Das Landgericht Rostock fällte am 15. September 2020 ein Urteil (Aktenzeichen 3 O 762/19), das nicht nur landesweit langfristige Konsequenzen für Cookie-Banner-Anbieter und Webseitenbetreiber haben könnte. Die Entscheidung besagt, dass Webseiten-Nutzer auf den ersten Blick erkennen müssen, exakt welche Cookies sie akzeptieren oder ablehnen können.
Zusammenfassung
Wie schon der Gerichtshof der Europäischen Union (EuGH) und der Bundesgerichtshof (BGH) im Fall Planet49, entschied auch das Landgericht, dass Cookie-Banner keine vorab angekreuzten Felder enthalten dürften. Zudem müssten Webseiten-Nutzer über die Weiterleitung ihrer persönlichen Daten an Drittanbieter und Drittländer sowie über die Nachverfolgung ihres Surf- und Nutzungsverhaltens klar informiert werden und dieser in ihrer Einverständniserklärung ausdrücklich zustimmen.
Das Landgericht Rostock entschied nun aber außerdem, dass Webseiten-Nutzer auf den ersten Blick erkennen müssen, exakt welche Cookies sie akzeptieren oder ablehnen können. Das Akzeptieren von Cookies dürfe daher auch farblich und funktionell nicht attraktiver oder einfacher gestaltet werden als deren Ablehnung.
Wir untersuchen hier die Hintergründe.
Warum wurde geklagt?
Cookies werden benutzt, um personenbezogene Daten von Webseiten-Nutzern zu analysieren und gegebenenfalls an Drittanbieter weiterzuleiten. Dies sollte im Sinne der Datenschutz-Grundverordnung (DSGVO) allerdings nur mit der vollen und freiwilligen Einwilligung der Nutzer geschehen, die vorher transparent über die Absichten der Webseiten-Besitzer aufgeklärt werden müssen.
Der Bundesverband der Verbraucherzentralen (VZBV) hatte gegen den Anwaltssuchdienst avocado.de Klage erhoben, da dessen Cookie-Banner-Gestaltung seiner Meinung nach gegen diese Prinzipien verstieß.
Suggestives Cookie-Banner Design
Die Firma hatte in seinem Cookie-Banner alle Einwilligungsfelder („Notwendig‟ / „Präferenzen‟ / „Statistiken‟ / „Marketing‟) schon automatisch vorab angekreuzt. Dies widersprach dem Urteil des EuGH und des BGH, die „voreingestellte Ankreuzkästchen” als nicht rechtskonform eingestuft hatten.
Nutzer wurden von avocados.de’s Cookie-Banner dazu noch mit einem grünen ‘OK’-Button ermutigt, diesen Einstellungen sofort - also ohne weitere transparente Informationen - zuzustimmen, was gegen eine vollkommen informierte Einwilligung im Sinne der DSGVO verstieß.
Abbildung 1: Das erste Cookie-Banner, auf dem alle Einwilligungsfelder schon vorab angekreuzt waren. (Quelle: jdsupra.com)
Nach der ersten Abmahnung änderte avocado.de sein Cookie-Banner etwas. Nun wurden auf den ersten Blick nur drei Wahlmöglichkeiten gezeigt:
-
Ein auffallend grüner „Cookies zulassen”-Button
-
Ein dezent hellgrauer „Nur notwendige Cookies zulassen”-Button
-
Ein kleiner „Details zeigen”-Button.
Alle Einwilligungsfelder waren weiterhin vorab angekreuzt, aber jetzt nur dann sichtbar, wenn der Nutzer auf den „Details zeigen”-Button drückte.
Abbildung 2: Das zweite Cookie-Banner, auf dem es auf den ersten Blick nur drei Wahlmöglichkeiten gab. Alle angekreuzten Einwilligungsfelder waren nun versteckt. (Quelle: jdsupra.com)
Unklare Datenschutzerklärung
Zudem war in avocado.de’s Datenschutzerklärung nicht klar genug, dass personenbezogene Daten an Drittparteien und Drittländer übermittelt werden (z.B. durch Google Analytics-Cookies), und dass deshalb eine gemeinsame Datenverarbeitungsvereinbarung mit Google vorliege. Diese müsse deutlicher gemacht werden.
Was bedeutet „Nudging” und wie vermeidet man es?
Versteckte Informationen
Das Landgericht Rostock akzeptierte auch die zweite Cookie-Consent-Einstellungen nicht, da es den Webseiten-Nutzer wieder ermutigte, einfach den grünen Button zu drücken - ohne zu merken, dass alle Consent-Einstellungen schon angekreuzt waren.
Der hellgraue „Nur notwendige Cookies zulassen”-Button und der kleinere „Details zeigen”-Button wären laut des Urteils auch optisch nicht als gleichwertige Wahlmöglichkeiten - und sogar nicht als anklickbare Schaltfläche - erkennbar:
„Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden" seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist.”
Manipulierung der Nutzer
Diese psychologische Ermutigung des Nutzers wird auch „Nudging” (deutsch: „schubsen”) genannt, da er zu einer bestimmten Handlung gedrängt wird.
Es wird Nutzern damit also viel zu einfach gemacht, schnell alle Cookies zu akzeptieren, ohne über etwaige Folgen nachzudenken oder sich über alle Konsequenzen zu informieren. Das Urteil hebt dies klar hervor:
„Zwar hat der Verbraucher die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich wird der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen und deshalb den Button ohne vorherige Information über die Details betätigen. Damit weiß der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung hat.“
Cookie-Banner müssen also neutral und klar gestaltet werden.
Didomi ist weiterhin komplett rechtskonform
Didomi-Nutzer können beruhigt sein, da Didomis Consent Management Platform (CMP) allen Webseiten-Besitzern weiterhin ermöglicht, vollständig rechtskonform zu bleiben.
Nehmen Sie sich an unserem Einwilligungs-Banner ein Beispiel, den auf Didomi.io/de sind Cookie-Banner-Buttons farblich oder funktionell nicht unterschiedlich vorgehoben, und Besucher unserer Webseite werden auf den ersten Blick sachlich und vollständig über ihre Wahlmöglichkeiten informiert.
Abbildung 3: Unser rechtskonformes Didomi-Cookie-Banner. Nutzer werden hier neutral und klar informiert. (Quelle: didomi.io)
Das Urteil und seine möglichen Folgen
Das Urteil des Landgerichts Rostock macht folgendes klarer:
-
Eine informierte und freiwillige Einwilligung von Webseiten-Nutzern ist weiterhin unbedingt notwendig, wenn personenbezogene Daten zu Werbe-und Analysezwecken verwendet werden und an Drittparteien und Drittländer weitergeleitet werden.
-
Webseiten-Besitzer müssen ihre Nutzer in ihrer Datenschutzerklärung in Kenntnis darüber setzen, dass ihre Einwilligungen freiwillig und jederzeit widerrufbar sind.
-
Falls Drittparteien Daten analysieren und weiterleiten, müssen Webseiten-Besitzer auch eine gemeinsame Datenverarbeitungsvereinbarung publik machen.
Die Firma hat gegen das Urteil des Landgerichtes zwar Berufung beim Oberlandesgericht Rostock eingelegt; es ist aber vorhersehbar, dass vergleichbare Fälle an anderen deutschen und europäischen Gerichten verhandelt werden könnten. In diesen Fällen könnte auch ähnlich geurteilt werden wie am Landgericht Rostock.
Nach dem Urteil forderte der VZBV deshalb die Politik auf, für Rechtsklarheit in Fällen wie diesen zu sorgen und sich „weiterhin für eine datenschutzfreundliche e-Privacy-Verordnung” einzusetzen.
In Frankreich, zum Beispiel, gilt ab den 31. März 2021 bei allen Webseiten- und/oder App-Betreibern die gleiche Regel: Zusage und Ablehnung muss mit nur einem Klick möglich sein, ohne dass die eine Wahl leichter fällt als die andere.
Fazit
Sowohl in Deutschland als auch weltweit wird Datenschutz und die Privatsphäre von Nutzern immer wichtiger. Dies wird u.A. auch in den Maßnahmen ersichtlich, die Apple kürzlich mit seinem neuen Mobil-System iOS 14 einführte, um Datensammlung und Nutzerverfolgung einzuschränken.
Webseiten-Betreiber weltweit sollten also nun mehr denn je vorsichtig prüfen, welche Cookie-Banner und CMP-Produkte sie wählen, um Probleme und - bei etwaigen Klagen - Geldbußen zu vermeiden.
Cookie-Banner, die das Akzeptieren aller Cookies optisch und technisch einfacher machen als deren Ablehnung und den Nutzer nicht vollkommen transparent über Datennutzungen informieren, sind nicht im Sinne der DSGVO und könnten somit juristisch angefochten werden.
Spirit Legal, eine deutsche Partnerschaft von Rechtsanwälten, bestätigt dies: „Cookie-Banner, bei denen die Optionen des Akzeptierens und Ablehnens nicht gleichermaßen berücksichtigt werden, sind aus rechtlicher Sicht grundsätzlich technisch ungeeignet und daher auch keine Grundlage für eine vollkommen informierte Einwilligung.”
Didomi setzt auch weiterhin nicht nur auf Transparenz, sondern auch auf eine klare und neutrale Cookie-Banner-Gestaltung, die das Akzeptieren von Cookies nicht einfacher macht als deren Ablehnung.
Haben Sie Fragen zu Cookie-Bannern oder zu unserer CMP? Wir sind gerne bereit, Ihnen zu helfen.
