Cookie Consent

Eigentlich eher eine Frage an Dich Alex, aber auch an alle. Dein Consent-Script loggt ja auch in die Datenbank. Muss das überhaupt sein, also rechtlich? Wenn ja, dann meine eigentliche Frage. Wie kommen die Daten dann da wieder raus? Das können ja immer mehr werden. Wie funktioniert da die Löschroutine? Habe auch gesehen, dass Deine Cookies für den Consent eine Laufzeit von einem Jahr haben. Warum? Muss das so sein, also rechtlich? Bei mir sind die Consent-Cookies für immer gültig, kein Ablauf. Ich lösche einen einwilligenden Consent doch nicht freiwillig

Mir wirft das, wenn ich das hier so tippe immer mehr Fragen auf. Der Eintrag in die DB erfolgt per Ajax-Request. Wie stellt Dein System sicher, dass ich das nicht mit fingierten Requests flute? Wenn ich alle Cookies lösche, die schon da waren und neu auf die Seite gehe, warum bekomme ich dann automatisch ein "allow" gesetzt, obwohl ich an der Consent-Box gar nix machte?

Dein System scheint auch die Session-ID zu speichern. Speichert das die so automatisch, also Jommla nativ, oder kommt das vom Consent-Script?

Also die Datenbank ist also ein reines Logbuch, ok. Ich kam da nur drauf, weil eben das gelöschte Cookie von alleine wieder kommt und irgendwo her muss das System die Daten ja haben.

Da hatte ich eine eigenständige Einwilligung gegeben:

Hier dann alle Cookies gelöscht, auch das Session-Cookie:

Hier der Reload und beide waren wieder da, nur mit einem neuen Datum:

Ip nicht, aber die Session-ID ist ja mit dabei. Die bräuchte ein Log ja eigentlich nicht.

Das ganze mal in Slomo mit gedrosselter Verbindung.

Wenn ich erst zustimme und dann die Cookies lösche passiert folgendes bei einem Reload:

Die Seite geht auf.

Der Consent-Banner kommt

Ein Cookie mit "miss" wird gesetzt

Dann erfolgen 4 POST-Requests an den Server vom Consent-System

Das Cookie ändert sich von "miss" in "allow".

Der Consent-Hinweis verschwindet.

Die Seite lädt sich selbst neu.

Das ganze passiert bei gedrosselter Verbindung binnen ca. 2 Sekunden.

Aber das war an sich nicht der Grund meiner Frage. Habe das nur dabei gemerkt, daher die Aussage "immer mehr Fragen". Mein Punkt anfangs war eher, ob man das protokollieren muss. Es könnte ja einer kommen und sagen "Nee, Consent habe ich nie gegeben". Was antwortet man dann darauf, wenn man keinen Nachweis hat? Nur wenn dem so sein muss, wie ist der Nachweis zu führen? Bei Dir scheint das über die Session-ID zu gehen. Bei mir gibt es noch nicht mal eine Session Du weißt, ich dokumentiere derzeit in ein txt-File. Das aber eben auch nur zu Debug-Zwecken, nicht als Nachweis, denn das Ding weißt gar nichts nach.

Ok, nach 1,5 Jahren ist die Frage noch immer offen. Egal, Selbstgespräche halt. Schreibe nun nur so als Info, dass man "I don't care about cookies" im Auge behalten sollte. Ein Addon, das den Banner ausblendet, ohne irgendwas zu bestätigen oder gar das eigentliche JS gar nicht lädt.

In meinem Fall versucht es auszublenden, was zu komischen Effekten führt und die "kostenlos Nutzer" empört sind. Mein Script besteht aus zwei Teilen, einem grauen Overlay und dem Hinweis. Das Addon entfernt per Add-On-CSS den Hinweis, nicht aber das Overlay. Somit ist die Seite unbrauchbar, denn das Overlay verschwindet nicht mehr, man hat keine Möglichkeit, irgendwas zu machen, wenn der Hinweis selbst weg ist. Damit ist ja auch "erlauben" und "ablehnen" weg.

Habe das nun aufgebort und jeder, der mit dem Addon kommt, bekommt automatisch ein "erlaubt für alles" !!! Bzw. ist das falsch ausgedrückt. Das Addon gibt sich nicht zu erkennen, nicht so wie z.B. das Addon "CookiesOK", das eine globale Variable setzt. Also direkt erkennen kann man das Addon also nicht. Daher eine Prüfung, ob "isOpen" in dem Fall dann auch ein "isVisible" ist. Denn "open" ist der Banner, nur nicht sichtbar.

Bei Dir Alex, da greift das Addon direkt auf das JS zu und blockiert es. Es kommt also niemals ein Banner mit einer Auswahlmöglichkeit. Kann aber auch sein, dass nachträglich noch eine CSS-Filterung erfolgen könnte / würde.

Dessen Liste mit CSS-Rules und Script-Adressen ist verdammt lang. Und was sich so nicht filtern / erkennen lässt, wird direkt per Domain erfasst. Die Liste hat gefühlt auch schon 150.000 Einträge, fast alles aus der EU, mal von großen internationalen Seiten / Firmen / Zeitungen abgesehen.

Warum ich das nun schreibe.... Weil das Addon durchaus immer mehr Nutzer findet und seit einigen Wochen auch als "Empfohlenes Addon" beworben wird in den jeweiligen Stores von Firefox und Chrome. Gibt es aber auch für alle anderen Browser.

Und, das Problem mit dem Overlay scheint bei mir nicht an meinem System zu liegen, sondern verbreitet zu sein. Viele Seiten haben ein Overlay, das Klicken und Scrollen blockiert, bis die Auswahl getroffen wurde. In deren Fällen halt nicht grau wie bei mir, sondern transparent. Es scheint dort aber genauso zu sein, denn es beschweren sich schon einige im Sinne von "Addon tut was es soll, nervige Meldungen sind weg, aber ich kann auf vielen Seiten nicht mehr scrollen". Scheint also genau das Gleiche zu sein. Meldung ist weg, Overlay aber noch da.

Stelle gerade fest, es gibt sogar eine Filterliste für "Adblock Plus" (https://www.i-dont-care-about-cookies.eu/abp/). Meine Änderung scheint zu funktionieren. ABP entfernt das Element, das Script erkennt es dennoch, erteilt die Freigabe für Cookies und entfernt das dann unnötige Overlay Wobei die Filterliste da nur eine reine Liste ist. Das eigentliche Addon, bzw. dessen JS, macht mehr.

Na es kommt drauf an. Was hier und dort immer als "Cookie-Banner" beschrieben wird sind ja zwei Dinge eigentlich (Info + Consent). Session-Cookie. Dazu brauchst Du eigentlich gar keinen Hinweis, da reicht normalerweise die DSE aus. Bei Sprache und Währung schaut es schon anders aus. Drauf hinweisen, ja, solltest Du. Eigentlich müsste man die auch vorher unterbinden, denn zwingend notwendig scheinen die nicht zu sein. Woher weiß das System denn, welche Sprache und Währung es setzen soll, wenn man das selbst nicht aktiv wählt? Aus den Browserdaten? Dann bräuchte es keine Cookies, denn die Browserdaten sind ja ohnehin da. Das waren nun keine Fragen an Dich, sondern einfach so für "eigentlich braucht man die nicht". Ein Bot wird sicherlich auch auf die Seite zugreifen können, ohne dass die beiden Cookies benötigt werden.

Warenkorb erübrigt sich, denn der gehört zum Session-Cookie. Ohne geht nicht.

Und ja, das vierte Cookie, das ist der Witz an sich. Selbst wenn man ablehnen würde und das technisch könnte, würde man dennoch eines bekommen, damit gespeichert wird, dass abgelehnt wurde. Keine Ahnung, wer sich das ausgedacht hat.

So, das war nun alles eher der Bereich "Info", also "Lies das und fertig". Der User kann da ja nix machen.

Auf Deiner Seite ist aber eigentlich eher das Problem "Consent". Du schickst nämlich sofort Daten an Google und dieser Datenübermittlung hat keiner zugestimmt. Das muss blockiert werden. Consent einholen und dann aktivieren.

Daher schrieb ich oben "eigentlich zwei Dinge". Dieser Cookie-Hinweis ist das eine, der muss ja sein, weil eben Cookies benutzt werden. Das andere ist aber dann eher DSGVO, also Datenverarbeitung und Datenübermittlung. Und da gibt es kein "ok, verstanden, fertig", da gibt es ein "ja, nein, Optionen".

Ja, das mit der Sprache und Währung verstehe ich schon, aber ist halt unlogisch. Merkste doch auch, oder? Wenn Du das als Betreiber vorgibst, dann braucht das System keine Cookies dafür, denn das kommt dann ja aus der Shopconfig. Und wenn man dann wo anders ist, also anderes Land oder andere Währung, dann wählt man das aus und erst dann wird ein Cookie gesetzt. Wäre dann ja auch kein Problem im Sinne von "Cookie wird gesetzt, wenn Sie eine Auswahl treffen". Das wäre dann ja quasi schon die Einwilligung.

Aber auch so, ist schnuppe, unschön, aber egal.

Das mit Deinem Modul da hatte ich bei Facebook gelesen, aber irgendwie nicht gesehen. Bots ausgeschlossen, also bekommen keines, ok. Hinweistext nach Bildersuche, das ist normal, ist ja ein normaler Zugriff. Allerdings sollte der Hinweis dann halt genauso sein, wie sonst auch und nicht Textwüste mit 20 Minuten Scollen.

Bei meiner "Eigenentwicklung" hat man aktuell auch einen sehr langen Text mit Overlay und Over-Overlay. Aber scollen muss man da nur den Text, wenn man will. Die Buttons sind immer direkt da, egal ob Desktop oder Mobil. Alles andere macht ja auch keinen Sinn. Scheint also bei Deinem Tool irgendein Bug zu sein. Wobei man natürlich aufpassen muss. Diese Tools arbeiten teils sehr aggressiv, was auch gut ist. Kann aber z.B. auch sein, dass die eben Schriften mit blockieren und es dann völlig idiotisch ausschaut, wenn keine vernünftige per Default da ist. Habe sogar schon welche gesehen, die blockieren CSS mit, wenn im Dateinamen ein bestimmtes Wort oder eine Buchstabenkombi vorkommt. Oder andere, die Teile vom JS blocken, das dann inline aufgerufen wird, einen Fehler wirft im Sinne von "function undefined" und diese dann eben, wegen Fehler, auch die Folgescripte abbricht. Also eine total zerschossene Seite, weil ein Script blockiert wurde.

Wennste noch etwas aufhübschen magst und Dir langweilig ist, dann kannste ja mal da schauen

Erkennt man da schlecht, aber warum auch immer steht da im Hintergrund des Textes zwei oder drei Mal "Seidenhandel Haller". Soll das so sein? Schaut komisch aus und irritiert, wenn man den Text lesen möchte.