EU-Arzneimittelversender setzen Cookies ohne Einwilligung

Usercentrics unterstützt mit seiner Consent Management Platform (CMP) Unternehmen dabei, die Anforderungen der Datenschutz-Grund­verordnung (DSGVO) zu erfüllen. Offenbar bislang keine Kunden sind die 150 „beliebtesten Online-Apotheken in der EU“, deren Websites Usercentrics nun unter die Lupe genommen hat. Um zu prüfen, inwieweit diese die Anforderungen der DSGVO an eine gültige Cookie-Einwilligung einhalten, wurden im Februar 2022 die Apotheken-Webshops gescannt. Die Vorgehensweise wird in der Markt­analyse mit dem Titel „EU-Online-Apotheken: Wie DSGVO-Verstöße das Vertrauen der Kunden aufs Spiel setzen“ folgendermaßen beschrieben: Der Cookiebot CMP-Scanner führt eine vollständige Simulation eines Website-Besuchs mehrerer Nutzer durch und erkennt damit, ob Cookies etc. bereits beim Besuch der Website aktiviert werden, noch bevor der Nutzer dazu seine Einwilligung gegeben hat.

Getestet wurden die 150 beliebtesten EU-Versender

Welche Arzneimittelversender konkret getestet wurden, geht aus dem Bericht nicht hervor. Dort steht lediglich: „Die 150 EU-Webshops wurden aus den Top-Ergebnissen bei Google in zehn EU-Mitgliedstaaten ausgewählt (...) und gehören zu den beliebtesten Websites der Online-Apothekenbranche der jeweiligen Region oder des jeweiligen Landes.“ Auch auf Anfrage der AZ wollte Usercentrics nicht mitteilen, um welche Versender es dabei ging. Der Grund dafür sei, dass man „Unternehmen und Branchen, insbesondere die, die mit sensiblen Daten umgehen, in erster Linie dafür sensibilisieren (möchte), dass es noch erhebliche Mängel in Bezug auf die Datenschutz-Grundverordnung gibt. Keinesfalls aber sollen die Unternehmen potenziellen Abmahnanwälten präsentiert werden.“ Klar ist aber, dass die „Großen“ der Branche auf jeden Fall dabei sind.

Das Ergebnis ist laut Usercentrics „beunruhigend“:

• 89 Prozent der 150 beliebtesten Online-Apotheken in der EU verstoßen gegen die DSGVO, da sie mindestens ein (nicht notwendiges) Cookie ohne Einwilligung der Endnutzer setzen.
• 55 Prozent aller nicht notwen­digen Cookies wurden nicht rechtskonform eingesetzt, d. h. bereits beim Besuch der Website ohne jegliche Zustimmung der Nutzer aktiviert.
• 62 Prozent der Cookies, die ohne Einwilligung der Nutzer gesetzt werden, sind Marketing-Cookies von Drittanbietern.

In Deutschland setzten sämtliche gescannten Domains mindestens ein nicht notwendiges Cookie ohne Einwilligung des Nutzers, im Durchschnitt waren es 14,3.

Beim Besuch der Online-Apotheken werden z. B. Details über gekaufte oder angesehene Produkte, der Such- und Browserverlauf, das Verhalten auf der Webseite (z. B. die Geschwindigkeit des Scrollens), die zuvor besuchten Websites und gegoogelten Suchbegriffe, die IP-Adressen und andere Kennungen generiert und ver­arbeitet. „All diese Informationen können zu detaillierten Datenprofilen über jeden einzelnen Nutzer zusammengefasst werden, die konkret darüber Auskunft geben, wer er ist, wie es ihm vermutlich geht und wie es möglicherweise um seine körperliche oder geistige Gesundheit steht“, heißt es dazu.

Diese Zahlen seien besonders brisant, so die Pressemeldung, da Verbraucher zunehmend mehr Datenschutz einforderten: „So geben beispielsweise 75% der Kunden, die in den letzten zwölf Monaten bei einer Online-Apotheke eingekauft haben, an, dass ihnen das Thema Datenschutz beim Kauf dort besonders wichtig ist.“ Auf Nachfrage erklärt die Presseabteilung, dass diese Aussage auf einer von Usercentrics in Auftrag gegebenen Umfrage im Februar 2022 beruht.

Doch warum halten sich die Versender nicht an die Vorschriften der DSGVO? Als mögliche Gründe nennt Usercentrics u. a., dass die Website keine CMP implementiert habe, die Cookies kontrollieren kann und die Einwilligung der Endnutzer verarbeitet, oder dass die Website eine benutzerdefinierte CMP verwendet, die den Anforderungen der DSGVO für die Kontrolle aller Cookies auf der Grundlage der Einwilligung des Nutzers nicht gerecht wird. Als weitere Möglichkeit wird angeführt, dass der Website-Betreiber sich dafür entscheide, „die CMP nicht korrekt einzusetzen, um keine Daten zu verlieren, die für Einnahmen und Analysen wichtig sind“.

Fazit: Die Analyse von Usercentrics dürfte vor allem der Akquise neuer Kunden im Bereich der Arzneimittelversender dienen. Gleichwohl liefert sie einen deutlichen Hinweis darauf, wie wenig wichtig den Versendern der Datenschutz ist und dass die zum Teil günstigen Preise möglicherweise durch den Verkauf der Nutzer­daten querfinanziert werden. |