Guten Morgen in die Runde,
Ich bitte um Nachsicht, wenn der folgende Text etwas länger wird 
Cookie-Consent Version 1.0 (Zeta 15.2.0)
aus meiner Sicht waren wir mit dem "Cookie-Consent" in Version 1.0 bereits sehr gut aufgestellt:
- Cookies wurden getrennt in Essentiell, externe Medien, Market1ing und Statistiken
- außer essentielle Cookies (z. B. phpsessid) waren alle auf "Aus" gestellt
- für jeden Bereich gab es mittels einem Klick weitere Informationen
- User konnten entscheiden, ob sie die Einstellungen (Alles aus) speichern, einzelnen zustimmen, alle akzeptieren oder über das "X" im Fenster die Info schließen und dabei den Zustand "aus" beibehalten.
Im laufenden Einsatz des Widgets haben mehrere Seitenbetreiber festgestellt, dass sowohl die über Google-Analytics erfassten Besucher als auch die Anzeigenschaltungen via Google-AdSense massiv eingebrochen sind. Über abgebrochene Besuche, weil Google-Karten, Videos von Youtube oder Vimeo eventuell auf den ersten Blick nicht zu sehen waren, wurde hingegen nicht berichtet.
Besucher, die beim ersten Besuch der Seite die Cookie-Auswahl weggeklickt haben, fanden die Abfrage also entweder "lästig" oder haben sich bewusst dazu entschieden, keine Cookies zuzulassen. Über das LOG-Protokoll des Hosters können wir als Seitenbetreiber lediglich Seitenaufrufe verfolgen, nicht aber Interaktionen des Besuchers innerhalb einer Seite (und das ist richtig so). Jegliche Zahl, wie viele % der Besucher auf "Einstellungen speichern" und wie viele auf "X" für schließen gedrückt haben, ist also nur wilde Vermutung.
Cookie-Consent Version 1.1 (aktuell Zeta 15.3)
Auf Wunsch dieser Seitenbetreiber wurde in Version 1.1 (aktuell) des Widgets der Schließen-Button "X" abgeschafft. User bekommen also weiterhin alle betroffenen Bereiche angezeigt und sehen, dass bis auf "essentiell" alles auf AUS ist, können diese Einstellungen direkt speichern (alles bleibt AUS), individuell anpassen und speichern (einzelne EIN) oder "Alle akzeptieren.
In der damaligen Entwicklung hatte ich angeregt, das die Buttons getauscht werden ("Alle akzeptieren" stand ursprünglich links), da wir von links nach recths schreiben und lesen und durch die erste Position in einer Auswahl bereits eine Präferierung stattfindet. Dieser Anregung wurde nachgekommen.
Nicht umgesetzt wurde leider die Anregung, die farbliche Hervorhebung auf "Einstellungen speichern" zu wechseln oder ganz auf eine farbliche Hervorhebung zu verzichten. Durch die farbliche Hervorhebung erfolgt ebenfalls bereits eine optische "Lenkung" des Besuchers auf ein vom Seitenbetreiber gewünschtes Ergebnis.
Cookie-Consent Version 1.2 (Entwurf Zeta 15.4)
im gegenwärtig diskutierten Entwurf soll dem Wunsch einzelner Seitenbetreiber nachgekommen werden, das Widget unauffälliger zu gestalten. Hierzu gibt es konkrete Kundenbeschwerden einzelner Forumsteilnehmer. Dies ist nachvollziehbar. Andere CMS-Systeme sind da unauffälliger aber eben auch nicht so transparent oder auch gleich wirkungslos.
Der von Stefan vorgestellte Entwurf https://consentwidget.zeta-producer.com/ (Siehe Anhang 1)erreicht diese "Unauffälligkeit" durch die Verkürzung des Textes sowie eine "nachgeschaltete" Auswahlmöglichkeit (Anhang 2) für einzelne Cookies.
Kritik
Auf den ersten Blick wurde im Entwurf tatsächlich nur verkürzt, da ja die Möglichkeit weiterhin besteht, nach Betätigen von "Cookie-Einstellungen" diese vorzunehmen. Wenn ich den Beitrag von Herrn Dammann richtig interpretiere, geht es ihm ganz konkret um diesen Aspekt, da der Besucher eben nicht auf den ersten Blick über die konkrete Verwendung von Cookies informiert wird, sondern dies erst nach Interaktion möglich ist.
Gegenwärtig (Version 1.1) sieht der Besucher, dass alles "aus" ist, wählt "Einstellungen speichern" und kann danach die Seite sofort nutzen.
Im Entwurf wird ein Großteil der Besucher aus reiner Bequemlichkeit auf "Alle akzeptieren" gehen, um schnell zum eigentlichen Seiteninhalt zu kommen. Dies ist aus meiner Sicht jedoch nicht die "informierte Entscheidung", die von der Rechtssprechung verlangt wird.
Grundlagen für einen Lösungsansatz
- Grundsätzlich beruht das Erklärungserfordernis des Seitenbetreibers auf Art. 12 Ziffer 1 DSGVO (Transparente Information). Dem kommen wir bereits durch den Text in unserer Datenschutzerklärung nach. Ob die eigene Datenschutzerklärung auch transparent und verständlich ist, sei hier außen vor.
- Gefordert wird in Ziffer 1 ebenfalls die leichte Zugänglichkeit auf diese Informationen. Auch dies realisieren wir bereits, indem auf jeder Seite entweder durch einen Menüpunkt in der Hauptnavigation oder durch die Zusatzlinks ein direkter Weg zur Datenschutzerklärung gewiesen wird.
- Nach Art. 13 Ziffer 1 Satz 1 müssen Informationen über die Erhebung personenbezogener Daten zum Zeitpunkt der Erhebung erfolgen. Hierfür haben wir bis einschließlich Zeta 15.1 das "Info-Banner" mit einfachem Erklärungstext genutzt. Dieser Erklärungstext "Im Rahmen des Betriebes dieser Webseite verarbeiten wir personenbezogene Daten auf Basis Art. 6 Ziffer 1 Buchstabe f DSGVO (berechtigtes Interesse des Verantwortlichen). Weitere Informationen erhalten Sie in unserer Datenschutzerklärung."
Dieser Erklärungstext ist nach meiner Auffassung bereits ausreichend, solange wir uns rein auf die Verarbeitung mittels "berechtigtem Interesse" beschränken. - Das EuGH-Urteil vom 01.10.2019 bezieht sich auf die Verarbeitung personenbezogener Daten, die nicht durch Buchstabe f gedeckt sind. Hier ist eine aktive Einwilligung erorderlich, was durch das Widget "Cookie-Consent" in der aktuellen Form realisiert wird.
- Bisher noch nicht in Zusammenhang mit Datenschutzfragen aufgetreten, aber doch zu betrachten ist die kürzliche Entscheidung des EuGH zu fehlerhaften Widerrufsbelehrungen bei Verbraucherdarlehen, die statt einer konkreter Aufzählung von Pflichtangaben auf §492 BGB verweisen haben, welcher wiederum Verweise auf weitere rechtliche Regelungen enthält, sogenannter "Kettenverweis". Dieser ist nach Gerichtsentscheidung unzulässig. Wir sollten überprüfen, ob ein solcher Kettenverweis auch bei unseren Erklärungen vorliegt.
- Eine parallele Verwendung von "Cookie-Consent" zur Einwilligung und "Info-Banner" zur allgemeinen Information ist nicht praktikabel, "Cookie-Consent" sollte daher so gestaltet werden, dass auch die allgemeinen Informationspflichten erfüllt werden.
Umsetzung:
Wir haben mit "Cookie-Consent" eine gute technische Grundlage, da externe Scripte bis zur Einwilligung blockiert werden. Hierauf sollten wir ansetzen, wenn wir nach "Verschlankungsmöglichkeiten" suchen.
- Der allgemeine Text im Widget sollte durch den Zeta-Benutzer angepasst werden können, der Mustertext kann abgefasst werden wie "Im Rahmen des Betriebes dieser Webseite verarbeiten wir personenbezogene Daten auf Basis Art. 6 Ziffer 1 Buchstabe f DSGVO (berechtigtes Interesse des Verantwortlichen). Weitere Informationen erhalten Sie in unserer Datenschutzerklärung (Link)."
- Wenn die Cookie-Informationen erst auf einen zweiten Klick angezeigt werden, sollte unbedingt ein Auswahl-Button "ohne Aktivierung weiter" hinzugefügt werden
- Keiner der Auswahl-Buttons sollte durch einen farblichen Hintergrund hervorgehoben werden
- Die Informationen, die zu den verschiedenen Cookies angezeigt werden, sollten ebenfalls durch den Zeta-User editierbar sein und die entsprechenden Links nur als Beispiel angegeben werden. Aus meiner Sicht nehmen hier die Entwickler von Zeta unnötig dem Seitenbetreiber die Verantwortung für den Inhalt der Datenschutzerklärung ab und begeben sich sogar in Gefahr, selbst in Haftung genommen zu werden, falls die verwendeten Texte nicht den rechtlichen Anforderungen entsprechen oder aber im Widget hinterlegte Links wegen einer Seitenverlagerung nicht mehr funktionieren. Ich würde auch empfehlen, dass im Beispieltext auf den jeweiligen Abschnitt der eigenen Datenschutzerklärung verwiesen wird. Schließlich bin ich als Seitenbetreiber derjenige, der den Code aktiv einführt. Ich bin derjenige, der durch die Verwendung von Youtube-Videos, Google-Analytics oder Werbeanzeigen das Tracking überhaupt erst auf meine Webseite bringe.
- Es wäre aus meiner Sicht vorstellbar, beim Betreten der Seite nur eine Einwilligung zu Marketing und Statistik abzufragen, da eine fehlende Zustimmung bei externen Inhalten später immer noch nachgeholt werden kann, wenn man auf einen entsprechend blockierten Inhalt trifft.