Nach den Maßstäben einer Entscheidung des Landgerichts Rostock verstößt die Ausgestaltung vieler Cookie Banner gegen geltendes Datenschutzrecht. Betroffen ist insbesondere das Voranhaken von Kategorien und die Gestaltung von Buttons (LG Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19).
Was sind Cookies?
Die Nutzung von Cookies ist für viele Websitebetreiber fester Bestandteil des Geschäftsmodells. Cookies sind Dateien, die beim Besuch einer Website auf dem Endgerät des Nutzers zwischengespeichert werden, um sich bestimmte Informationen über den Nutzer bzw. dessen Verhalten zu merken. Ziel kann ganz einfach sein, die Nutzung einer Website zu erleichtern, etwa durch Voreinstellung der passenden Sprache oder das Vorausfüllen von Login-Daten.
Problematischer sind Tracking Cookies, die der (seitenübergreifenden) Aktivitätsverfolgung rund um die Online-Aktivitäten des jeweiligen Nutzers dienen. Tracking Cookies werden Websitebetreibern von unzähligen Werbe- und Analyseunternehmen bereitgestellt. Ziel ist im Ergebnis z.B. die Optimierung der eigenen Website oder das effektivere Ausspielen von Onlinewerbung an interessierte Zielgruppen. Beides hat letztlich zum Ziel, höhere Umsätze zu erzielen.
Früher: Unklare Rechtslage
Der rechtliche Umgang mit Cookies befand sich lange in einem Schwebezustand. Deutschland vertrat die Position, die europarechtlichen Vorgaben der insoweit maßgeblichen Cookie-Richtlinie durch das Telemediengesetz umgesetzt zu haben in Gestalt von § 15 Abs. 3 TMG. Die Vorschrift ermöglichte eine marketingfreundliche “Opt-Out”-Lösung, nach der Websitebetreiber Cookies ohne Einwilligung der Nutzer setzen konnten, solange für die Nutzer ein effektives Widerspruchsrecht bestand, auf das sie hingewiesen wurden. Ob diese Einschätzung zutraf, war von Beginn an stark umstritten.
Die 2018 in Kraft getretene DSGVO ist keine echte Hilfe, da sie die Verwendung von Cookies nicht ausdrücklich regelt. In dieser Hinsicht war geplant, dass sie durch die europäische ePrivacy-Verordnung ergänzt wird, die ursprünglich zeitgleich mit der DSGVO in Kraft treten sollte. Bis dato konnte man sich auf europäischer Ebene aber nicht über die Inhalte der ePrivacy-Verordnung einigen, weshalb sich ihr Inkrafttreten weiter verzögert.
Rechtsprechung des EuGH und BGH
Auf Vorlage des BGH entschied der EuGH dann 2019 im Planet49-Urteil, dass eine Speicherung von Cookies nur erlaubt ist, wenn der Websitebesucher zuvor eine aktive und informierte Einwilligung für die Speicherung der Cookies abgegeben hat. Wohlgemerkt macht es keinen Unterschied, ob in den Cookies personenbezogenen Daten verarbeitet werden oder nicht, wie der BGH nach Fortsetzung des Prozesses entschied. Eine Einwilligungspflicht besteht also nicht nur für Werbe-, Analyse- und Marketingcookies. Ausgenommen von der Einwilligungspflicht sind nur technisch notwendige Cookies. Das gilt auch, wenn diese Cookies personenbezogene Daten verarbeiten.
Um die Vorgaben der Rechtsprechung umzusetzen, werden in der Praxis seither Cookie Banner bzw. Cookie Consent Tools in die Websites eingebaut, die beim erstmaligen Aufrufen einer Webseite erscheinen und den Besucher auffordern, dem Setzen der Cookies zuzustimmen. Das ist soweit auch richtig.
Unklar war bislang aber, welche Anforderungen an die Gestaltung derartiger Banner zu stellen sind. Im Grundsatz geht es um die Frage, wie einfach es Besuchern gemacht werden muss, die Website möglichst datenschutzfreundlich bzw. eingriffsarm nutzen zu können. Dieses Interesse steht freilich im Gegensatz zum Interesse von Websitebetreibern, möglichst umfassend Werbe-, Analyse- und Marketingcookies etc. zu setzen.
Klar ist, dass reine Opt-Out-Lösungen nach neuer Rechtslage nicht mehr zulässig sind.
Update vom 01.06.2021: Cookie Banner wie “Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu.” sind mit § 15 Abs. 3 TMG nicht vereinbar und rechtswidrig, da über solche Banner nicht die nötige ausdrückliche Einwilligung der Websitebesucher eingeholt wird (LG Köln, Beschluss vom 13.04.2021, Az. 31 O 36/21).
Auf Basis der vorstehenden Urteile von EuGH und BGH ist jetzt auch geklärt, dass im Banner vorangehakte Cookies bzw. Kategorien nicht zu einer wirksamen Einwilligung führen. Gemeint sind Banner, in denen der Nutzer die entsprechenden Häkchen erst aktiv entfernen müsste. Im Ergebnis dürfen nicht technisch notwendige Cookies damit erst nach aktiver und informierter ausdrücklicher Einwilligung auf dem Gerät des Nutzers gespeichert werden (Opt-In).
Achtung: Wird ein Cookie Banner fehlerhaft eingerichtet und kommt es später zu Fehlfunktionen mit der Folge, dass Tracking Cookies ohne Einwilligung geladen werden, haftet der Websitebetreiber auf Unterlassung.
Das Urteil des LG Rostock
Infolge der Rechtsprechung von EuGH und BGH waren viele Websitebetreiber dazu übergegangen, in ihren Cookie Bannern einerseits einen farbig hervortretenden Button mit Beschriftungen wie “Cookies zulassen” bzw. “Alle Cookies zulassen” sowie einen unscheinbaren zweiten Button mit der Aufschrift “Nur notwendige Cookies zulassen” oder ähnlichen Formulierungen zu platzieren. Grund ist, dass die meisten Nutzer aus Bequemlichkeit ohne längere Befassung auf Call-to-Action Buttons reagieren (sog. Nudging) und dem Setzen von Tracking-, Werbe- und Analysecookies etc. zustimmen.
Im vor dem Landgericht Rostock verhandelten Fall hatte der Websitebetreiber zusätzlich die Kategorien “Notwendig”, “Präferenzen”, “Statistiken” und “Marketing” vorangehakt. Das Cookie Banner könnte in etwa wie folgt ausgesehen haben:
Beispielhaftes Muster
Aus Sicht des Gerichts führte diese Gestaltung dazu, dass keine wirksamen Einwilligungen eingeholt werden konnten. Aus dem Urteil:
“Eine wirksame Einwilligung ist damit auch mit dem nunmehr verwendeten Cookie-Banner nicht möglich. Denn auch bei diesem sind sämtliche Cookies vorausgewählt und werden durch Betätigung des grün unterlegten „Cookie zulassen ‘-Buttons „aktiviert“. Damit entspricht die Gestaltung des Cookie-Banners grundsätzlich der Gestaltung in dem durch den BGH entschiedenen Fall. Zwar hat der Verbraucher die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich wird der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen und deshalb den Button ohne vorherige Information über die Details betätigen. Damit weiß der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung hat. Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden” seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist. Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen”-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden. Daran ändert auch der Einleitungstext nichts, da dieser bereits nicht darüber aufklärt, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden.”
Das Urteil ist noch nicht rechtskräftig. Die Entscheidung deckt sich aber u.a. mit einer Einschätzung der dänischen Datenschutzbehörde, welche die Nutzung von Cookie-Bannern, die den Nutzer vor die Wahl zwischen “Cookies zulassen” und “Nur notwendige Cookies zulassen” stellen, für rechtswidrig erklärt hatte. Es steht daher zu erwarten, dass die Entscheidung Bestand haben wird.
Aber…
Das vorliegende Urteil betrifft eine Konstellation, die sich mit den Einschätzungen der meisten Datenschutzjuristen decken wird, wie sie bereits vorher vertreten worden waren. Problematischer ist, dass bei Cookie Bannern eine Vielzahl weiterer möglicher Gestaltungsformen verbleibt, zu denen noch keine Rechtsprechung existiert, sondern allenfalls Behördenmeinungen, die nicht in gleicher Weise bindend sind.
Beispiel: Würde man auch dann keine wirksamen Einwilligungen einholen, wenn die Kategorien im Cookie Banner nicht vorangehakt gewesen wären, d.h. die Zustimmung zu sämtlichen Kategorien nur bei Klick auf den Button “Cookies zulassen” erfolgt wäre? Wer das meint, möchte bitte erklären, aus welcher Vorschrift sich eine Pflicht ergeben soll, den Button “Nur notwendige Cookies” gleichwertig farblich hervorzuheben? *
Tipp: Beachten Sie unseren ausführlichen DSGVO-Guide mit Checklisten und Tipps für Unternehmen.
Hinweis: Dieser Beitrag wurde unter Mitwirkung unseres Referendars Matthias Fridriszik erstellt.
Ist das Urteil mittlerweile rechtskräftig ?
Es ist nicht öffentlich bekannt geworden, dass Berufung eingelegt wurde. Daher gehe ich davon aus, dass die Entscheidung mittlerweile rechtskräftig ist.
Danke für Ihre schnelle Antwort, Niklas Plutte, was droht Unternehmen wenn sie jetzt nicht umstellen?
Gern geschehen. Grundsätzlich möglich sind Abmahnungen durch Mitbewerber, wobei das Risiko für kleinere / mittlere Unternehmen durch das Gesetz zur Stärkung des fairen Wettbewerbs deutlich geringer wurde. Hintergrund ist § 13 Abs. 4 UWG, wonach der abmahnende Mitbewerber bei DSGVO-Verstößen keinen Ersatz anwaltlicher Abmahnkosten verlangen kann, wenn das abgemahnte Unternehmen weniger als 250 Mitarbeiter beschäftigt. Ganz vom Tisch sind DSGVO-Abmahnungen dadurch nicht, einerseits für größere Unternehmen mit mehr als 250 MA, aber auch kleine Unternehmen, wenn der Abmahner seine eigenen Abmahnkosten trägt und sich mit einer strafbewehrten Unterlassungserklärung begnügt. Völlig unabhängig davon drohen weiter Bußgelder durch die zuständige Datenschutzbehörde.