Ret

Vigtig dom: Udbyderen “Cookiebot” overtræder databeskyttelsen


OPDATERING: Denne artikel blev offentliggjort den 6. december 2021. I mellemtiden blev VG Wiesbadens afgørelse mod Cookiebot omstødt af VGH Kassel: Dog ikke fordi brugen af ​​Cookiebot nu var blevet erklæret lovlig, men af ​​rent proceduremæssige årsager (der var ikke hastende med at udstede en foreløbig kendelse og retten til første instans havde ingen jurisdiktion). Vi ved ikke, om der nu er rejst en hovedsag mod Cookiebot.


I en banebrydende afgørelse fastslog Wiesbaden Administrative Court, at Udbyderen Cookiebot er ikke kompatibel med databeskyttelse . I processen blev RheinMain University of Applied Sciences forbudt at bruge udbyderen på sin egen hjemmeside.

Skærmbillede af Wiesbaden Administrative Courts hjemmeside om Cookiebot-dommen

Baggrunden

Sagen for Wiesbaden Administrative Court (Az.: 6 L 738/21.WI) handlede grundlæggende om, hvorvidt RheinMain University of Applied Sciences bruger et GDPR-kompatibelt cookie-banner på sin hjemmeside www.hs-rm.de eller ej. I sidste ende er hovedspørgsmålet her, om en hjemmeside faktisk kan være GDPR-kompatibel, hvis “Cookiebot”-værktøjet bruges.

Beslutningen

Retten har nu besvaret dette spørgsmål benægtende: RheinMain Universitys hjemmeside må ikke bruge Cookiebots cookie-banner – retten erklærer derfor udbyderen Cookiebot for ikke at være databeskyttelseskompatibel.

Universitetet er forpligtet til at afslutte integrationen af “Cookiebot”-tjenesten på sin hjemmeside, da dette er forbundet med ulovlig videregivelse af personlige data fra hjemmesidens brugere og dermed i særdeleshed ansøgeren.

Forvaltningsretten i Hessen, VG Wiesbaden

Begrundelsen

Som udbyder af cookie-bannere behandler Cookiebot personlige data, såsom den besøgendes IP-adresse eller browseroplysninger. Serverne til denne databehandling er placeret hos en udbyder, hvis virksomhedshovedkvarter er i USA (Cookiebot lejer disse servere). Dette resulterer i en henvisning til et tredjeland, hvilket er uantageligt med hensyn til den såkaldte Schrems II-dom fra EU-Domstolen. Det betyder, at data sendes til en virksomhed, hvor den ikke er tilstrækkeligt beskyttet mod adgang af amerikanske myndigheder såsom NSA eller FBI.

Kort sagt: Gennem brugen af ​​Cookiebot og den tilhørende overførsel af data til USA kunne amerikanske myndigheder få adgang til data fra europæiske brugere. Brugen af ​​Cookiebot er derfor ikke lovlig og skal derfor fjernes fra universitetets hjemmeside.

Konsekvenserne

Dommen er banebrydende og påvirker dermed også Cookiebot WordPress-pluginnet og indirekte også andre udbydere: I en første lille test fandt vi amerikanske tjenester i brug hos alle vigtige CMP’er og cookiebanner-udbydere:

Usercentrics, SourcePoint, OneTrust, Didomi, CookieFirst, Iubenda, CookieHub, CookieYes og andre bruger også tjenester som Amazon AWS, Google Cloud, Microsoft Azure, Cloudfront, Akamai og andre tjenester fra amerikanske virksomheder.

I ét hug kunne stort set 90 % af tyske og internationale hjemmesider ikke være GDPR-kompatible, og der er et presserende behov for handling.

vores anbefaling

Det er derfor bedre at stole på consentmanager : Vi har (altid) været afhængige af rent europæiske udbydere uden rødder i USA. Al data hostes udelukkende i EU – uden risiko for forbud, advarsler og bøder på grund af Schrems II overtrædelser, som det nu er tilfældet med Cookiebot.


flere kommentarer

Dutch DPA releases Guidelines on Cookie Banners
Ny

Hollandsk DSB: Vejledning til cookie-bannere og øget tilsyn

Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) har udgivet en ny vejledning , der beskriver bedste praksis for at designe cookie-bannere, og hvad man skal undgå for at undgå mulige bøder. Som annonceret i februar 2024 vil Datatilsynet implementere flere kontroller for at sikre, at hjemmesider lovligt indhenter samtykke til sporing af cookies og anden sporingssoftware. […]
American Privacy Rights Act 2024 Newsletter Header
Ret

Ny milepæl inden for databeskyttelse: American Privacy Rights Act 2024

I USA er love om beskyttelse af personlige oplysninger i øjeblikket implementeret på føderalt niveau, hvor 19 stater har sådanne love i kraft. Den foreslåede American Privacy Rights Act (APRA) , indført af House Committee on Energy and Commerce den 7. april 2024, kunne dog snart etablere landsdækkende privatlivs- og sikkerhedsstandarder. APRA, som stadig er […]