Die Verwendung eines Cookie-Dienstes auf einer Webseite zum Zweck des Einholens von Einwilligungen ist unzulässig, wenn dabei personenbezogene Daten des Webseitennutzers (wie die IP-Adresse) an Server in den USA übermittelt werden.
Das hat das Verwaltungsgericht Wiesbaden am 1.12.2021 entschieden und der Hochschule RheinMain im Wege einer einstweiligen Anordnung die weitere Nutzung des Cookie-Dienstes "Cookiebot" untersagt (VG Wiesbaden, Beschl. v. 01.12.2021, Az: 6 L 738/21).
Die Hochschule muss danach den Cookie-Dienst auf ihrer Webseite ein- bzw. abstellen, da dieser rechtswidrig die vollständige IP-Adresse des Webseitennutzer und damit insbesondere des Antragstellers in die USA übermittele. Der Nutzer der Webseite hätte weder in die Übertragung in einen unsicheren Drittstaat eingewilligt, noch sei er überhaupt über die Datenübermittlung informiert worden, weshalb die Datenverarbeitung und -verarbeitung rechtswidrig ist.
In der Pressemitteilung des Gerichts heißt es:
Aus einer Kombination eines den Webseiten-Besucher identifizierenden Keys, der im Browser des Nutzers gespeichert werde, und der übermittelten vollständigen IP-Adresse sei der Endnutzer eindeutig identifizierbar.
Der Cookie-Dienst verarbeite die vollständige IP-Adresse der Endnutzer auf Servern eines Unternehmens, dessen Unternehmenszentrale sich in den USA befinde. Hierdurch entstehe ein Drittland-Bezug, nämlich zu den USA, welcher im Hinblick auf die sog. Schrems II-Entscheidung des Europäischen Gerichtshofs so unzulässig sei.
Die Nutzer der Webseite der Hochschule würden nicht um ihre Einwilligung für eine Datenübermittlung in die USA gebeten werden. Es fände auch keine Unterrichtung über die mit der Übermittlung verbundenen möglichen Risiken durch den sog. Cloud-Act statt. Eine solche Datenübermittlung sei auch nicht für das Betreiben der Webseite der Hochschule erforderlich.
Zwar übermittle nicht die Hochschule selbst die Daten in die USA. Sie sei aber dennoch die für die Datenübermittlung verantwortliche Stelle. Sie entscheide durch das Einbinden auf ihrer Webseite darüber, dass die Erhebung und Übermittlung durch den Cookie-Dienst erfolge. Sie entscheide auch mittelbar über den Zweck der Verarbeitung, da sie in Kenntnis der Zwecke, die der eingebundene Dienst angebe, sich für oder gegen die Verwendung entscheiden könne. Hiergegen spreche auch nicht, dass sie für nachfolgende Vorgänge, wie der Verwendung der Daten durch den Dienst, nicht mehr verantwortlich sei."
Die Pressinformation des VG Wiesbaden vom 06.12.2021 finden Sie unter folgendem Link: https://verwaltungsgerichtsbarkeit.hessen.de/pressemitteilungen/cookie-dienst
Haben Sie Fragen?
Sie erreichen uns per Telefon 0381 - 877 410 310 oder per E-Mail.