Hochschule verwendete Cookie-Dienst mit Datenverarbeitung in den USA
Der Antragsteller begehrte im Eilverfahren, es der Hochschule RheinMain zu untersagen, auf ihrer Webseite www.hs-rm.de einen Cookie-Dienst einzubinden. Dieser Dienst ermöglicht es, die Einwilligung der Nutzer einer Webseite in die Cookie-Verwendung einzuholen. Der Dienst überwacht die eingesetzten Cookies und blockiert solche Cookies, für die eine Zustimmung nicht erteilt wurde.
Drittland-Bezug mit Blick auf Schrems II-Urteil unzulässig
Das Verwaltungsgericht hat dem Antrag stattgegeben und der Hochschule RheinMain im Wege der einstweiligen Anordnung untersagt, zum Zweck des Einholens von Einwilligungen in der Weise einzubinden, dass personenbezogene oder -beziehbare Daten des Antragstellers einschließlich dessen IP-Adresse, an Server übermittelt werden, die von einem externen Unternehmen betrieben werden. Die personenbezogenen Daten der Endnutzer würden auf Servern eines Unternehmens verarbeitet, dessen Unternehmenszentrale sich in den USA befinde. Hierdurch entstehe ein Drittland-Bezug, der im Hinblick auf die sogenannte Schrems II-Entscheidung des Europäischen Gerichtshofs unzulässig sei. Die Nutzer der Webseite der Hochschule würden nicht um ihre Einwilligung für eine Datenübermittlung in die USA gebeten. Es finde auch keine Unterrichtung über die mit der Übermittlung verbundenen möglichen Risiken durch den Cloud-Act statt. Die Datenübermittlung sei letztlich auch nicht für das Betreiben der Webseite der Hochschule erforderlich.
Hochschule ist für die Datenübermittlung verantwortliche Stelle
Zwar übermittle nicht die Hochschule selbst die Daten in die USA. Sie sei aber dennoch die für die Datenübermittlung verantwortliche Stelle. Sie entscheide durch das Einbinden auf ihrer Webseite darüber, dass es zu einer Erhebung und Übermittlung durch den Cookie-Dienst komme. Sie entscheide auch mittelbar über den Zweck der Verarbeitung, da sie in Kenntnis der Zwecke, die der eingebundene Dienst angebe, sich für oder gegen die Verwendung entscheiden könne. Hiergegen spreche auch nicht, dass sie für nachfolgende Vorgänge wie der Verwendung der Daten durch den Dienst nicht mehr verantwortlich sei.
