So, Mavan, es geht los. Erste Folge. Nervös? Geht.

Ich kann gerade noch die Kaffeetasse halten. Alles klar. Dann gutes Klingen. Auf geht's.

Willkommen zum Podcast Kaffeerecht von der Kanzlei TWW Law. Mit rechtlichen Themen für Kreative, Unternehmer und Unternehmen. Ja, hallo und herzlich willkommen zum Podcast Kaffeerecht. Heute wieder mit Marwan Erifay.

Hallo auch von meiner Seite. Marwan ist bei uns wissenschaftlicher Mitarbeiter. Bei uns heißt in der Kanzlei TWW Law in Bonn. Mein Name ist Dennis Tölle.

Ich bin Rechtsanwalt und Fachanwalt für Urheber- und Medienrecht in eben dieser Kanzlei. Schön, dass ihr wieder dabei seid und zuhört zu unserem kleinen rechtlichen Talk mit Themen für kreative Unternehmer und Unternehmen. Mavan, was erwartet uns denn heute thematisch hier? Ja, heute beschäftigen wir uns rechtlich gesehen mit dem Datenschutzrecht, insbesondere mit E-Commerce, also dem Bilden eines Webshops, welche datenschutzrechtlichen Probleme da auf einen lauern können.

Und einen kleinen Exkurs machen wir auch noch in Richtung der Cookies. Alles klar. Thema Webshop, da stelle ich mir jetzt ein bisschen vor oder weiß, dass es so ist, dass gerade so die technische Seite natürlich immer einfacher wird. Das heißt, einen Webshop zu erstellen, egal mit welchem Tool, ob das jetzt Shopify ist oder irgendein anderes Tool, das ist relativ einfach geworden.

und an vielen Stellen, die man im Vorhinein gar nicht immer absehen kann, kommt es dann zu irgendwelchen datenschutzrechtlichen Fragen. Jedenfalls so stellen wir das in der Praxis fest. Und insofern haben wir das hier so ein bisschen verknüpft mit dem Webshop und dem Datenschutz, weil es offen gesagt im Moment das führende Thema ist. Es gibt viele andere Themen, zu denen man dann auch eigene Folge machen könnte, was jetzt so die Informationspflichten angeht und weitere Sachen.

Aber im Bereich des Datenschutzrechts ist es so, dass man, glaube ich, an vielen Punkten anecken kann. Das Thema ist im Moment, ja, ich glaube, nicht ganz leicht zu fassen und vor allen Dingen nicht ganz leicht umzusetzen. Da sind in der Tat die Cookie-Banner, die du genannt hast, ja, nicht am einfachsten, aber jedenfalls am meisten bespielt am Markt. Aber auch das gucken wir uns dann gleich mal an.

Vielleicht kannst du inhaltlich dazu ein bisschen starten. Ja, sehr gerne. Also du hast es ja schon so ein bisschen eingeleitet und auch schon erwähnt. Jeder kennt, glaube ich, inzwischen Shopify, jeder kennt Etsy.

Es ist super leicht, Kreativität wirtschaftlich nutzbar zu machen heutzutage. kann halt diese Webshops erstellen, es wird einem auch so suggeriert, dass es einfach super leicht ist, alles gar kein Problem, einfach machen. Und dann ist da so ein bisschen die andere Seite, die halt die rechtliche Seite ist. Also dann kommt das Datenschutzrecht im Spiel, was so ein bisschen vielleicht auch stiefmütterlich behandelt wird, worauf auch nicht jeder Lust hat, sage ich mal, ganz salopp gesagt.

Und da muss man vorsichtig sein, denn das Datenschutzrecht birgt seine Tücken und man muss auch bei der Webshop-Erstellung und auch beim Betrieb eines Webshops vorsichtig sein. Gerade auf der technischen Seite werden halt, wie wir gleich auch noch vielleicht näher darauf eingehen, werden halt personenbezogene Daten, die für die berühmt-berüchtigte DSGVO relevant sind, werden erhoben und werden verarbeitet. Und Betroffene haben da ihre Rechte, dass das alles rechtskonform vor sich geht. Ja, genau.

Das ist so ein bisschen der Punkt, der ja beim E-Commerce sich als erstes auftut und zwar die Frage danach, was für Daten gehen da so hin und her. Wenn man so einen Shop aufbaut, egal für was dieser Shop tatsächlich ist, also für Waren oder Dienstleistungen oder irgendwelche Abos etc., ist es ja so, dass ich unterschiedliche Daten habe, die da fließen von außen. Und um die Tür des Datenschutzes, also der Datenschutzgrundverordnung im Wesentlichen zu öffnen, brauche ich überhaupt erstmal ein personenbezogenes Datum. Und das ist die Frage, wann liegt ein solches personenbezogenes Datum vor?

Wir haben durch eine Entscheidung des Europäischen Gerichtshofs aus den vergangenen Jahren eine relativ deutliche Definition dafür bekommen, wann ein personenbezogenes Datum vorliegt. Da war nämlich konkret die Frage danach, ob eine IP-Adresse ein solches personenbezogenes Datum ist. Und dazu muss man wissen, dass so Werte wie der Name, die Bankverbindung oder auch das Bild einer Person sind ein personenbezogenes Datum, weil sich aus diesem Datum schon die Person ergibt. Und bei der IP-Adresse, mit der jeder irgendwie durch die Welt surft, ist das natürlich nicht so.

Wenn mir jemand eine IP-Adresse nennt, dann kann ich daraus erstmal nicht sagen, wer es ist. Und das können dann aber vielleicht andere. Ja, genau. Das Interessante an der Entscheidung ist ja nicht nur, dass eine, also neben personenbezogenen Daten auch personenbeziehbare Daten, also aus denen sich noch nicht sofort die Person ergibt, sondern die noch ermittelt werden muss, also vielleicht aus einer Verknüpfung mit anderen Informationen oder möglicherweise auch die Person, die die Daten erhoben hat, nicht unmittelbar ermitteln kann, welche Person dahinter steht hinter dem Datum, Personen beziehbare Daten auch dann unter die DSGVO fallen, wenn andere dritte Personen nur durch deren Zutun eine Ermittlung der betroffenen Person ermöglicht wird.

Das ist ja gerade vielleicht so ein bisschen die Krux dieses Urteils, was du gerade angesprochen hast, gewesen, dass auch Dritte hinzugezogen werden können oder zugerechnet werden können dem ursprünglich Verantwortlichen der Erhebung der personenbezogenen Daten. Ja, das ist in dem Fall von der Argumentation des EuGH so gewesen, dass die Staatsanwaltschaft oder generell Ermittlungsbehörden ja die Möglichkeit haben, aus einer IP-Adresse durch entsprechende Maßnahmen über die Provider etc. jedenfalls die Möglichkeit haben, einen Personenbezug herzustellen. Das heißt, man kennt das vielleicht, manch einer erinnert sich an die File-Sharing-Fälle, in denen dann letztlich aus einer ermittelten IP-Adresse über die Staatsanwaltschaft und über ein strafrechtliches Ermittlungsverfahren auch der Anschlussinhaber ermittelt wurde.

Und dann hat man eben einen Personenbezug. Und diese Entscheidung führte dazu, dass natürlich, ohne dass ich in meinem Webshop irgendwie ein Kontaktformular ausfüllen lassen muss, wo mein Kunde irgendwo seinen Namen und seine Adresse eingibt, schon im Bereich der Datenschutzgrundverordnung bin, weil sobald jemand anderes meine Website besucht, kommt er mit seiner IP-Adresse angesurft. Und damit habe ich schon die Tür und Tor geöffnet, dass ich mich an dem Punkt schon an die Datenschutzgrundverordnung halten muss. Sehr wichtig an dieser Stelle natürlich auch, es reicht nicht nur die statische IP-Adresse, bei der ist es ziemlich klar und eindeutig, dass es sich bei einem personenbezogenen Datum handelt, sondern auch die dynamische IP-Adresse, die sozusagen sich immer wieder ändert, reicht aus, weil genau da kommt das, was du eben gesagt hast, dass der Provider sozusagen eingreift und nur über den Provider weiß ich, wem eine dynamische IP-Adresse zugewiesen war zu einem bestimmten Zeitpunkt.

Ja, also in der Tat, das ist dann letztlich egal, ob man statisch oder dynamisch unterwegs ist, man ist auf jeden Fall im Bereich der Datenschutz-Grundverordnung und damit muss sich letztlich jeder, der eine Website betreibt, und da gehört natürlich auch der Webshop-Betreiber und der Online-Händler dazu, und der muss sich eben auch jedenfalls zu Beginn mal kurz die Gedanken darüber machen, welche Aspekte da für ihn eine Rolle spielen. Nebenher sind es natürlich noch einzelne Punkte, die dann ein bisschen offensichtlicher sind. Das heißt, wenn ich auf meiner Seite Daten erfasse, das heißt, ich habe ein Bestellformular, wo Name, Adresse, Zahlungsinformationen, Versandadresse etc. habe, dann sind natürlich die datenschutzrechtlichen Vorgaben zu berücksichtigen.

An der Stelle lohnt sich wahrscheinlich ein kleiner Blick darauf, was eigentlich diese datenschutzrechtlichen Vorgaben sind, insbesondere der DSGVO. Die DSGVO geht in der Grundannahme erstmal, ein bisschen konträr, davon aus, dass jede Datenverarbeitung verboten ist und es muss sozusagen ein spezifischer Erlaubnistatbestand gegeben sein. Der wichtigste Anwendungsfall der Erlaubnistatbestände ist wahrscheinlich der der Einwilligung, also der Betroffene der Datenverarbeitung, kann einfach selber einwilligen. Hier muss man super vorsichtig sein, also die Einwilligung muss insbesondere freiwillig sein, wie wir später auch in einem der Urteile, die wir euch noch vorstellen, sehen werden.

Ist Freiwilligkeit etwas, womit sich viele Gerichte schon beschäftigen mussten. Andere Erlaubnis-Tatbestand wäre zum Beispiel der, dass die Datenverarbeitung notwendig ist, um einen Vertrag zu erfüllen. Also jetzt wieder beim Webshop, ich bestelle etwas über eine Webseite, gebe meine Adresse an und es wäre ja jetzt konträr, wenn der Webshop-Betreiber nicht meine Adresse benutzen dürfte, um mir Waren zuzuschicken, die ich ja eigentlich bestellt habe, über die ich einen Kaufvertrag abgeschlossen habe. Lass uns da vielleicht an der Stelle ein bisschen konkreter noch werden, weil welche Vorgaben, sagen wir mal, wir sind jetzt im Bereich Bestellvorgang, ja, ich habe irgendwo einen Bestellvorgang, ich surfe die Website mit meiner IP-Adresse an und dann, sagen wir mal, ohne jetzt irgendwelche besonderen Tools zu berücksichtigen, fülle ich da meine Daten an, gebe ich meine Daten ein und schicke diese Bestellung ab.

Was sind denn so, jedenfalls mal stichpunktartig, die Punkte, die da für den Webshop-Betreiber von Relevanz sind? Von der Relevanz sind natürlich sicherlich Name, Adresse, also alles, was sozusagen für den Vertrag, zur Erfüllung des Vertrages, der abgeschlossen wird, über die Webseite notwendig sind. Also, ja, ich würde sagen, das sind so die zwei wichtigsten Sachen. Aber das kann natürlich ganz unterschiedlich sein.

Also es kann natürlich auch die E-Mail-Adresse sein, es kann auch die Telefonnummer sein, je nachdem, um was für einen Vertrag es sich hier handelt. Wenn wir über digitale Inhalte reden, dann müssen diese digitalen Inhalte auch irgendwie den Weg finden zu dem Vertragspartner. Das wäre zum Beispiel dann über eine E-Mail möglich. Ja, und ab dem Zeitpunkt ist es dann so, dass bestimmte Pflichten den Betreiber treffen.

Das heißt also, ich muss natürlich über Datenverarbeitungsvorgänge, die ich so vornehme, informieren. Ich muss sagen, was ich mit diesen Daten mache, was ich für Daten überhaupt erhebe. Ich muss darüber hinaus darüber informieren, dass es bestimmte Rechte für den Nutzer gibt. Das heißt also bestimmte Informationsrechte, Widerruf, Löschung etc.

Und dann gibt es ja so ein Spezialthema, was im Moment so ein bisschen heiß ist. Deswegen hatte ich das eben versucht, so ein bisschen auszublenden, diese besonderen Tools. Ohne jetzt irgendein spezielles Tool zu nehmen, weil es so viele trifft, alle Tools, die im Moment von US-amerikanischen Anbietern angeboten werden, haben ja so einen leichten datenschutzrechtlichen Beigeschmack, der im Moment die Hürde relativ hoch liegt. Vielleicht kannst du das kurz irgendwie abreißen.

Ja, das kommt natürlich gleich auch nochmal in dem Urteil, das ich sozusagen vorstellen werde. Aber trotzdem lohnt es sich an dieser Stelle einmal einen Blick darauf zu werfen. Ich würde trotzdem einmal beispielsweise nur Tools nennen, damit sich die Hörer vielleicht was darunter vorstellen können. Einerseits wäre da zum Beispiel sowas wie Google Analytics oder möglicherweise sowas wie der Facebook-Button, der Gefällt-mir-Button, wenn der eingebunden wird auf einer Webseite, aber auch die Einbindung von PayPal in einem Webshop.

Also das sind so Beispiele von solchen Tools, die super nützlich sind für den Webshop-Anbieter, damit es alles flüssig und sauber und schön läuft auf seiner Website, aber auch andererseits gut sind für den möglichen potenziellen Kunden, weil sie Dinge vereinfachen. Also es ist für jemanden, der PayPal nutzt, sehr viel leichter, im Internet etwas zu bezahlen, als es früher noch war mit Kreditkarte oder einer Überweisung. Also diese Tools haben einen gewissen praktischen Nutzen. Nur meistens, muss man leider sagen, sitzen die Konzerne, die Unternehmen, die diese Tools sozusagen entwickelt haben, sitzen in Amerika.

Und Amerika, klar wissen wir, die Vereinigten Staaten von Amerika sind nicht Teil der EU und unterfallen nicht der DSGVO. Das heißt, Daten, die über diese Tools übertragen werden, werden also aus den EU-Staaten in ein EU-Drittland übertragen. Und da stellt sich natürlich jetzt die Frage, was sagt die DSGVO dazu? Und die sieht gewisse Möglichkeiten vor, dass so eine Übertragung auch rechtskonform geschieht.

Insbesondere soll da ein sogenannter Angemessenheitsbeschluss dazu dienen, um das rechtskonform machen zu können. Ein solcher Angemessenheitsbeschluss würde durch die EU-Kommission erlassen werden für das spezifische Land. Das heißt, die EU-Kommission guckt sich die USA beispielsweise an, sagt, okay, das Datenschutzniveau in den USA ist vergleichbar, wenn nicht höher als das, das die DSGVO sozusagen vorgibt. Dann erlassen die einen Angemessenheitsbeschluss und sagen, Datenübertragungen in die USA sind in Ordnung, rechtskonform mit der DSGVO vereinbar, machbar.

Einen solchen Angemessenheitsbeschluss hatten wir auch mal, das war der Privacy Shield, den, wie wir gleich nochmal sehen werden, hat der EuGH dann auch leider aufgehoben, diesen nämlich zu dem Schluss gekommen, ganz kurz gefasst, dass das amerikanische Datenschutzniveau leider nicht dem von der DSGVO entspricht und eher darunter hinwegfällt. Das heißt unterm Strich erstmal, dass die Datenübermittlung in die USA nicht den Standards der EU gerecht wird. Das ist das Problem? Ja, das kann man auf jeden Fall erstmal so festhalten.

Man muss natürlich vorsichtig sein. Die DSGVO sieht auch noch zwei weitere Möglichkeiten vor, wie so eine Datenübertragung gerechtfertigt werden kann. Die erste oder die zweite dann wären die Standardvertragsklauseln. Die wurden explizit nicht für rechtswidrig von dem EuGH in dem entsprechenden Urteil angesehen.

Und dann die dritte Möglichkeit wären explizite Einwilligungen der Betroffenen in die Datenübertragung, die wiederum, diese Einwilligungen haben noch höhere Voraussetzungen als die Einwilligung bei der eigentlichen Datenverarbeitung. Also die muss explizit für diese Datenübertragung, also so getrennt von der eigentlichen Einwilligung geschehen. Also da, die ist einfach sehr unpraktisch. Die Standardvertragsklauseln werden so in der Praxis noch verwendet.

Man muss aber da auch vorsichtig sein. Das nur zum Verständnis vielleicht auch. Wenn ich jetzt Google Analytics mal als Beispiel nehme. Ich binde Google Analytics ein, also ich habe meinen Webshop, ich habe einen entsprechenden Google Account, habe Analytics aktiviert, habe das bei mir in den Shop integriert und messe damit die Daten der Nutzer, also Anzahl der Aufrufe.

Dabei wird dann irgendwie die IP-Adresse mitgespeichert. Ich kann sehen, wer wann auf welcher Seite war, wie lange. Ich kann das im Hintergrund auch verknüpfen, dass ich eben sage, okay, ich habe nicht nur vielleicht Google Analytics laufen, sondern ich habe auch ein Google Ads-Konto und schalte Werbung über die Google-Suche und kann dann sehen, okay, jemand, der bei mir auf ein gebuchtes Keyword geklickt hat, was weiß ich, ich verkaufe Schuhe, ich weiß nicht, irgendwer hat auf Herrenschuhe, schwarz auf das Keyword irgendwie dann, die Anzeige, die da kam, draufgeklickt, kommt bei mir auf die Website, dann kann ich das nachverfolgen und kann dann auch direkt sehen, ob der bei mir irgendwie einen Kauf getätigt hat. So, das ist ja so der Weg oder der klassische Weg von Daten.

Und jetzt kann ich mich aber doch als Webshop-Betreiber hinstellen und sagen, naja, ich habe diese Daten ja gar nicht. Also ich bin ja gar nicht derjenige, der die Daten hat. Ich habe die nicht erfasst. Google hat die erfasst.

Das ist kein Argument, das greift. Nee, ist es nicht. Im Ausgangspunkt kann man natürlich verstehen, woher der Webshop-Betreiber sozusagen mit dieser Argumentation kommt. Da muss man nur einfach sagen, DSGVO ist da sehr eindeutig, dass sie umfassenden Datenschutz erreichen möchte.

Und da ist ihr jedes Mittel recht, wenn man das so sagen kann. und der Webshop-Betreiber betreibt ja die Webseite und er ermöglicht es ja sozusagen, dass überhaupt erst Google Analytics auf dieser Webseite verwendet wird. Er bindet Google Analytics ein und damit bietet er überhaupt erst die Möglichkeit für die Datenverarbeitung und ist damit auch datenschutzrechtlich verantwortlicher. Okay, das heißt, ich komme aus der Nummer nicht raus, wenn ich diese Daten bei mir nutze, was ich ja dann zwingend tue.

Nein, leider nicht. Man muss auch klar sehen, dass das auch gerechtfertigt ist. Am Ende des Tages ist einfach Google Analytics kein Selbstzweck. Also Google Analytics entsteht nicht aus dem Nirgendwo und greift immer Daten ab, sondern es wird aktiv einbezogen von denjenigen, die eine Webseite betreiben.

Naja gut, das ist ja ohnehin immer so ein Punkt, dass ich, es ist auch noch kostenlos, ist ja das Schöne, das ist einfach und lässt sich gut verknüpfen, gerade jetzt so, wenn man dieses ganze Google-Netzwerk, jetzt sind wir doch bei einem speziellen Anbieter, aber da lässt sich das ganz gut darstellen, diese Verknüpfung von eigenen Werbemaßnahmen über Google Ads, dann die Auswertung über Google Analytics, Google Tag Manager, der das alles irgendwo ein bisschen verknüpft, das ist einfach, das ist bequem. Und das ist ja, glaube ich, auch nicht so, dass Google sich selber nicht schon ein bisschen bewegt hat, also gerade was so die Anonymisierung von einzelnen IP-Adressen angeht etc. Aber, und das ist tatsächlich so ein bisschen der Rat, aber so der Gedanke, wenn man es 100% korrekt haben möchte. Es gibt alternative Tools, die nicht in den USA liegen oder die nicht von Anbietern, die in den USA sitzen, angeboten werden.

Und die haben dann diese Problematik gar nicht. Das heißt, ich muss mich damit dann in dem Fall nicht beschäftigen. Die haben aber natürlich von der praktischen Seite her gesehen einen möglicherweise geringeren Nutzen, sage ich mal, ganz vorsichtig. Wenn ich überlege, dass ich Google Analytics zum Beispiel ersetzen möchte mit Matomo, früher hießen die ja PIVIC und dann heißen sie jetzt Matomo, die kann ich selber auf meinem Server hosten, da landen auch die Daten.

Das liegt alles schön im Idealfall irgendwie dann mitten in Deutschland und dann habe ich keine solche Datenübermittlung. Aber die Einbindung in ein bestehendes Werbenetzwerk zum Beispiel ist dann natürlich erheblich schwerer. Ja, das andere Beispiel, was ja auch sehr gut oder was sehr viel in den Medien war, war ja zum Beispiel Google Fonts und Google Fonts hat eigentlich zwei verschiedene Modi, also man kann das theoretisch auch lokal hosten und wenn es lokal gehostet ist. Vielleicht ganz kurz, darf ich dir da einmal reingrätschen, für die, die da, es wird so technisch, also Google Fonts, vielleicht ganz kurz, also jede Website stellt ja Text dar und im Rahmen des Designs dieser Website muss man sich dafür entscheiden, welche Schriftarten denn angezeigt werden.

Und Google bietet eben mit diesem Google Fonts Angebot eine unfassbare Bandbreite an kostenlos zur Verfügung gestellten Schriftarten an, die von jeder Mann und von jeder Frau und von jedem frei geladen werden können und als zur Anzeige definiert werden können. Das heißt, wenn ich meine Website designe und sage, ich möchte gerne die Schriftart XY haben, dann kann ich die einfach kostenlos vom Google-Server laden und zwar immer zu dem Zeitpunkt, wo der Nutzer kommt und die Website angezeigt wird. Das heißt, ich muss mir selber keine Schriftarten kaufen, denn Fonts sind ja normalerweise auch teilweise sehr kostenpflichtig oder sehr kostenintensiv. Und das kann ich mit dieser Nutzung dieses Dienstes eben umgehen.

Aber auch hier der Punkt, mindestens die IP-Adresse des Besuchers der Website wird bei dieser Abfrage nach dieser Schriftart in die USA übermittelt. Genau, das muss theoretisch aber nicht sein. Da war ich ja gerade am erklären, dass die Sache ist, dass man das theoretisch auch lokal hosten kann. Da muss man dann halt gucken, dass ein lokal gehostetes Google Fonts sehr viel aufwendiger ist, auch im Backend.

Also das einzubinden, muss man erstmal können, dann muss man doch wieder technisch versiert sein, dann wird der Webshop-Betrieb gar nicht mal mehr so leicht, wie man sich das vorher vorgestellt hat. Das heißt, Datenschutz leider kommt häufig auf Kosten von der Einfachheit dieses wirtschaftlichen Verkehrs. Und da entsteht auch dieses besondere, leider große Spannungsfeld zwischen dem Datenschutz auf der einen Seite und der möglichst einfachen Nutzung und Einbindung von Plugins im Webshop. Das heißt aber auf der anderen Seite nicht, dass man darauf verzichten sollte, weil, also letztes Beispiel, gerade weil wir jetzt die Google Fonts hatten, war ja diese riesige Abmahnwelle, wo es dann Schreiben gab.

nachdem, vielleicht noch ein Stückchen vorgeriffen, es gab in München oder aus München ein Urteil, in dem jemandem, also einem Nutzer einer Website, ein Schadensersatzbetrag zugesprochen wurde, weil auf der Website, die er besucht hat, ohne seine Einwilligung Google-Fonds geladen wurden. Also seine IP-Adresse wurde in die USA weitergegeben, weil von dort eben diese Schriftarten auf die Website zur Anzeige geladen wurden. Und da hat das Münchner Gericht gesagt, okay, das Rechtfertigt einen Schadensersatzanspruch. Und wesentlich begründet auf diesem Urteil gab es dann eine, ja, ich glaube, man kann das ein bisschen sagen, eine Masche, weil es da mittlerweile auch Verfahren gegen die Versender gibt, einen massenhaften Versand von Abmahnungen an Website-Betreiber, also unabhängig nicht nur irgendwie Händler, sondern generell Website-Betreiber, die Google Fonts einbinden und von denen wurde dann neben der Unterlassung auch ein Zahlbetrag gefordert und wurde gesagt, okay, ihr könnt das ja gerne alles vernünftig weitermachen, aber ihr müsst jetzt für diese unzulässige Einbindung der Google Fonts einen Geldbetrag zahlen.

Dazu kann man vielleicht im Ergebnis sagen, dass das grundsätzlich korrekt ist, dass diese Nutzung von Google Fonts ohne Einwilligung entsprechend problematisch ist, datenschutzrechtlich, und man das lokal lösen sollte, um das zu umgehen. Dieses Vorgehen im Konkreten ist dann aber aufgrund der Massenhaftigkeit und der Frage danach, ob die Leute, die da oder in deren Auftrag da vorgegangen wurde, tatsächlich betroffen waren. Das war alles ein bisschen fraglich und ist tatsächlich jetzt auch Gegenstand von strafrechtlichen Ermittlungen, die meines Wissens auch noch nicht abgeschlossen sind. Insofern kann man sich da ein bisschen zurückhalten.

Aber im Kern war der Gedanke ja nicht falsch, dass eben diesen Problempunkt aufgreift, dass man Google Fonts besser lokal hostet, womit, wie du gesagt hast, der Aufwand aber einfach steigt. Ja, um das vielleicht nochmal ein bisschen zusammenzufassen, bevor wir jetzt zum nächsten Thema, den berühmt-berüchtigten Cookie-Bannern kommen, würde ich einfach nur nochmal ganz kurz sagen, leider ist es nun mal so, dass bei vielen dieser Tools Datenübertragungen in EU-Drittstaaten geschehen. Und diese Datenübertragungen in EU-Drittstaaten, die sind eigentlich nur dann rechtskonform, wenn sie unter sehr eingeschränkten Voraussetzungen geschehen. Und diese eingeschränkten Voraussetzungen werden häufig leider in der Praxis nicht erfüllt.

Das kann vielleicht auch immer mal wieder gut gehen. Aber auf der anderen Seite, die Optionen, die rechtskonform wären, diesen super schwierig einzubinden, Da muss man dann gucken, dass man irgendwo sich in der Mitte trifft oder vielleicht auch einfach den Extraschritt geht, um auf der rechtskonformen Seite zu sein. Man darf das ja nicht übersehen. Also das ist ja ein Standardargument, insbesondere in der Beratung.

Ja, aber das machen doch alle so. Und da kann man nicht viel sagen. Ja, stimmt. Ganz, ganz viele nutzen all diese Tools.

Und da muss man auch sagen, dass ganz, ganz viele, nicht nur Website-Betreiber, das zieht sich ja in ganz andere Bereiche auch noch fort, dass man da, wenn man da nach der strengen Auffassung geht, sagt, okay, das ist datenschutzrechtlich unzulässig. Aber es ist halt, und das ist der Punkt, wo man dann natürlich immer gucken muss, überwiegt es vielleicht dann auch diese datenschutzrechtlichen Aspekte unfassbar praktisch. Und da spielt bei vielen natürlich auch die Frage der Wirtschaftlichkeit eine Rolle. Also es sind die Datenschutzbehörden, die da ihre Empfehlungen und Gedanken zu veröffentlichen, sind ja letztlich nicht auf den Kopf gefallen.

Die wissen das ja auch. Und trotzdem vertreten die natürlich eine strenge datenschutzrechtliche Auffassung, was auch völlig okay ist. Irgendwo muss es dann aber tatsächlich irgendwann in Einklang gebracht werden, weil also, dass wir US-amerikanische Tools hier irgendwo kurzfristig oder mittelfristig aus unserem täglichen digitalen Leben verbannen, halte ich ehrlich gesagt für utopisch. Ja, das ist wohl wahr.

Ja, damit kommen wir zu einem, ich würde sagen, verwandten Thema, den Cookie-Bannern. Wir kennen sie alle, sie tauchen eigentlich auf fast jeder Webseite im Internet auf. Meistens klickt man einfach auf alle annehmen und will sich nicht weiter damit beschäftigen. Aber die Dinger birken eine gewisse Gefahr und sind eigentlich auch sehr, sehr spannend.

Nicht nur aus datenschutzrechtlicher Sicht, sondern eigentlich auch aus technischer Sicht. Denn früher wurde immer gesagt, naja, Cookie-Banner, das sind so kleine Textdateien, also diese Cookies, das sind so kleine Textdateien, die werden lokal gespeichert. Inzwischen ist das wohl gar nicht mehr so. Auch die Cookies haben sich weiterentwickelt.

Sie sind jetzt vollumfänglich eigentlich Datensätze und sie birgen eine Menge Informationen. Das heißt, Cookies sind personenbeziehbare Daten und das birgt eine gewisse Gefahr. dann wird auch die DSGVO aufmerksam und sagt, oha, dann müssen wir unser Rechtssystem darauf anpassen und da muss dann halt auch bei der Erhebung von zum Beispiel Cookies, muss die Einwilligung des Betroffenen bestehen. Ja, um das auch an der Stelle vielleicht wieder ein bisschen praktischer zu machen.

Also klar, jeder kennt die Cookie-Banner, die einem so über den Weg laufen und ich glaube, es gibt nur wenige Leute, die das toll finden. Also die sagen, hey, Gott sei Dank schon wieder ein Cookie-Banner, da kann ich auswählen, was ich alles möchte. Das wäre ja schön, wenn das irgendwie anders gelöst würde. Zu den Cookies selber, in der Tat, ich habe auch eine ganze Weile gedacht, naja, das sind halt Textdateien.

Vielleicht zum vereinfachten technischen Hintergrund so ein bisschen, also jeder Browser, mit dem man so unterwegs ist, ob das jetzt irgendwie Edge ist oder Safari oder Firefox, Chrome, haben im Hintergrund letztlich technisch gesehen Datenbanken laufen, die bestimmte Datensätze bereithalten oder speichern. Und da ist es so, wenn ich eine Website ansurfe, das war ein interessanter Begriff, also wenn ich eine Website besuche, so kann man das glaube ich sagen, dann hat diese Website bestimmte Informationen vielleicht für mich. Also ich gehe irgendwie auf einen Webshop und lege da etwas in den Warenkorb. Dann habe ich klassischerweise oben irgendwie so ein Symbol, da ist irgendwie eine Eins, da habe ich jetzt irgendwas in den Warenkorb gelegt.

Diese Information möchte die Website bei mir konkret lokal im Browser als gespeicherbare Information hinterlegen. Das heißt also, der Browser soll wissen, auf dieser Internetseite hat der Junge jetzt irgendwie Schuhe in den Warenkorb gelegt. Das heißt nämlich, wenn ich den Browser schließe und mir nach drei Tagen überlege, ich war doch mal auf dieser Website, dann gehe ich da mal wieder hin, dann liegen die immer noch im Warenkorb. Das kann die Website aber nur wissen, wenn sie bei mir das irgendwie speichert.

Und Textdateien waren es vielleicht früher, da ist ja dann letztlich auch die Frage, ab wann ist es eine Textdatei, ab wann nicht. Jedenfalls werden im Browser diese Informationen hinterlegt und abgefragt. Das ist der Punkt, der dann eine Rolle spielt, dass das auch wieder abgefragt werden kann. Jetzt ist die Frage danach, wann das denn jetzt irgendwie personenbezogen ist, also die Frage danach, ob ich mir jetzt irgendwie schwarze Sportschuhe in einen Warenkorb gelegt habe, ist ja jetzt noch nicht so interessant.

Ab wann wird es denn dann datenschutzrechtlich interessant? Ja, das immer dann, wenn sozusagen ein Personenbezug hergestellt werden kann. Das klingt jetzt noch sehr technisch. Das bedeutet im Prinzip, wenn ich mit dieser Information, also diesem Datum plus weiteren Informationen, die mir zumutbar sind, sich die einhole, es möglich ist, eine Person dahinter zu identifizieren.

Und man muss dazu sagen, dass da meistens Cookies auch in irgendeiner Form zum Beispiel die IP-Adresse enthalten in ihrem Text, in ihrem Datensatz, ist es wohl so, dass mit dem Urteil, das du auch eben schon vorgestellt hast, ist es wohl so, dass Cookies eigentlich immer personenbeziehbar zumindest sind. Und damit eigentlich auch immer der DSGVO und den Regeln der DSGVO unterfallen. Das heißt, wenn ich eine Website besuche und mir ein sogenannter Cookie-Banner angezeigt wird, dann ist das letztlich zum einen die Anzeige von Cookies, also meistens kann ich auswählen, irgendwie essentielle, Marketing und sonstige, ich weiß nicht, irgendwie Performance-Cookies heißt das, glaube ich, manchmal noch. Und dann bekomme ich zusätzlich irgendwie einen Text, irgendwie eine Information dazu, weiß ich nicht, was mit meinen Daten denn so passiert.

Ist denn dieser Cookie-Banner an sich nur für die Cookies zuständig? Weil tatsächlich finde ich daran manchmal so Formulierungen, die meines Erachtens nicht viel mit Cookies zu tun haben. Also ist das irgendwie ein gemischtes Warenladen mittlerweile? Ja, ich glaube, da profitieren diejenigen, die einen Cookie-Banner implementieren, so ein bisschen davon, dass Cookie wohl ein sehr unbestimmter Begriff ist und man einfach alles darunter fassen kann.

Man sieht das auch so ein bisschen in der Rechtsprechung. Teilweise werden da so Informationsstränge, also Informationsbündelungen auch unter die Cookies gefasst. Das umfasst dann auch schon wesentlich mehr Speicherplatz alleine schon, also physischen Speicherplatz, als man früher mal von Cookies sozusagen erwartet hat. Gerade bei den Textdateien war es ja so, dass die sich in ganz, ganz geringen Speicherplatzmengen befunden haben.

Jetzt kann das schon wirklich teilweise mehrere Kilobytes umfassen. Das heißt aber, also jetzt unabhängig vom Speicherplatz und so, in diesen Cookie-Bannern selber oder mit diesen Cookie-Bannern hole ich mir ja teilweise oder versucht sich der Betreiber dann nicht nur die Einwilligung für die Cookies zu holen, sondern auch für viele weitere datenschutzrechtlich relevante Vorgänge. Also wir hatten das ja vorhin, dass ich irgendwie eine Einwilligung dafür brauche, wenn ich die IP-Adresse erhebe oder in Empfang nehme und die speichere vielleicht für eine Auswertung des Nutzerverhaltens und alle weiteren Sachen. Das sind ja dann Punkte, die auch dort in diesem Cookie-Banner stattfinden.

Das heißt, es ist letztlich vielleicht nicht mal nur ein Cookie-Banner, sondern irgendwie so ein komplettes, ja, also gibt es natürlich dann die Tools dazu, Consent-Management, also Einwilligungs-Management für alles, was irgendwie datenschutzrechtlich an der Stelle schon relevant ist. Ja, also gerade eben waren wir an dem Punkt, dass wir gesagt haben, okay, Webshop, ich kaufe etwas und dann vorher die klassische Datenschutzerklärung, der muss ich zugestimmt haben und dort wird im Prinzip einmal alles Mögliche abgefragt, dass ich da zustimme bzw. mindestens Bescheid weiß, dass das für den Vertrag notwendig war. Jetzt sind wir in der Kette einen Schritt davor.

Ich besuche überhaupt erst die Seite. Es werden personenbezogene Daten verarbeitet, alleine durch meinen Besuch. Und damit auch vollumfänglich alle meine Daten in Anführungsstrichen verarbeitet werden können, für verschiedene Zwecke wird meine Einwilligung abgefragt mithilfe des Cookie-Banners. Ob das dann wirklich Cookies sind?

Klar, teilweise sind da auch einfach Daten, die als solche gar nicht mehr Cookies sind, verarbeitet. Das heißt, ich habe also in der Tat auch unabhängig von der Frage, ob ich jetzt einen Webshop betreibe oder nicht, die Pflicht in Anführungsstrichen, einen Cookie-Banner bereitzuhalten. Darüber lässt sich sicherlich streiten, aber jedenfalls die Pflicht Einwilligung über irgendeine Art und Weise, die viele dann in Form des Cookie-Banners lösen, einzuholen. Selbst wenn ich sage, okay, ich habe irgendwo vielleicht gar keine Cookies außer denen, die vielleicht essentiell sind oder die durch den Cookie-Banner selbst gesetzt werden, habe ich letztlich durch meine Informationspflicht oder durch die Belehrungspflichten letztlich auch, komme ich nicht drum rum, so eine Form von Banner zu nutzen.

Ja, genau, also genau so ist es. Es ist ja auch so, dass man die essentiellen Cookies, wenn sie denn da so ausgewiesen sind, meistens nicht abwählen kann. Also ganz häufig muss man die essentiellen Cookies annehmen, in Anführungsstrichen. Das ist nämlich dann keine Einwilligung, sondern das ist nur der Hinweis darauf, genauso wie du es sagst, der Hinweis darauf, dass zumindest diese essentiellen Cookies zum Betrieb der Webseite erhoben werden und diese Daten, die dahinter stehen, verarbeitet werden.

Was sind essentielle Cookies? Das könnte genauso was sein wie die IP-Adresse. Also beispielsweise, denn eine Website muss sozusagen eine IP-Adresse abrufen, um überhaupt jemandem anderen sich sozusagen anzeigen zu lassen. Vielleicht ganz spannend an dieser Stelle ist dann jetzt die Frage, wann sind diese Cookie-Banner und wann ist die Einwilligung in die Cookie-Banner eigentlich rechtmäßig?

Wann ist das DSGVO-konform? Und da ist wieder der Anknüpfungspunkt bei der Einwilligung, ist die Freiwilligkeit, insbesondere die Freiwilligkeit. Also um eine TSGVO-konforme Einwilligung abgeben zu können, muss ich diese Einwilligung freiwillig getan haben. Und ich betone das so, weil es wirklich super wichtig in der Praxis ist, dass Freiwilligkeit bedeutet nämlich in diesem Zusammenhang, dass ich eine echte Wahl habe, zwischen meiner Einwilligung abzugeben oder sie nicht abzugeben, aber dennoch die Möglichkeit zu haben, die Seite zu nutzen.

Das heißt, wenn mir bei der Einwilligung gar keine Wahl gegeben wird, sondern im Prinzip es heißt, entweder du gibst mir deine Einwilligung oder du kannst gar nicht auf die Seite zugreifen, dann alleine bin ich in einer Zwangslage, die eine Freiwilligkeit ausschließt. Auf der anderen Seite kann auch schon das Design des Cookie-Banners dazu führen, dass Freiwilligkeit ausgeschlossen wird, indem suggeriert wird, dass ich dazu geführt werde, dass ich auf jeden Fall die Cookies annehme, obwohl ich das vielleicht gar nicht wollen würde. Also das praktische Beispiel wäre wahrscheinlich an dieser Stelle, dass durch farbliche Hervorhebung, das alle annehmen, hervorgehoben wird, gegenüber dem alles ablehnen. Eine andere Möglichkeit wäre natürlich, wenn mir eine sehr lange Liste an Cookie-Verantwortlichen zur Verfügung gestellt wird und ich für jeden Einzelnen das abwählen müsste und das beispielsweise 200 verschiedene Anbieter oder Nutzer von Cookies sind und ich dann wiederum bei jedem Einzelnen müsste ich so eine Art Checkbox abwählen.

Aber für alle Annehmen gibt es einen gemeinsamen Button. Das zum Beispiel ist auch eine Version von einem Cookie-Banner, das so nicht DSGVO-konform ist. Das heißt, ich muss, wenn ich als Webbetreiber oder Website-Betreiber oder Webshop-Betreiber unterwegs bin, im Vorhinein definieren, welche Cookies ich überhaupt benutze. Das ist ja, also sagen wir mal so, wenn ich, ich bin irgendwie Schuhhändler, dann bin ich Schuhhändler.

So, dann kenne ich mich sehr gut im Vertrieb aus, ich kenne mich sehr gut mit Schuhen aus, ich kenne mich sehr gut vielleicht mit meinen Kunden aus, die diese Schuhe haben wollen. Also mit Cookies kenne ich mich nicht so aus und ich kenne mich auch nicht damit aus. Also ich weiß es ja so aus der Praxis, dass es teilweise auch schon schwierig ist, überhaupt herauszufinden, welche Cookies genutzt werden. Also wir haben den Fall, okay, ich betreibe einen Webshop, ich habe den vielleicht mal aufgesetzt, habe den aufsetzen lassen und komme dann irgendwann an den Punkt, weil ich ihn vielleicht in der Vergangenheit nicht so sehr berücksichtigt habe, dass ich sage, okay, ich muss jetzt irgendwie was mit Cookies machen.

ich brauche jetzt einen Cookie-Banner. Dann stellt sich die Frage, ja, in diesem Cookie-Banner oder jedenfalls in einer nachgelagerten Anzeige muss man irgendwo darstellen, welche Cookies denn genutzt werden. Wie soll ich das rausfinden, wenn ich jetzt sage, okay, meine Agentur findet es vielleicht auch nicht raus, was sie eigentlich sollte, aber wie kann ich es rausfinden, weil das muss ich ja dann rausfinden, ansonsten komme ich an den Punkt, wo ich wieder stehe und sage, naja, jetzt kann ich diesen Webshop nicht zulässig betreiben und mir drohen irgendwelche Abmahnungen oder irgendwas. Ja, das kommt natürlich ein bisschen darauf an, welche Webseite für den Webshop verwendet wird.

Also wenn man zum Beispiel so vorgefertigte Systeme benutzt, wie wir eingangs ja schon erwähnt hatten, beispielsweise Shopify, da muss man sich dann einfach mit Shopify auseinandersetzen und an Shopify sich wenden und gucken, welche Cookies die eigentlich sozusagen automatisch, dadurch, dass man Shopify benutzt, verwenden. Die andere Möglichkeit ist natürlich immer eine selbst gehostete, selbst programmierte Website, was klarerweise super aufwendig ist und auch in der Funktionalität meistens oder möglicherweise nicht ganz heranreicht an die Möglichkeiten, die einem Shopify bietet, auch insbesondere mit der Einbindung von bestimmten Plugins, Tools etc. Das heißt, man muss sich, was ich damit sagen möchte, ist im Prinzip, man muss sich mit dem auseinandersetzen, der einem die Seite überhaupt erstmal ermöglicht, sei es beispielsweise Shopify. Das heißt aber auch, weil du es eben sagst, okay, ansonsten muss ich eben schauen, dass ich selber so ein System aufsetze, was ja wirtschaftlich gerade für kleine Unternehmen einfach nicht machbar ist.

Und klar kann ich jetzt sagen, okay, der große Konzern, der hat eben eine eigene Abteilung, die für online zuständig ist, das ist dann vielleicht machbar und wirtschaftlich leichter umsetzbar. Aber für das kleine Unternehmen, das sagt, okay, wir müssen jetzt vom Onlinehandel profitieren, ob das jetzt im Zuge von Corona passiert ist oder aus anderen Gründen, ist es ja sehr aufwendig, das durchzuführen. Ja, ich muss auch vielleicht noch ergänzen, dass es leider nicht ausreicht und da knüpfen wir auch wieder an, an das, was wir eben gesagt haben bei der Datenübertragung in Drittstaaten. Es reicht leider nicht aus, einfach nur darauf zu verweisen, dass Shopify entsprechende Daten erhebt.

Also man muss schon sagen, dass man auch oder man ist leider auch nach der DSGVO selber verantwortlicher im Sinne der DSGVO und muss dann selber auch in Anführungsstrichen Rechenschaft ablegen gegenüber den Betroffenen, da man ja die Webseite oder den Webshop überhaupt betreibt, anbietet, bereitstellt. Ja, also im Ergebnis, um da vielleicht auch das Thema nicht zu intensiv werden zu lassen und vielleicht auch um ein bisschen Hoffnung zu machen, man sieht ja immer nur, hier gibt es irgendwie eine Hürde, da gibt es was. Es ist tatsächlich, wenn man sowohl hinsichtlich dieser Einwilligungsfrage, das heißt, wann brauche ich eine Einwilligung, wann muss ich belehren etc., gibt es Vorgaben, die aber erfüllbar sind. Wenn ich im Bereich von Tools US-amerikanischer Anbieter bin, ist die Hürde sehr hoch, das muss man sagen.

Das heißt nicht, dass man sie nicht nehmen könnte oder kann, dass man also schon durchaus entsprechende Informationen bereitstellen kann, entsprechende Einwilligungen abfragen kann. Da ist aber das letzte Wort noch nicht gesprochen, ob es ausreicht. Das muss man auch so sagen. Auf der anderen Seite ist es so, dass ein Abkommen zwischen den USA und der EU, ich sag mal ganz vorsichtig, in Aussicht steht, ob das denn nun kommt und verbindlich so abgeschlossen wird, dass quasi dieses Datenschutzniveau wieder angleicht, womit man dann diese Problematik auf einen Schlag nicht mehr hätte.

Natürlich muss ich informieren, ich muss auch weitere Einwilligungen einholen, aber so diese Problematik Datenübermittlung in die USA wäre dann ja erst einmal dahin. Aber um das mitzugeben, es ist im weitesten machbar, auch wenn ich dafür, und das steht glaube ich auch fest, mehr Aufwand betreiben muss, als einfach nur einen Shop zu installieren und zu sagen, okay, hier ist es. Ja, und damit kommen wir auch zu unseren mitgebrachten Urteilen. Ich fange heute mal an mit dem sogenannten Schrems II-Urteil.

Das ist ein Urteil aus dem Juli 2020 des Europäischen Gerichtshofs. Und das ist benannt nach Maximilian Schrems. Wie das Urteil schon sagt, hatte der auch schon ein erstes Urteil vom EuGH erreicht. Und das ist ein, ja, ich würde sagen, ganz berühmter, zumindest in der Szene berühmter Datenschutzrechtler, der sich in diesem Fall den Privacy Shield vorgenommen hat.

Also der Privacy Shield, das hatten wir eben auch schon, das war dieser Angemessenheitsbeschluss der Europäischen Kommission für Datenübertragung aus der EU in die USA. Und Maximilian Schrems war, wie sich nachher herausstellte, auch zu Recht der Meinung, dass dieser Privacy Shield nicht DSGVO-konform war und Datenübertragung in die USA unter dem Privacy Shield nicht der DSGVO entsprachen. Der EuGH hat sich dann in diesem Urteil das alles sehr spezifisch angeschaut, hat sich den Privacy Shield angeschaut und ist dann zu dem Schluss gekommen, dass die Vereinigten Staaten ein fundamentales Problem haben bei ihren Datenschutzverarbeitungen vor Ort. Und zwar ist das Problem, dass es in den USA nun mal so ist, dass die Geheimdienste vor Ort oder die Nachrichtendienste vor Ort jederzeit die Möglichkeit haben oder relativ uneingeschränkt die Möglichkeit haben, zu amerikanischen Unternehmen zu gehen und zu sagen, bitte du gib mir mal diese Daten raus, die du da auf deinen Servern speicherst.

Und diese doch zu uneingeschränkte Möglichkeit der Nachrichtendienste auf solche dort gespeicherten Daten zuzugreifen, führte dann dazu, dass der EuGH zu dem Schluss gekommen ist, dass das nicht der DSGVO in seinem Datenschutzniveau entspricht. Ganz interessant, auch so drumherum in der Literatur, wurde sogar zugegeben, dass einzelne Bundesstaaten in den USA teilweise, möglicherweise, also insbesondere muss man da Kalifornien hervorheben, ein höheres Datenschutzniveau haben als die EU. Das spielte aber in dem Zusammenhang keine Rolle, da die Vereinigten Staaten dann als Gesamtes, da diese Möglichkeiten für die Nachrichtendienste leider innehaben. Und was bedeutet das für die Praxis?

Das müssen wir vielleicht jetzt auch nochmal erläutern. Das haben wir auch schon so ein bisschen angeschnitten. Der Angemessenheitsbeschluss, der ist aus der Welt. Der spielt keine Rolle mehr in der Praxis.

Was es immer noch gibt, und das hat der EuGH auch ausdrücklich unangetastet lassen, sind diese Standardvertragsklauseln als zweite Schiene, um Datenübertragung rechtmäßig zu handhaben. Und als dritte Schiene, immer möglich, aber sehr eingeschränkt in der Praxis anwendbar, sind diese spezifischen Einwilligungen in eine Datenübertragung in die USA. Da muss aber über alles aufgeklärt werden, also von A bis Z, die möglichen Folgen einer Datenübertragung etc. Das ist also wirklich sehr, sehr eingeschränkt nutzbar in der Praxis.

Ja, und das war es soweit zu meinem Urteil. Ja, ich habe auch ein Urteil mitgebracht, das in der Instanz jedenfalls nicht so hoch war, sondern es ist ein Urteil vom Landgericht München erneut und aus dem Jahr 2022, Ende November, ist die Entscheidung ergangen und da ging es ein bisschen anknüpfend an dieses Thema Cookie-Banner ganz konkret um eine Cookie-Banner-Gestaltung. Das war in dem Fall der Cookie-Banner von Focus Online, gegen den dann eine Verbraucherorganisation, zwar konkret der Dachverband der Verbraucherzentralen, vorgegangen ist. Da ging es um die Frage, ob dieser Cookie-Banner rechtmäßig ist in der konkreten Form.

Es stellt sich dann die Frage, wie sah der denn aus? Wir können das jetzt ja nicht einblenden, aber ich beschreibe es mal so im Wesentlichen. Es lässt sich relativ leicht beschreiben, denn es war ein Cookie-Banner, der unfassbar umfangreich war. Also in der Entscheidung selber soll wohl die Darstellung dieses Cookie-Banners 140 Seiten lang gewesen sein.

Und so wie du das auch eben schon geschildert hast, ist eine informierte und vor allen Dingen freiwillige Einwilligung erforderlich, wenn ich, so egal was, in diesem Cookie-Banner zustimme. Und wenn ich aber 140 Seiten mir durchsehen soll, egal ob es Belehrung ist, ob es die Anzahl der Cookies ist etc., dann hat das Gericht auf jeden Fall darin keine informierte und freiwillige Einwilligung mehr gesehen, sondern hat gesagt, das reicht nicht, das ist too much. und jetzt ist es aber so, das war so ein bisschen noch die Besonderheit in diesem Verfahren, dass in dem Fall Focus Online sich darauf gestützt hat, dass es ein sogenanntes Transparency and Consent Framework gab, und zwar einer europäischen Werbeorganisation. Und nach diesem Framework war es so, dass man durch einen einzelnen Klick 100 Drittparteien Daten weitergeliefert hat, die, oder über 100 Drittparteien, Daten weitergeliefert hat, die eben von den Website-Besuchern kamen.

Nach diesem Framework war es so, dass das wohl zulässig ist. Das hat das Landgericht München aber relativ klar gesagt. Das ist unzulässig, wenn das eben in der Masse und in diesem Umfang passiert, weil diese informierte Einwilligung nicht erfolgen kann. Die Anbieter und in dem Fall auch Focus Online haben sich auf ein berechtigtes Interesse gestützt, haben gesagt, na, es ist doch mein berechtigtes Interesse, dass ich bestimmte Dienste hier einbinde.

Da hat das Gericht aber auch gesagt, naja, das kann ja sein, aber es ist so, dass in der konkreten Ausgestaltung dieses Cookie-Banners, selbst in dem Fall, in dem gesagt wurde, ich möchte alle Cookies ablehnen, eben nicht alle Cookies abgelehnt wurden, sondern es sind ganz, ganz viele Cookies, eben unter anderem auch die, die unter diesen sogenannten TC-String fallen, weitergegeben worden, weil die eben gerechtfertigt worden sind mit einem berechtigten Interesse. Das hat das Gericht anders gesehen und da gesagt wurde, naja, dafür brauchen wir ja gar keine Einwilligung. Das war im Ergebnis jedenfalls nach dem Landgericht München falsch. Ob das Ganze so Bestand hat, das müssen wir sehen.

Jedenfalls hat der Burda Verlag, der hinter Focus Online steht, angekündigt, dass man da wohl in Berufung gehen will, was glaube ich auch einfach für die Rechtssicherheit sinnvoll ist, damit es da eine Entscheidung auch einer höheren Instanz gibt. Wobei ich mir persönlich ganz gut vorstellen kann, dass bei einer solchen umfangreichen oder bei einem so langen Cookie-Banner, wenn man das dann alles ausklappt und sich durchlesen will, da erhebliche Schwierigkeiten verbleiben, das zu rechtfertigen. Ich bin nämlich tatsächlich einer, der nur ganz selten sagt, okay, alles anklicken, dann muss ich sehr, sehr eilig haben. Ich suche immer den Knopf zum alles ablehnen.

Das macht es nicht weniger nervig, aber vielleicht findet man ja am Ende des Tages eine technische Lösung, um damit umzugehen. Es zeichnet sich ja so ein bisschen ab, dass so Content-Tools entweder über den Browser oder separat irgendwie eine Möglichkeit wären, um durch vordefinierte Angaben, die ein Benutzer macht bei sich auf dem Rechner, zu sagen, okay, ich möchte immer Marketing-Cookies freigeben, ich möchte immer bestimmte Performance-Cookies freigeben, alles andere nicht. und die Website dann berücksichtigt, dass ich das schon vorausgewählt habe und das dann eben entsprechend auch so eingestellt wird. Aber ja, müssen glaube ich viele mitspielen, damit das funktioniert.

Ja, das ist natürlich auch gesetzlich inzwischen sogar vorgesehen, dass das möglich sein soll bald. Die sogenannten PEMS. Da muss man aber wirklich schauen, wie das in der praktischen Umsetzung dann funktionieren soll. Insbesondere, wie du gesagt hast, da müssten vorher angesagt werden, welche Cookies zu welcher Kategorie gehören, damit das mit der Einwilligung sich deckt.

Also das bleibt abzuwarten. Wenn da was auf den Weg kommen sollte, werdet ihr natürlich hier bei uns davon erfahren. Wunderbar, dann sind wir auch schon am Ende der Folge angekommen. Ich glaube, das war auch ausreichend Thema Datenschutz für alle Hörer.

Und wie gehabt, haben wir sowohl die Verweise zu den Urteilen, die wir besprochen haben, als auch ein paar weitere Infos in den Shownotes untergebracht. Und die aktuelle Folge findet ihr auch als Transkript im entsprechenden Blogbeitrag dazu. Zum Nachlesen, das gilt auch für alle anderen Folgen, wenn ihr Interesse daran habt. Ja, in diesem Sinne, hat euch der Podcast gefallen, dann empfehlt ihn doch gerne euren Freunden und Bekannten, bewertet ihn auch gerne.

Wenn ihr spannende Themen für uns habt, die wir mal besprechen sollen, Ideen, gerne auch konstruktive Kritik, haben wir immer ein offenes Ohr für euch. Schreibt uns gerne an podcast.tvw.law. Und in diesem Sinne haben wir uns gefreut, dass ihr uns zugehört habt und bis zum nächsten Mal.