OPDATERING: Denne artikel blev offentliggjort den 6. december 2021. I mellemtiden blev VG Wiesbadens afgørelse mod Cookiebot omstødt af VGH Kassel: Dog ikke fordi brugen af Cookiebot nu var blevet erklæret lovlig, men af rent proceduremæssige årsager (der var ikke hastende med at udstede en foreløbig kendelse og retten til første instans havde ingen jurisdiktion). Vi ved ikke, om der nu er rejst en hovedsag mod Cookiebot.
I en banebrydende afgørelse fastslog Wiesbaden Administrative Court, at Udbyderen Cookiebot er ikke kompatibel med databeskyttelse . I processen blev RheinMain University of Applied Sciences forbudt at bruge udbyderen på sin egen hjemmeside.
Baggrunden
Sagen for Wiesbaden Administrative Court (Az.: 6 L 738/21.WI) handlede grundlæggende om, hvorvidt RheinMain University of Applied Sciences bruger et GDPR-kompatibelt cookie-banner på sin hjemmeside www.hs-rm.de eller ej. I sidste ende er hovedspørgsmålet her, om en hjemmeside faktisk kan være GDPR-kompatibel, hvis “Cookiebot”-værktøjet bruges.
Beslutningen
Retten har nu besvaret dette spørgsmål benægtende: RheinMain Universitys hjemmeside må ikke bruge Cookiebots cookie-banner – retten erklærer derfor udbyderen Cookiebot for ikke at være databeskyttelseskompatibel.
Universitetet er forpligtet til at afslutte integrationen af “Cookiebot”-tjenesten på sin hjemmeside, da dette er forbundet med ulovlig videregivelse af personlige data fra hjemmesidens brugere og dermed i særdeleshed ansøgeren.
Forvaltningsretten i Hessen, VG Wiesbaden
Begrundelsen
Som udbyder af cookie-bannere behandler Cookiebot personlige data, såsom den besøgendes IP-adresse eller browseroplysninger. Serverne til denne databehandling er placeret hos en udbyder, hvis virksomhedshovedkvarter er i USA (Cookiebot lejer disse servere). Dette resulterer i en henvisning til et tredjeland, hvilket er uantageligt med hensyn til den såkaldte Schrems II-dom fra EU-Domstolen. Det betyder, at data sendes til en virksomhed, hvor den ikke er tilstrækkeligt beskyttet mod adgang af amerikanske myndigheder såsom NSA eller FBI.
Kort sagt: Gennem brugen af Cookiebot og den tilhørende overførsel af data til USA kunne amerikanske myndigheder få adgang til data fra europæiske brugere. Brugen af Cookiebot er derfor ikke lovlig og skal derfor fjernes fra universitetets hjemmeside.
Konsekvenserne
Dommen er banebrydende og påvirker dermed også Cookiebot WordPress-pluginnet og indirekte også andre udbydere: I en første lille test fandt vi amerikanske tjenester i brug hos alle vigtige CMP’er og cookiebanner-udbydere:
Usercentrics, SourcePoint, OneTrust, Didomi, CookieFirst, Iubenda, CookieHub, CookieYes og andre bruger også tjenester som Amazon AWS, Google Cloud, Microsoft Azure, Cloudfront, Akamai og andre tjenester fra amerikanske virksomheder.
I ét hug kunne stort set 90 % af tyske og internationale hjemmesider ikke være GDPR-kompatible, og der er et presserende behov for handling.
vores anbefaling
Det er derfor bedre at stole på consentmanager : Vi har (altid) været afhængige af rent europæiske udbydere uden rødder i USA. Al data hostes udelukkende i EU – uden risiko for forbud, advarsler og bøder på grund af Schrems II overtrædelser, som det nu er tilfældet med Cookiebot.
