Zurück zur Übersicht: "Cookies, Tracking & Datenschutz"
1. Was macht CCM19?
CCM19 ist ein Cookie Consent Tool des Anbieters Papoo Software & Media, welches als Agentur- oder Download Version und als Cloud Version verfügbar ist. Ein Plugin von CCM19 ist für Wordpress und andere CMS erhältlich. Unternehmen können mit der Consent Management Platform Cookie-Einwilligungen von Usern in die Datenerhebung einholen. CCM19 das einzige systemübergreifende und multidomainfähige Cookie Consent Management System, das Unternehmen auf ihrer eigenen Infrastruktur installieren können. Gut 100.000 Webseiten setzen auf das Produkt. Welche datenschutzrechtlichen Vorgaben müssen Unternehmen bei der Software CCM19 beachten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen2. Warum ist das Cookie Consent Tool CCM19 datenschutzrechtlich relevant?
Datenschutzrechtlich problematisch ist CCM19, wenn Unternehmen das Tool nicht selbst hosten. Dann stellt es eine Verbindung zu den Servern von CCM19 her, sobald User eine Webseite, die das Tool verwendet, besuchen. Auf diese Weise kann es einen Cookie Banner auf der Webseite einblenden und darüber die Nutzer-Einwilligung in die Datenerhebung einholen. Dabei setzt es einen Cookie in den Browser der User, um die erteilte Erlaubnis zuordnen zu können. Der Cookie speichert Informationen
- zum Logfile,
- zum verwendeten Browser der User und
- zur Einwilligung der User wie den Zeitstempel, die ProzessorID und die ControllerID.
Diese Daten sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Seitenbetreiber müssen daher verschiedene Datenschutzvorgaben beachten.
3. Consent Manager CCM19 datenschutzkonform verwenden
Hosten Unternehmen CCM19 nicht selbst, sondern über die Cloud Variante des Tools, müssen sie diese datenschutzrechtlichen Pflichten erfüllen:
Vertrag zur Auftragsverarbeitung schließen
Unternehmen geben über ihre Seite personenbezogene Daten wie die IP-Adresse an den hinter CCM19 stehenden Anbieter Papoo Software & Media weiter. Dieser verarbeitet die Daten weisungsgebunden. Dafür benötigen Unternehmen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag). Das gibt Art. 28 DSGVO vor. Der Vertrag muss klären,
- warum der Anbieter von CCM19 personenbezogene Daten erhält,
- um welche Daten es sich dabei handelt und
- welche Rechte und Pflichten die Verantwortlichen haben.
Fehlt ein AV-Vertrag mit Papoo Software & Media, droht Unternehmen ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes.
Datenschutzerklärung anpassen
Unternehmen müssen in ihrer Datenschutzerklärung festhalten, wie sie CCM19 verwenden. Dafür sollten sie einen Passus in ihrer Datenschutzerklärung ergänzen, der darüber informiert,
- warum sie über das Cookie Consent Tool CCM19 personenbezogene Daten erheben,
- wie lange sie die Daten speichern,
- welche Rechtsgrundlage das erlaubt (Art. 6 Abs. 1 lit. c DSGVO) und
- dass Webseitenbesucher die Verwendung von Cookies durch eine Einstellung im Browser verhindern können.
CCM19 selbst hosten
Datenschutzrechtlich unbedenklich ist es, wenn Unternehmen CCM19 auf ihren eigenen Servern hosten. Dann ist kein AV-Vertrag mit dem Anbieter notwendig. Unternehmen müssen lediglich in ihrer Datenschutzerklärung darauf hinweisen, wie und warum sie das Cookie Consent Tool verwenden.
Übrigens: In unserem Artikel "Die 6 gängigsten Cookie Consent Tools" vergleichen wir den ccm19 Cookie Consent Manager u. a. mit Alternativen wie Usercentrics und Borlabs Cookie. Durch unsere übersichtliche Tabelle und die Anleitungen der einzelnen Consent Tools ist für jeden Webseitenbetreiber die richtige Software dabei.
4. Rechtsprechung zu CCM19
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu CCM19 vor. Ein fehlender AV-Vertrag kann jedoch ein Bußgeld nach sich ziehen:
2021: Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der Fußballverein VfB Stuttgart musste eine Strafe von 300.000 Euro zahlen. Das hatte die Datenschutzbehörde Baden-Württemberg im März 2021 festgelegt. Der Verein hatte zwischen 2016 und 2018 mehrere tausend Daten seiner Mitglieder an Dienstleister weitergebeben. Ein AV-Vertrag lag dafür jedoch nicht vor.
2018: Datenschutzbehörde Hamburg zum AV-Vertrag
Ein deutsches Versandunternehmen musste ein Bußgeld in Höhe von 5.000 Euro zzgl. Gebühren in Höhe von 250 Euro zahlen. Die Strafe hatte die Datenschutzbehörde Hamburg am 17.12.2018 ausgesprochen. Das Versandunternehmen hatte an einen spanischen Postdienstleister personenbezogene Daten zur weisungsgebundenen Verarbeitung weitergegeben, ohne einen AV-Vertrag mit diesem zu schließen.
