Cookiebot + Datenspeicher in den USA

Ist doch mal das Richtige für cura

Duckundwech

Schwieriges Thema.

So man denn von "Schuld" sprechen will; es sind nicht die Gerichte und die Gesetzgeber schuld, sondern die, welche glauben sich an europäische Normen nicht halten zu müssen.

Gut, diese Datensammler haben halt das Problem, dass, wenn sie sich an die Gesetze halten ihnen die Geschäftsgrundlage wegbricht. An die Gesetze halten heisst in diesem Fall die User vollumfänglich aufzuklären worauf sie sich einlassen.

Es zeichnet sich schon länger der Trend ab, dass Wissen nicht mehr "kostenlos" sein soll, dass der Zugang zum Wissen nur noch gegen Preisgabe persönlicher Daten möglich sein soll. Eine schleichende, kaum bemerkte Eskalation. Wie halt immer im Internet, am Anfang ist alles kostenlos und dann, wenn das Wissen gebündelt ist, werden die Schrauben angezogen.

Was Heise im Artikel verschweigt ist, dass sie davon auch betroffen sind, genauso wie die sonstigen Postillien. Auch die verlangen schwammig formuliert die Zustimmung, dass Daten im Ausland verarbeitet werden dürfen. Heise gestattet den Usern ja noch eine gegebene Zustimmung zur Datenvereinbarung per Mausklick zeitnah zu widerrufen. Bei anderen, wie der FAZ, muss man das schriftlich an irgendeine Redaktion richten. Das ist genau das, was durch die neuen Regelungen zu den "Dark pattern" nun unterbunden werden soll: Zustimmung leicht gemacht, Widerrufen nur unter kompliziertesten Bedingungen.

So lese ich das nicht Syno, aber ich schaue mir die Entscheidung später nochmal genauer an.

Ob jemand Ami ist oder nicht spielt keine Rolle, es geht um den Standort der Server und darum, dass die wegen des Standorts ausserhalb europäischen Zugriffs und ausserhalb europäischer Normen sind, sich bei der zu beurteilenden Rechtslage auf den Standort der Server berufen.

Trotz Globlität: Wer glaubt sich den Normen eines Rechtsgebiets entziehen zu müssen, muss halt damit rechnen, dass er aussen vor ist. Nachfolger, die alle Normen erfüllen werden sich schnell finden.

Globalität ist juristisch kein Argument das greift und, meine Meinung, das ist auch gut so. Diese Datenkraken sind lange genug mit dem Argument durchgekommen, dass sie der Auffassung sind, dass überall us-amerikanisches Recht gilt, egal wo sie Umsatz machen. Das wäre ungefähr so, als würde ich argumentieren, dass ich in ganz Europa Vollgas fahren darf, weil ich in Deutschland lebe und mein Auto in Deutschland zugelassen ist.

Diese Ära der schrägen Argumente geht jetzt langsam aber sicher zuende.

So, hab mir das jetzt mal angeguckt Syno. Der Hauptknackpunkt ist, dass mit einen Opt-aut und nicht einem Opt-in gearbeitet wurde, die Zustimmung also nicht europäischen Normen entspricht.

Hab mal aus dem langen Urteil die Hauptphrasen herauskopiert:

Der Antragsteller führt bezüglich des Dienstes „G[xxx] Tag Manager“ aus, dass hierdurch seine IP-Adresse bei jedem Seitenaufruf an Server des Unternehmens G. übermittelt werde, ohne dass hierfür eine Einwilligung erteilt worden sei. Daneben lese G. infolge der durch die Antragsgegnerin veranlassten Kontaktaufnahme des Nutzerrechners mit dem G.-Server weitere Informationen über die Hard- und Software des Nutzer-Endgerätes aus und könne diese auswerten.

Bezüglich des Dienstes „C[xxx]bot“, einem Einwilligungsmanager des dänischen Anbieters Cy. A/S, führt der Antragsteller aus, dass dieselben Daten wie bei dem „G. Tag Manager“ an C[xxx]bot übermittelt würden. Dieser Dienst werde zwar von einem in Dänemark ansässigen Unternehmen angeboten. Die Zieldomain consent.c[xxx]bot.com verweise jedoch auf einen Server mit einer IP-Adresse, die auf das in den USA ansässige Cloud-Hosting-Unternehmen Ak. Technologies Inc. registriert sei.

Nach dem Cloud-Act könnten US-Regierungsbehörden personenbezogene Daten bei US-Unternehmen einseitig, ohne Gerichtsbeschluss und ohne Rechtshilfeabkommen anfordern.

Somit setze der Antragsgegner als Verantwortlicher personenbezogene Daten des Antragstellers der Gefahr unbefugter Zugriffe aus, was eine Verletzung der Vertraulichkeit gemäß Art. 32 Abs. 1 lit. b DS-GVO darstelle.

Schließlich bezweifelt er die Notwendigkeit des Einwilligungsmanagers „C[xxx]bot“. Denn die Einwilligungen für Cookies, die der Dienst einhole, seien unwirksam, weil das Einwilligungs-Häkchen bei „Statistik“ standardmäßig voreingestellt sei und damit keine unmissverständliche Einwilligung i. S. d. Art. 4 Ziff. 11 DS-GVO erzeugt werde. Die Einwilligung könne auch nicht widerrufen werden, da der entsprechende Banner nach erteilter Einwilligung ausgeblendet werde.

..............

Du hast also insofern Recht, alsdass ein us-amerikanischer Bürger, Firma, gezwungen werden kann Daten herauszugeben, sofern die Möglichkeit besteht auf einen Server Zugriff zu nehmen, egal wo er steht. Er muss allerdings dazu befugt sein.

Das aber, durch Verschiebung der Verantwortlichkeiten, zu ändern dürfte ein leicht zu lösendes Problem sein.

Das ändert aber grundsätzlich nichts daran, dass jeder nach wie vor alles machen kann, wenn er den User aufklärt, statt mit Tricksereien zu vernebeln und sich die explizite Zustimmung des Users für sein Tun einholt. Und geht nicht gibts in diesem Fall nicht, es geht alles, aber dann halt mit der Gefahr, dass viele ablehnen.

Ein Knackpunkt ist halt auch die fehlende Transparenz. Jeder kann seine Zustimmung dazu geben, dass seine Daten in Timbuktu oder bei Putin oder in China gespeichert werden, es muss ihm halt nur klar gesagt werden, wer und wo. Und das vorher. Es muss endlich Schluss damit sein, dass jeder glaubt mit unseren Daten machen zu können was er will, so tut, als wären unsere Daten weltweites Allgemeineigentum, an dem sich jeder bedienen kann.

Und es ist wie Lunte in anderer Beziehung sagte: Es ist traurig, dass erst immer Gesetze her müssen, Gerichte beschäftigt werden müssen, weil einige meinen besonders schlau und listig zu sein.

Syno, mit den technischen Spitzfindigkeiten bin ich nicht vertraut.

Aber es ist ja kein Naturgesetz, dass es ein Server sein muss von jemandem der sich dem Cloud-Act beugen muss.

Man kann über Gesetze und Vorschriften verschiedenster Meinung sein, aber sie sind nunmal in der Welt. Jemand der im Einzugsbereich des Cloud-Acts agiert könnte sich ja was einfallen lassen, aber ich denke, dass wollen die gar nicht, dass die keine Probleme damit haben Daten herauszurücken. Die wollen in Europa Geld verdienen, aber sonst nichts damit zu tun haben. Aber so funktioniert das weltweit immer weniger.

Aber selbst in Europa, ich finde hier dauernd Websites mit TLD ES, COM sowieso, anonym bei Godaddy oder 1&1 gehostet, kein Impressum, keine Datenschutzerklärung, nichts.

Ich hab mir das Ganze jetzt mal etwas näher angeguckt. Hier geht es ja um eine spezielle Konstellation, aber eigentlich müsste der Threadtitel "Datenübertragung an Drittländer ausserhalb der EU" lauten.

Im Grunde geht es lediglich darum, dass die Forderung ist: Wenn akzeptierbare Datenübertragung in Länder ausserhalb der EU, dann nur in Länder, deren datenschutzrechtliche Bestimmungen denen der EU entsprechen.

Das ist in den USA nicht der Fall und in vielen anderen Ländern auch nicht. Wie die aussereuropäischen Anbieter das dann lösen, wenn sie denn in Europa auftreten und verkaufen wollen, ist mehr oder weniger deren Problem. Machbar ist es auf alle Fälle, ist etwas mehr Aufwand und kostet auch. "Kooperationen" z. B. mit in der EU ansässigen Firmen, deren Verantwortliche Europäer sind und sich deshalb aussereuropäischen Begehrlichkeiten nicht beugen müssen, sind ja keine nicht machbaren Utopien.

Was bei der Berichterstattung und den Kommentaren völlig untergeht ist, ob die bisherige, gewohnte Handhabung beibehalten werden kann, wenn ein User vollumfänglich aufgeklärt wird, sich deshalb der Risiken bewusst sein muss und trotzdem seine Zustimmung erteilt, denn auch in der EU ist die Vertragsfreiheit immer noch gegeben. Dann müssten aber, beim "Weiterverkauf", die Interessenten ebenfalls vollumfänglich zu den Risiken, welchen sie sich aussetzen, aufgeklärt werden und explizit zustimmen.