Browser statt Banner: Wer kontrolliert künftig den Consent?

Cookie-Banner gehören zu den sichtbarsten Folgen des europäischen Datenschutzrechts. Der Digital Omnibus der EU-Kommission soll die Regeln vereinfachen und wiederholte Abfragen reduzieren. Zwei geplante Artikel könnten jedoch weit mehr verändern als die Gestaltung eines Banners. Sie berühren die Frage, wer Datenschutzentscheidungen im offenen Web künftig steuert. Aktueller Anlass ist ein offener Brief von 46 Unternehmen, die vor neuen Risiken warnen und mehr Zeit für die Prüfung verlangen.

Vom Banner zum zentralen Signal

Artikel 88a und 88b greifen ineinander. Im Vorschlag der EU-Kommission soll Artikel 88a einen Teil der bisherigen ePrivacy-Regeln in die Datenschutz-Grundverordnung überführen. Grundsätzlich bleibt eine Einwilligung nötig, wenn personenbezogene Daten auf einem Endgerät gespeichert oder von dort abgerufen werden.

Ausnahmen soll es unter anderem geben, wenn dies für einen ausdrücklich gewünschten Dienst, die eigene aggregierte Reichweitenmessung oder die Sicherheit eines Dienstes notwendig ist. Eine Ablehnung soll ebenso einfach möglich sein wie eine Zustimmung. Nach einer Ablehnung soll für denselben Zweck grundsätzlich sechs Monate lang keine neue Anfrage erscheinen.

Artikel 88b regelt, wie Nutzerinnen und Nutzer ihre Entscheidung technisch übermitteln können. Zustimmung, Ablehnung oder Widerspruch sollen als automatisierte, maschinenlesbare Signale übermittelt werden können, etwa über eine Einstellung im Browser. Websites und die dort eingebundenen Anbieter müssten diese Signale grundsätzlich erkennen und berücksichtigen. So sollen Menschen ihre Auswahl nicht auf jeder Website erneut treffen müssen.

Für Medienanbieter sieht der Kommissionsvorschlag allerdings eine Ausnahme vor. Sie könnten auch dann erneut nach einer Einwilligung fragen, wenn bereits eine maschinenlesbare Entscheidung übermittelt wurde.

Branche warnt vor neuen Gatekeepern

Gegen die geplanten Regelungen formiert sich Kritik aus der Digitalwirtschaft. Anfang Juni veröffentlichten 46 Unternehmen einen offenen Brief zum Digital Omnibus. Zu den Unterzeichnenden gehören Publisher, Vermarkter, Werbetechnikanbieter und Consent-Dienstleister, darunter BurdaMedia Extra, GMX, WEB.DE, Criteo, Adform und Usercentrics.

Die Unternehmen unterstützen nach eigener Aussage das Ziel, das europäische Digitalrecht zu vereinfachen. Sie warnen jedoch, dass insbesondere Artikel 88b neue technische Abhängigkeiten schaffen könnte. Die Verwaltung von Datenschutzentscheidungen würde stärker zu Browsern und Betriebssystemen verlagert. Große integrierte Plattformen könnten dadurch zusätzliche Marktmacht erhalten.

Diese Kritik wurde bereits vor dem aktuellen offenen Brief formuliert. Im März warnte der Bundesverband Digitale Wirtschaft vor zusätzlichen Abhängigkeiten von Browser- und Betriebssystemanbietern. „Was als Vereinfachung gedacht war, erzeugt neue technische Komplexität und schwächt insbesondere die mittelständisch geprägte europäische Digitale Wirtschaft“, erklärte BVDW-Präsident Dirk Freytag damals.

Datenschutzseite fordert verbindliche Lösung

Datenschützer halten dem entgegen, dass separate Einwilligungsanfragen auf jeder Website die Entscheidungsmüdigkeit verstärken. Ein freiwilliges System werde sich kaum durchsetzen, schrieb Frederick Richter, Vorstand der Stiftung Datenschutz, bereits im Mai.

„Die vorgesehene verpflichtende Lösung ist konsequent. Nicht konsequent ist hingegen die vorgesehene Ausnahme für Medienanbieter“, so Richter mit Blick auf Artikel 88b. Dass viele Menschen zentral „alles ablehnen“ könnten, sei kein Grund, am heutigen Zustand festzuhalten.

Wer gestaltet die Consent-Infrastruktur?

Damit bleibt die Machtfrage offen: Browser können lediglich ein standardisiertes Signal übertragen. Sie können aber auch die Oberfläche, die Auswahlmöglichkeiten und die Voreinstellungen prägen. Dann würden wenige Anbieter erheblichen Einfluss darauf gewinnen, wie viele Menschen personalisierter Werbung zustimmen.

Ungeklärt ist zudem, wie die neuen Signale mit Consent-Management-Plattformen und dem Transparency and Consent Framework zusammenspielen. Entscheidend wird sein, wie eine im Browser hinterlegte Auswahl technisch an Websites und die beteiligten Anbieter übermittelt wird.

Für Publisher, Vermarkter und AdTech-Anbieter sind die geplanten Neuregelungen damit weit mehr als neue Datenschutzvorgaben. Sie könnten verändern, wer den Zugang zu Einwilligungen kontrolliert, welche Daten für personalisierte Werbung verfügbar bleiben und wie sich Werbebudgets im europäischen Markt verteilen.