Cookies und die Datenschutzbehörde in Österreich

Wie rechtskonform agiert die Datenschutzbehörde Österreich ?

Was läge näher, als sich bei der Verwendung von Cookies am Beispiel der Datenschutzbehörde zu orientieren. Immerhin unterstellt man ihr, dass sie in Sachen Datenschutz vorbildlich und damit rechtskonform agiert. Bei einer kritischen Betrachtung zeigt sich aber, dass dem eher nicht so ist.

Als erstes fällt auf, dass die Datenschutzbehörde trotz der Verwendung von Cookies keinen Cookie-Banner setzt, um Besucher*innen darauf aufmerksam zu machen, welche Cookies, zu welchem Zweck und mit welcher Dauer auf Geräten der Nutzer*innen gespeichert werden. Das würde zumindest die Informationspflicht verlangen. Wer bislang die sogenannte EU Cookie-Richtlinie in diesem Punkt etwas großzügig auslegte, wurde am 1.10.2019 durch ein EuGH Urteil (Rechtssache C-673/17) unmissverständlich darauf hingewiesen, dass die Informations- und Einwilligungspflicht gemäß derEU Cookie-Richtlinie Artikel 5 Abs 3 der EU-Richtlinie 2009/61/EG umzusetzen sind.

Die Informationspflicht

Es gibt weder einen sogenannten Cookie-Banner, noch wird in der Datenschutzerklärung auf die Verwendung von Cookies hingewiesen. Die vielen, wenig technisch geschulten Nutzer*innen der Webseite erfahren so nicht, welche Cookies zu welchem Zweck und über welchen Zeitraum welche Informationen speichern und weitergeben. Die Nutzer*innen werden nicht einmal darüber informiert, dass auf ihrem Gerät ohne ihr Wissen fremde Programmcodes abgespeichert werden.

In Österreich ist die sogenannte EU Cookie Richtlinie in §96 Abs. 3 TKG (2003) geregelt.

Ist die Webseite als Dienst der Informationsgesellschaft zu verstehen?

Es muss zunächst geklärt werden, ob die Datenschutzbehörde ein Betreiber eines öffentlichen Kommunikationsdienstes oder Anbieter eines Dienstes der Informationsgesellschaft im Sinne des § 3 Z 1 E-Commerce-Gesetz ist, da sich nur auf diese die Bestimmung bezieht. Dort heißt es:

Zweifelsohne werden via Webseite der Datenschutzbehörde Informationen über ein elektronisches Netz übermittelt. Da sind einmal Informationen, die auf der Webseite veröffentlicht werden, Newsletter, Bekanntmachungen und andere Dokumente, die zum Herunterladen angeboten werden. Im Zuge dessen werden auch Informationen von Nutzer*innen via Cookies gespeichert. Es ist daher davon auszugehen, dass § 3 Z 1 ECG auf die Datenschutzbehörde als Betreiberin der Webseite dsb.gv.at anzuwenden ist.

Werden mittels Cookies personenbezogene Daten verarbeitet?

Legistisch betrachtet, bezieht sich die Regelung nach §96 Abs. 3 TKG (2003) auf die Speicherung personenbezogener Daten. Wörtlich heißt es: Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der In­for­­ma­tions­gesell­schaft im Sinne des § 3 Z 1 E-Commerce-Gesetz, BGBl. I Nr. 152/2001, sind verpflichtet, den Teilnehmer oder Benutzer darüber zu informieren, welche personenbezogenen Daten er verarbeiten wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Es stellt sich daher die Frage, ob durch die Speicherung von Cookies auf den Geräten von Besuchern personenbezogene Daten abgespeichert und verarbeitet werden.

Beim Besuch der Webseite der Datenschutzbehörde werden unter anderem Cookies gesetzt, die IP Adressen verarbeiten. IP Adressen sind, so sie identifizierbar sind, zweifelsohne personenbezogene Daten. Nach einem Urteil des EuGH vom 19.10.2016 (Az. C-582/14) ist klargestellt, dass es sich auch bei dynamischen IP-Adressen um personenbezogene Daten handelt.  Das gilt insbesondere, wenn bereits die theoretische Möglichkeit besteht, einen Personenbezug herzustellen, selbst wenn der Betreiber diese Möglichkeit nicht nutzt oder nutzen kann, da gegebenenfalls ein Dritter dies kann („Objektiver Personenbezug”). Die DSGVO in ErwG 30 sieht den Schutz personenbezogener Daten im Zusammenhang mit IP Adressen ebenso gefordert.  

Es ist daher davon auszugehen, dass beim Besuch der Webseite der Datenschutzbehörde (dsb.gv.at) durch gesetzte Cookies personenbezogene Daten verarbeitet werden.

Somit gilt nicht nur die schon in der EU ePrivacy Richtlinie (sogenannte Cookie-Richtlinie) geforderte Informationspflicht. Es gilt auch die Informationspflicht nach Artikel 13 DSGVO.

Die Einwilligungspflicht

Eine Analyse der Webseite der Datenschutzbehörde in Österreich ergab, dass eine Reihe von Cookies auf Geräten von Nutzer*innen abgespeichert werden.

Bei 11 Cookie Vorgängen werden beim Besuch von dsb.gv.at 9 Cookies gesetzt:

Benutztes Tool: KI-Software für Webseiten

Keine Einwilligungspflicht bei rein technisch-funktionalen Cookies

Einige Cookies sind unschwer als technisch erforderliche Sitzungscookies zu erkennen. Ob es sich dabei um zwingend erforderliche Cookies handelt, darf allerdings bezweifelt werden. Sie sind normalerweise nur erforderlich, sobald man sich im CMS der Datenschutzbehörde einloggt, d.h. sollten im Großen und Ganzen nur  Mitarbeiter*innen der Behörde und die mit der Wartung und dem Betrieb betrauten Personen betreffen. Tests zeigen, dass die Webseite ohne jegliche Cookies funktionsfähig ist. Das widerlegt die Annahme, es gäbe für nicht angemeldete Besucher technisch zwingende Cookies. Dennoch ist nicht davon auszugehen, dass dafür eine Einwilligung im Sinne von §96 Abs. 3 TKG (2003) erforderlich ist.

Einwilligungspflicht bei Cookies, die personenbezogene Daten verarbeiten

Neben anderen Cookies lassen sich solche identifizieren, die zur Webanalyse u.a. durch Matomo genutzt werden. Matomo ist ein für das Funktionieren des CMS nicht erforderlicher Webanalytik-Dienst, der das Verhalten von Nutzer*innen auf der Webseite protokolliert und analysiert - ähnlich wie Google Analytics. (Wichtiger Unterschied: Matomo wird am Server des Bundeskanzleramtes betrieben). Über Matomo-Cookies werden IP Adressen von Nutzer*innen über einen längeren Zeitraum gespeichert, auch um Aussagen darüber treffen  zu können, wie oft beispielsweise Nutzer*innen welche Seiten aufgerufen haben, wie lange sie jeweils dort verweilten, welche Aktionen sie auf Seiten ausführten und so fort.

Matomo verfügt über die Möglichkeit, IP Adressen zu anonymisieren, wobei sogenannte Oktette der IP maskiert werden. Eine Maskierung von von einem Oktett lässt beispielsweise eine noch relativ genaue Standorterkennung zu. Das kann bei der Maskierung von 2 oder 3 Oktetten weitgehend ausgeschlossen werden. Sichergestellt werden müsste zudem, dass die anonymisierten IPs zur Datenaufbereitung herangezogen werden. Dennoch kann eine in Matomo anonymiserte IP Adressen leicht im Rückgriff auf die Server-Logfiles identifiziert und damit wieder personalisiert werden.

Ob bei der Datenschutzbehörde für den Bereich Webanalyse und/ oder Webstatistik IP Adressen anonymisiert werden und in welchem Umfang, lässt sich aufgrund fehlender Informationen nicht sagen. Es ist daher davon auszugehen, dass durch Matomo personenbezogene Daten verarbeitet werden. Selbst wenn keine aktive Einwilligung zum Setzen eines entsprechenden Cookies erforderlich sein sollte, so müsste jedenfalls ein Opt-Out angeboten werden, d.h. eine Möglichkeit, Matomo zu blockieren. Auch diese Möglichkeit wird auf der Webseite der Datenschutzbehörde nicht angeboten.

Ein berechtigtes Interesse, Tools wie Matomo einzusetzen, wird sich kaum begründen lassen, da neben Webstatistikfunktionen des CMS auch statistische Auswertungen der Server-Logfiles zur Verfügung stehen, die ebenfalls Daten zur Nutzung der Webseite liefern.

Was sagt die Datenschutzbehörde?

Die Datenschutzbehörde in Österreich wurde per E-Mail mit der Frage konfrontiert, ob die Webseite der Datenschutzbehörde gesetzeskonform sei. Nach mehrmaliger Erinnerung wurde die Anfrage beantwortet, nicht jedoch ohne ausdrücklich darauf hinzuweisen, dass bei Auskünften keine rechtlichen Beurteilungen vorgenommen würden.

In der Sache selbst vertritt die Datenschutzbehörde die Auffassung, dass die verwendeten Cookies nicht zustimmungsbedürftig seien, da sie funktionaler Natur wären. Es würden damit keine weiteren Zwecke verfolgt. ⌕ Die Auskunft ist weder stichhaltig begründet noch wurden die Rechtsgrundlagen für diese Auffassung mitgeteilt.

Update: Die Datenschutzbehörde bleibt trotz der vorgebrachten Bedenken bei der mitgeteilten Auskunft und sieht für eine Begründung oder Mitteilung der Rechtsgrundlagen keine Veranlassung.

Welche Mittel der Rechtsklärung gibt es?

Es stellt sich die Frage, wie sich eine Rechtsklärung erwirken lässt, wenn die Datenschutzbehörde selbst betroffen ist.

Verwaltungsstrafverfahren gegen die Datenschutzbehörde

Nachdem die EU Cookie-Richtlinie im Telekommunikationsgesetz (TKG) geregelt ist und nicht im Datenschutzgesetz, ist bei Verstößen die Fernmeldebehörde zuständig. Um feststellen zu können, ob die Datenschutzbehörde rechtskonform handelt oder nicht, könnte daher eine Strafanzeige gegen die Datenschutzbehörde bei der Fernmeldebehörde gestellt werden. Dabei gibt es allerdings ein Problem. Bei einem Verwaltungsstrafverfahren haben diejenigen, die ein Strafverfahren anstrengen keine Parteistellung, was bedeutet, dass sie über den Fort- und Ausgang des Verwaltungsstrafverfahrens keine Auskunft erhalten. Wenn nach einigen Monaten die Datenschutzbehörde der Informations- und Einwilligungspflicht nachkommen wird, dann wäre anzunehmen, dass die bisherige Praxis nicht rechtskonform war. Ändert sich im Verlauf eines Jahres nichts, dann müsste man mutmaßen, dass das Verfahren eingestellt oder bei Gericht abgewiesen wurde. Da es in dieser Angelegenheit darum geht, Klarheit über die Verwendung von Cookies für vergleichbare Fälle zu erhalten, ist die Strafanzeige nicht unbedingt ein probates Mittel.

Beschwerde gegen die Datenschutzbehörde nach DSGVO

Die Verarbeitung personenbezogener Daten, beispielsweise durch Verarbeitung von nicht anonymisierter IP Adressen stellt dann einen Verstoß gegen die DSGVO dar, sofern dafür die erforderlich Einwilligung fehlt - unabhängig davon, ob das durch Cookies geschieht, oder auf andere Weise.

Nachdem die Datenschutzbehörde in einer Beschwerde gegen sie selbst befangen wäre, müsste die Beschwerde wohl an das Bundesverwaltungsgericht weitergereicht werden. In Fragen zu Datenschutz greift das Bundesverwaltungsgericht allerdings auf die Expertise der Datenschutzbehörde zurück. Nachdem das aus Gründen von Befangenheit eigentlich nicht der Fall sein dürfte, wäre eine Weiterleitung der Rechtssache an den EuGH ein durchaus möglicher Weg.

Folgende Beiträge könnten Sie auch interessieren: