EU-Arzneimittelversender verstoßen gegen DSGVO

Das Münchener Unternehmen Usercentrics unterstützt mit seiner Consent Management Platform (CMP) Unternehmen dabei, die Anforderungen der Datenschutz-Grundverordnung  (DSGVO) zu erfüllen. Offenbar bislang keine Kunden sind die 150 „beliebtesten Online-Apotheken in der EU“, deren Websites Usercentrics nun unter die Lupe genommen hat. Um zu prüfen, inwieweit diese die Anforderungen der DSGVO an eine gültige Cookie-Einwilligung einhalten, wurden im Februar 2022 die Apotheken-Webshops gescannt. 

Die Vorgehensweise wird in der Marktanalyse mit dem Titel „EU-Online-Apotheken: Wie DSGVO-Verstöße das Vertrauen der Kunden aufs Spiel setzen“ folgendermaßen beschrieben: Eingesetzt wurde der Cookiebot CMP-Scanner; dieser erkennt, ob Cookies oder andere Tracking-Technologien bereits beim Besuch einer Website aktiviert werden, noch bevor der Nutzer dazu seine Einwilligung gegeben hat. „Dazu führt er eine vollständige Simulationen eines Website-Besuchs mehrerer Nutzer durch, um sämtliche Cookies und Tracking-Technologien zu erkennen, die auf der gesamten Website einschließlich aller Unterseiten aktiv sind.“ Für die Analyse wurden Scans auf allen Unterseiten jeder Apotheken-Webshop-Domain durchgeführt, für jede Domain wurden bis zu 10.000 Seiten analysiert – das entspricht einem Gesamtscan von 1.089.438 Seiten.

Welche Arzneimittelversender konkret getestet wurden, geht aus dem Bericht nicht hervor. Dort steht lediglich: „Die 150 EU-Webshops wurden aus den Top-Ergebnissen bei Google in zehn EU-Mitgliedstaaten ausgewählt – mit einer durchschnittlichen Größe von 7.078 Unterseiten und einem durchschnittlichen monatlichen Traffic von 495.000 Besuchen – und gehören zu den beliebtesten Websites der Online-Apothekenbranche der jeweiligen Region oder des jeweiligen Landes.“ Welche Versender konkret dabei waren, wollte Usercentrics auch auf Anfrage der DAZ nicht mitteilen. Der Grund dafür sei, dass man Unternehmen und Branchen, insbesondere jene, die mit sensiblen Daten umgehen, „in erster Linie dafür sensibilisieren (möchte), dass es noch erhebliche Mängel in Bezug auf die Datenschutzgrundverordnung gibt. Keinesfalls aber sollen die Unternehmen potenziellen Abmahnanwälten präsentiert werden.“ Klar ist aber, dass aufgrund des Auswahlverfahrens die „Großen“ der Branche auf jeden Fall mit dabei sind.