3 Jahre Vorbereitungszeit
In Anwendung der ePrivacy-Richtlinie müssen Internetnutzer informiert werden und ihre Einwilligung geben, bevor „nicht wesentliche“ Tracker gesetzt und ausgelesen werden. Seit dem Inkrafttreten der DSGVO vor bereits 3 Jahren wurden die Anforderungen an die Gültigkeit der Einwilligung verschärft.
Am 1. Oktober 2020 veröffentlichte die CNIL ihre geänderten Leitlinien und ihre Empfehlung zu Cookies und anderen Trackern. Außerdem gewährte sie den Verlagen 6 Monate, um sich an die Regeln anzupassen.
Wie wir bereits in diesem Blog sehen konnten, wurden die alten Leitlinien, so lax sie auch waren, schon damals nicht eingehalten. Hier sind einige Artikel, die diese Straflosigkeit veranschaulichen:
- „Das Einholen der Einwilligung im Internet: eine weit verbreitete Lüge“.
- „Le Figaro, Sinnbild für invasives Werbe-Tracking auf französischen Medienseiten“.
- „Der große Ausverkauf Ihrer personenbezogenen Daten auf Le Bon Coin“.
Und wie steht es um die neuen Leitlinien?
Die CNIL empfiehlt ein „Dark Pattern“, um die Einwilligungsrate zu „optimieren“
Beim Lesen der Empfehlung der CNIL entdeckt man einen ersten Designvorschlag für die Einwilligungsoberfläche:
Seite 9, Abbildung 4: eine übersichtliche Oberfläche, einfache Auswahl für den Nutzer.
Sowie allgemeine Überlegungen zur Oberfläche (ich habe die wichtigsten Passagen fett hervorgehoben):
- „Der Verantwortliche muss den Nutzern sowohl die Möglichkeit, Lese- und/oder Schreibvorgänge zu akzeptieren, als auch sie abzulehnen mit demselben Maß an Einfachheit bieten.“
- „Daher empfiehlt die Kommission dringend, dass der Mechanismus zur Ablehnung der Einwilligung in Lese- und/oder Schreibvorgänge auf demselben Bildschirm und mit derselben Leichtigkeit zugänglich ist wie der Mechanismus zur Erteilung der Einwilligung.“
- „So können die Nutzer beispielsweise auf der ersten Informationsebene die Wahl zwischen zwei Schaltflächen haben, die auf gleicher Ebene und im gleichen Format dargestellt werden und auf denen jeweils „alles akzeptieren“ und „alles ablehnen“, „erlauben“ und „verbieten“ oder „einwilligen“ und „nicht einwilligen“ oder eine andere gleichwertige und hinreichend klare Formulierung steht.“
Liest man im Dokument weiter, stößt man auf einen zweiten Designvorschlag:
Seite 10, Abbildung 5: eine Empfehlung der CNIL! Das „Weiter, ohne zu akzeptieren“ lässt sich leicht übersehen.
Direkt unter diesem irreführenden Design widerspricht sich die CNIL selbst:
- „Um die Nutzer nicht in die Irre zu führen, empfiehlt die Kommission den Verantwortlichen, sicherzustellen, dass die Oberflächen zur Erfassung der Entscheidungen keine potenziell irreführenden Gestaltungspraktiken enthalten, die die Nutzer glauben lassen, ihre Einwilligung sei zwingend erforderlich, oder die eine Auswahl optisch stärker hervorheben als eine andere.“
- „Es wird empfohlen, Schaltflächen und eine Schrift gleicher Größe zu verwenden, die die gleiche Lesbarkeit bieten und auf identische Weise hervorgehoben sind.“
Dieses „Dark Pattern“ wurde den Verlagen rasch „nahegebracht“:
Rat von Converteo (Beratungsagentur für Daten und Technologie) an die Verlage: Nutzen Sie den von der CNIL vorgeschlagenen „Handlungsspielraum“!
Der 1. April 2021 ist der große Tag: Websites und Apps müssen endlich gesetzeskonform sein, wie die CNIL in Erinnerung ruft:
Sie hat bei der Aufklärung keine Mühen gescheut, wie auf ihrer Website erwähnt:
- Achtzehn Webinare für Fachleute aus dem privaten und öffentlichen Sektor.
- Zahlreiche praktische Tipps und Tools auf der Website der CNIL.
- Eine Sensibilisierungskampagne für öffentliche und private Einrichtungen.
Mit welchen Ergebnissen? Das sehen wir uns anhand einiger Twitter-Threads an (klicken Sie auf die Links, um die zahlreichen Beispiele aufzuklappen).
Die Einwilligungsoberfläche, eine Katastrophe
Das „Dark Pattern“ der CNIL, Standardoberfläche auf Medienseiten.
Sie wollen mehr? Hier ist das „Dark Pattern“ der CNIL in der App-Version:
Vorsicht bei dicken Fingern!
Eine weitere, recht verbreitete Möglichkeit besteht darin, sich über die Vorschriften hinwegzusetzen:
Facebook ist das Gesetz egal, aber damit ist es nicht allein.
Besondere Erwähnung verdient Google:
5 Schritte, um die Überwachung abzulehnen, aber natürlich funktioniert es nicht.
Bei den Apps ist es nicht besser:
Eine Wette darauf, dass die CNIL keine Apps prüft?
Wenn Sie Ihre Einwilligung verweigern, ruinieren einige Websites Ihr Leseerlebnis:
Unsere Verlage haben Talent.
Eine weitere Möglichkeit, Sie zu überwachen, ist die Berufung auf das „berechtigte Interesse“:
Natürlich ist diese Praxis illegal.
Es sei betont, dass einige Verlage eine respektvolle Oberfläche anbieten:
Eine saubere Oberfläche – bleibt nur, dass Ihre Entscheidungen auch respektiert werden.
Einige wenige Ausnahmen gibt es auch bei den Apps:
Lange Nachricht, aber klare Auswahl (den vollständigen Screenshot finden Sie auf Twitter).
Cookie-Walls, eine Erpressung mit personenbezogenen Daten
Erpressung mit personenbezogenen Daten, guten Tag.
Die Cookie-Wall findet sich auch bei Apps:
Erpressung mit personenbezogenen Daten, Fortsetzung.
Ist die Cookie-Wall legal? Die CNIL wollte sie verbieten, ohne Erfolg:
Die „Cookie-Wall“ besteht darin, den Zugang zu einer Website oder einer mobilen Anwendung für Nutzer zu blockieren, die ihre Einwilligung nicht erteilen. In bestimmten Fällen macht diese Praxis, auch „Pay-Wall“ genannt, diesen Zugang von einer finanziellen Gegenleistung wie einem Abonnement abhängig.
Der Staatsrat kam am 19. Juni 2020 zu dem Schluss, dass die CNIL diese Praxis nicht grundsätzlich verbieten dürfe.
Bis zu einer dauerhaften Klärung dieser Frage durch den europäischen Gesetzgeber wird die CNIL die geltenden Texte in der durch die Rechtsprechung erfolgten Auslegung anwenden, um im Einzelfall zu beurteilen, ob die Einwilligung der Personen frei ist und ob eine Cookie-Wall zulässig ist oder nicht. Sie wird dabei sehr genau auf das Vorhandensein echter und zufriedenstellender Alternativen achten, insbesondere solcher, die vom selben Verlag bereitgestellt werden, wenn die Ablehnung nicht notwendiger Tracker den Zugang zum angebotenen Dienst blockiert.
Wir warten daher gespannt auf die ersten Entscheidungen der CNIL ... Bis dahin können Sie diese hervorragenden Artikel lesen:
- „Cookie-Wall: Wann hören sie auf, uns für Idioten zu halten?“ von Numendil.
- „Consent Wall und Cookie Wall“ von Romain Bessuges-Meusy, dem CEO der CMP Axeptio.
- „Cookie-Walls und andere Tracking-Walls: legal oder nicht legal?“ von Marc Rees.
Eine fiktive Einwilligung
Sie könnten sich sagen: Okay, es ist nicht so leicht, die Überwachung abzulehnen, aber immerhin habe ich jetzt die Wahl. Bleibt nur, dass die Verlage diese Wahl auch respektieren ... Im wirklichen Leben ist das selten der Fall:
- Viele Verlage geben Ihre personenbezogenen Daten preis, noch bevor Sie Ihre Einwilligung erteilt (oder verweigert) haben.
- Viele Verlage geben Ihre personenbezogenen Daten preis, obwohl Sie Ihre Einwilligung verweigert haben.
Die Heuchelei der Verlage, die vorgeben, das Gesetz zu respektieren.
Bei den Apps ist es nicht besser:
Bei den Apps herrscht oft der Wilde Westen.
Schauen wir uns die personenbezogenen Daten an, die abfließen:
Mit der Software Charles Proxy lassen sich alle Anfragen beobachten.
Beachten Sie, dass Apple ATT den Abfluss personenbezogener Daten nicht verhindert, sondern nur das Tracking (die App-übergreifende Überwachung).
Apple schützt Sie deutlich besser vor Werbeüberwachung als Google, aber wenn Sie jeglichen Abfluss personenbezogener Daten vermeiden möchten, müssen Sie einen Tracker-Blocker wie NextDNS einsetzen.
Wie lässt sich das Gesetz durchsetzen?
Die CNIL hat kürzlich rund zwanzig Abmahnungen angekündigt:
Angesichts der Vorgeschichte der Behörde bin ich skeptisch. Lesen Sie zum Beispiel den Erfahrungsbericht von La Quadrature du Net: „Die GAFAM entkommen der DSGVO, mit Komplizenschaft der CNIL“.
Noyb wird das Abenteuer dennoch bei den verschiedenen europäischen Datenschutzbehörden wagen:
Während die CNIL mühsam rund zwanzig Abmahnungen verschickt, plant Noyb, 10.000 Beschwerden einzureichen. Und das ist ein kleiner Verein mit einigen wenigen Freiwilligen: ein Beweis dafür, dass es der CNIL nicht an Mitteln mangelt, sondern vor allem an politischem Willen.
Also keine Hoffnung? Da bin ich mir nicht so sicher: Die wichtigsten Fortschritte könnten von den Wettbewerbsbehörden kommen, wie dieser Artikel gut beschreibt. Drücken wir die Daumen – und bis dahin: schützen Sie sich.