A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs
Diese Arbeit analysiert die historische Entwicklung der DSGVO-Cookie-Banner-Konformität über 11.364 Websites hinweg und zeigt einen signifikanten Anstieg von „Alle ablehnen“-Optionen auf, der primär durch Maßnahmen der Publisher und regulatorischen Druck getrieben wurde, während sie gleichzeitig die Notwendigkeit einheitlicher EU-Leitlinien und einer Aufsicht über Consent-Management-Plattformen hervorhebt, um den Schutz der Privatsphäre der Nutzer weiter zu verbessern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet wie einen riesigen, belebten Marktplatz vor. Im Jahr 2018 wurde mit der DSGVO eine neue Regelwerks eingeführt, um die Käufer (Nutzer) davor zu schützen, ohne ihre Erlaubnis verfolgt zu werden. Das wichtigste Werkzeug zur Durchsetzung dieser Regeln ist der Cookie-Banner – jenes Pop-up-Fenster, das Sie auf fast jeder Website sehen und das fragt: „Möchten Sie, dass wir Sie tracken?“
Dieses Paper ist wie ein sechsigähriger Dokumentarfilm (2018–2024), der beobachtet hat, wie sich diese Pop-ups verändert haben, wer die Veränderungen tatsächlich vorantreibt und ob die Regeln eingehalten werden. Die Forscher untersuchten über 11.000 Websites in 30 europäischen Ländern, um diese Geschichte zu erzählen.
Hier ist die Aufschlüsselung der Geschichte unter Verwendung einfacher Analogien:
1. Die drei Hauptcharaktere
Das Paper identifiziert drei Gruppen, die beeinflussen, wie diese Pop-ups aussehen und funktionieren:
- Die Publisher (Website-Besitzer): Denken Sie an sie als die Ladenbesitzer. Sie besitzen die Websites und sind rechtlich dafür verantwortlich, um Erlaubnis zu bitten.
- Die Regulierungsbehörden (DPAs): Denken Sie an sie als die Polizeibeamten. Sie schreiben die Regeln, geben Ratschläge und verhängen Bußgelder (Strafzettel) an Ladenbesitzer, die gegen das Gesetz verstoßen.
- Die CMPs (Consent Management Platforms): Denken Sie an sie als Pop-up-Verkaufsautomaten. Viele Ladenbesitzer bauen ihre eigenen Pop-ups nicht selbst; sie kaufen einen vorgefertigten „Automaten“ von einem Unternehmen (wie OneTrust oder Cookiebot), der den Banner automatisch anzeigt. Die Forscher wollten sehen, ob diese Verkaufsautomaten-Unternehmen den Ladenbesitzern dabei helfen, die Regeln einzuhalten.
2. Die große Geschichte: Es wird besser, aber langsam
Ganz am Anfang (2018) war die Situation chaotisch. Nur etwa 3 % der Websites hatten einen „Alle ablehnen“-Button. Die meisten hatten nur einen großen „Akzeptieren“-Button, was die Leute effektiv dazu verleit, „Ja“ zu sagen.
Bis 2024 hat sich die Situation deutlich verbessert. Jetzt haben etwa 30 % der Websites einen klaren „Ablehnen“-Button. Das ist ein riesiger Sprung, aber es bedeutet, dass 7 von 10 Seiten immer noch nicht vollständig konform sind.
Der „Ripple-Effekt“ der Polizei:
Das Paper fand eine starke Verbindung zwischen den „Polizeibeamten“ (Regulierungsbehörden) und dem richtigen Verhalten der Ladenbesitzer.
- Beispiel: In Frankreich verhängte die Regulierungsbehörde (CNIL) Bußgelder gegen Google und Meta, weil deren Pop-ups es schwierig machten, „Nein“ zu sagen.
- Das Ergebnis: Unmittelbar nach den Bußgeldern begannen Websites in Frankreich (und sogar in anderen Ländern), „Ablehnen“-Buttons hinzuzufügen. Es ist wie wenn ein Polizeibeamter anfängt, Leute für das Nichtanlegen des Sicherheitsgurtes zu bestrafen; plötzlich schnallt sich jeder an.
- Der Kontrast: In Ländern, in denen die Regulierungsbehörden ruhig blieben oder wenig Bußgelder verhängten (wie Litauen oder Polen), blieben die Websites träge und fügten keine „Ablehnen“-Buttons hinzu.
3. Die Überraschung: Die „Verkaufsautomaten“ haben nicht viel geholfen
Die Forscher hatten eine Theorie: Sie dachten, dass die Unternehmen, die die Pop-up-Software verkaufen (die CMPs), ihre Automaten automatisch anpassen würden, um datenschutzfreundlicher zu sein, wenn sich die Gesetze ändern.
Der Realitätscheck:
Die Studie ergab, dass dies nicht geschah.
- Einige „Verkaufsautomaten“ (wie Cookiebot) aktualisierten ihr Design so, dass für etwa 55 % ihrer Kunden „Ablehnen“-Buttons enthalten waren.
- Andere „Verkaufsautomaten“ (wie Cookies Consent) taten dies nur für etwa 13 % ihrer Kunden.
- Das Fazit: Die CMPs saßen größtenteils nur da. Sie haben ihre Kunden nicht dazu gezwungen, sich zu ändern. Stattdessen waren es die Ladenbesitzer (Publisher), die tatsächlich vorgingen, den Automaten öffneten und die Einstellungen manuell änderten, um konformer zu sein. Das Paper legt nahe, dass eine Website nur deshalb einen guten „Ablehnen“-Button hat, weil der Website-Besitzer sich entschieden hat, ihn dort zu platzieren, und nicht, weil das Softwareunternehmen ihn dazu angewiesen hat.
4. Der aktuelle Zustand des Marktes
- Konsolidierung: Der Markt für diese Pop-up-Automaten schrumpft auf einige wenige große Akteure zusammen. Große Unternehmen wie OneTrust und Cookiebot werden nun von der Mehrheit der Websites genutzt.
- Das Problem: Da diese großen Unternehmen die Standardeinstellungen festlegen, und diese nicht immer die datenschutzfreundlichsten Entscheidungen treffen, enden viele Websites mit schlechten Pop-ups, sofern der Besitzer sie nicht manuell korrigiert.
5. Das abschließende Fazit
Das Paper kommt zu dem Schluss, dass das Internet zwar etwas respektvoller gegenüber der Privatsphäre der Nutzer wird, dies aber geschieht, weil die Ladenbesitzer endlich auf die Polizei hören, und nicht, weil die Verkaufsautomaten-Unternehmen hilfreich sind.
Die Autoren schlagen vor, dass wir für ein wirklich sicheres Internet folgendes benötigen:
- Einheitlichere Regeln: Alle „Polizeibeamten“ in ganz Europa müssen sich auf genau die Regeln einigen, damit die Ladenbesitzer nicht verwirrt sind.
- Mehr Aufsicht über die Verkaufsautomaten: Die Unternehmen, die die Pop-up-Software verkaufen, sollten stärker zur Rechenschaft gezogen werden. Wenn sie diejenigen sind, die die Standardeinstellungen festlegen, sollten sie auch dafür verantwortlich sein, dass diese Defaults legal und fair sind.
Kurz gesagt: Die Regeln funktionieren, aber nur, wenn die Polizei genau hinsieht, und die Werkzeuge, die zur Einhaltung der Regeln verwendet werden, benötigen ein ernsthaftes Upgrade.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.