Digital Omnibus: Der Streit um die Cookie-Einwilligung

Auf vielen Websites stellt sich dieselbe Frage: Cookies akzeptieren, ablehnen oder Einstellungen anpassen? Die EU-Kommission will solche wiederkehrenden Abfragen reduzieren. Mit dem Digital Omnibus hat sie deshalb vorgeschlagen, die Regeln für Cookies und andere Zugriffe auf Endgeräte zu ändern.

Besonders umstritten ist Artikel 88b. Nutzende sollen ihre Entscheidung nicht zwingend auf jeder Website neu treffen müssen. Einwilligungen und Ablehnungen könnten auch automatisiert und maschinenlesbar übermittelt werden. Browser könnten solche Signale weitergeben, ebenso andere technische Systeme.

IAB Europe lehnt diesen Ansatz ab. Der Verband führt rechtliche und technische Einwände an und warnt zugleich vor wirtschaftlichen Folgen für werbefinanzierte Medien. Der Europäische Datenschutzausschuss EDPB und der Europäische Datenschutzbeauftragte EDPS begrüßen den vorgeschlagenen Mechanismus dagegen grundsätzlich.

Was Artikel 88a und 88b konkret ändern sollen

Artikel 88a betrifft das Speichern personenbezogener Daten auf einem Endgerät und den Zugriff darauf, etwa über Cookies. Die Kommission will diese Regeln für personenbezogene Daten in die DSGVO überführen.

Grundsätzlich soll eine Einwilligung weiterhin erforderlich sein. Vorgesehen sind aber Ausnahmen, beispielsweise für technisch notwendige Zugriffe, bestimmte aggregierte Reichweitenmessungen oder die Sicherheit eines Dienstes.

IAB Europe fordert weitere Ausnahmen. Dazu zählen kontextuelle Werbung ohne Profilbildung, Frequenzbegrenzung, Betrugsbekämpfung sowie bestimmte Messungen der Werbeauslieferung. Auch EDPB und EDPS empfehlen zu prüfen, ob eng begrenzte kontextuelle Werbung ohne Einwilligung ermöglicht werden kann.

Artikel 88b betrifft die Übermittlung der Nutzerentscheidung. Nutzende sollen Einwilligungen und Ablehnungen auch automatisiert und in maschinenlesbarer Form übermitteln können. Verantwortliche müssten solche Entscheidungen berücksichtigen, sobald die dafür vorgesehenen Standards und Fristen greifen.

Dabei geht es nicht ausschließlich um Browser. Die Kommission nennt auch die EU Digital Identity Wallet und andere geeignete Verfahren. Browser erhalten im Entwurf aber eine eigene Rolle. Anbieter, die nicht als kleine oder mittlere Unternehmen gelten, sollen technische Möglichkeiten für die Übermittlung solcher Signale bereitstellen.

IAB Europe bezweifelt eine gültige Einwilligung

„Allgemeine Signale auf Browserebene können die Anforderungen der DSGVO an eine gültige Einwilligung nicht erfüllen“, schreibt IAB Europe in seinem Positionspapier vom Februar.

Der Verband verweist darauf, dass eine Einwilligung unter anderem informiert und spezifisch sein muss. Eine allgemeine Browsereinstellung könne jedoch getroffen werden, bevor Nutzende eine bestimmte Website besuchen und wissen, welche Unternehmen dort Daten zu welchen Zwecken verarbeiten.

IAB Europe sieht zudem technische Konflikte, wenn ein Dienst über verschiedene Zugangswege genutzt wird. So könnte eine Einwilligung beispielsweise in einer App widerrufen worden sein, während ein Browser weiterhin Zustimmung signalisiert. Nach Auffassung des Verbands ist nicht ausreichend geklärt, wie solche unterschiedlichen Entscheidungen miteinander abgeglichen werden sollen.

Datenschutzbehörden unterstützen maschinenlesbare Signale

EDPB und EDPS bewerten Artikel 88b anders. „Wir begrüßen den vorgeschlagenen Artikel 88b ausdrücklich“, schreiben die beiden Datenschutzinstitutionen in ihrer gemeinsamen Stellungnahme vom Februar.

Sie verweisen darauf, dass User ihre Datenschutzentscheidungen heute beim Besuch neuer Websites immer wieder treffen müssen. Maschinenlesbare Signale könnten dazu beitragen, solche Präferenzen über Websites hinweg zu übermitteln und wiederholte Abfragen zu reduzieren.

EDPB und EDPS fordern zugleich Präzisierungen. Ein Browser dürfte beispielsweise nicht standardmäßig auf Zustimmung eingestellt sein. Eine Einwilligung müsse weiterhin auf einer aktiven Entscheidung beruhen.

IAB Europe verbindet seine rechtlichen und technischen Einwände ausdrücklich mit wirtschaftlichen Risiken. Der Verband erwartet, dass zentralere Entscheidungen zu niedrigeren Einwilligungsquoten führen könnten. Daraus leitet er mögliche Folgen für Targeting, Kampagnenmessung und Werbeerlöse ab.

Warum IAB Europe Werbeeinbußen für Publisher befürchtet

Für Medienanbieter sieht der Kommissionsentwurf eine Ausnahme vor. Sie sollen automatisierte Signale unter bestimmten Voraussetzungen nicht berücksichtigen müssen und Nutzende weiterhin selbst nach ihrer Einwilligung fragen können. Die Kommission begründet die Sonderregel mit der Bedeutung unabhängigen Journalismus und dessen wirtschaftlicher Grundlage.

IAB Europe hält die Ausnahme für unzureichend. Der Verband argumentiert, ein Browser-Signal löse die Einwilligungsentscheidung von der direkten Beziehung zwischen Anbieter und User. Publisher könnten dann nicht mehr im konkreten Angebot erläutern, welcher Austausch hinter kostenlosen Inhalten und Diensten stehe. IAB Europe verweist außerdem auf eine eigene Studie, nach der Nutzende eher in die Erhebung von Daten einwilligen, wenn sie eine Website kennen und ihr vertrauen.

Daraus leitet der Verband niedrigere Einwilligungsquoten bei einer zentraleren Entscheidung ab. Weniger Einwilligungen könnten nach seiner Argumentation Targeting und Kampagnenmessung einschränken. Werbetreibende würden für entsprechendes Inventar dann weniger bezahlen. IAB Europe erwartet deshalb geringere Werbeerlöse für Publisher.

Das sind Prognosen des Verbands. Das Positionspapier enthält keine quantitative Schätzung der erwarteten Erlöseinbußen.

Hinzu kommt die Werbekette. IAB Europe schreibt, die Mehrheit der Medienpublisher sei beim Verkauf und bei der Monetarisierung ihres Werbeinventars auf Drittanbieter angewiesen. Dazu gehörten AdTech-Vermittler, die selbst datenschutzrechtlich Verantwortliche sein können. Nach Auffassung des Verbands bleibt im Entwurf unklar, ob solche Partner ebenfalls die Medienausnahme nutzen könnten.

EDPB und EDPS verweisen ebenfalls darauf, dass Werbedaten bei Medienangeboten meist nicht allein vom Medienanbieter verarbeitet werden. Sie ziehen daraus jedoch eine andere Schlussfolgerung und empfehlen, Medienanbieter wie andere Dienste zu behandeln.

Nach einer Ablehnung gilt eine sechsmonatige Sperrfrist

Auch bei der Sechsmonatsfrist unterscheiden sich Gesetzestext und Darstellung von IAB Europe. „Eine verpflichtende sechsmonatige Erneuerung der Einwilligung wäre technisch nicht praktikabel“, schreibt IAB Europe in seinem Positionspapier.

Der Kommissionsentwurf sieht jedoch keine allgemeine sechsmonatige Laufzeit für eine erteilte Einwilligung vor. Die Frist betrifft eine Ablehnung: Lehnt eine Person eine Einwilligungsanfrage ab, soll für denselben Zweck mindestens sechs Monate lang nicht erneut gefragt werden.

Hat eine Person dagegen eingewilligt, soll für denselben Zweck keine neue Anfrage erfolgen, solange sich das verantwortliche Unternehmen rechtmäßig auf diese Einwilligung stützen kann.

EDPB und EDPS beschreiben die Regel ebenfalls als sechsmonatige Sperrfrist nach einer Ablehnung. Zusätzlich empfehlen sie, für erteilte Einwilligungen eine maximale Gültigkeitsdauer festzulegen. Eine allgemeine Sechsmonatsfrist für Zustimmungen ist damit nicht Bestandteil des Kommissionsvorschlags.

Im Juni wurde die Kritik breiter

Anfang Juni wandten sich 46 Unternehmen in einem offenen Brief gegen Teile der Artikel 88a und 88b. LYDnews berichtete bereits darüber. Artikel 88b verlagere die Verwaltung von Datenschutzentscheidungen „weg von den Verantwortlichen, insbesondere hin zu Browsern“, schreiben die Unterzeichnenden. Sie warnten unter anderem vor Wettbewerbsverzerrungen und möglichen Folgen für Publisher.

Auch im Rat wurde der Mechanismus diskutiert. Ein Kompromisstext der Ratspräsidentschaft vom 22. Juni strich die vorgeschlagenen Artikel 88a und 88b vollständig. Die Cookie-Regeln sollten stattdessen über eine Änderung der ePrivacy-Richtlinie geregelt werden.

Zu einer beschlossenen Ratsposition wurde dieser Text nicht. Das vorgesehene Verhandlungsmandat wurde Ende Juni von der Tagesordnung genommen.

Die Arbeiten gingen danach weiter. Ende Juli waren im öffentlichen Ratsregister. Kommentare und Änderungsvorschläge der Mitgliedstaaten zu einem überarbeiteten Kompromisstext verzeichnet. Dessen Inhalt ist nicht öffentlich zugänglich. Deshalb lässt sich anhand der öffentlich verfügbaren Ratsdokumente derzeit nicht feststellen, ob die im Juni vorgesehene Streichung von 88a und 88b im überarbeiteten Kompromisstext erhalten geblieben ist.

Auch das Europäische Parlament hat seine Position noch nicht beschlossen. Im Verfahrensdossier des Europäischen Parlaments sind ein Berichtsentwurf vom 22. Juni und Änderungsanträge vom 27. Juli aufgeführt. Der Verfahrensstatus lautet weiterhin „Awaiting committee decision“.

Damit ist noch nicht entschieden, welche Regelung für Cookie-Einwilligungen am Ende beschlossen wird und welche Rolle Browser und andere technische Systeme dabei erhalten.