Deutsches Gericht untersagt LinkedIn, „Do Not Track“-Signale zu ignorieren

 (stackdiary.com)
1 Punkte von GN⁺ 2023-11-01 | 1 Kommentare | Auf WhatsApp teilen
  • Das Landgericht Berlin entschied in einer Klage des deutschen Verbraucherzentrale Bundesverbands vzbv, dass einige Datenverarbeitungspraktiken von LinkedIn die Kontrolle der Nutzer verletzen
  • LinkedIns Hinweis, Analyse- und Marketing-Tracking trotz des Do Not Track-Signals des Browsers fortzusetzen, kann für Nutzer irreführend sein
  • Ebenfalls untersagt wurde die automatische Veröffentlichung von Profilen durch den Standardwert von Profile Visibility bei neuen Konten; für die Sichtbarkeit gegenüber Nichtmitgliedern ist eine ausdrückliche Einwilligung erforderlich
  • In früheren Teilurteilen wurden auch unerwünschte E-Mails an Nichtmitglieder und AGB, die den Verzicht auf bestimmte gesetzliche Rechte erzwingen, problematisiert
  • Das Urteil könnte zum Präzedenzfall werden, aber damit Do Not Track tatsächlich ein Schutzmechanismus wird, braucht es eine fortlaufende Durchsetzung in der gesamten EU

Deutsches Gerichtsurteil zu LinkedIns Datenpraktiken

  • Das Landgericht Berlin untersagte einige Datenverarbeitungspraktiken der beruflichen Networking-Plattform LinkedIn
  • Die Klage wurde vom deutschen Verbraucherzentrale Bundesverband vzbv eingereicht
  • Das Gericht entschied, dass LinkedIn die vom Browser des Nutzers gesendeten Do Not Track-Signale nicht ignorieren darf
    • Ein Do Not Track-Signal teilt mit, dass ein Internetnutzer das Tracking seiner Online-Aktivitäten ablehnt
    • LinkedIn wies darauf hin, dass es trotz solcher Signale auf der Website zu Analyse- und Marketingzwecken trackt
    • Das Gericht sah diese Erklärung als irreführende Kommunikation, weil LinkedIn Do Not Track-Anfragen respektieren muss
  • Ebenfalls untersagt wurde die Standardeinstellung, die Profile neuer Nutzer automatisch öffentlich macht
    • Der Standardwert von LinkedIns Profile Visibility setzt Nutzerinformationen direkt nach der Kontoerstellung auf öffentlich sichtbar
    • Das Gericht sah darin einen Verstoß gegen Datenschutzvorschriften, weil Nutzerinformationen ohne Einwilligung offengelegt werden
    • Damit ein Profil für Nichtmitglieder sichtbar ist, muss der Nutzer ausdrücklich zustimmen
  • Bereits in früheren Teilurteilen wurden weitere Praktiken von LinkedIn untersagt
    • Das Versenden unerwünschter E-Mails an Nichtmitglieder
    • Die Verwendung von AGB, die Nutzer zum Verzicht auf bestimmte gesetzliche Rechte zwingen

Offene Aufgaben bei der Durchsetzung von Do Not Track

  • vzbv sieht in der Entscheidung eine Bestätigung dafür, dass Verbraucher die Kontrolle über ihre personenbezogenen Daten ausüben können
    • Wenn Nutzer Do Not Track aktivieren, senden sie die klare Botschaft, dass sie ihre Online-Aktivitäten nicht überwachen lassen wollen
    • Website-Betreiber sollten solche Signale respektieren
  • Das Urteil ist zwar ein Fortschritt, aber ein einzelnes deutsches Urteil dürfte die Datenschutzpraxis für Nutzer nicht grundlegend verändern
    • Do Not Track existiert seit Jahren, wurde aber von vielen Websites ohne nennenswerte Folgen ignoriert
    • Der Fall könnte ein Präzedenzfall werden, könnte aber auch ein isoliertes Urteil in Deutschland bleiben
  • Für echte Veränderungen ist eine kontinuierliche Durchsetzung in der gesamten EU nötig
    • Den Aufsichtsbehörden wird vorgeworfen, bislang nicht schnell genug gehandelt zu haben
    • Selbst wenn alle europäischen Websites die Vorgaben einhalten, bleibt die Möglichkeit, dass Tech-Unternehmen invasives Tracking außerhalb Europas verlagern
    • Cookie-Einwilligungsbanner gelten inzwischen vielfach als eher formaler Vorgang
  • Datenschutz- und Einwilligungsschutz wie Do Not Track hängt stark von der freiwilligen Einhaltung durch Unternehmen ab
    • Unternehmen, die ihre Eigeninteressen verfolgen, finden Wege, Regeln zur Stärkung von Nutzerrechten zu umgehen
    • Einige Websites mögen Signale wie DNT respektieren, können sie aber leicht mit oberflächlichen Einwilligungs-Prompts umgehen
  • Sinnvoller Datenschutz erfordert ein Überdenken der Art, wie Websites gebaut und monetarisiert werden
    • Das Silicon Valley hat wenig Anreiz, den Überwachungskapitalismus aufzugeben
    • Big Tech spricht über Datenschutz und sammelt zugleich so viele Daten wie möglich
    • Solange sich das Geschäftsmodell nicht ändert, könnten freiwillige Maßnahmen wie Do Not Track eine leere Geste bleiben

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2023-11-01
Hacker-News-Meinungen

  • Dieses Urteil ist großartig, und ich hoffe, dass es auch in der wohl unvermeidlichen Berufung Bestand hat. Der naheliegendste Weg, Cookie-Hinweise pro Website loszuwerden, besteht darin, DNT rechtlich durchsetzbar zu machen.
    Ich betreibe eine Agentur, die Websites für gemeinnützige Organisationen erstellt; wenn DNT aktiviert ist, tracken wir nicht und zeigen auch keinen Cookie-Hinweis an. Allerdings frage ich mich, ob wir einen einmaligen Hinweis anzeigen sollten, dass „wir die DNT-Einstellung erkannt und Tracking deaktiviert haben“, weil Nutzer sonst ohne Cookie-Hinweis vielleicht vermuten, dass sie „standardmäßig getrackt“ werden.

    • Besser ist es, gar nichts zu tun, wofür ein Cookie-Hinweis nötig wäre. Man kann das sicher nicht immer selbst entscheiden, aber man sollte der Annahme, dass solches Tracking notwendig sei, so weit wie möglich widersprechen.
    • Das Cookie-Gesetz hätte ursprünglich genau so umgesetzt werden sollen; dass es nicht so kam, liegt vollständig in der Verantwortung der Gesetzgeber. Die bürokratischen Kosten der Millionen Stunden, die Menschen mit dem Wegklicken von Banner-Popups verschwendet haben, gehen zulasten derjenigen, die das Gesetz gemacht haben, nicht derjenigen, die dagegen verstoßen.
    • Die meisten Websites wollen ihre Nutzer tatsächlich tracken, daher scheint es unwahrscheinlich, dass es so kommt. Am Ende werden sie weiterhin Banner einblenden oder Varianten zeigen wie: „Wir wissen, dass DNT aktiviert ist, aber möchten Sie für unsere Website eine Ausnahme erlauben?“
      So besteht die Chance, dass Nutzer zustimmen, nur um das Cookie-Banner loszuwerden, und die Website kann argumentieren, dass die von ihr eingeholte konkrete Zustimmung den allgemeinen Widerspruch per DNT überstimmt.
    • Meine Mutter schrieb mir einmal, dass ihr eine von mir geteilte Website nicht gefalle, weil man dort Cookies nicht deaktivieren könne. Ein kurzer Blick zeigte: Das lag daran, dass die Seite gar nichts erfasste.
    • Für technische Cookies braucht man eigentlich kein Cookie-Banner. Leider wissen das nicht alle Website-Betreiber.

  • Ich verstehe immer noch nicht, warum Websites keine eigenen Werbelösungen statt Drittanbietern finden können. Große Websites wirken wegen gedankenlos platzierter Werbung wie ein Chaos.
    Werbung sollte wie in Magazinen oder Zeitungen von Menschen sorgfältig ausgewählt und auf der Seite platziert werden; dann wäre die Erfahrung besser und Tracking wäre nicht nötig. Die Erwartung, dass Tracking für „gute Werbung“ nötig sei, hat sich nicht erfüllt, und die Auswahl von Produkten, die Menschen kaufen wollen, muss am Ende ein Mensch mit Geschmack treffen.

    • Weil der Werbemarkt siloartig abgeschottet ist. Agenturen wollen große Budgets einfach ausgeben, nicht mit Tausenden Medien einzeln verhandeln.
      Also kaufen sie gebündelt bei großen Anbietern ein, die Statistiken zentral bereitstellen. Das ist auch ein Mechanismus, um Medieninhaber einigermaßen ehrlich zu halten, weil Klickbetrug und Auslieferungsbetrug sonst weit verbreitet sein können. Es gibt immer Wege, Budget abzuziehen, ohne dem Werbekunden das zu liefern, was er will; und in diesem Wettrüsten zwischen Betrügern und Marketern sowie zwischen Marketern und Nutzern steckt der Endnutzer mittendrin. Dieses Urteil gibt Menschen, die sich selbst zu Nichtkombattanten erklärt haben, ein Stück gesunden Menschenverstand zurück.
    • Direkt mit der Werbebranche oder mit Werbekunden zu arbeiten ist deutlich komplizierter, als einfach einen Bannerplatz auf einer Seite oder in einer App einzubauen. Websites wollen sich lieber auf ihr Kerngeschäft konzentrieren, statt ein neues Geschäft zu lernen.
      Dazu gehören Dinge wie Werbekunden finden, Preise verhandeln, Berichte über Anzeigenplatzierung und Reaktionen erstellen, Klickbetrug erkennen, den Werbepartner von Gegenmaßnahmen gegen Betrug überzeugen und vermitteln, dass man vertraglich irgendwann tatsächlich bezahlt wird. Werbekunden wollen diese Berichte mit den in ihre eigenen Systeme einfließenden Interest-Logs abgleichen.
    • Der Markt ist voller Betrug, und die Überwachung existiert, um diesem Betrug zu begegnen. Überwacht wird, um nachzuweisen, dass Nutzer echte Nutzer sind und keine Bots, die Impressions oder Klicks fälschen.
      Versetz dich in die Lage eines Anzeigenkäufers: Wenn irgendeine beliebige Website anbietet, meine Werbung anzuzeigen, woher soll ich wissen, was ich dafür bekomme?
    • Leute in Marketingabteilungen kommen und gehen, und sie haben weder Zeit noch Motivation, interne Tools zu lernen. Sie kennen gtag, und das reicht ihnen.
    • Letztlich ist das so, als würde man fragen, warum es Subunternehmer gibt.

  • Endlich. Der Do-Not-Track-Header ist die ultimative Ablehnung der Zustimmung. Er ist ein ausdrückliches „Nein“ und Teil des Request-Headers, sodass der Server nicht behaupten kann, er habe es nicht gewusst.
    Dass es Do Not Track gab und das Web trotzdem zu einem Chaos aus Zustimmungs-Popups wurde, zeigt die Böswilligkeit dieser Unternehmen. Sie haben eindeutig versucht, den Willen der Nutzer zu umgehen, und schlimmer noch: Sie haben es in ein zusätzliches Bit fürs Tracking verwandelt. Gut, dass es nun einen rechtlichen Präzedenzfall gibt.

    • Als ultimative Ablehnung ist das schwer zu sehen. Es gibt keine Möglichkeit, bestimmte Websites zu erlauben, und es ist auch nicht definiert, was genau nicht getrackt werden soll. Siehe: https://www.eff.org/deeplinks/2011/02/what-does-track-do-not...
      Es wäre schön, wenn Browser eine Möglichkeit hätten, das ausdrücklich festzulegen, aber zwangsläufig würde das auch den Weg für Ausnahmelisten öffnen. Extrem ausgelegt könnte DNT-Konformität bedeuten, dass man Websites, die überhaupt einen Login erfordern, nicht nutzen kann.

  • Der meiste Quasi-Vertrags-Unsinn, der die Beziehung zwischen Verbrauchern und Unternehmen definiert, ist eine miese Rechtstheorie. Er hätte von Anfang an nie anerkannt werden dürfen.
    Dass das Rechtssystem dies zugelassen und gestützt hat, zeigt, wie intellektuell schwach die Philosophie und Ethik der Rechtsbranche ist. Unternehmen verwenden Dinge wie Nutzungsbedingungen und End User License Agreements, besonders bei digitalen Interaktionen, wie Zaubersprüche, aber das ist keine Zustimmung, sondern nur ein lächerliches Ritual, das Nutzern und Verbrauchern Rechte wegnimmt. Wenn ein Recht durch AGB aberkannt werden kann, hat es von vornherein nicht existiert. Der Begriff „durch Zustimmung“ ist in solchen Situationen selbst eine Fälschung, aber wenn man schon so vorgehen muss, könnte man das Spielfeld auch in die andere Richtung kippen. Etwa: „Indem Sie diesem Browser eine Webseite bereitstellen, stimmen Sie Folgendem zu …“. In dem Moment, in dem Cookies gesetzt oder Daten protokolliert werden, könnte man quasi-juristische Defaults zugunsten des Nutzers schaffen. Bedingungen wie „Sie müssen X zustimmen, bevor Sie ein gekauftes Produkt nutzen können“ sollten unwirksam sein, und wenn die Offenlegung von Daten oder die Zustimmung zu Bedingungen Voraussetzung für die Produktnutzung ist, sollten Verbraucher ein unbefristetes Recht auf vollständige Erstattung erhalten. Wenn man einem zwingenden Vertrag zustimmen muss, der darauf ausgelegt ist, nicht gelesen zu werden, nur um ein Gerät nutzen zu können, sollte man zumindest das Recht haben, ihn abzulehnen und jederzeit eine vollständige Erstattung zu bekommen, oder die Zustimmung sollte mindestens unwirksam sein.

    • Soweit ich es verstehe, ist „man muss X zustimmen, bevor man ein gekauftes Produkt nutzen kann“ in vielen Ländern praktisch bereits illegal. Nutzer in solchen Ländern können solche Zustimmungsbildschirme normalerweise einfach wegklicken, ohne dass das rechtliche Wirkung hat.
      End User License Agreements müssen Nutzern vorgelegt werden, bevor sie eine App oder ein Gerät erhalten. Deshalb verlangt Steam die Annahme einer Drittanbieter-EULA, bevor man ein Spiel herunterlädt, und zeigt auf der Store-Seite in einer auffälligen gelben Leiste an, dass man die Drittanbieter-EULA lesen kann. So etwas wie „EULA-Link auf der Rückseite der Schachtel“ ist nicht zulässig. Und selbst dann ist ein erheblicher Teil solcher EULAs, der über Haftungsthemen hinausgeht, meist illegal, weil er versucht, Rechte zu untersagen, die man ohnehin hat. Meines Wissens sind die USA fast das einzige Land, in dem solche Shrink-Wrap-EULAs nützlicher sind als edles Toilettenpapier. Allerdings bin ich kein Anwalt.
    • Gab es schon Fälle, in denen jemand wegen einer Rückerstattung geklagt hat, weil ihm eine Lizenzänderung nicht gefiel?
    • Richter, Rechtsphilosophen und Jura-Professoren schreiben Gesetze wahrscheinlich in MS Word, Verhandlungen über Gesetzesänderungen laufen über per E-Mail verschickte Absätze, und diese E-Mails werden höchstens einmal am Tag gelesen.

  • Gute Nachricht. Jetzt möchte ich sehen, ob diese Sache, falls sie angefochten wird, auch vor den EU-Gerichten landet. Allerdings wird die Werbebranche wohl lieber Land für Land kämpfen, statt das Risiko einzugehen, EU-weit auf einmal zu verlieren.

    • Es wäre gut, wenn das EU-weites Recht würde. Wenn man den DNT-Header sendet, hat man Tracking bereits nicht zugestimmt, also sollten Cookie-Consent-Banner gar nicht erst angezeigt werden dürfen.
    • Warum läuft es immer darauf hinaus, auf die „EU-Gerichte zu hoffen“? Ist das US-Rechtssystem so machtlos oder korrupt, dass alle es komplett aufgegeben haben?
    • Im nationalen Gerichtssystem kann man nur bis zu einem gewissen Punkt gehen; danach verliert man entweder, oder die EU-Gerichte werden einbezogen.
      Wenn diese Sache in Deutschland bis zum Bundesgerichtshof (BGH) geht, wird dieser dem Europäischen Gerichtshof eine Frage zur Auslegung des anwendbaren EU-Rechts vorlegen, in diesem Fall zur DSGVO, und auch Gerichte anderer Länder werden diesen Präzedenzfall berücksichtigen. Wenn LinkedIn nicht in Berufung geht, muss es diesem Urteil folgen, und auch dann ist es nicht ungewöhnlich, dass nationale Gerichte Rechtsprechung jenseits der eigenen Grenzen heranziehen.
    • Das ist bereits eine Auslegung der DSGVO, wonach man Tracking mit „technischen Mitteln“ ablehnen kann.
      Um die einzelnen Länder dazu zu bringen, diese Auslegung zu übernehmen, muss man vermutlich Land für Land streiten, aber für andere EU-Länder ist das zu 100 % ein Präzedenzfall.

  • Nach meinem Verständnis wurde LinkedIn nicht verpflichtet, den DNT-Header in der tatsächlichen Verarbeitung zu respektieren. Es wurde nur verboten, zu behaupten, dass der DNT-Header rechtlich nicht bindend sei und deshalb nicht respektiert werde.
    Das Gericht hat LinkedIn nicht gezwungen, den DNT-Header tatsächlich zu respektieren oder ihn zumindest zu berücksichtigen. Als deutscher Muttersprachler habe ich auch diesen Artikel von heise online, das normalerweise verlässlich ist, so verstanden: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...

    • Das vollständige Urteil ist hier verfügbar [1]. Der Verbraucherschutzverband hatte ebenfalls beantragt, LinkedIn zur Beachtung von DNT zu verpflichten, aber das Gericht hielt den Antrag aus zwei Gründen für zu weit gefasst und gab ihm nicht statt.
      Erstens war nicht hinreichend bestimmt, was DNT genau bedeuten soll. Insbesondere war die Klage nicht auf den DNT-Header beschränkt, sondern sprach von allen möglichen gesetzten Signalen, die der Browser sendet. Zweitens wurde zu weit beschrieben, welche Handlungen LinkedIn beim Empfang eines solchen Signals einstellen sollte. Wenn das Urteil Bestand hat, scheint es eindeutig die Tür für künftige Klagen zu öffnen, und man könnte hoffen, dass die betroffenen Unternehmen ihr Verhalten in Erwartung dessen anpassen, aber große Hoffnungen habe ich nicht.
      [1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
    • Um diesen Artikel zu lesen, muss man bezahlen oder dem personalisierten Tracking „freiwillig zustimmen“. Die Leute, die auf dieser Seite schreiben, stehen vermutlich auf einer IP-Allowlist oder sind immer eingeloggt, und ich frage mich manchmal, ob ihnen diese Ironie überhaupt auffällt.
    • Stimmt, aber das Gericht hat auch gesagt, dass DNT rechtlich bindend ist. Das steht auch im vorletzten Absatz des verlinkten heise-Artikels.
      Allerdings betrifft das Urteil selbst die Aussage darüber und nicht die Frage, ob DNT respektiert wird; insofern stimmt das.

  • Ein Problem, das beim Thema Tracking immer wieder auftaucht, ist, dass der Begriff viel zu weit gefasst ist. Zum Beispiel gibt es drei Fälle: Ein Ladenbesitzer beobachtet Kund:innen, um Diebstahl zu verhindern, und verfolgt ihre Wege, um die Warenplatzierung zu optimieren; ein Online-Shop trackt, welche Produkte sich Menschen ansehen und welche Warenkörbe am häufigsten aufgegeben werden; ein weltweites Werbenetzwerk erhält den Großteil der Browsing-Aktivitäten im Internet und erstellt daraus Werbeprofile.
    Würde man nicht sagen, dass irgendwo auf dieser Achse ein Unterschied im Maßstab zu einem Unterschied in der Art wird? Persönlich finde ich es in Ordnung, zu beobachten, was Nutzer:innen auf meiner Website tun; sobald Daten aber an Dritte weitergegeben werden, sollte eine ausdrückliche Einwilligung erforderlich sein.

    • Schon der Begriff Werbeprofil ist ein sehr weiter Ausdruck, der viel der Vorstellung überlässt. Es ist auch nicht alles dasselbe.
      Das Werbeprofil, das Google über einen hat, kann man direkt einsehen und bearbeiten [1] [2]. Ich habe es eingeschaltet gelassen, weil ich ungefähr neugierig war, was es herausfindet, aber bisher waren die Werbethemen sehr allgemein und nichts Besorgniserregendes.
      [1] https://myadcenter.google.com/
      [2] chrome://settings/adPrivacy/interests (bei Nutzung von Desktop-Chrome)
    • Nummer 1 und 2 lassen sich vermutlich auch ohne Einwilligung umsetzen.
    • Der Kernpunkt ist der Unterschied beim Zielobjekt.
      Wenn das Tracking eine Person betrifft, braucht man die Einwilligung dieser Person. Wenn das Tracking ein unbelebtes Objekt betrifft, ist es im Allgemeinen wahrscheinlich in Ordnung. Führt das Tracking eines unbelebten Objekts aber dazu, dass eine Person getrackt wird, muss man die Einwilligung dieser Person einholen.
    • Die DSGVO definiert die erforderlichen Begriffe ausdrücklich.

  • „Da in Ihrem Browser Do Not Track aktiviert ist, können wir diesen Inhalt nicht bereitstellen“

    • In Ordnung. Das hilft den Menschen zu verstehen, dass sie sich zwischen europäischen Werten und technologischer Versklavung entscheiden müssen.
    • Aus Sicht einer in der EU lebenden Person sehe ich so etwas sehr häufig auf US-basierten Websites. Es sind Websites, für die Tracking-Cookies und Datensaugen unbedingt nötig sind.
    • Glücklicherweise ist das genauso illegal wie Tracking ohne Einwilligung – oder in diesem Fall Tracking trotz ausdrücklicher Ablehnung.
    • In Ordnung. Wenn eine US-Website mir wegen meiner EU-IP-Adresse den Zugriff auf Inhalte sperrt, freut mich das eher.
    • Ähnliche Meldungen, dass ich eine US-Website nicht besuchen kann, weil ich in der EU bin, gibt es bereits.

  • Gilt das auch für Browser, bei denen der DNT-Header standardmäßig aktiviert ist? Ich erinnere mich, dass frühe Edge-Versionen oder spätere Versionen des Internet Explorer diesen Header standardmäßig gesendet haben und das auch in der Werbung so behauptet wurde.
    Ich meine, die Spezifikation habe damals gesagt, man dürfe den Header ignorieren, wenn er immer gesendet wird oder nicht vom Nutzer aktiviert wurde.

    • Ich bin kein Anwalt, aber da eine Website nicht unterscheiden kann, ob die DNT-Einstellung standardmäßig aktiviert ist oder ob der Nutzer sie absichtlich aktiviert hat, spielt das praktisch keine Rolle. Man muss davon ausgehen, dass der Nutzer die DNT-Einstellung aktiviert hat.
      Nehmen wir an, Tante Agatha liest in einer Zeitschrift über die DNT-Einstellung, schaut in die Browser-Einstellungen und stellt fest, dass sie bereits aktiviert ist, also tut sie nichts. Das unterscheidet sich nicht von Onkel Ulysses, der einen anderen Browser nutzt, bei dem sie standardmäßig deaktiviert ist, und sie dann in den Einstellungen einschaltet. Wenn an meinem Briefkasten ein Aufkleber hängt, dass ich keine unerwünschte Werbung erhalten möchte, muss man nicht spekulieren, wer diesen Aufkleber angebracht hat.
    • Für die Frage, wie Gerichte entscheiden, ist die Spezifikation im Allgemeinen nicht ausschlaggebend. Dem Urteil zufolge gilt DNT aus Sicht des Gerichts als gültiges Signal, dass Tracking nicht gewünscht ist. Kein Anwalt.
      Man könnte auch argumentieren, dass schon die Nutzung eines Browsers, bei dem der DNT-Header voreingestellt ist, eine Datenschutzentscheidung darstellt, weil man sich für diesen Browser entschieden hat. Werbefirmen wollen dieses Argument nicht; sie wollen, dass Nutzer in jedem Browser opt-outen. Idealerweise würden sie den Header schlicht ignorieren, so wie es tatsächlich geschah, nachdem Microsoft ihn im Explorer standardmäßig aktiviert hatte.
    • In der EU ist die Voreinstellung eher, dass für die Nutzung personenbezogener Daten eine Einwilligung erforderlich ist. In einigen Rechtsordnungen zählt auch die IP-Adresse zu personenbezogenen Daten, also sollte der Default Opt-out sein.
    • Wenn ein Nutzer einen datenschutzorientierten Browser installiert hat, kann man auch dann noch von einer Nutzerentscheidung sprechen, wenn der Browser DNT standardmäßig aktiviert.
      Die ursprüngliche Internet-Explorer-Situation ist anders, weil er im Betriebssystem vorinstalliert war. Ob man bei bestimmter Consumer-Hardware überhaupt eine Wahl beim Betriebssystem hat, ist auch heute oft zweifelhaft; damals dürfte die Antwort noch häufiger eher „nein“ gewesen sein.
    • Warum hat die Spezifikation wohl gesagt, man dürfe den Header ignorieren, wenn er immer gesendet wird oder nicht vom Nutzer aktiviert wurde?

  • Offenbar hat niemand Global Privacy Control erwähnt. Im Kern ist das ein HTTP-Header, der unter dem CCPA rechtlich bindend sein soll, und er unterscheidet sich von DNT.
    In Firefox gibt es zumindest in der Beta eine Einstellung, um ihn zu aktivieren. Siehe:
    https://globalprivacycontrol.org/
    https://global-privacy-control.glitch.me/
    https://privacycg.github.io/gpc-spec/

    • GPC ist in Kalifornien bereits Gesetz. Die EU scheint noch nicht nachgezogen zu haben, möglicherweise weil sie die Durchsetzung an die nationalen Datenschutzaufsichtsbehörden delegiert hat und damit gescheitert ist. Einige davon, wie die irische Behörde, sind offensichtlich vom Überwachungsindustrie-Komplex vereinnahmt.
      https://www.huntonprivacyblog.com/2021/07/15/california-atto...