Wer kennt es nicht? Man möchte schnell etwas im Internet nachschauen – doch bevor die gewünschte Information erscheint, öffnet sich erst einmal ein Cookie-Banner. „Alle akzeptieren“, „Einstellungen“ oder, oft deutlich weniger auffällig, die Möglichkeit, Cookies abzulehnen. Wer einfach nur weiterlesen möchte, klickt häufig möglichst schnell auf „Akzeptieren“. Hauptsache, das Fenster verschwindet.

Eigentlich sollen Cookie-Banner Nutzerinnen und Nutzer darüber entscheiden lassen, was mit ihren Daten passiert. Doch inzwischen wird genau dieses System zunehmend kritisiert. Die EU hatte bereits Veränderungen angekündigt, durch die Cookie-Banner in vielen Fällen wegfallen könnten. Nun ist diese geplante Reform wieder ins Wanken geraten. Während die Industrie eine Abschaffung kritisch sieht, fordern Verbraucherschützer, NGOs und Wissenschaftler genau das Gegenteil: „Kill the Cookie Banner!“

Damit stellt sich auch die Frage: Sind Cookie-Banner tatsächlich ein sinnvoller Schutz für die Privatsphäre – oder führen sie inzwischen vor allem dazu, dass Datenschutz einfach weggeklickt wird?

 Was haben Cookies eigentlich mit Datenschutz zu tun?

Cookies sind kleine Dateien, die Websites auf dem Gerät eines Nutzers speichern können. Sie können durchaus sinnvoll sein, etwa um Einstellungen zu speichern oder Nutzer bei einem späteren Besuch wiederzuerkennen.

Problematischer wird es, wenn solche Technologien dazu verwendet werden, das Verhalten von Menschen im Internet zu verfolgen. Welche Seiten werden besucht? Welche Produkte werden angesehen? Welche Interessen lassen sich daraus ableiten? Solche Informationen können unter anderem für personalisierte Werbung genutzt werden.

Die Datenschutz-Grundverordnung, kurz DSGVO, soll dafür sorgen, dass Nutzerinnen und Nutzer mehr Kontrolle über ihre personenbezogenen Daten erhalten. Dazu gehört auch die Frage, ob bestimmte Daten gesammelt oder an Dritte weitergegeben werden dürfen.

Ein Cookie-Banner ist dabei nicht grundsätzlich vorgeschrieben. Wenn eine Website ausschließlich Daten verwendet, die für ihren Betrieb zwingend erforderlich sind, braucht es nicht für jede Nutzung eine entsprechende Zustimmung.

In der Praxis begegnen den meisten Menschen die Abfragen trotzdem bei nahezu jedem Websitebesuch.

Wenn Datenschutz zur Einwilligungsmüdigkeit führt

Genau dieses ständige Zustimmen oder Ablehnen hat einen Namen bekommen: „Consent-Fatigue“, also Einwilligungsmüdigkeit.

Wer bei jedem Besuch einer neuen Website erneut mit einem Cookie-Banner konfrontiert wird, hat irgendwann genug. Statt sich durch verschiedene Einstellungen zu klicken und genau zu prüfen, welche Daten verarbeitet werden sollen, wird häufig einfach auf „Alle akzeptieren“ gedrückt.

Besonders anschaulich wird das durch Zahlen, die in der aktuellen Debatte genannt werden. Laut der Kampagnenwebsite stimmen bis zu 90 Prozent der Nutzer dem Sammeln persönlicher Informationen zu. Gleichzeitig gibt nur ein wesentlich kleinerer Teil tatsächlich an, im Internet verfolgt werden zu wollen.

Genau darin sehen die Kritiker des bisherigen Systems ein Problem: Eine  Zustimmung des Cookie-Banners muss nicht zwangsläufig dem tatsächlichen Wunsch eines Menschen entsprechen.

Die Forderung nach einer Veränderung kommt deshalb nicht nur von Datenschützern. Auch der europäische Verbraucherverband BEUC, Datenschutzorganisationen wie Max Schrems’ noyb und Vertreter der Wissenschaft unterstützen die Kampagne „Kill the Cookie Banner!“.

Itxaso Dominguez de Olazabal von European Digital Rights (EDRi) bringt die Kritik auf den Punkt: „Datenschutz ist ein grundlegendes Recht, Menschen sollten sich für dessen Ausübung nicht erst durch Unmengen an Bannern klicken müssen“

Die EU hatte bereits eine andere Lösung im Blick

Die EU hatte bereits im Vorjahr weitreichende Änderungen angekündigt. Die Grundidee: Nutzerinnen und Nutzer sollten nicht auf jeder einzelnen Website erneut gefragt werden müssen.

Stattdessen könnte eine einmalige Einstellung im Browser festlegen, ob jemand dem Tracking zustimmt oder nicht. Die Entscheidung würde damit zentral getroffen und nicht ständig wiederholt werden.

Technisch erscheint das durchaus machbar. Browser verfügen schon heute über Einstellungen, mit denen sich beispielsweise der Zugriff auf Standort, Kamera oder Mikrofon kontrollieren lässt. Auch Cookies können grundsätzlich deaktiviert werden. Einen vollständigen Schutz gegen jede Form von Tracking bietet das allerdings nicht.

Im Rahmen des sogenannten „Digital Omnibus“, eines Gesetzespakets zur Vereinfachung der europäischen Digitalregeln, war eine entsprechende Änderung vorgesehen. In den aktuellen Entwürfen findet sie sich jedoch nicht mehr.

Industrie gegen Abschaffung – NGOs schlagen Alarm

Die beteiligten NGOs kritisieren diese Entwicklung scharf. Ihrer Darstellung zufolge versucht die Tracking-Industrie, die bisherigen Cookie-Banner zu erhalten. Mehrere EU-Staaten, darunter Deutschland, Frankreich und Polen, sollen den ursprünglichen Vorstoß der EU-Kommission unter dem Druck der Wirtschaft blockiert haben.

Bemerkenswert ist dabei die veränderte Haltung der Industrie. Die Branche, die die Einführung von Cookie-Bannern einst teilweise vehement kritisierte, steht ihrer Abschaffung nun offenbar skeptisch gegenüber.

Der Grund liegt nahe: Eine zentrale Einstellung, mit der Nutzer Tracking einfach ablehnen können, könnte dazu führen, dass deutlich weniger Menschen der Datennutzung zustimmen. Für die Wirtschaft sind solche Daten jedoch wirtschaftlich interessant, weil sie eine gezieltere Werbung ermöglichen.

Damit treffen zwei Interessen aufeinander: ein möglichst einfacher Datenschutz auf der einen und wirtschaftliche Interessen an der Nutzung von Daten auf der anderen Seite.

Technisch wäre eine Alternative möglich

Dass eine andere Lösung nicht zwangsläufig an der Technik scheitern muss, zeigt ein Blick auf bereits bestehende Möglichkeiten.

Harshvardhan Pandit vom Trinity College Dublin verwies auf die „Do Not Track“-Einstellung, die es bereits seit längerer Zeit in Browsern gibt. Das Problem: Websites müssen diese Einstellung nicht zwingend beachten. In der Praxis tun dies nur wenige.

Auch Kalifornien zeigt eine mögliche Alternative. Dort ermöglicht die Global Privacy Control (GPC), Tracking zentral über den Browser an- oder abzuschalten.

Die technische Möglichkeit scheint damit zumindest teilweise vorhanden. Schwieriger ist offenbar die politische Umsetzung.

Alle Augen auf Irland

Damit richtet sich der Blick auch auf Irland. Das Land hat bis zum Jahresende den EU-Ratsvorsitz inne und kann die politische Agenda bis zu einem gewissen Grad mitbestimmen.

Gleichzeitig ist Irland in dieser Debatte wirtschaftlich eng mit der Technologiebranche verbunden. Fast alle großen US-Technologiekonzerne haben dort ihren EU-Sitz – darunter Google, Apple und Meta.

Hinzu kommt, dass die irische Datenschutzbehörde in der Vergangenheit wegen einer aus Sicht von Kritikern zu laschen Umsetzung der DSGVO kritisiert wurde.

Daraus lässt sich nicht automatisch ableiten, dass Irland die Interessen der Technologieunternehmen über den Datenschutz stellt. Die wirtschaftliche Bedeutung der Branche erklärt jedoch, warum die Rolle des Landes genau beobachtet wird.

Weniger Banner, mehr echte Entscheidung?

Am Ende geht es bei der Debatte um Cookie-Banner um mehr als um ein nerviges Fenster auf dem Bildschirm.

Wenn Menschen bei jedem Websitebesuch erneut entscheiden sollen, ob ihre Daten verarbeitet werden dürfen, kann genau das Gegenteil des gewünschten Effekts eintreten: Die ständige Abfrage führt dazu, dass irgendwann kaum noch jemand hinsieht.

Ein Datenschutzsystem sollte Menschen nicht dazu bringen, möglichst schnell auf „Akzeptieren“ zu klicken. Es sollte ihnen ermöglichen, eine informierte Entscheidung zu treffen – ohne dafür bei jedem Besuch einer Website erneut durch zahlreiche Einstellungen navigieren zu müssen.

Vielleicht liegt genau darin die größte Schwäche des heutigen Systems. Wenn Menschen Datenschutz aus Bequemlichkeit bestätigen, obwohl sie Tracking eigentlich gar nicht möchten, kann man schwer behaupten, dass dieses System besonders gut funktioniert.

Denn mittlerweile ist die Situation geradezu paradox: Ein Instrument, das den Menschen mehr Kontrolle über ihre Daten geben soll, führt offenbar dazu, dass viele Menschen ihre Kontrolle möglichst schnell wegklicken.

Das ist kein besonders überzeugendes Modell für Datenschutz. Und vielleicht sollte man deshalb nicht nur darüber diskutieren, wie Cookie-Banner verändert oder abgeschafft werden können, sondern auch darüber, warum wir überhaupt ein System geschaffen haben, bei dem Datenschutz für viele Menschen zu einer täglichen Klickübung geworden ist.