Streit um US-Datentransfer

Hessischer VGH hebt einstweilige Anordnung gegen Hochschule auf

Darf die Hochschule Rhein Main auf ihrer Webseite den Einwilligungsmanagementdienst Cookiebot einbinden? Weil dahinter eine komplexe datenschutzrechtliche Frage steht, muss darüber im Hauptsache- und nicht in einem Eilverfahren entschieden werden. Das geht aus einem Beschluss des Hessischen Verwaltungsgerichtshofes von Mitte Januar hervor (Az. 10 B 2486/21).

Teilen Sie unseren Beitrag

Anfang Dezember hatte das Verwaltungsgericht (VG) Wiesbaden per einstweiliger Anordnung entschieden, dass die Hochschule den Cookie-Consent-Dienst Cookiebot des dänischen Consent Management Providers Cybot nicht auf ihrer Webseite verwenden darf. Mit Cookiebot können Webseitenbetreiber die Einwilligungseinstellungen ihrer Nutzer für die Verwendung von Cookies verwalten und aufzeichnen.

Geklagt hatte ein Wiesbadener Rechtsanwalt, der angab, im Online-Bibliothekskatalog der Hochschule regelmäßig nach Fachliteratur zu recherchieren: Über den Dienst würden bei der Nutzung der Hochschulwebseite User-Daten zu Servern des US-amerikanischen Content-Delivery-Network-Anbieters (CDN) Akamai Technologies übermittelt. Das wiederum verstößt seit der US-Privacy-Shield-Entscheidung des EuGH von 2020 gegen EU-Recht.

Abschaltung von Webseiten droht

Die Entscheidung birgt Sprengkraft, denn Anbieter wie Cybot werden auch von vielen deutschen großen Webseiten genutzt, um das Bereitstellen ihrer Online-Inhalte zu beschleunigen und abzusichern. Da die meisten CDN-Anbieter aus den USA stammen, hätte der Beschluss für viele große Webseiten kurzfristig die Abschaltung und mittelfristig einen technischen Umbau bedeutet.

Mitte Dezember erwirkte Cybot, die vom Verwaltungsgericht zunächst nicht einbezogen worden waren, die Beiladung zu dem Verfahren. Ebenso wie die beklagte Hochschule legte Cybot Beschwerde gegen den Beschluss des Verwaltungsgerichts ein. Der Hessische Verwaltungsgerichtshof hob nun die einstweilige Anordnung des Verwaltungsgerichts auf. Allerdings ging es nicht so sehr um den Sachverhalt als darum, dass die Voraussetzungen für ein Eilverfahren nicht gegeben gewesen seien.

Zu wichtig für ein Eilverfahren

Der antragstellende Rechtanwalt sei nicht auf die Nutzung der Hochschulwebseite angewiesen, da er dort weder studiere noch lehre. Deswegen liege auch kein glaubhafter Grund vor, die Entscheidungsfindung zu überstürzen. Voraussetzung für einen Eilbeschluss sei auch, dass es einem Antragsteller unter Berücksichtigung seiner sowie öffentlicher Interessen nicht zumutbar sei, die Hauptsachenentscheidung abzuwarten. Eine so komplexe Frage zur Nutzung von Consent-Management-Plattformen müsse in der Hauptsache geklärt werden, entschied das Gericht. 

Dieses Verfahren, das seit Ende Dezember ebenfalls beim Verwaltungsgericht Wiesbaden anhängig ist, wird nun mit Spannung erwartet. Denn das Thema ist groß: Gerade erst soll der EU-Datenschutzbeauftragte moniert haben, dass das Europäische Parlament auf seiner Corona-Test-Seite aus denselben Gründen rechtswidrig etwa Google Analytics eingebunden hat.

Vertreter Rechtsanwalt
Jonas Breyer (Wiesbaden; Datenschutz)

Vertreter Hochschule RheinMain
Dr. Ubbo Aßmus (Frankfurt; IT-Recht/Datenschutz)
Inhouse (Wiesbaden): Sylvia Jakob (Datenschutz)

Vertreter Cybot
Fieldfisher (Hamburg): Stephan Zimprich (IT), Dennis Hillemann (beide Federführung); Associates: Christine Fischer, Tanja Ehls (alle Öffentliches Recht), Jacob Feder (IT)

Verwaltungsgerichtshof Hessen, 10. Senat
Uwe Steinberg (Vorsitzender Richter)

Hintergrund: Der Vertreter des Antragstellers, Jonas Breyer ist in der Vergangenheit schon bei einigen prominenten Verfahren in Erscheinung getreten. Zum Beispiel zog er gemeinsam mit seinem Bruder Patrick Breyer, EU-Parlamentarier der Piratenpartei, für ein Recht auf anonyme Prepaid-SIM-Karten bis vor das Europäische Gericht für Menschenrechte. Zudem arbeitete er an der Verfassungsbeschwerde gegen die Bestandsdatenauskunft mit.

Der Vertreter der Hochschule RheinMain Aßmus ist dort seit 2016  Lehrbeauftragter für IT- und Datenschutzrecht. Nach Stationen bei Weil Gotshal & Manges und Heuking Kühn Lüer Wojtek, bei der er Anfang 2018 zum Salary-Partner ernannt worden war, praktiziert Aßmus seit 2021 in eigener Kanzlei und ist zugleich Mitgründer des Koblenzer Reg-Tech-Start-ups Hintbox/Lawcode. 

Fieldfisher vertrat Cybot erstmals in einem Prozess, allerdings ist die Kanzlei schon seit Längerem für das Münchner Consent-Management-Unternehmen Usercentrics tätig, das sich im September 2021 mit Cybot zusammenschloss. Das Team um den Adtech-Spezialisten Zimprich arbeitet in dem Verfahren eng mit dem Verwaltungsrechtler Hillemann zusammen, der erst im Sommer vergangenen Jahres von KPMG Law zu Fieldfisher gewechselt war. 

Copyright Teaserbild: Pixels Hunter/stock.adobe.com

Anmerkung der Redaktion: Wir haben den Artikel am 1.2.2022 aktualisiert.

 

Artikel teilen

Lesen sie mehr zum Thema

Verfahren Datentransfer in die USA

Europäischer Gerichtshof kippt auch das EU-US-Privacy-Shield