„Häufig sind zwar Benutzeroberfläche und Bedienung von Consent Managern datenschutzfreundlich gestaltet. Wenn man aber überprüft, was der Browser sonst so treibt, sieht die Sache anders aus“, sagt Karsten Schulz, Datenschutz-Experte und Referent der TÜV NORD Akademie. Viele gängige Cookie Consent Tools ermöglichten es durchaus, die Anforderungen der europäischen Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSGs) umzusetzen, so der Datenschutzbeauftragte. Sie tun es aber offenbar nicht automatisch. Betreiber:innen beziehungsweise Agenturen seien in der Pflicht, die richtigen Einstellungen auszuwählen, so der Experte.
Diese Datenschutzverstöße beobachtet Karsten Schulz auf Unternehmens-Websites besonders häufig:
„Häufig kommt es zu Datenschutzmängeln auf Websites, wenn beide Seiten nicht über die Problematik sprechen, nämlich die Agentur, die die Website erstellt, und die Person auf Unternehmensseite, die inhaltlich verantwortlich ist. Hier sollte es von Anfang an eine intensive Abstimmung geben“, sagt Datenschutz-Referent Karsten Schulz.
Konkret rät er dazu, drei Kernpunkte umzusetzen:
Diese Datenschutzverstöße beobachtet Karsten Schulz auf Unternehmens-Websites besonders häufig:
- Google Fonts werden dynamisch eingebunden
Das dynamische Einbinden von Google Fonts in Websites ist ohne Einwilligung der User:innen datenschutzwidrig. Besser: Google Fonts auf lokalen Servern speichern. - Laden von YouTube-Videos ohne Einwilligung
Oft fragt der Consent Manager einer Website zwar, ob YouTube-Cookies gesetzt werden dürfen. „Bevor die Antwort erfolgt, ist aber das Video schon vorgeladen und das Startbild wird angezeigt. Juristisch ist die Sache damit gelaufen“, so Schulz. - Verwenden von Consent-Dialogen US-amerikanischer Anbieter
Viele Website-Betreiberinnen und -Betreiber verwenden Cookie Consent Tools von US-Anbietern. Um diese zu laden, wäre nach DSGVO aber schon vorher eine Einwilligung der Besucherin oder des Besuchers notwendig – das kann nicht funktionieren.
„Häufig kommt es zu Datenschutzmängeln auf Websites, wenn beide Seiten nicht über die Problematik sprechen, nämlich die Agentur, die die Website erstellt, und die Person auf Unternehmensseite, die inhaltlich verantwortlich ist. Hier sollte es von Anfang an eine intensive Abstimmung geben“, sagt Datenschutz-Referent Karsten Schulz.
Konkret rät er dazu, drei Kernpunkte umzusetzen:
- Datenschutzbeauftragte einbinden: Unternehmen sollten ihre:n Datenschutzbeauftragte:n von Anfang an in das Websiteprojekt einbeziehen. Wenn nötig, auch weitere Datenschutz-Fachleute.
- Agentur in die Pflicht nehmen: „Verständlicherweise lässt sich kaum eine Agentur vertraglich dazu verpflichten, eine datenschutzkonforme Website zu erstellen. Aber Unternehmen können sie auffordern, alles aufzulisten, was vielleicht für den Datenschutz relevant ist, zum Beispiel welche Cookies die Website setzt, welche Schriftarten sie wie verwendet und so weiter“, sagt Schulz.
- Website sofort überprüfen: Wenn der Prototyp steht oder die Website frisch online ist, sollten Verantwortliche auf Unternehmensseite selbst überprüfen, was die Seite macht, und die Ergebnisse mit der Datenschutzerklärung abgleichen – dazu genügen Browsertools. „Am besten wiederholen Datenschutzverantwortliche diesen Prozess in regelmäßigen Abständen.“
