Die Cookie-Tricks der deutschen Verlage

„Es gibt eine Theorie, die besagt, wenn jemals irgendwer genau herausfindet, wozu das Universum da ist und warum es da ist, dann verschwindet es auf der Stelle und wird durch noch etwas Bizarreres und Unbegreiflicheres ersetzt. Es gibt eine andere Theorie, nach der das schon passiert ist.“

Dieses Zitat von Douglas Adams kam mir in der vergangenen Woche in den Sinn, als ich mir die neuen Cookie-Banner ansah, die bei vielen Verlagen online gegangen sind.

In zwei Teilen hatten wir beschrieben, wie der deutsche Gesetzgeber ein Sonderrecht für hiesige Verleger geschaffen hatte, um die Daten ihrer Leser für Werbezwecke zu nutzen – und wie dieses Sonderrecht nun in sich zusammenfällt.

Seither ist schon wieder einiges passiert. So haben mehrere Landes-Datenschutzbehörden mit einer koordinierten Überprüfung der Cookie-Praktiken deutscher Verlage begonnen. Und die Werbewirtschaft hat die neue Version des „Transparency and Consent Frameworks“ (TCF v2.0) adaptiert. Mit dem technischen und organisatorischen Standard soll das System personalisierter Werbung zumindest auf dem Papier wasserdicht gemacht werden. In der langen Wertschöpfungskette soll jeder Adtech-Dienstleister, jeder Werbetreibdende und jede Agentur absolut sicher sein können, welche Nutzerdaten sie verwenden können und welche nicht.

Wo bitte ist der „OK“-Knopf?

Doch wenn man die Praxis betrachtet, kommen Zweifel. Nehmen wir zum Beispiel diesen Cookie-Dialog, der nun bei zahlreichen Angeboten der Ippen-Gruppe auftaucht – etwa bei der „Frankfurter Rundschau“ und dem „Münchner Merkur“, der „tz“ und der „Hessisch/Niedersächsischen Allgemeinen“ (HNA).

Wie mittlerweile üblich, sehen wir auf hna.de einen Dialog, der zunächst vorgibt, die datenschutzfreundlichsten Einstellungen vorausgewählt zu haben. Nur der Schalter „Notwendig“ ist aktiviert. Alle anderen Schalter von der personalisierten Werbung bis zur genauen Standortabfrage sind deaktiviert. Alles prima also, eine vorbildliche Datenschutzhaltung, die im krassen Kontrast zu Datenkonzernen wie Google oder Facebook steht. Denkt man.

Trick Nummer 1: Leider mussten sich die Nutzer:innen schon daran gewöhnen, dass sie in solchen Cookie-Dialogen dazu verleitet werden sollen, Daten freizugeben, selbst wenn sie das nicht wollen: Wo man eigentlich einen „OK“-Button erwartet, steht in Wahrheit ein Knopf mit der Aufschrift „Alle Akzeptieren“. Sprich: Leser:innen, die wie üblich den lästigen Dialog schnell loswerden wollen und die vermeintliche Voreinstellung akzeptabel finden, geben in Wahrheit jede Datenverwendung frei.

Nicht im Interesse der Nutzer

Solche Tricks nennen sich übrigens „dark patterns“, sozusagen die dunkle Seite des Nutzerdesigns. Statt Zusammenhänge möglichst klar zu machen, geht es hier darum, die Nutzer:innen zu einer Entscheidung zu bewegen, die nicht wirklich in ihrem Interesse ist.

Wer die oft sehr klein gesetzten Texte genau liest, erfährt: Wenn erst auf „Alle akzeptieren“ geklickt wurde, dürfen der Verlag und seine „Partner“ so ziemlich alles mit den Daten ihrer Leser:innen machen. Etwa das Handy mit dem Desktop-Rechner abgleichen, die genauen Standortdaten erfassen, detaillierte Nutzerprofile anlegen, die alle Interessen und Kaufprofile vereinigt. Sogar das „Browser-Fingerprinting“ wäre erlaubt: Hierbei wird versucht, Nutzer:innen aufgrund von technischen Daten wie den auf dem Computer installierten Schriftarten, der IP-Adresse oder der Bildschirmauflösung wiederzuerkennen, wenn sie gar nicht erkannt werden wollen und zum Beispiel den Privatsphäre-Modus ihres Browsers benutzen. Schließlich haben sie ja ihre Zustimmung erteilt.

Dieser Cookie-Banner geht aber deutlich über die bisher üblichen Tricks hinaus. Denn normalerweise ist in solchen Cookie-Dialogen noch ein Button platziert, der es den Nutzer:innen ermöglicht, die angezeigte Voreinstellung tatsächlich zu akzeptieren und die Datenweitergabe auf ein erträgliches Maß zu reduzieren. Nicht jedoch hier. Einen „OK“-Button, mit dem man die vermeintlichen Voreinstellungen und damit – zumindest dem Anschein nach – nur die notwendigsten Cookies akzeptieren würde, gibt es erst gar nicht. Stattdessen gibt es einen Knopf, der zu den „Einstellungen“ führt.

519 Partner warten auf Daten

Wer meint, dass man hier einfach den Tracking-Cookies widersprechen kann, sieht sich auch hier getäuscht. Denn statt der übersichtlichen Auswahl von der erste Seite wird man nun hier mit einer langen Liste von zwölf verschiedenen „Verarbeitungszwecken“ konfrontiert. Aber – oh Wunder – schon wieder sind alle Schalter deaktiviert. Will der Verlag also gar keine Daten verwenden? Wozu einen so aufwendigen Cookie-Banner entwerfen, wenn man keine Cookies setzen will?

Ein Blick auf den Kartenreiter „Partner“ belehrt eines Besseren. Im Cookie-Dialog auf hna.de sind sage und schreibe 519 Partner aufgelistet, denen der Verlag auf irgendeine Weise Daten zukommen lassen will.

Manche davon sind relativ unproblematisch – wie etwa das VG-Wort-Cookie, das zur Zuteilung der Einnahmen der Verwertungsgesellschaft für Autoren gedacht ist und keine Datenprofile anlegt.

Andere Anbieter sind hingegen für ihre extensive Datensammlung bekannt: Google steht genau so auf der Liste wie Oracle, Criteo oder The Rubicon Project. Wer an dieser Stelle in seinem Browser auf die Seiteneigenschaften klickt, wird feststellen, dass einige dieser Anbieter bereits ihre Cookies gesetzt haben, noch bevor eine Zustimmung erteilt wurde. Was ist da los? Alle Schalter waren doch deaktiviert?

Ablehnung nur mit Klickorgien

Wer glaubte, mit dem Klick auf „Einstellungen“ verhindert zu haben, dass die eigenen Daten Richtung Google geschickt werden, sieht sich getäuscht. Aufklärung schaffte erst der Kartenreiter „Berechtigtes Interesse“. Sie haben ihn noch nicht entdeckt? Nun, hier oben ist er:

Wieder eine neue Liste, diesmal mit neun „Zwecken“. Diesmal jedoch sind alle Schalter aktiviert.

Darunter fallen eher harmlose Kategorien wie „Inhalte-Leistung messen“, mit der es dem Verlag ermöglicht wird, Leservorlieben zu registrieren, ihr Angebot zu verbessern oder den Lesern gar Lesevorschläge zu unterbreiten. Aber auch die Kategorie „Ein personalisiertes Anzeigen-Profil erstellen“, ist hier aktiviert, die es nicht weniger als 41 „Partnern“ ermöglicht, ausgiebige Datenprofile über Leser:innen anzulegen. Der Punkt „Marktforschung einsetzen, um Erkenntnisse über Zielgruppen zu gewinnen“, der den Partnern sogar erlaubt das Nutzer-Profil mit „Offline-Daten“ zusammenzuführen, führt gar 77 Partner auf. Nur wer diese Kategorien manuell deaktiviert, kann einer Verwertung der eigenen Daten im weltweiten Werbekasino widersprechen.

Aber auch das nur zum Teil: Denn selbst wenn man alle Schalter auf Aus stellt, bleiben immer noch Dutzende Cookies übrig. Ein weiterer Blick in die Liste offenbart, dass hier noch weitere Kategorien aufgeführt sind, denen der Nutzer schlichtweg nicht widersprechen kann. Das sind zum einen die Datenverarbeitungen, die der Sicherheit dienen, Betrug verhindern oder gar Fehler beheben dürfen. Und die Datenerhebungen um „Anzeigen oder Inhalte technisch bereitzustellen“. Es folgt eine Liste von 295 Unternehmen.

Immerhin: Wenn man jeden Schalter auf jeder Seite des Cookie-Dialogs deaktiviert hat, sollen diese Partner keine Bewegungsprofile anlegen dürfen, keine Interessenprofile anlegen und die Daten nicht mit anderen Offline-Daten abgleichen. Zumindest so lange bis die Nutzer:innen die nächste Website besuchen, wo sie denselben „Partnern“ in einem anderen Cookie-Dialog (aus Versehen) all das erlauben könnten.

Behörden wollen Cookie-Praxis der Verlage untersuchen

Der Cookie-Dialog erscheint als Antithese zu der 24-seitigen Handreichung der Datenschutzbehörden für die Anbieter von Telemedien (PDF), der die Freiwilligkeit und die Informiertheit der Nutzer:innen betont und „berechtigtes Interesse“ nur unter engen Voraussetzungen als Freibrief zur Datenverarbeitung akzeptiert.

Wir hätten gerne den Verlag zu Wort kommen lassen, wie er diese Cookie-Policy rechtfertigt, mehrere Anfragen blieben jedoch unbeantwortet.

Stattdessen muss er sich nun den Fragen mehrerer Aufsichtsbehörden stellen, die mit einer kollektiven Untersuchung der Cookie-Praxis großer Medienhäuser begonnen haben.

Runterbrechen lässt sich die Gesetzeslage auf diese Fragen: Können die Nutzer:innen tatsächlich davon ausgehen, dass ihre Daten an über 500 „Partner“ weitergegeben werden? Und konnten sie ahnen, dass diesen Partnern mitunter das Recht gegeben wird, die Daten mit Supermarktkäufen abzugleichen, einen Browser-Fingerabdruck zu nehmen und Bewegungsprofile zu erstellen?

Falls dies nicht der Fall ist, ist diese Zustimmung nämlich nichts wert.

So hat der Bundesgerichtshof Ende Mai geurteilt:

„Weiß der Verbraucher mangels Kenntnisnahme vom Inhalt der Liste und ohne Ausübung des Wahlrechts nicht, die Produkte oder Dienstleistungen welcher Unternehmer die Einwilligung erfasst, liegt keine Einwilligung für den konkreten Fall vor.“

Eine andere Frage ist: Entspricht es wirklich dem „berechtigten Interesse“ des Verlages, so viele Daten auch ungefragt weiterzugeben? Auch hier sieht es für die Interpretation der Verlage nicht gut aus. „Cookies zu Werbezwecken oder Profilbildung erfordern immer eine wirksame Einwilligung. Dies hat der BGH kürzlich nochmal klargestellt“, erklärt etwa ein Sprecher des Bundesdatenschutzbeauftragten auf Anfrage von Übermedien.

Trotzdem haben viele Verlage den oben vorgestellten Cookie-Dialog mit leichten Variationen übernommen, etwa die „FAZ“, die „Süddeutsche Zeitung“, „Meedia“ oder „Chip.de“.

!slideshow_deploy!

Unterschiede gibt es etwa dabei, wie unverständlich die Texte formuliert sind, wie viele Seiten der „Datenschutzoptionen“ gar keine Optionen enthalten oder wie oft man klicken muss, um selbst einfachste Sachverhalte nachzulesen.

Die Gespräche, die viele Datenschutzbehörden nun mit den reichweitenstärksten Medien beginnen wollen, dürften daher für die Verlage mitunter schmerzhaft werden.