Hallo Sunny,
Du wirst keinen Anwalt finden, der für eine Aussage haftet. Zu den Problemen im Einzelnen:
https://www.datenschutz.org/third-party-cookies/ hat schon einen Fehler bei der Definition. Hier wird selbstverständlich sofort von "Informationen über das Userverhalten" ausgegangen. Richtig ist hingegen, dass unter "Third Party" alle Inhalte verstanden werden, die von Dritten zur Verfügung gestellt sind. Auch "Third Party Cookies" können in "technisch notwendig" oder "Tracking" unterschieden werden.
Die Seite hält sich übrigens mit 20 Cookies, darunter das allbekannte _ga, selbst nicht so besonders an Datenschutz.
Zum Zitat vom Schwenke, den ich sehr schätze, aber trotzdem widersprechen muss: Wenn er im Zitat von moderaten Datenschützern spricht, die für "Third Party Cookies" immer ein OPT-In haben wollen, dann soll er sie auch namentlich benennen. Ich zitiere da gern mal die nicht so moderate sondern eher "hardcorigen" Datenschutzkonferenz:
...
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der
Länder vertritt hierzu folgende Position:...
4. Damit können die §§ 12, 13, 15 TMG bei der Beurteilung der Rechtmäßigkeit der Reichweitenmessung und des Einsatzes von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen, ab dem 25. Mai 2018 nicht mehr angewendet werden.
5. Eine unmittelbare Anwendung der ePrivacy-Richtlinie für die unter Ziffer 4 genannten Verarbeitungsvorgänge kommt nicht in Betracht (keine horizontale unmittelbare
Wirkung von Richtlinien).6. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien kommt folglich nur Artikel 6 Absatz 1, insbesondere
Buchstaben a), b) und f) DSGVO in Betracht. Darüber hinaus sind die allgemeinen Grundsätze aus Artikel 5 Absatz 1 DSGVO, sowie die besonderen Vorgaben z. B. aus Artikel 25 Absatz 2 DSGVO einzuhalten.7. Verarbeitungen, die unbedingt erforderlich sind, damit der Anbieter den von den betroffenen Personen angefragten Dienst zur Verfügung stellen kann, können ggf. auf Art. 6 Absatz 1 Buchstabe b) oder Buchstabe f) DSGVO gestützt werden.
8. Ob und inwieweit weitere Verarbeitungstätigkeiten rechtmäßig sind, muss durch eine Interessenabwägung im Einzelfall auf Grundlage des Artikel 6 Absatz 1 Buchstabe f)
DSGVO geprüft werden.9. Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von TrackingMechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO8 , in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden.
Die Hardcore-Jungs beziehen sich also ganz allgemein in Ziffer 6 die verschiedenen Bedingungen der Rechtmäßigkeit nach Art. 6, in Ziffer 9 konkret auf die Reichweitenmessung und Tracking, für die ausschließlich Artikel 6-1-a anzuwenden ist. Da ist nicht allgemein von "Third-Party" die Rede.
Um das ganze nochmals zu differenzieren:
Die DSGVO erwähnt das Wort "Cookies" gar nicht, "Cookie" ausschließlich im Erwägungsgrund 30. Der Erwägungsgrund 30 hat den Art. 4 "Begriffsbestimmungen" beeinflusst. Hierdurch wird also lediglich festgestellt, dass Daten über das Verhalten im Internet, wie beispielsweise die IP-Adresse, zu den personenbezogenen Daten im Sinne der DSGVO zählen.
Bei der gesamten aktuellen Situation geht aber um Art. 6 "Rechtmäßigkeit der Verarbeitung". Den habe ich inzwischen oft genug zitiert, deshalb jetzt nur verlinkt und hier der Schnellcheck für _cfduid (kein Tracking, dient dazu, unabhängig von eventuellen IP-Adresssperren auf dem Rechner des Besuchers den Inhalt der Seite über den jeweils nächstgelegenen / schnellsten erreichbaren Server zu realisieren)
| a) Einwilligung | JA | Liebling der Anwälte, Gegenstand des aktuellen Urteils, keiner hat eine Ahnung, wie das wirksam technisch realisiert werden kann: 1. Informationen über die Art der Daten und die Form der Verarbeitung erstellen (Datenschutzerklärung) 2. Seite ohne Cookie zur Verfügung stellen 3. wirksame Einwilligung einholen (leere Felder zum Ankreuzen, Button zum Übertragen) 4. Seite mit Cookie zur Verfügung stellen 5. Daten tracken 6. Alle Daten löschen (auch rückwirkend, auch bei Drittanbietern), wenn die Einwilligung widerrufen wird |
| b) Vertragserfüllung | NEIN | Welchen Vertrag sollte es (schon bestehend) zwischen dem Besucher und dem Seitenbetreiber geben, der das Cookie notwendig macht |
| c) rechtliche Verpflichtung | NEIN | Es gibt meines Wissens kein Gesetz in Österreich, welches die Verwendung von Wetter oder Kleinanzeigen auf einer Webseite vorschreibt |
| d) lebenswichtige Interessen | NEIN | Der Besucher (Betroffener) wird nicht davon sterben, wenn er heute nicht erfährt, wie das Wetter ist oder was es auf dem Trödelmarkt gibt |
| e) Aufgabe im öffentlichen Interesse oder in öffentlicher Gewalt | NEIN | Es fehlt der öffentliche Auftrag, Wetter zu verbreiten, dafür gibt es dann einen staatlichen Wetterdienst. |
| f) berechtigtes Interesse | JA | Natürlich kann ein Seitenbetreiber das berechtigte Interesse haben, seinen Besuchern weltweit jeweils den Zugang zu einem von 20, 30...50 Servern zu ermöglichen, der aktuell den Seiteninhalt am schnellsten ausliefert. 1. Informationen über die Art der Daten und die Form der Verarbeitung erstellen (Datenschutzerklärung) 2. Seite mit Cookie zur Verfügung stellen 3. wirksame Belehrung über das berechtigte Interesse und die Möglichkeit des Widerspruchs der Datenverarbeitung erstellen (2 Buttons: JA, NEIN, wenn NEIN, dann OPT-OUT, das Opt-Out kann dann entweder das Cookie deaktivieren oder auch den Besucher als "unerwünschte Person" auf die Startseite des Browsers oder die Seite der staatlichen Datenschutzbehörde weiterleiten. 5. Daten tracken Bei der Widerspruchslösung muss die Datenverarbeitung "unverzüglich" mit Erklärung des Widerspruchs eingestellt werden. Davor erhobene Daten müssen aber nicht gelöscht werden. |
Das Problem ist doch, dass man sich bei Lösung f) eben hinsetzen und fragen muss, welche Daten ich für welchen Zweck erhebe. Wenn ich die Diskussion hier so verfolge, die seit dem 1. Oktober 2019 stattfindet, frage ich mich, was habt Ihr denn seit dem 25. Mai 2018 gemacht?
Ganz konkret: Wo ist Euer Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO? Genau über das Verzeichnis lassen doch alle diese Fragen, die jetzt umherschwirren, beantworten.
:
dann hat der Thread das wohl wichtigste Ziel erreicht.