Die Beweislast liegt bei Ihnen
Artikel 7 Absatz 1 DSGVO ist ein Satz: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat. Er legt die Beweislast auf die Website, nicht auf den Besucher und nicht auf die Aufsichtsbehörde. In der Praxis stellt eine Aufsichtsbehörde eine einfache Frage, „zeigen Sie mir die Einwilligung dieser Person an diesem Tag“, und die ehrlichen Antworten sind entweder ein Datensatz oder ein Achselzucken. Ein Banner, das eine Wahl angezeigt, aber nichts gespeichert hat, ist ein Achselzucken.
Die Einwilligungsleitlinien des EDPB (05/2020) beschreiben, wie ein Nachweis im Online-Kontext aussieht. Der Verantwortliche sollte Informationen über die Sitzung aufbewahren, in der die Einwilligung erteilt wurde, eine Dokumentation des damaligen Einwilligungsablaufs und eine Kopie der Informationen, die der Person gezeigt wurden. Drei Dinge: das Ereignis, der Prozess, die Worte. Die meisten Einwilligungsprotokolle speichern das Erste, manche das Zweite, fast keines das Dritte, und am Dritten zerfällt ein Datensatz bei der Befragung: „Was genau haben Sie ihnen gesagt?“
Fünf Fragen, die ein Datensatz beantwortet
Auf den Kern reduziert beantwortet ein belastbarer Datensatz fünf Fragen: wer eingewilligt hat, wann, was ihm gesagt wurde, wie er es signalisiert hat und ob er später widerrufen hat. Hier ist eine echte Datensatzstruktur, Feld für Feld.
- Wer. Eine pseudonyme Kennung, die den Datensatz mit dem Browser verknüpft, aus dem er stammt, und mit späteren Widerrufen. Keine IP-Adresse, kein User-Agent, kein Name: Nichts davon ist nötig, um Einwilligung zu beweisen, und jedes davon macht das Protokoll zu einem zweiten Satz personenbezogener Daten, den Sie nun schützen müssen.
- Wann. Ein Zeitstempel mit Zeitzone, vom Server, nicht von der Browser-Uhr.
- Was ihnen gesagt wurde. Die Banner-Version und ein Hash der exakt gezeigten Texte, in der gezeigten Sprache. Bleibt die Version unveränderlich, reicht der Hash, um den Bildschirm ein Jahr später zu reproduzieren.
- Wie sie es signalisiert haben. Alle akzeptieren, alle ablehnen oder eine eigene Auswahl, mit den daraus folgenden Kategorien. Das geltende Regime (EU Opt-in, US Opt-out) und das Land, weil derselbe Klick unter verschiedenen Regeln Verschiedenes bedeutet.
- Ob sie widerrufen haben. Ein Widerruf ist ein eigener Datensatz, verkettet mit der Einwilligung, die er aufhebt, sodass die Historie der Entscheidungen einer Person der Reihe nach lesbar ist.
Wie lange aufbewahren
Die Position des EDPB ist, dass die Pflicht zum Einwilligungsnachweis so lange besteht wie die Verarbeitung, die sie deckt, und dass der Nachweis danach nicht länger aufbewahrt werden sollte als für eine rechtliche Verpflichtung oder für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig. In der DSGVO gibt es keine feste Zahl. In der Praxis heißt das: Bewahren Sie den Datensatz auf, solange Sie sich auf die Einwilligung stützen, und danach für die Verjährungsfrist in Ihrem Land, die in Deutschland drei Jahre ab Ende des Jahres beträgt, in dem ein Anspruch entstanden ist, und in Frankreich fünf Jahre. Deshalb ist ein „12 Monate“-Protokoll für eine Unternehmenswebsite dünn, und deshalb bewahren bezahlte CookieCrumbs-Tarife Datensätze 60 Monate auf. Free bewahrt 12 auf, und jeder Datensatz ist exportierbar, bevor er ausläuft.
Warum der Datensatz manipulationssicher sein muss
Ein Protokoll, das sein Besitzer bearbeiten kann, beweist nur, dass sein Besitzer ehrlich ist. Das ist nicht, was eine Aufsichtsbehörde oder ein Kläger fragt. Die zwei Mechanismen, die ein Einwilligungsprotokoll zu einem Beweis statt einer Behauptung machen, sind billig und alt: die Datensätze verketten und den Export signieren.
Verketten heißt, jeder Datensatz trägt einen Hash des vorherigen Datensatzes. Ändern oder entfernen Sie irgendeinen Datensatz, und jeder Hash danach passt nicht mehr, was jeder erkennen kann, der die Datei besitzt. Signieren heißt, der Export wird von einer Signatur über seinen Inhalt begleitet, erstellt mit einem Schlüssel, dessen öffentliche Hälfte veröffentlicht ist, sodass ein Dritter prüfen kann, dass die Datei unsere Systeme in genau dieser Form verlassen hat, ohne Ihnen oder uns vertrauen zu müssen. Zusammen machen sie aus „wir haben Protokolle“ ein „hier ist eine Datei, die Sie prüfen können“.
Was CookieCrumbs speichert, und was nicht
Jede Entscheidung auf einem CookieCrumbs-Banner wird zu einem Datensatz mit den obigen Feldern, verkettet mit dem vorherigen, in Frankfurt. Exporte sind signiert und kommen als CSV oder JSON, pro Website oder pro betroffener Person, aus dem Dashboard, der CLI (cookiecrumbs logs export) oder der API. Löschanfragen werden mit Tombstones erfüllt: Die Daten der Person werden entfernt, und die Kette bleibt prüfbar.
Was wir zu speichern verweigern, ist ebenso wichtig. Keine IP-Adresse neben einem Datensatz, kein User-Agent, kein Name. Die Consent-ID ist pseudonym und lebt im Browser des Besuchers. Das verhindert, dass das Protokoll selbst zur Haftungsfalle wird, und es ist die Designentscheidung, die uns sagen lässt, dass die Datensätze die EU nie verlassen müssen: Es steht nichts darin, das eine Übermittlung eines Streits wert machen würde. Der Leitfaden zu Einwilligungsdatensätzen enthält die Feldliste und die Prüfschritte.