So, hab mir das jetzt mal angeguckt Syno. Der Hauptknackpunkt ist, dass mit einen Opt-aut und nicht einem Opt-in gearbeitet wurde, die Zustimmung also nicht europäischen Normen entspricht.
Hab mal aus dem langen Urteil die Hauptphrasen herauskopiert:
Der Antragsteller führt bezüglich des Dienstes „G[xxx] Tag Manager“ aus, dass hierdurch seine IP-Adresse bei jedem Seitenaufruf an Server des Unternehmens G. übermittelt werde, ohne dass hierfür eine Einwilligung erteilt worden sei. Daneben lese G. infolge der durch die Antragsgegnerin veranlassten Kontaktaufnahme des Nutzerrechners mit dem G.-Server weitere Informationen über die Hard- und Software des Nutzer-Endgerätes aus und könne diese auswerten.
Bezüglich des Dienstes „C[xxx]bot“, einem Einwilligungsmanager des dänischen Anbieters Cy. A/S, führt der Antragsteller aus, dass dieselben Daten wie bei dem „G. Tag Manager“ an C[xxx]bot übermittelt würden. Dieser Dienst werde zwar von einem in Dänemark ansässigen Unternehmen angeboten. Die Zieldomain consent.c[xxx]bot.com verweise jedoch auf einen Server mit einer IP-Adresse, die auf das in den USA ansässige Cloud-Hosting-Unternehmen Ak. Technologies Inc. registriert sei.
Nach dem Cloud-Act könnten US-Regierungsbehörden personenbezogene Daten bei US-Unternehmen einseitig, ohne Gerichtsbeschluss und ohne Rechtshilfeabkommen anfordern.
Somit setze der Antragsgegner als Verantwortlicher personenbezogene Daten des Antragstellers der Gefahr unbefugter Zugriffe aus, was eine Verletzung der Vertraulichkeit gemäß Art. 32 Abs. 1 lit. b DS-GVO darstelle.
Schließlich bezweifelt er die Notwendigkeit des Einwilligungsmanagers „C[xxx]bot“. Denn die Einwilligungen für Cookies, die der Dienst einhole, seien unwirksam, weil das Einwilligungs-Häkchen bei „Statistik“ standardmäßig voreingestellt sei und damit keine unmissverständliche Einwilligung i. S. d. Art. 4 Ziff. 11 DS-GVO erzeugt werde. Die Einwilligung könne auch nicht widerrufen werden, da der entsprechende Banner nach erteilter Einwilligung ausgeblendet werde.
..............
Du hast also insofern Recht, alsdass ein us-amerikanischer Bürger, Firma, gezwungen werden kann Daten herauszugeben, sofern die Möglichkeit besteht auf einen Server Zugriff zu nehmen, egal wo er steht. Er muss allerdings dazu befugt sein.
Das aber, durch Verschiebung der Verantwortlichkeiten, zu ändern dürfte ein leicht zu lösendes Problem sein.
Das ändert aber grundsätzlich nichts daran, dass jeder nach wie vor alles machen kann, wenn er den User aufklärt, statt mit Tricksereien zu vernebeln und sich die explizite Zustimmung des Users für sein Tun einholt. Und geht nicht gibts in diesem Fall nicht, es geht alles, aber dann halt mit der Gefahr, dass viele ablehnen.
Ein Knackpunkt ist halt auch die fehlende Transparenz. Jeder kann seine Zustimmung dazu geben, dass seine Daten in Timbuktu oder bei Putin oder in China gespeichert werden, es muss ihm halt nur klar gesagt werden, wer und wo. Und das vorher. Es muss endlich Schluss damit sein, dass jeder glaubt mit unseren Daten machen zu können was er will, so tut, als wären unsere Daten weltweites Allgemeineigentum, an dem sich jeder bedienen kann.
Und es ist wie Lunte in anderer Beziehung sagte: Es ist traurig, dass erst immer Gesetze her müssen, Gerichte beschäftigt werden müssen, weil einige meinen besonders schlau und listig zu sein.