Überflüssige Datenschutz-Klicks

Univ.-Prof. Dr. Torsten J. Gerpott
Foto: Univ.-Prof. Dr. Torsten J. Gerpott Seit rund zwei Jahren ist in den Staaten der Euro­päi­schen Union die Daten­schutz-Grund­ver­ord­nung (DSGVO) anzu­wenden. Das Regel­werk gibt vor, dass die Privat­sphäre der Nutzer einer kommer­zi­ellen Webprä­senz im Regel­fall durch Abgabe einer ausdrück­li­chen Einwil­li­gungs­er­klä­rung zur Verar­bei­tung ihrer perso­nen­be­zo­genen Daten durch den Site-Verant­wort­li­chen geschützt werden soll. Nutzer haben über ihre Zustim­mung bei gewerb­li­chen Verkäu­fern im Netz nach Präsen­ta­tion diverser Infor­ma­tionen zum Daten­schutz fast immer durch Ankli­cken von Buttons zu entscheiden. Die vorlie­gende Analyse kriti­siert diese Praxis und schlägt eine Alter­na­tive vor.

Seit dem Inkraft­treten der Daten­schutz-Grund­ver­ord­nung (DSGVO) am 25. Mai 2018 hat sich die Art, wie in der EU Unter­nehmen mit Online-Shops, privaten Verbrau­chern über das Medium Internet gegen­über­treten, merk­lich verän­dert. Gewerb­liche Verkäufer müssen gemäß Art. 5 Abs. 1 lit. a) DSGVO Konsu­menten mit Erklä­rungen zur Erhe­bung sowie Verar­bei­tung perso­nen­be­zo­gener Daten im Zusam­men­hang mit Vertrags­ab­schlüssen und dem Einsatz von Cookies für maßge­schnei­derte Werbung konfron­tieren. So soll „Trans­pa­renz“ geschaffen werden. Wenn Unter­nehmen halb­wegs sicher sein wollen, dass die Beschaf­fung dieser Daten als „recht­mäßig“ aner­kannt wird, dann haben sie gemäß Art. 6 Abs. 1 lit a) DSGVO ihre Online-Kunden und -Inter­es­senten dazu zu moti­vieren, eine entspre­chende auf „eindeu­tige und legi­time Zwecke“ bezo­gene „Einwil­li­gung“ zu erteilen. Nach Art. 7 Abs. 2 DSGVO muss die Bitte um Zustim­mung „in verständ­li­cher und leicht zugäng­li­cher Form in einer klaren und einfa­chen Sprache“ erfolgen. Art. 7 Abs. 1 DSGVO verpflichtet Unter­nehmen nach­weisen zu können, dass sie die Zustim­mung erhalten haben.

Das in der DSGVO ebenso wie in der seit mindes­tens 2017 disku­tierten, aber immer noch nicht fertig gestellten EU-Verord­nung über Privat­sphäre und elek­tro­ni­sche Kommu­ni­ka­tion sowie im Verbrau­cher­ver­trags­recht hoch­ge­hal­tene Prinzip der infor­mierten Einwil­li­gung ist enorm plau­sibel: Fach­leute stellen Spezi­al­wissen in einer Weise bereit, dass ein Thema für Laien verständ­lich wird, damit diese, ohne durch die Obrig­keit einge­engt zu werden, eigen­ver­ant­wort­lich mit wenigen Klicks fundierte Entschei­dungen zum Schutz persön­li­cher Daten fällen können. Poli­tiker und Unter­nehmen erhalten durch die Anwen­dung des Prin­zips ein starkes Argu­ment dafür, dass sie sich genug um die Wahrung von Verbrau­cher­inter­essen bemüht haben.

Schlechte Nutzen-Kosten-Bilanz

Univ.-Prof. Dr. Torsten J. Gerpott
Foto: Univ.-Prof. Dr. Torsten J. Gerpott Empi­ri­sche Studien belegen aller­dings, dass Verbrau­cher sich von den Einwil­li­gungs­an­for­de­rungen gegän­gelt fühlen und sie nicht als hilf­reich empfinden. Daten­schutz- und Cookie- Richt­li­nien, die oft lang, vage und sprach­lich anspruchs­voll ausfallen, werden typi­scher­weise nicht gelesen, geschweige denn verstanden. Bemü­hungen um Verbes­se­rungen der Lesbar­keit der Texte können hier kaum Abhilfe schaffen. Die zu regelnden Sach­ver­halte sind so viel­schichtig, dass sie sich zumeist eben nicht in wenigen Sätzen allge­mein verständ­lich darbieten lassen. Trotzdem klicken Verbrau­cher Buttons zur Einwil­li­gung in die Verar­bei­tung perso­nen­be­zo­gener Daten kritiklos an. Sie tun dies nicht zuletzt deshalb, weil ihnen keine andere Wahl bleibt, wenn eine Trans­ak­tion mit dem ins Auge gefassten Anbieter zustande kommen soll.

Somit ist offen­sicht­lich, dass der Zwang zur ausdrück­li­chen Einwil­li­gung sein Ziel verfehlt. Darüber hinaus verur­sacht die Regu­lie­rung hohe Kosten. Vier Kosten­arten fallen ins Gewicht. Erstens wird Verbrau­chern ein erheb­li­cher Zeit­auf­wand abge­for­dert. Man darf davon ausgehen, dass aktuell etwa 75 Prozent der Privat­haus­halte in Deutsch­land im Durch­schnitt zweimal pro Monat in einem Online-Einzel­han­dels­shop eine Bestel­lung aufgeben. Wenn bei jeder Trans­ak­tion nur etwa 15 Sekunden für das Wegkli­cken diverser nicht gele­sener Daten­schutz­er­klä­rungen und Einwil­li­gungen verwendet werden, dann gehen dadurch allein in Deutsch­land pro Jahr drei Millionen Stunden verloren. Zwei­tens entstehen Miss­trau­ens­kosten: Durch die Notwen­dig­keit, diversen Schutz­er­klä­rungen zustimmen zu müssen, werden Verbrau­cher beim Surfen in einen Alarm­modus versetzt, der mit erhöhtem Miss­trauen gegen­über den Shop-Betrei­bern und in der Konse­quenz mit einer gerin­geren Bestell­wahr­schein­lich­keit einher­geht. Drit­tens ruft der Einwil­li­gungs­zwang bei Verkäu­fern erheb­liche Admi­nis­tra­ti­ons­kosten dadurch hervor, dass sie Lösungen zur Aufbe­wah­rung entspre­chender Erklä­rungen umzu­setzen haben. Global tätige Inter­net­kon­zerne wie Amazon, Face­book oder Google können die Fixkosten der Lösungen besser auf eine hohe Nutzer­zahl verteilen als kleine Anbieter. Folg­lich stärkt die Zustim­mungs­re­gu­lie­rung die Wett­be­werbs­po­si­tion ohnehin bereits markt­mäch­tiger Anbieter. Vier­tens verur­sacht sie Untä­tig­keits­kosten: Weil Poli­tiker, Unter­nehmen und Verbände sich darauf zurück­ziehen können, dass Verbrau­cher­inter­essen durch das Einwil­li­gungs­prinzip gewahrt werden, sinkt der Druck, besser geeig­nete Maßnahmen zum Schutz perso­nen­be­zo­gener Verbrau­cher­daten im Online-Handel zu entwi­ckeln.

Bessere alter­na­tive Lösung

Geringer Nutzen bei hohen Kosten sollte dazu führen, dass dem Prinzip der infor­mierten Einwil­li­gung im Daten-, aber auch im Verbrau­cher­schutz­recht weniger Gewicht beigemessen wird. Es gibt bessere Möglich­keiten. Sinn­voll ist die Beschrän­kung auf eine Shop-Betrei­bern aufer­legte Online-Offen­le­gungs­pflicht von Erklä­rungen zum Schutz perso­nen­be­zo­gener Daten bei deren Verar­bei­tung (und zum Einsatz von Cookies) im Verbund mit der Auflage diese Infor­ma­tionen Verbrau­chern im Netz leicht zugäng­lich zu machen. Anbieter sollten von der Politik dazu ermun­tert werden, ihre Schutz­re­ge­lungen für Perso­nen­daten durch unab­hän­gige quali­fi­zierte Orga­ni­sa­tionen zerti­fi­zieren zu lassen. Mit einem Quali­täts­siegel können sie in ihren Internet-Shops werben und sich so von Wett­be­wer­bern diffe­ren­zieren, denen der Schutz perso­nen­be­zo­gener Daten im Sinn der DSGVO weniger am Herzen liegt. Der Zerti­fi­zie­rungs­pro­zess verur­sacht zwar Kosten, die von großen Verkäu­fern im Vergleich zu Tante-Emma- Läden leichter getragen werden können. Der über­pro­por­tio­nalen Belas­tung kleiner Anbieter lässt sich jedoch entge­gen­wirken. Bran­chen­ver­bände sind gefor­dert, Muster­er­klä­rungen zu entwi­ckeln, die dann vor allem von ihren klei­neren Mitglie­dern weit­ge­hend unver­än­dert über­nommen werden können. Eben­falls steht es Verbrau­cher­schutz­ver­bänden oder zivil­ge­sell­schaft­li­chen Fach­or­ga­ni­sa­tionen frei, entspre­chende Vorschläge für Erklä­rungen zur Verfü­gung zu stellen.

An der Vorteil­haf­tig­keit der Beschrän­kung auf Offen­le­gungs- und der Abschwä­chung von Einwil­li­gungs­pflichten ändert auch ein am 28. Mai 2020 ergan­genes Urteil des Bundes­ge­richts­hofs (Az.: I ZR 7/16) nichts: Die Richter gaben vor, dass Site-Besu­chern eine allge­meine Zustim­mung zu Werbe-Cookies nicht über eine Vorein­stel­lung unter­ge­schoben werden darf. Durch audi­tierte Daten­schutz­re­ge­lungen wird genau dieses intrans­pa­rente Vorgehen vermieden, weil sie DSGVO-konform einen Opt-in-Stan­dard vorsehen würden, gemäß dem auf ein Plat­zieren dieser Dateien unter Verwen­dung perso­nen­be­zo­gener Daten solange verzichtet wird, wie der Nutzer in den Cookie-Einsatz nicht über die Wahl eines Ankreuz­kas­tens einge­wil­ligt hat.

Schein­trans­pa­renz und Klick-Rituale beim Schutz perso­nen­be­zo­gener Daten in Online-Shops sind also keines­wegs alter­na­tivlos.

Zur Person

Univ.-Prof. Dr. Torsten J. Gerpott leitet den Lehr­stuhl für Unter­neh­mens- und Tech­no­lo­gie­pla­nung an der Mercator School of Manage­ment Duis­burg der Univer­sität Duis­burg-Essen.