nicht im Klaren darüber, dass sie mehrere Wahlmöglichkeiten haben. Lediglich beim Scrollen innerhalb des Banners auf erster Ebene findet sich die Formulierung „es besteht keine Verpflichtung, der Verarbeitung Ihrer Daten zuzustimmen, um dieses Angebot zu nutzen“. Dass eine Ablehnungsoption auf nächster Ebene folgt, ergibt sich jedoch selbst aus diesem Hinweis nicht. Insofern ist die Gestaltung des Einwilligungsbanners irreführend.“

Schließlich würden die Nutzer darüber hinaus durch die Ausgestaltung des Cookie-Banners und dessen Schaltflächen hinsichtlich Gestaltung und Farbe ebenfalls zur Zustimmung gedrängt („Nudging“).

In Bezug auf die Verwendung des Google Tag Manager führte das Gericht aus, dass die Verwendung einer ausdrücklichen Einwilligung der Nutzenden bedürfe, da die Verwendung des Dienstes nicht notwendig und ebenfalls nicht vom berechtigten Interesse der Seitenbetreibenden gedeckt sei. Dies ergebe sich insbesondere aus der mit der Nutzung des Dienstes im Zusammenhang stehende Zugriff auf Endgeräte:

„Anders als von der Klägerin vorgetragen ist der Google Tag Manager auch nicht für die Einholung der Einwilligungen der Nutzer nach § 25 Abs. 1 TTDSG erforderlich. Dafür nutzt die Klägerin ausweislich ihres eigenen Vortrags die CMP von Sourcepoint. Der Google Tag Manager dient lediglich dazu, nach Erteilung der Einwilligung einwilligungspflichtige Tools und Codes zu laden. Auch hierfür ist jedoch der Dienst Google Tag Manager nicht technisch erforderlich. […] Im Internet werden dazu ebenfalls verschiedene Alternativen vorgeschlagen […]. Die Nutzung des bereits existierenden und funktionsfähigen Dienstes Google Tag Manager erweist sich lediglich als einfacher für Betreiber von Websites.“

Fazit

Betreibende von Internetseiten sollten darauf achten, dass ihr Cookie-Banner bereits auf der ersten Ebene eine klare und gleichwertige Auswahl bietet. Gestaltungselemente, die Nutzer zu einer Zustimmung drängen, sind dabei zu vermeiden. Die Informationen zur Datenverarbeitung müssen transparent und verständlich sein, damit Nutzer eine informierte Entscheidung treffen können. Der Einsatz des Google Tag Managers ist ohne vorherige, ausdrückliche Einwilligung unzulässig, da er nicht technisch notwendig ist. Es empfiehlt sich, datenschutzfreundlichere Alternativen zu prüfen. Zudem muss sichergestellt sein, dass keine einwilligungspflichtigen Dienste vor der Zustimmung aktiviert werden. Eine regelmäßige rechtliche und technische Überprüfung des Einwilligungsmanagements ist daher dringend anzuraten.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Sommer berichteten wir bereits darüber, dass die Sächsische Datenschutz- und Transparenzbeauftragte (STDB) etwa 30.000 Internetseiten von Unternehmen, Vereinen und öffentlichen Stellen in Sachsen kontrollierte. Gegenstand der Überprüfungen war insbesondere die einwilligungsbasierte Nutzung von Google Analytics. In rund 2.300 Fällen konnten seitens der sächsischen Aufsichtsbehörde Mängel festgestellt werden. Im Rahmen einer kürzlich veröffentlichten Pressemitteilung zieht die sächsische Aufsichtsbehörde Bilanz.

Automatisierte Prüfung durch die Aufsichtsbehörde

Eine solch flächendeckende Prüfung von automatisierten Datenverarbeitungen dürfte in Sachsen zum ersten Mal stattgefunden haben. Schließlich setzt die Überprüfung von Internetseiten in solch einem Umfang eine entsprechende technische Ausstattung voraus. Bereits im Sommer dieses Jahres wies die sächsische Aufsichtsbehörde diesbezüglich auf das neu eingerichtete IT-Labor hin. Mit moderner Hard- und Software sei nun auch eine datenschutzrechtliche Analyse von Internetseiten, Anwendungen und IT-Produkten in größerem Umfang möglich. Wie auch aus der aktuellen Pressemitteilung zu entnehmen ist, stehen für die Zukunft weitere Prüfungen von Internetseiten an. Somit sollten Verantwortliche in Sachsen ab sofort regelmäßig die eigenen Internetangebote, Apps und IT-Produkte auf Datenschutzkonformität kritisch prüfen.

Aufsichtsbehörde zieht positives Fazit

Rückblickend auf die erste Überprüfung zieht Dr. Juliane Hundert ein positives Fazit: „Auf zwei Dritteln der identifizierten Websites wird nunmehr auf den Einsatz von Google Analytics zur Nachverfolgung des Nutzerverhaltens verzichtet, oder es wird vorher um eine eindeutige Einwilligung gebeten. Die Kontrolle bewirkte zudem, dass Verantwortliche auch bei anderen Diensten das Datenschutzniveau verbesserten. Dadurch sank beispielsweise die Anzahl der Cookies auf den geprüften Websites um die Hälfte.“ Für den Datenschutz im Internet sei das eine gute Nachricht. Im Rahmen einer veröffentlichten Statistik stellt die sächsische Aufsichtsbehörde hierzu mit konkreten Zahlen insbesondere den Rückgang von Google Analytics-Einbindungen, Drittanfragen und Drittanbieter-Cookies dar.

Weiterhin wird über die große Resonanz bei den Verantwortlichen berichtet: „Im Zusammenhang mit der Website-Prüfung bearbeitete die SDTB 300 schriftliche Rückmeldungen sowie 250 Anrufe. Vor allem Unternehmen und Vereine benötigten Hilfestellung bei der Umsetzung der rechtlichen Anforderungen. In den Anfragen ging es nicht nur um Google Analytics, sondern beispielsweise auch um die richtige Einbindung von Zahlungsdienstleistern bei Onlineshops und die Einbettung von Videos aus sozialen Netzwerken.“ Dies zeigt einerseits, dass Aufsichtsbehörden grundsätzlich auch eine beratende Funktion übernehmen können, andererseits jedoch auch, dass auf Seiten der Verantwortlichen weiterhin große Unsicherheiten in Bezug auf Datenschutz und Internetseiten bestehen.

Einigen Stellen drohen nun Konsequenzen

Doch bei weitem nicht alle der 2.300 Seitenbetreiber sind auf die Hinweise der Aufsichtsbehörde eingegangen und haben datenschutzrechtliche Nachbesserungen vorgenommen. Diesen könnten nun entsprechende Konsequenzen bevorstehen: „Verantwortliche, die trotz der Aufforderung der SDTB weiterhin rechtswidrig Nutzerdaten mit Google Analytics verarbeiten, müssen nun mit Sanktionen rechnen. Der Aufsichtsbehörde steht ein umfassender Katalog von Untersuchungs- und Abhilfebefugnissen zur Verfügung, um die Einhaltung datenschutzrechtlicher Bestimmungen durchzusetzen.“ Unter Berücksichtigung des Art. 58 DS-GVO wären hierbei beispielsweise Verwarnungen, Bußgelder, Untersagungen der weiteren Datenverarbeitungen, aber auch Löschverpflichtungen denkbar.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Jüngst hatte sich das Landesarbeitsgericht (LAG) Düsseldorf mit der Frage auseinanderzusetzen, ob die Durchführung einer Google-Recherche zur Überprüfung der Eignung des Bewerbers datenschutzrechtlich zulässig ist. Hierbei stellte das Gericht klar, dass unter bestimmten Voraussetzungen eine Hintergrundrecherche zur Person des Bewerbers möglich sein kann, sprach dem erfolglosen Bewerber dennoch einen immateriellen Schadenersatz in Höhe von 1.000 Euro zu. Der nachfolgende Beitrag stellt die Hintergründe des Urteils dar.

Zum Sachverhalt

Im vorliegenden Fall handelte es sich um eine Bewerbung auf die ausgeschriebene Stelle für eine:n Volljurist:in im öffentlichen Dienst. Gegen den Bewerber lag eine nicht-rechtskräftige Verurteilung wegen gewerbsmäßigen Betrugs zu einer Freiheitsstrafe von einem Jahr und vier Monaten auf Bewährung vor. Der Vorwurf lautete, der Bewerber habe vielfach fingierte Bewerbungen eingereicht, um potenzielle Arbeitgeber anschließend wegen angeblicher Diskriminierung zur Zahlung von Entschädigungen zu veranlassen.

Auf Grundlage eines konkreten Verdachts – der zuständige Personaldezernent konnte sich an ein Urteil im Zusammenhang mit dem Namen des Bewerbers erinnern – führte die öffentliche Stelle eine Google-Recherche zum Bewerber durch und stieß hierbei auf einen Wikipedia-Artikel zur Person des Bewerbers, welcher ebenfalls Darstellungen zur nicht-rechtskräftigen Verurteilung enthielt. Die öffentliche Stelle bezog die über die Google-Recherche erlangten Informationen in das Auswahlverfahren ein und lehnte den Bewerber letztendlich ab.

Der erfolglose Bewerber legte hiergegen mit der Begründung Klage ein, die Google-Recherche sowie die Verarbeitung der hieraus gewonnenen personenbezogenen Daten sei datenschutzrechtlich unzulässig gewesen und zudem sei er nicht über diese Verarbeitung seiner personenbezogenen Daten informiert worden.

Zum Urteil

Auf Grundlage des vorliegenden Sachverhaltes führte das LAG Düsseldorf in seinem Urteil vom 10. April 2024 (Az. 12 Sa 1007/23) zunächst aus, dass die Durchführung einer Google-Recherche im Rahmen eines Bewerbungsverfahrens unter bestimmten Voraussetzungen datenschutzrechtlich zulässig sein kann. Als Rechtsgrundlage komme hierfür Art. 6 Abs. 1 Satz 1 lit. b) DS-GVO in Betracht, wonach eine Verarbeitung personenbezogener Daten rechtmäßig ist, wenn diese zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Ein Bewerbungsverfahren kann grundsätzlich eine vorvertragliche Maßnahme darstellen, wobei in der Bewerbung die Anfrage der betroffenen Person zu sehen ist.

Das Gericht stellte zudem fest, dass eine bestehende Vorstrafe einer Eignung im Sinne des Art. 33 Abs. 2 Grundgesetz (Eignung zum öffentlichen Amt) für die betreffende Stelle entgegenstehen kann. Aufgrund des Zusammenhangs zwischen der nicht-rechtskräftigen Verurteilung des Bewerbers und der konkreten Stellenausschreibung, sah das Gericht die fehlende Geeignetheit des Bewerbers als gegeben an. Dementsprechend war auch die Durchführung der Google-Recherche nach Ansicht des Gerichts zulässig: Die öffentliche Stelle ging einem konkreten Verdacht nach, der an der Eignung des Bewerbers zweifeln ließ. Die Recherche diente demnach dem Zweck, die Eignung des Bewerbers zu beurteilen.

Inwieweit die Durchführung einer Google-Recherche ohne konkreten Verdacht zulässig gewesen wäre, ließ das Gericht offen. Aufgrund der in diesem Fall wohl zu verneinenden Erforderlichkeit der Datenverarbeitung, wäre die Zulässigkeit in derartigen Fällen wohl eher anzuzweifeln.

Weiterhin stellte das LAG Düsseldorf jedoch fest, dass die öffentliche Stelle versäumt hatte, den Bewerber ausreichend über die Verarbeitung seiner personenbezogenen Daten gemäß Art. 14 DS-GVO zu informieren. Zwar wurde dem Bewerber im Rahmen des Bewerbungsgespräches offengelegt, dass der betreffende Wikipedia-Artikel gesichtet worden sei, es fehlte jedoch an einer Darstellung, welche konkreten personenbezogenen Daten aus diesem Artikel im Rahmen des Bewerbungsverfahrens verarbeitet wurden. Hierin sah das Gericht einen erheblichen Kontrollverlust seitens des Bewerbers, der gemäß Art. 82 Abs. 1 DS-GVO einen Anspruch auf Schadenersatz, in diesem konkreten Fall in Höhe von 1.000 Euro auslöste.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wie mit der Pressemitteilung vom 13. Juni 2024 der Sächsischen Datenschutz- und Transparenzbeauftragten (SDTB) bekannt wurde, hat diese etwa 30.000 Internetseiten von Unternehmen, Vereinen und öffentlichen Stellen in Sachsen kontrolliert. Gegenstand der Überprüfungen war insbesondere die einwilligungsbasierte Nutzung von Google Analytics. In rund 2.300 Fällen konnten seitens der sächsischen Aufsichtsbehörde Mängel festgestellt werden. Die betroffenen Stellen werden aufgefordert, die Nutzung von Google Analytics konform auszugestalten sowie die bis zum Zeitpunkt der Umstellung rechtswidrig verarbeiteten personenbezogenen Daten zu löschen. Kommen Verantwortliche dieser Aufforderung nicht nach, droht ihnen im Rahmen einer erneuten Überprüfung die Eröffnung eines förmlichen Verwaltungsverfahrens.

Kein Tracking ohne Einwilligung

„Tracking-Dienste wie Google Analytics gewähren tiefgehende Einblicke in das Verhalten und die Privatsphäre von Websitebesuchern. Datenschutzrechtlich stehen die Interessen der Betreiberinnen und Betreiber deshalb zurück. Das bedeutet, möchten Verantwortliche Google Analytics nutzen, sind sie verpflichtet, von Nutzerinnen und Nutzern eine Einwilligung einzuholen“, so Dr. Juliane Hundert im Rahmen der Pressemitteilung. An sich ist es keine neue Anforderung, dass Verantwortliche die Nutzung von Google Analytics von der freiwilligen und informierten Einwilligung der Nutzerinnen und Nutzer abhängig machen müssen. Bereits im Jahr 2020 machte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder im Rahmen eines Hinweises darauf aufmerksam, dass der Einsatz von Google Analytics in der Regel der Einwilligung bedürfe.

Dennoch konnten nun in etwa 2.300 Fällen Verstöße wegen einer fehlenden oder unvollständigen Einwilligung ermittelt werden. Hinsichtlich der Gründe für die Verstöße lässt sich nur spekulieren. Regelmäßig lassen sich auf bereits lange bestehenden Internetseiten Rückstände früherer Implementierungen von Google Analytics finden, eine Nutzung von Google Analytics erfolgte ohne Rücksprache mit dem Datenschutzbeauftragten und ohne datenschutzrechtliches Know-how der Marketing-Agenturen oder es handelt sich um eine „Schatten-Internetseite“, die ohne Kenntnis des Verantwortlichen – zum Beispiel durch eine Fachabteilung – eigenmächtig und ebenfalls ohne datenschutzrechtliche Prüfung veröffentlicht wurde.

Aus diesem Grund sind Verantwortliche gut beraten, an einer zentralen Stelle eine Übersicht der aktuellen Internetseiten und Präsenzen in sozialen Netzwerken zu pflegen. Diese sollten zudem in regelmäßigen Abständen, beispielsweise mit Unterstützung des Datenschutzbeauftragten, hinsichtlich der jeweiligen Datenverarbeitungen sowie der Umsetzung der einschlägigen datenschutzrechtlichen Anforderungen überprüft werden. Technische Unterstützung für einen Quick-Check der Internetseite bieten hierbei Dienste wie Webbkoll oder Browser-Add-Ins wie uBlock Origin.

Google Analytics und der Datenschutz

Die datenschutzrechtliche Zulässigkeit der Nutzung von Google Analytics wird regelmäßig diskutiert. So sorgte beispielsweise die auf eine Musterbeschwerde von noyb folgende Untersagung der Nutzung von Google Analytics für ein Unternehmen in Österreich für Aufsehen. Hintergrund war dort insbesondere die rechtswidrige Übermittlung personenbezogener Daten in die USA. Auch die zwingende Einführung des Consent Mode v2 im Frühjahr dieses Jahres führte erneut zu der Frage, ob Google Analytics datenschutzkonform eingesetzt werden könne.

Zum Unmut vieler Betreiber und Betreiberinnen von Internetseiten kann diese Frage nicht mit einem klaren „ja“ oder „nein“ beantwortet werden. Vielmehr kommt es auf die konkrete Implementierung und die vorgenommenen Einstellungen an. Neben der sauberen Implementierung eines Einwilligungsmanagements („Cookie-Banner“), sollte darauf geachtet werden, Google Analytics möglichst datensparsam und unter dem Blickwinkel der Erforderlichkeit einzurichten (z. B. Reduzierung der Speicherdauer, Berichte zu demografischen Merkmalen gegebenenfalls deaktivieren).

Darüber hinaus sollten auch die neben Google Analytics bestehenden Alternativen geprüft werden. Zwischenzeitlich bestehen eine Reihe sinnvoller Anwendungen, deren Datenverarbeitung ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums stattfindet. Zwar kann so das Einwilligungserfordernis nicht umgangen, aber ein Nutzertracking abseits etwaiger Übermittlungsproblematiken in datenschutzrechtliche Drittländer realisiert werden.

Fazit

Die SDTB lässt im Rahmen der Pressemitteilung durchblicken, dass von nun an derartige Prüfungen auch im vorliegenden Größenumfang regelmäßiger vorkommen können. Hierfür stehe der Aufsichtsbehörde seit kurzem ein entsprechendes IT-Labor zur Verfügung: „Das IT-Labor ist wie eine Werkstatt. Zu den wichtigsten Werkzeugen gehört moderne Hard- und Software, mit denen wir Websites, Apps und IT-Produkte datenschutzrechtlich analysieren können. Damit bin ich mit meiner Behörde in der Lage, auch künftig Kontrollen in größerem Umfang vornehmen zu können.“ Somit sollten Verantwortliche in Sachsen ab sofort regelmäßiger die eigenen Internetangebote, Apps und IT-Produkte auf Datenschutzkonformität kritisch prüfen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wenn man diesem Gedanken das Google Geschäftsmodell zugrunde legt, klingt es ziemlich absurd. Googles Veröffentlichungen zu seiner neuesten Entwicklung klingen – zumindest aus Marketingsicht – wie ein Traum für jeden Webseitenverantwortlichen. Google verspricht die Möglichkeit interessenbasierter Werbung auf eine datenschutzfreundliche Art und Weise. Gezieltes Marketing durch Analyse von Nutzerverhalten soll ohne nerviges Cookiebanner möglich sein. Ist das datenschutzkonform umsetzbar?

DAS DRITTANBIETER-COOKIE SOLL STERBEN UND GOOGLE VERSUCHT ES ZU ERSETZEN

Cookies stoßen, nicht zuletzt wegen nerviger Cookiebanner, die auf das Überwachungsgeschäftsmodells aufmerksam machen, auf immer mehr Ablehnung bei Internetnutzern. Google ist führend bei der Entwicklung neuer Technologien, um Werbung im Web gezielt zu platzieren. Schon im Jahr 2019 stellte Google die Privacy-Sandbox vor, eine Vision für die Zukunft des Datenschutzes im Web. Es wurden einige technische Standards vorgeschlagen – mit Vogelnamen benannt: PIGIN, TURTLEDOVE, SWAN, PELICAN, PARROT, … All diese Vögel wollen zielgerichteten Werbung ermöglichen, ohne die Verwendung von Cookies.

Der neueste Clou ist das sogenannte Federated Learning of Cohorts (FLoC), vielleicht der ehrgeizigste und der potenziell gefährlichste Wolf im Schafspelz für den Datenschutz. FLoC soll einen Browser dazu bringen, eine Art Profiling zu übernehmen, das Herunterbrechen der kürzlichen Browsing-Aktivitäten in ein Verhaltenslabel. In Googles Whitepaper zu FloC heißt es dazu:

„… eine neue Methode, mit der Unternehmen Menschen mit relevanten Inhalten und Anzeigen erreichen können. Dabei werden große Gruppen mit ähnlichen Interessen zu Clustern zusammengefasst. Dieser Ansatz lässt Einzelpersonen effektiv „in der Menge“ verschwinden und nutzt die geräteinterne Verarbeitung, um deren Browserverlauf zu schützen.“

WIE FUNKTIONIEREN DIESE LABEL?

Eine sogenannte „Cohort“ (angelehnt an die römische Kohorte) entsteht, indem Google über den Browser die Surfaktivitäten des Nutzers in sogenannte „Sim-Hash“ zusammenführt. Diese werden zu Interessengruppen zusammengefasst, die Kohorte. Werbetreibenden werden Kohorten dann zur Aussendung von Werbung zur Verfügung gestellt.

Google sieht den datenschutzrechtlichen Vorteil darin, dass tausende Nutzer in einer Gruppe zusammengefasst werden und damit in der Masse verschwinden. Eine Unterscheidung und somit Identifizierung einzelner Nutzer sei dann nicht mehr möglich. So soll interessensgerechte Werbung an eine anonyme Masse ausgeliefert werden. Google selbst erwartet laut oben zitiertem Blogbeitrag eine Conversion von mindestens 95% pro ausgegebenen Dollar für die Werbetreibenden.

WO LIEGEN DIE DATENSCHUTZRECHTLICHEN PROBLEME?

Auf den ersten Blick vermeidet diese Technologie die Datenschutzrisiken von Drittanbieter-Cookies. Googles Argumentation ist, dass in einer Welt mit FLoC (und anderen Elementen der „Datenschutz-Sandbox“) Datenbroker und Werbetechnologieriesen keine Profile erstellen und verfolgen könnten.

Eines der größten Probleme sieht z.B. die Stiftung Electronic Frontier Foundation (EFF) im Browser Fingerprinting. Browser-Fingerprinting ist die Praxis, viele einzelne Informationen aus dem Browser eines Nutzers zu sammeln, um eine eindeutige, stabile Kennung für diesen Browser zu erstellen und die Aktivitäten im Internet zu verfolgen. Beim Browserfingerprinting folgt das Verhalten des Nutzers von Website zu Website wie ein Etikett, das auf den ersten Blick undurchschaubar ist, aber für Eingeweihte eine große Bedeutung hat. Fingerprinting ist schwer zu stoppen. Browser wie Safari und Tor haben einen jahrelangen Zermürbungskrieg gegen diese Tracker geführt, indem sie große Teile ihrer eigenen Funktionen geopfert haben, um die Angriffsfläche für Fingerabdrücke zu reduzieren.

Laut Google soll die überwiegende Mehrheit der FLoC-Kohorten jeweils Tausende von Nutzern umfassen, so dass anhand der Kohorten-ID allein keine Unterscheidung einzelner Personen möglich sein soll. Genau das könnte für das Fingerprinting jedoch ein Vorteil sein. Wenn ein Tracker mit Ihrer FLoC-Kohorte beginnt, muss er Ihren Browser nur von ein paar Tausend anderen unterscheiden (und nicht von ein paar hundert Millionen). Diese Informationen können noch aussagekräftiger sein, da sie wahrscheinlich mit anderen Informationen, die der Browser preisgibt, korreliert werden. Das macht es für Tracker viel einfacher, einen eindeutigen Fingerabdruck für FLoC-Nutzer zu erstellen. Das bedeutet letztlich, dass jede Website, die Sie besuchen, eine gute Vorstellung davon hat, was für eine Art von Person Sie beim ersten Kontakt sind, ohne dass Sie im gesamten Web verfolgt werden müssen. Ihre FLoC-Kohorte aktualisiert sich zudem im Laufe der Zeit, so können Websites, die Sie auf andere Weise identifizieren können, auch verfolgen, wie sich Ihr Surfverhalten ändert. Eine FLoC-Kohorte ist nicht mehr und nicht weniger, als eine Zusammenfassung Ihrer jüngsten Browsing-Aktivitäten.

Google hat dies zwar als Herausforderung erkannt und in Aussicht gestellt dies zu lösen und langfristig Fingerprinting zu umgehen. Aber laut der FAQ zu Google FloC ist dieser Plan „ein Vorschlag in einem frühen Stadium und hat noch keine Browser-Implementierung.“ In der Zwischenzeit wird Google mit dem Test von FLoC beginnen.

Ein weiteres datenschutzrechtliche Problem ergibt sich daraus, dass – wie Google selbst eingesteht – „Webseiten, die persönliche Daten einer Person kennen (zum Beispiel, wenn ein Login mit Google angeboten wird), ihre FloC aufzeichnen und offenbaren könnten. Das bedeutet, dass Informationen über die Interessen einer Person öffentlich werden können. Dies ist zwar nicht ideal, aber immer noch besser als die heutige Situation, in der persönliche Daten mit einer genauen Browservergangenheit verbunden werden können, die über Cookies von Drittanbietern erhalten wird“, heißt es dazu auf der offiziellen GitHub-Seite des Vorschlags. (Quelle: t3n.de)

In der Welt der Cookies können Nutzer in der Regel, zumindest wenn die Webseite eine datenschutzrechtlich korrekt implementiertes Cookie-Banner verfügt, entscheiden, welche Informationen mit jeder Website, mit der interagiert wird, geteilt werden. Bei gewissenhafter Anwendung der Wahlmöglichkeit – und Umsetzung durch Webseitenbetreiber – sollte es zumindest eine Wahlmöglichkeit in jedem spezifischen Fall geben.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.