Kekse für das Bundesministerium der Justiz und für Verbraucherschutz 

Die Voraussetzungen für das Setzen von Cookies durch Webseiten ist "eigentlich" klar, meint man.

Cookies, die technisch nicht für die Nutzung der Webseiten notwendig sind dürfen nur mit ausdrücklicher Genehmigung des Besuchers der Website gesetzt oder gelesen werden. Dies ergibt sich aus der EU Richtlinie  2002/58 Art. 5 Abs. 3 in der aktuellen Fassung:

(3)  Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Dass die diesbezügliche Regelung des deutschen §15 TMG, die eine Opt-Out Lösung vorsieht, unwirksam ist, hat zuletzt der EuGH in seinem Urteil zu Planet49 hinreichend klar gemacht. Hinweise, wie eine solche Einwilligung auszusehen hat kann man in Art 7 DSGVO nachlesen oder etwas ausführlicher in dem EU Dokument "Guidelines 05/2020 on consent under Regulation 2016/679".

Leider beachten zahlreiche Anbieter diese Vorgaben nicht. Auch, oder gerade, bei Zeitungen und Magazinen, die dadurch ihre Werbeeinnahmen bedroht sehen. Wie kann man auch von Firmen erwarten, dass sie die Vorschriften umsetzen, wenn nicht einmal Ministerien diese korrekt anwenden :(. 

Das Bundesministerium der Justiz und für Verbraucherschutz, z.B., verwendet auf seiner Website nach eigenen Angaben Cookies zur Webanalyse mit Mamoto.  Zur Notwendigkeit und Form einer Zustimmung hierzu scheint man im Ministerium eine ganz eigene Meinung zu haben, wie man an dem Einsatz des Cookie-Banners auf deren Website sehen kann.


 

Im Folgenden der derzeit laufende E-Mail-Verkehr mit dem Ministerium zur Angelegenheit :)

05.03.2020

Von: <Stefan Krempl>
An: <datenschutz @ bmjv.bund.de>
Betreff: Cookies, Ihre Website https://www.bmjv.de

Sehr geehrte Damen und Herren,

mit etwas Erstaunen habe ich heute Ihre Website https://www.bmjv.de besucht. Ausweislich Ihrer Datenschutzerklärung verwenden Sie Cookies zur Webanalyse mit Mamoto. Dies dürfte sehr eindeutig eine nicht technisch erforderliche Speicherung von Daten auf dem Endgerät des Benutzers darstellen und erfordert damit gemäß Art. 5 Abs. 3 der EU Richtlinie 2002/58 die ausdrückliche Einwilligung des Nutzers. Der von Ihnen verwendete Cookie-Banner bietet jedoch lediglich die Option „OK“ und keine Möglichkeit des Widerspruchs. Kurz gesagt wird allem Anschein nach die Handhabung der Cookies, das Einholen der Einwilligung sowie die Information über diese Cookies nicht den hohen Ansprüchen gerecht, die sich aus dem Urteil des EuGH vom 1.10.2019 in der Rechtssache "C-673/17 Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. gegen Planet49 GmbH" ergeben.

Lassen Sie mich etwas provokant fragen: Gelten für das BMVJ andere Gesetze als für die Unternehmen der freien Wirtschaft?

Mit freundlichen Grüßen
Dr. Stefan Krempl

05.03.2020

Von: <datenschutz @ bmjv.bund.de>
An: <Stefan Krempl>
Betreff: Automatische Antwort: Cookies, Ihre Website https://www.bmjv.de

Vielen Dank für Ihre Nachricht. Ich bin derzeit nicht erreichbar. Ihre Mail wird nicht weitergeleitet. Bei Auskunftsersuchen nach Artikel 15 DSGVO wenden sie sich bitte an das Referat ZA5 unterDiese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!.

30.04.2020

Von: < ... @ bmjv.bund.de>
An: <Stefan Krempl>
Betreff: AW: Cookies, Ihre Website https://www.bmjv.de

Sehr geehrter Dr. Krempl,

vielen Dank für Ihren Hinweis. Durch eine nicht erfolgte Aktualisierung war die Datenschutzerklärung tatsächlich missverständlich, das haben wir behoben. Auf Grundlage des Artikel 6 Absatz 1 Buchstabe e und Absatz 3 Buchstabe b DS-GVO in Verbindung mit § 3 BDSG  wertet das BMJV im Rahmen der Öffentlichkeitsarbeit und zur bedarfsorientierten Bereitstellung von Informationen zu den vom BMJV wahrzunehmenden Aufgaben Nutzungsinformationen zu statistischen Zwecken aus. § 3 BDSG ermöglicht die Verarbeitung personenbezogener Daten durch öffentliche Stellen, wenn dies zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe (oder in Ausübung öffentlicher Gewalt), die dem Verantwortlichen übertragen wurde, erforderlich ist. Öffentlichkeitsarbeit ist ein Teil der Aufgabenerfüllung des BMJV.

Entschuldigen Sie bitte die durch die aktuellen Corona-bedingten Umstände verzögerte Antwort.

Mit freundlichen Grüßen

...
_________________________________
Leitungseinheit Kommunikation
Leiterin Referat Öffentlichkeitsarbeit & Digitale Kommunikation 
Leiterin Referat Bürgerkommunikation

30.04.2020

Von: <Stefan Krempl>
An: < ... @ bmjv.bund.de>
Betreff: Aw: Cookies, Ihre Website https://www.bmjv.de

Sehr geehrte Frau ... ,

vielen Dank für Ihre Antwort und Ihre Ausführungen. Ich habe mir auch gleich Ihre aktuelle Website dahingehend angesehen.

Zu Ihren Ausführungen und der Website möchte ich aber noch etwas bemerken. Die Aussage, dass die Auswertung mit Mamoto zur Erfüllung der in der Zuständigkeit des BMVJ liegenden Aufgabe erforderlich ist halte ich persönlich für eine gewagte These. Technisch erforderlich für die Erbringung des Dienstes sind sie in jedem Fall nicht. Die Rechtmäßigkeit alleine aus Sicht DSGVO und BDSG sehe ich aber persönlich auch nicht als das entscheidende Problem. 

Gemäß Art. 5 Abs. 3 der EU Richtlinie 2002/58 in der geänderten Fassung vom 18.12.2009 sollten Mitgliedstaaten sicherstellen, dass die Verwendung von Cookies nur dann gestattet ist, wenn der betreffende Nutzer  … seine Einwilligung ge­geben hat. Der EuGH hat daher, so wie ich das lese, in seiner unten zitierten Entscheidung klar gemacht, dass man für das Setzen und Lesen von Cookies die Widerspruchs-Regelung des §15 Abs. 3 TMG salopp gesagt in der Pfeife rauchen kann. Ihre Website bietet jedoch nur eine Widerspruchslösung an und holt vor der Verwendung von Cookies keine Einwilligung ein.

Mir wäre daran gelegen diesen Widerspruch zwischen den Anforderungen aus der Art. 5 Abs. 3 der EU Richtlinie 2002/58 und den Vorgaben aus §15 Abs. 3 TMG aufzulösen. Ich selbst bin beratend im Datenschutz tätig bzw. als Datenschutzbeauftragter bei verschiedenen Firmen bestellt. Bisher weise ich meine Kunden immer darauf hin, vor der Verwendung von technisch nicht notwendigen Cookies eine Einwilligung der Besucher einzuholen. Ggf. würde ich meinen Kunden auch gerne mitteilen, dass sie die Einwilligung zu den Cookies nicht so ernst nehmen müssen.

Da das Thema in meinen Augen von grundsätzlicher Bedeutung ist, plane ich die Kommunikation in geeigneter Weise öffentlich zu machen und bei Gelegenheit mit den Bayerischen Datenschutz-Aufsichtsbehörden zu diskutieren. Ihren Namen werde ich dabei nicht nennen, es sei denn Sie wünschen es.

Mit besten Grüßen und bleiben Sie gesund
Dr. Stefan Krempl