Hintergrund
VÜPF-Revision: Bundesrat will Überwachung per Verordnung durchmogeln
von Florian Bodoky
Einwilligung ohne Kontrolle: Warum Cookie-Banner scheitern
21.5.2025
Nach mehreren Jahren gerichtlicher Streitigkeiten steht nun fest: Das «Transparency and Consent Framework» verstösst gegen die Datenschutz-Grundverordnung der EU. Auf einem Cookie-Banner «OK» zu klicken, reicht nicht, um die Daten so zu verarbeiten, wie viele Firmen es tun.
Was ist das TCF?
Wo liegt nun das Problem?
Datenschützer kritisieren seit Langem mehrere Aspekte. Zum einen die Intransparenz des Systems. Otto Normalverbraucher können in der Regel nicht nachvollziehen, welche ihrer Daten zu welchem Zweck verarbeitet werden. Eine effektive Kontrolle über Einwilligungen bleibt dir verwehrt, weil du nicht wirklich verstehen kannst, wozu du dein OK gibst, wenn du auf einem Cookie-Banner «Alles akzeptieren» klickt.
In einem Ökosystem, in dem Daten in Sekundenbruchteilen an Hunderte Akteure übermittelt werden, erscheine das Prinzip der «informierten Zustimmung» mehr Fiktion als Realität. Die Gretchenfrage dabei war, ob die Daten, die in einem TC String gespeichert sind, personenbezogene Daten waren. Diese Frage beantwortet das Gericht mit Ja.
Dies hat zur Folge, dass das TCF gegen einige Artikel der DSGVO verstösst:
Artikel 5, Absatz 1 lit. a und b
- Die Erhebung und Nutzung der TC Strings ist für Nutzer und Nutzerinnen oft nicht nachvollziehbar.
- Sie können häufig nicht erkennen, welche Daten an wen gehen – das verletzt den Grundsatz der Transparenz.
- Die Zwecke der Datenverarbeitung sind oft zu allgemein oder unklar formuliert.
- Nutzer und Nutzerinnen können nicht differenziert zustimmen – z. B. für Werbung ja, aber nicht für Tracking zur Marktforschung.
Artikel 6, Absatz 1 lit. a
- Eine Verarbeitung personenbezogener Daten ist nur bei wirksamer Einwilligung zulässig.
- TC Strings können auch durch intransparente Cookie-Banner oder Dark Patterns erzwungen worden sein.
Artikel 7. Absatz 1
- Die blosse Speicherung eines TC Strings reicht nicht als Nachweis einer gültigen Einwilligung.
- Es fehlen oft Informationen, wann, wie und durch wen die Einwilligung abgegeben wurde.
Wer ist schuld und was sind die Konsequenzen für die Schuldigen?
Der Begriff «gemeinsame Verantwortlichkeit» bedeutet gemäss DSGVO (Artikel 26), dass mehrere Parteien gemeinsam für gewisse Schritte im Verarbeitungsprozess verantwortlich sind. Sie entscheiden zusammen, welche Zwecke und Mittel zur Datenverarbeitung zum Einsatz kommen. Hier muss klar geregelt sein, wer welche Aufgaben erfüllt, da User einen konkreten Ansprechpartner haben müssen, um ihre Rechte einfordern zu können.
Allerdings könnte dieses Urteil andere Folgen nach sich ziehen. Immerhin setzt ein Grossteil der europäischen Websites auf das TCF. Das bedeutet, dass eine sehr grosse Zahl von Nutzerinnen und Nutzern von unrechtmässiger Datenverarbeitung betroffen ist – entsprechend stellt sich die Frage nach allfälligen Entschädigungsforderungen. Diese dürften allerdings an die Werbetreibenden gehen, die ohne Rechtsgrundlage mit diesen Daten gearbeitet haben.
Wie geht’s weiter?
Die Entscheidung kann als Meilenstein betrachtet werden. Nun stellt sich die Frage nach dem weiteren Vorgehen. Die Herausforderung besteht darin, technische Lösungen zu schaffen, die den Anforderungen der DSGVO gerecht werden. Datenschutz «by Design» und «by Default» – also der Schutz von Daten schon bei der Konzeption – müssen gegeben sein, um der DSGVO zu entsprechen. Die neue Version des TCF ist der Prüfstein für IAB Europe.
Was heisst das für die Schweiz?
Titelbild: Shutterstock
Seit ich herausgefunden habe, wie man bei der ISDN-Card beide Telefonkanäle für eine grössere Bandbreite aktivieren kann, bastle ich an digitalen Netzwerken herum. Seit ich sprechen kann, an analogen. Wahl-Winterthurer mit rotblauem Herzen.
Security
Folge Themen und erhalte Updates zu deinen Interessen
Hintergrund
Interessantes aus der Welt der Produkte, Blicke hinter die Kulissen von Herstellern und Portraits von interessanten Menschen.
Alle anzeigen
