Für das Setzen von nicht notwendigen Cookies (d.h. insbesondere solche zur Marketinganalyse) ist die Einwilligung des Nutzers erforderlich. Dies haben sowohl der EuGH als auch der BGH bereits entschieden (unser dazu passender Blog-Beitrag). Die einfache Navigation auf einer Website stellt keine Einwilligung dar, da die Zustimmung eine eindeutige bestätigende Handlung seitens der Nutzer beinhalten muss. Daher wird von vielen Webseitenbetreibern über ein Cookie Banner nunmehr eine Einwilligung eingeholt. Das hier einiges falsch gemacht werden kann, zeigen erste Abmahnungen. So lag dem Landgericht Rostock (LG Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19) eine Abmahnung für ein Cookie-Banner vor, das in ähnlicher Weise bei vielen Webseiten im Einsatz ist.
Konkret ging es um ein Cookie-Banner, bei dem die Ankreuzhäkchen für die Kategorien „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“ bereits vorausgewählt waren. Durch die Betätigung eines „OK“-Buttons sollten die Nutzer der Verwendung dieser Cookies zustimmen. Über „Details anzeigen“ bestand die Möglichkeit, eine Liste der verwendeten Cookies zu öffnen und u.a. deren Zuordnung zu den einzelnen Kategorien einzusehen. Eine gesonderte Aus- oder Abwahlmöglichkeit bestand an dieser Stelle nicht. Unter den auf der Seite verwendeten Cookies befanden sich auch Tracking- und Analysetools wie z.B. Google-Analytics. Der Bundesverband der Verbraucherzentralen (vzbv) mahnte den Betreiber der Plattform wegen dieser Darstellung ab und verlangte Unterlassung.
Die Plattformbetreiberin wies die Abmahnung zurück und änderte das angezeigte Cookie-Banner. Das geänderte Banner sah nun eine grün hinterlegte Schaltfläche „Cookies zulassen“ und eine hellgrau hinterlegte Schaltfläche „Nur notwendige Cookies zulassen vor“. Daneben war ein Link „Details anzeigen“ vorhanden. In diesem waren ebenfalls wieder alle Cookies vorausgewählt. Diese Änderung genügte nach Ansicht des Bundesverbands der Verbraucherzentralen (vzbv) jedoch noch immer nicht den Anforderungen an eine wirksame Einwilligung.
Das Landgericht Rostock (LG Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19 – dort sind auch die jeweilig verwendeten Cookie-Banner abgebildet) ist der Ansicht des Bundesverbands der Verbraucherzentralen (vzbv) gefolgt und entschied, dass selbst die geänderte Version des Cookie-Banners die Vorauswahl im Cookie-Banner nicht zur Einholung einer wirksamen Einwilligung geeignet war:
„Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden” seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist. Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen”-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden. Daran ändert auch der Einleitungstext nichts, da dieser bereits nicht darüber aufklärt, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden.“
Darüber hinaus hatte die Betreiberin der Seite zahlreiche Social Media- und Analyse-Tools (hier insbesondere: Google Analytics) auf der Webseite eingebunden. Das Gericht vertritt die Auffassung, dass hier eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliege. Über diese hätte die Betreiberin in der Datenschutzinformation gemäß Art. 13 DSGVO auch informieren müssen. Hinsichtlich dieser Einschätzung verwies das Gericht auf den Beschluss der Datenschutzkonferenz vom 12.05.2020.
Die Abmahnung war daher gerechtfertigt und der Abgemahnte musste die Kosten der Abmahnung und des Gerichtsverfahrens tragen.
Unsere Empfehlung für Cookie Banner lautet daher:
- Informieren Sie Ihre Nutzer klar über die Zwecke, die hinter der Verwendung von Cookies stehen (z.B. Ausspielung personalisierter Werbung oder der Austausch von Informationen mit Social-Networking-Plattformen) sowie über die Identität der Betreiber, die Cookies verwenden
- Es sollten keine Voreinstellungen getroffen sein. Damit ist sichergestellt, dass Nutzer*innen eine aktive Entscheidung treffen können
- Die Verweigerung der Verwendung von Cookies muss genauso einfach sein, wie deren Akzeptanz, d.h. die Nutzer dürfen keinen komplexen Verfahren zur Ablehnung von Cookies unterworfen werden
- Vermeiden Sie bei der Gestaltung des Zustimmungsbuttons Gewichtungen, die manipulierenden Charakter haben (z.B. farblich hervorgehobener Button für die Zustimmung, hellgrauer Button für die Ablehnung)
- Nutzer müssen die Möglichkeit haben, ihre Zustimmung zur Verwendung von Cookies jederzeit zu widerrufen
- Prüfen Sie beim Einsatz von Google Analytics, ob die Datenschutzinformation die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO abbildet und insbesondere auch, ob der Einsatz von Google Analytics nach dem Schrems II Urteil des EUGH auf Ihrer Webseite weiter zulässig ist. Ggf. bauen Sie in das Cookie-Banner eine Einwilligung für die Datenverarbeitung seitens Google Analytics in den USA ein.
- Eine gute Checkliste zu den Anforderungen an Cookie-Banner hat die niedersächsische Aufsichtsbehörde hier veröffentlicht. Arbeiten Sie diese durch, dann sollten Sie auf der sicheren Seite sein
Wenn Sie Hilfe benötigen, kontaktieren Sie uns.
