Seitdem Webseitenbetreiber verpflichtet sind, sich für den Einsatz von Cookies, welche nicht technisch notwendig sind, eine Einwilligung der Nutzer einzuholen, werden Cookie Consent Management Tools eingesetzt, welche diese Einwilligung ermöglichen sollen. Eines der meist genutzten Tools hierfür ist Cookiebot. Das Verwaltungsgericht (VG) Wiesbaden hat in einem Urteil (Beschl. V. 1.12.2021 – 6 L 738/21.WI) nun die Nutzung von Cookiebot aufgrund der Datenübermittlung für unzulässig erklärt.

Wir wollen beleuchten, was hinter diesem Urteil steckt und welche Folgen es gegebenenfalls nach sich ziehen kann.

Der Sachverhalt

Der Kläger beschwerte sich, dass auf der Webseite der Hochschulbibliothek Cookiebot eingesetzt wird (ein Dienst des dänischen Unternehmens Cybot), da Cookiebot die IP-Adresse des Nutzers, seiner Ansicht nach, rechtswidrig an die in Drittstaaten gelegenen Server des US-Dienstleisters Akamai Technologies Inc. übermittelt. Ein Auftragsverarbeitungsvertrag zwischen der Hochschule und Cybot bestand nicht, da nach Ansicht von Cybot keine personenbezogenen Daten übermittelt werden.

Das Gericht erkannte in der Übermittlung von IP-Adressen berechtigterweise eine Verarbeitung von personenbezogenen Daten. Damit wäre eine Rechtsgrundlage für die Datenübermittlung in Drittstaaten notwendig. Laut dem VG Wiesbaden käme hierfür lediglich eine Einwilligung in die Datenübermittlung in Drittstaaten gem. Art. 49 Abs. 1 S. 1 lit. a DSGVO in Frage. Diese Einwilligung zur Datenübermittlung in Drittstaaten durch Cookiebot lag nicht vor. Zu Standardvertragsklauseln als Rechtsgrundlage äußerte sich das Gericht nicht. Die Datenübermittlung ist damit unzulässig gewesen.

Was ist am Urteil problematisch?

Das Problem an dem Urteil ist, dass das VG Wiesbaden nur eine Einwilligung als zulässige Rechtgrundlage für eine Datenübermittlung des Cookie Consent Tools erkannt hat. Somit müsste in der Praxis bevor die Einwilligung für technische nicht notwendige Cookies eingeholt wird, zunächst eine Einwilligung zur Nutzung und Datenübermittlung durch eine Cookie Consent Tool eingeholt werden. Ein solches Vorgehen ist kaum umsetzbar und auch den Nutzern nicht zuzumuten.

Als Rechtsgrundlage, welche am sinnvollsten umsetzbar wäre, kämen stattdessen, die vom Gericht nicht beachteten, Standardvertragsklauseln in Frage. Diese werden insbesondere zwischen Cybot und Akamai abgeschlossen und anschließend den Nutzern von Cookiebot nachgewiesen werden müssen. Da das Gericht korrekterweise festgestellt hat, dass Cybot mit der IP-Adresse auch personenbezogene Daten der Nutzer verarbeitet, wird es zukünftig wohl auch notwendig sein, dass Webseitenbetreiber für die Nutzung von Cookiebot eine Auftragsverarbeitungsvereinbarung mit Cybot abschließen.

Fraglich ist, ob dieses strittige Urteil des VG Wiesbaden sich in der Rechtsmeinung so umsetzen wird. Da die Nutzung von vielen Diensten und Tools auf Webseiten, welche Daten in Drittstaaten übermitteln, praktisch mit einer Einwilligung kaum umsetzbar sein wird.

Zudem handelt es sich beim Urteil des VG Wiesbaden um ein Eilverfahren, gegen welches die Hochschule noch Beschwerde einlegen kann. Das letzte Wort ist hier also noch nicht gesprochen.