Was macht CookieFirst?
CookieFirst ist ein plattformübergreifendes Cookie-Consent-Tool. Webseitenbetreiber ermöglichen es ihren Besuchern damit, den Einsatz von Cookies zu akzeptieren oder abzulehnen. Zusätzlich bietet die Software die Möglichkeit, regelmäßige Cookie-Scans durchzuführen, über einen Generator eine Cookie-Richtlinie in mehr als 40 Sprachen aufzusetzen sowie den Google Tag Manager und den Google Consent Mode zu integrieren. Unternehmen jeder Größe nutzen das Consent-Tool. Dazu zählen unter anderem Hugendubel, Interkontinental und Bugatti. CookieFirst hat seinen Sitz in Amsterdam in den Niederlanden. Was müssen Seitenbetreiber datenschutzrechtlich beachten, wenn sie CookieFirst verwenden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Darum ist CookieFirst datenschutzrechtlich relevant
Unternehmen fragen mit CookieFirst auf ihrer Webseite den Einsatz von Cookies datenschutzkonform ab. Ist der dafür notwendige Cookie-Banner richtig eingerichtet, erfüllen sie so die Anforderungen der Datenschutz-Grundverordnung (DSGVO), des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG (ehemals TTDSG)), der ePrivacy-Verordnung, des General Data Protection Laws (LGPD) in Brasilien, des California Consumer Privacy Acts (CCPA) und des Personal Data Proteccion Acts (PDPA) in Singapur.
Betreten Nutzer eine Webseite, die CookieFirst einsetzt, stellt die Seite eine Verbindung zu den Servern des Anbieters her. Auf diese Weise holt dieser die Einwilligung der User in die Cookie-Nutzung ein. Daraufhin legt die Software einen Cookie im Browser der User ab. Das ist notwendig, um die erteilte Einwilligung zuordnen zu können. Der Cookie speichert dabei Informationen wie
- die Einwilligung oder die Ablehnung von Cookies,
- die IP-Adresse,
- Informationen zum Browser und Endgerät sowie
- den Zeitpunkt des Nutzer-Besuchs auf der Seite.
In Deutschland sind diese Daten insbesondere durch die DSGVO und das TDDDG (ehemals TTDSG) geschützt. Unternehmen müssen daher verschiedenen Anforderungen erfüllen, wenn sie CookieFirst auf ihrer Webseite einsetzen.
CookieFirst datenschutzkonform verwenden
Um CookieFirst datenschutzkonform auf ihrer Seite einzubinden, müssen Unternehmen diesen Pflichten nachkommen:
Vertrag zur Auftragsverarbeitung schließen
Unternehmen müssen mit CookieFirst einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Das ist darauf zurückzuführen, dass der niederländische Anbieter als Dritter auf Daten der Webseitenbesucher zugreifen kann, um diese weisungsgebunden zu verarbeiten. Der AV-Vertrag muss daher klarstellen,
- welche Nutzerdaten CookieFirst erhält und speichert,
- warum CookieFirst die Daten speichert und
- welche Rechte und Pflichten die Verantwortlichen haben.
Ein fehlender AV-Vertrag zieht ein Bußgeld nach sich. Dies kann laut Artikel 83 Abs. 4 lit. DSGVO bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes liegen.
Datenschutzerklärung anpassen
Immer wenn Unternehmen Userdaten erfassen und diese an einen Dritten weitergeben, müssen sie in ihrer Datenschutzerklärung darauf hinweisen. In diesem Fall sollten Unternehmen daher einen Passus in ihrer Datenschutzerklärung ergänzen, der den Einsatz von CookieFirst erklärt. Dabei sollten sie festhalten,
- warum sie über CookieFirst Daten erheben,
- wie lange sie die Daten speichern,
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. c DSGVO),
- dass sie für die Datenweitergabe mit CookieFirst einen AV-Vertrag geschlossen haben und
- dass Webseitenbesucher das Setzen der Cookies durch eine Einstellung im Browser verhindern können.
Standardvertragsklauseln abschließen?
Der Anbieter von CookieFirst hat seinen Sitz in den Niederlanden. Dort gilt wie in Deutschland die DSGVO. Für die Praxis heißt das: Unternehmen müssen für den Einsatz des Consent-Tools keine Standvertragsklauseln mit CookieFirst abschließen. Alle gesammelten Daten verbleiben in der EU und sind so von der DSGVO geschützt.
Rechtsprechung zu CookieFirst
Für CookieFirst ist diese Rechtsprechung relevant:
Datenschutzbehörde Hamburg zum AV-Vertrag
Ein deutsches Versandunternehmen musste 5.250 Euro Strafe zahlen. Es hatte mit einem spanischen Postdienstleister keinen AV-Vertrag geschlossen, obwohl es an diesen personenbezogenen Daten übermittelte. In dem Fall sah sich weder das deutsche Unternehmen noch der spanische Dienstleister dafür verantwortlich, einen entsprechenden Vertrag aufzusetzen. Am 17.12.2018 kam die Datenschutzbehörde Hamburg daher zu dem Schluss, dass das Versandunternehmen gegen die DSGVO verstößt.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der Fußballverein VfB Stuttgart musste im März 2021 ein Bußgeld in Höhe von 300.000 Euro zahlen. Er hatte es versäumt, mit Dienstleistern, die für den Verein Mitgliederdaten verarbeiteten, einen AV-Vertrag zu schließen. Das bewertete die Datenschutzbehörde Baden-Württemberg als schweren Datenschutzverstoß. Die Strafe wäre zudem noch höher ausgefallen, wenn der VfB nicht aktiv an der Aufarbeitung des Datenschutzfalls geholfen hätte. Das ließ die Datenschutzbehörde wissen.
