Der Schutz personenbezogener Daten auf Webseiten und in Apps ist ein zentrales Anliegen des Datenschutzes. Der Hamburger Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat im Rahmen seines Tätigkeitsberichts 2023 intensiv geprüft, ob Cookies und andere Technologien datenschutzkonform eingesetzt werden. Dabei kamen innovative Analysetools zum Einsatz, die den Datenschützern ermöglichen, Datenschutzverstöße effektiv zu identifizieren und zu dokumentieren.
Warum Cookies im Fokus stehen
Cookies sind aus dem digitalen Alltag nicht mehr wegzudenken. Sie ermöglichen zahlreiche Funktionen, von der Speicherung von Login-Informationen bis hin zur Personalisierung von Inhalten. Doch Cookies werden häufig auch für Tracking-Zwecke eingesetzt, um das Verhalten von Nutzer:innen auf Webseiten und in Apps zu analysieren. Solche Anwendungen sind nur mit der ausdrücklichen Einwilligung der Betroffenen zulässig, wie es § 25 des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) in Verbindung mit der Datenschutz-Grundverordnung (DSGVO) fordert.
Die HmbBfDI erhält regelmäßig Beschwerden, dass Cookies ohne vorherige Einwilligung gesetzt werden. Diese Praxis verstößt gegen geltende Datenschutzvorschriften und kann für Webseitenbetreiber empfindliche Konsequenzen haben.
Fortschrittliche Analysemethoden zur Prüfung
Um Beschwerden und potenzielle Datenschutzverstöße zu prüfen, setzt die HmbBfDI auf moderne Technologien. Mit einem eigens programmierten Framework, das das Open-Source-Tool „Website Evidence Collector“ des Europäischen Datenschutzbeauftragten (EDPS) ergänzt, wird der HTTP-Datenfluss zwischen Browsern und Webservern halbautomatisch dokumentiert und analysiert.
- Gesetzte Cookies: Welche Daten werden auf dem Endgerät der Nutzer:innen gespeichert?
- Zweck der Cookies: Werden sie für den technischen Betrieb der Webseite benötigt oder für Tracking verwendet?
- Rechtsgrundlage: Sind die Cookies technisch erforderlich (§ 25 Abs. 2 TTDSG) oder bedürfen sie einer DSGVO-konformen Einwilligung (§ 25 Abs. 1 TTDSG)?
Die Analyseergebnisse werden in detaillierten Prüfberichten zusammengefasst, die die Grundlage für weitere Verfahren bilden. Diese Berichte enthalten alle technischen Artefakte und schaffen eine verfahrenssichere Dokumentation der Prüfungen.
Apps unter der Lupe
Neben Webseiten werden auch mobile Anwendungen überprüft. Dafür nutzt die HmbBfDI Tools wie „tweasel-cli“ und die „PiRogue tool suite“. Diese Software ermöglicht es, den Datenfluss zwischen Apps und Servern präzise zu analysieren. Insbesondere in einer Zeit, in der Apps immer mehr persönliche Daten verarbeiten, ist dies ein wichtiger Schritt, um Datenschutzstandards sicherzustellen.
Dank an Open-Source-Community
Ein bemerkenswerter Aspekt der Arbeit der HmbBfDI ist die Nutzung von quelloffenen Softwarewerkzeugen. Open-Source-Tools ermöglichen Transparenz, Weiterentwicklung und unabhängige Prüfungen. Der HmbBfDI dankt ausdrücklich den Entwickler:innen dieser Tools, die einen entscheidenden Beitrag zur Verbesserung der Datenschutzanalyse leisten.
Fazit: Innovation für mehr Datenschutz
Die technische Analyse von Webseiten und Apps ist ein essenzieller Bestandteil der Arbeit der Datenschutzbehörden. Mit fortschrittlichen Analysetools wie dem „Website Evidence Collector“ und „tweasel-cli“ schafft die HmbBfDI die Grundlage, um Datenschutzverstöße effizient aufzudecken. Webseitenbetreiber und App-Anbieter sollten diese Entwicklungen ernst nehmen und sicherstellen, dass ihre Technologien den Anforderungen der DSGVO und des TTDSG entsprechen.
Die Arbeit der HmbBfDI zeigt: Datenschutz ist nicht nur eine rechtliche Verpflichtung, sondern auch ein technisches Thema, das Innovation erfordert. Es bleibt abzuwarten, wie sich die Technologien weiterentwickeln und welchen Beitrag sie zur Verbesserung des digitalen Datenschutzes leisten können.