Es ist verboten, nicht erforderliche Cookies im Browser von Besuchern zu speichern, die zuvor keine Einwilligung erteilt hatten. Arbeitet ein Cookie Banner fehlerhaft, haftet der Websitebetreiber als Täter auf Unterlassung (LG Frankfurt, Urteil vom 19.10.2021, Az. 3-06 O 24/21).
Update: Rechtsanwalt Plutte hat das Urteil im Datenschutz Berater ausführlich kommentiert (→ PDF der Urteilskommentierung im Volltext).
Tracking Cookies durch Nutzung von Facebook, Google & Co.
Die Wettbewerbszentrale ging gegen einen Betreiber von über 50 Fitnessstudios vor, der die populären Webdienste Criteo, Facebook, Google Analytics, Hotjar und Microsoft Ads auf seinen Internetseiten einsetzte.
Diese Dienste verwenden Tracking Cookies, die es zum Beispiel ermöglichen, Besucher über mehrere Internetseiten hinweg zu verfolgen oder festzustellen, ob der Besucher über eine Werbeanzeige auf die Internetseite gelangt und ggf. eingekauft hatte (Conversion Tracking). Andere Dienste wie Google Analytics dienen der Erstellung von Nutzungsstatistiken oder dem Ausspielen von zielgruppenbasierter Werbung.
Was ist bei Cookies rechtlich zu beachten? So differenzieren die Gerichte
Nach der Rechtsprechung von EuGH und BGH setzt die Speicherung von Werbe-, Analyse- und Marketingcookies voraus, dass der Websitebesucher zuvor eine aktive und informierte Einwilligung erteilt hat. Von der Einwilligungspflicht ausgenommen sind nur technisch notwendige Cookies.
Ein Beispiel für technisch notwendige Cookies sind Session Cookies. Solche Cookies werden u.a. in Onlineshops eingesetzt, um Produkte in den Warenkorb legen und danach im Shop weitersurfen zu können, ohne dass sich der Warenkorb leert. Session Cookies können beispielsweise auch verwendet werden, um es Kunden zu ermöglichen, unterschiedliche Webseiten in passwortgeschützten Member Areas anzusteuern, ohne beim Seitenwechsel ausgeloggt zu werden. Beide Anwendungsfälle haben gemein, dass der Browser ohne Session Cookies nicht erkennen würde, dass er es bei einem Seitenwechsel innerhalb der Website weiterhin mit demselben Nutzer zutun hat. Dass es auf technischer Ebene ggf. auch alternative cookiefreie Trackinglösungen geben mag wie FLoC, ändert nichts an der Einstufung von Session Cookies als technisch notwendige Cookies.
Haftungsfalle: Technisch fehlerhaft arbeitende Cookie Banner
Wer Tracking Cookies einsetzt und die Vorgaben der Rechtsprechung umsetzen will, benötigt in der Praxis ein Cookie Banner bzw. Consent Banner. Diese Banner erscheinen bei erstmaligem Aufruf einer beliebigen Internetseite der Website und fordern den Besucher auf, dem Speichern der jeweils zum Einsatz kommenden Tracking Cookies zuzustimmen.
Auch der Fitnessstudiobetreiber hatte ein Cookie Banner eines „führenden Anbieters“ eingesetzt. Im Fall lag das Problem jedoch darin, dass das Cookie Banner technisch fehlerhaft arbeitete. Bereits unmittelbar bei Seitenaufruf wurden Tracking Cookies geladen, das heißt bevor der Besucher überhaupt die Gelegenheit hatte, eine Einwilligung zu erteilen. Dazu gehörten auch Dateien, die im Web Storage des Browsers dauerhaft gespeichert wurden, was ein Tracking des Besuchers selbst bei Neustart des Browsers ermöglichte.
Im Cookie Banner wurde dem Besucher darüber hinaus vorgegaukelt, er könne Cookies der Gruppen „Statistik“, „Marketing“, „Dienste von Drittanbietern“ aktiv auswählen oder deaktivieren. Tatsächlich hatte die Auswahl des Besuchers keine technische Auswirkung – stets wurden alle Tracking Cookies gefeuert.
Tipp: Über weitere unzulässige Gestaltungen von Cookie Bannern urteilte das Landgericht Rostock.
Kein Verweis auf Cookiebanner-Dienstleister, Websitebetreiber haftet
Im Prozess verteidigte sich der Fitnessstudiobetreiber damit, es handele sich um ein technisches Versehen. Der Fehler beruhe auf einer Prozessumstellung, die vom Cookiebanner-Dienstleister ohne sein Wissen vorgenommen worden sei.
Das Landgericht Frankfurt ließ diesen Einwand jedoch nicht gelten und verurteilte den Websitebetreiber wegen Verstoß gegen § 15 Abs. 3 TMG sowie wegen Irreführung zur Unterlassung, wohlgemerkt als Täter. Der Fitnessstudiobetreiber hafte für die Prozessumstellung des Cookiebanner-Anbieters, bei dem es sich um einen Beauftragten im Sinne von § 8 Abs. 2 UWG handele. In den Cookie-Einstellungen dürfe nicht fälschlich angezeigt werden, nicht notwendige Cookies seien deaktiviert (Hinweis: Die Entscheidung ist noch nicht rechtskräftig).
Merke: Die Angaben im Cookie Banner müssen zum Inhalt der Datenschutzerklärung passen. Binden Sie mit dem avalex Plugin abmahnsichere Rechtstexte in Ihre Internetseite ein, die automatisch tagesaktuell bleiben – inklusive Abmahnkostenschutz. Starten Sie jetzt mit einem kostenlosen Check Ihrer Rechtstexte.