Entscheidung zu „Cookiebot“: Unzulässiger Transfer der IP-Adresse in die USA

Das Verwaltungsgericht Wiesbaden hat einer Hochschule mit Beschluss vom 01.12.2021 (Az: 6 L 738/21.WI) im Wege der einstweiligen Anordnung untersagt, auf ihrer Webseite den Cookie-Dienst „Cookiebot“ in der Weise zu verwenden, dass personenbezogene oder -beziehbare Daten an Server in den USA übermittelt werden.

Durch die Nutzung des Dienstes „Cookiebot“ finde eine Datenübermittlung in einen Drittstaat gemäß Art. 44 DSGVO statt, die im Hinblick auf die Schrems II-Entscheidung des EuGH unzulässig ist.

Der Cookie-Dienst ermöglicht es, die Einwilligung der Nutzer einer Webseite in den Einsatz von Cookies einzuholen.

Mit der Übermittlung personenbezogener Daten der Webseitennutzer auf Server eines Unternehmens, dessen Hauptsitz sich in den USA befindet, gelte der US-amerikanische Cloud-Act. Nach dem Cloud-Act könnten US-Regierungsbehörden personenbezogene Daten bei US-Unternehmen einseitig, ohne Gerichtsbeschluss und ohne Rechtshilfeabkommen anfordern.

Demnach liege in der Nutzung des Dienstes „Cookiebot“ eine Verletzung der DSGVO, weil eine Unterrichtung über die mit der Übermittlung verbundenen Risiken durch den Cloud-Act nicht erfolgt und auch keine Einwilligung des Nutzers in die Datenübermittlung in die USA eingeholt worden sei.

Die Hochschule sei verantwortlich gemäß Art. 24, Art. 4 Nr. 7 DSGVO. Zwar übermittle sie nicht selbst die Daten. Sie sei dennoch als Verantwortliche heranzuziehen, weil sie sich in Kenntnis der durch den Dienst festgelegten Zwecke dafür entschieden habe, den Dienst auf ihrer Webseite einzusetzen. Es bliebe ihr unbenommen, einen anderen Anbieter ohne Drittlandübermittlung zu wählen.

Der Beschluss gibt Unternehmen Anlass, den eigenen Internetauftritt mit Blick auf das europäische Datenschutzrecht zu überprüfen.

Aus der Entscheidung des VG Wiesbaden geht aber nicht hervor, ob Datenübermittlungen an Drittstaaten zulässig sind, wenn sie auf der Grundlage sog. EU-Standardvertragsklauseln erfolgen.

Thomas Haschert, Mag. iur., Geschäftsführer und Rechtsreferandarin Vivian Ye