Nieselregen, Zugverspätungen, Cookie-Banner: Die meisten Menschen könnten darauf verzichten. Dem Wetter und der Deutschen Bahn ist man ausgeliefert, die Pop-ups sind dagegen kein Naturgesetz. Dabei könnte es ganz einfach sein. Man legt ein einziges Mal fest, ob und welche Daten man freigeben möchte. Danach respektieren alle Webseiten diese Einstellung automatisch.
Ginge es nach dem Deutschen Bundestag, wäre dieses Prinzip längst Realität. Vor fünf Jahren verabschiedete das Parlament ein Gesetz, das sogenannte Einwilligungsagenten etablieren sollte. Bitte den Warenkorb speichern, aber nicht die Werbung personalisieren? Alles klar, gilt ab sofort überall.
Es dauerte drei Jahre, bis die damals regierende Ampel-Koalition die Vorgaben des Bundestags umsetzte. Vor allem fügte sie der Verordnung einen Satz hinzu, der dem Gesetz den Großteil seiner Wirkung nahm: „Die Einbindung (…) erfolgt freiwillig.“
„Was das Digitalministerium veranstaltet hat, ist verfassungswidrig“
Maximilian von Grafenstein hält das für einen Skandal. Der Jurist forscht an der Universität der Künste und am Alexander von Humboldt Institut für Internet und Gesellschaft seit zwölf Jahren zu digitaler Selbstbestimmung. „Was das Digitalministerium unter Volker Wissing da veranstaltet hat, ist verfassungswidrig“, sagt der Professor. „Wenn das Parlament sagt, die Betreiber müssen die Einwilligung berücksichtigen, kann das Ministerium nicht einfach abweichen und es allen freistellen.“
Grafenstein ist bei dem Thema befangen. Er hat mit Consenter den bislang einzigen Dienst entwickelt, den der Bundesbeauftragte für Datenschutz als Einwilligungsagent anerkennt. „Natürlich besteht eine Interessenüberlappung“, räumt er ein. Er habe vergeblich versucht, die Internetwirtschaft zu überzeugen, seine wissenschaftlichen Erkenntnisse umzusetzen. „Das hat zu dem aberwitzigen Ergebnis geführt, dass ich selbst etwas bauen musste.“
Consenter gibt es als Browser-Erweiterung für Chrome, Firefox und Safari. Nach der Installation wählt man aus, welche Cookies und Dienste man zulassen möchte. Für jede Einstellung sieht man eine Nutzen-Risiken-Analyse, die verdeutlicht, worauf man sich einlässt und was man dafür bekommt. Menschen sollen nicht alle Cookies ablehnen, sondern eine informierte Entscheidung treffen.
Wirtschaftsverbände warnen vor verpflichtenden Regeln
Die Einrichtung klappt reibungslos – ist aber weitgehend nutzlos. Bis heute übernimmt kaum eine Webseite die Vorgaben. Grafenstein macht dafür die Lobbyarbeit von Branchenverbänden verantwortlich. „Die haben behauptet, das sei der Untergang der europäischen Internetwirtschaft“, sagt der Professor. „Dabei wollen sie nur verhindern, dass die Macht von den Webseitenbetreibern an die Endnutzer übergeht. Dieser Kontrollverlust löst Panik aus.“
Damit meint Grafenstein etwa den Bundesverband Digitale Wirtschaft (BVDW), der die Interessen von rund 650 Digitalunternehmen vertritt. Gemeinsam mit 18 Organisationen wandte sich der BVDW vergangene Woche an sechs deutsche Bundesministerien. Sie warnen vor „neuen bürokratischen Hürden, die marktwirtschaftliche Prinzipien ignorieren und die Finanzierungsgrundlage des freien Internets gefährden.“
Die EU könnte Webseitenbetreibern vorschreiben, die Signale von Einwilligungsagenten zu berücksichtigen. Der aktuelle Gesetzentwurf ähnelt der deutschen Rechtslage – nur wäre er verpflichtend, nicht freiwillig. Dann müssten Verlage und Unternehmen mit Diensten wie Consenter zusammenarbeiten oder Einstellungen übernehmen, die Nutzer in ihrem Browser hinterlegen.
„Erstens ist das technisch vollkommen unausgereift“, sagt Philipp Hagen, der sich beim BVDW mit Datenschutz beschäftigt. Es gebe bislang keine vernünftigen Schnittstellen, um unterschiedliche Einstellungen rechtssicher zu übertragen. „Zweitens halten wir pauschale Einwilligungen für den falschen Weg“, sagt der Jurist. Menschen vertrauten manchen Anbietern mehr als anderen. Wer etwa bei der SZ mehr Cookies und Personalisierung zulassen möchte als bei Instagram, muss doch wieder selbst Hand anlegen.
Der Status quo ist für alle frustrierend
Auf eines können sich Grafenstein und der BVDW einigen. „Der Status quo ist für Nutzerinnen und Nutzer frustrierend“, sagt Hagen. „Auch wir möchten, dass Menschen weniger Pop-ups sehen und sie leichter verstehen können.“ Sein Verband drängt deshalb darauf, dass die EU die Informationspflichten reduziert. Webseiten sollen standardmäßig mehr Cookies speichern dürfen. Eine Einwilligung soll nur bei hohem Risiko nötig sein, etwa bei personenbezogenen Daten.
Grafenstein sagt, der Verband wolle ein Schlupfloch für datenschutzunfreundliche Unternehmen offenhalten, damit diese ihre Risiken weiter verschleiern können. Quantitative und qualitative Studien, teils von Grafenstein selbst, teils von anderen Forschern, hätten gezeigt, dass Cookie-Banner in ihrer aktuellen Form weitgehend nutzlos sind. „Ein Großteil der Pop-ups klärt nicht auf, sondern zielt darauf ab, dass möglichst viele Menschen den Weg des geringsten Widerstands wählen“, sagt er. Sie akzeptierten alle Cookies und stimmten zu, dass ihre Daten mit Dutzenden „Partnern“ geteilt werden dürfen.
Jahrelang gab es wenig Hoffnung auf Besserung, jetzt wird zumindest wieder verhandelt. Auf europäischer Ebene könnte der Digitale Omnibus die Cookie-Banner vereinfachen. In Deutschland muss die Bundesregierung bis April 2027 die Rechtslage evaluieren. Falls Justiz- und Digitalministerium das Wörtchen „freiwillig“ streichen, müssten alle Webseiten mit Einwilligungsagenten zusammenarbeiten. Für Nutzerinnen und Nutzer könnte das bedeuten: einmal Standardeinstellungen festlegen, weniger Pop-ups sehen – so, wie es sich der Bundestag vor fünf Jahren vorgestellt hatte.