Kommt das Ende der Cookie-Banner?

Was der „Digital Omnibus“-Vorschlag der EU-Kommission jetzt für Ihr Unternehmen bedeutet

Die EU-Kommission hat im Rahmen ihres „Digital Omnibus“-Pakets einen Vorschlag vorgelegt, der mitunter die bisherigen Cookie-Regelungen spürbar verändern könnte. Eines der Ziele ist es, die allgegenwärtige Banner Flut zu reduzieren, ohne nach Aussage der Kommission das Datenschutzniveau abzusenken. Was bedeutet das für Unternehmen?

Was wird konkret vorgeschlagen?

Im Kern geht es hinsichtlich der Cookie-Banner um folgende Stellschrauben:

1) Zustimmung zentral statt Banner auf jeder Website

Statt bei jedem Website-Besuch neu zu entscheiden, sollen Nutzer ihre Tracking-Präferenzen künftig einmalig und generell festlegen, zum Beispiel direkt im Browser. Diese Einstellung würde dann zentral gelten und automatisiert auf Websites angewendet werden. Die Unternehmen als Verantwortliche für die Datenverarbeitung sollen dazu verpflichtet werden derartige maschinenlesbare „Consent-Signale“ entsprechend zu akzeptieren umzusetzen.

2) Weniger „Clicks“ erforderlich

Für bestimmte Verarbeitungen, die für den Betrieb und die Verwaltung einer Website erforderlich sind, soll künftig keine Einwilligungsabfrage mehr nötig sein. Damit würde ein Teil dessen, was heute häufig über Banner „abgesichert“ wird, aus der Einwilligungslogik herausfallen. Der Vorschlag sieht hierzu eine sogenannte „Whitelist“ der Ausnahmen vor, wie beispielsweise die Nutzung von Daten zum reinen Zählen der Website Besucher.

Für weiterhin erforderliche Einwilligungen sieht der Vorschlag darüber vor, dass zur Zustimmung oder Ablehnung eine „Single-Click-Lösung“ umgesetzt wird. Viele Unternehmen müssten hierzu ihre Cookie-Banner entsprechend überarbeiten.

Weiterhin sieht der Vorschlag vor, dass wiederholte Abfragen hinsichtlich desselben Verarbeitungszwecks innerhalb von sechs Monaten verboten würden. Eine Einwilligung könnte somit erst frühestens sechs Monate nach der letzten Ablehnung erneut abgefragt werden.

3) Neue Sicht auf „personenbezogene Daten“

Außerdem ist eine Anpassung der Definition personenbezogener Daten vorgesehen. Nicht mehr die bloß theoretische Identifizierbarkeit soll im Mittelpunkt stehen, sondern stärker die Frage, ob Daten tatsächlich aktiv genutzt werden, um eine Person zu identifizieren. Das soll das Surfen erleichtern und zugleich die digitale Wirtschaft entlasten.

Was gilt bis dahin?

Wichtig: Der Vorschlag ist noch nicht beschlossen. Bis zu einer tatsächlichen Änderung bleibt es bei den bekannten Anforderungen. Unternehmen müssen weiterhin sicherstellen, dass für nicht technisch notwendige Cookies bzw. Tracking-Technologien eine tragfähige Rechtsgrundlage besteht (in der Praxis meist die Einwilligung). Ebenso bleibt die Pflicht, transparent über Zwecke und Empfänger zu informieren. Nach der Zielsetzung der Kommission soll es dabei gerade nicht um eine generelle Absenkung des Datenschutzniveaus gehen.

Warum kann das für Unternehmen trotzdem relevant (und herausfordernd) sein?

Aus Unternehmenssicht kann die Reform je nach Ausgestaltung dazu führen, dass insgesamt weniger Einwilligungen erteilt werden. Wenn Betroffene ihre Datenschutzpräferenzen einmal zentral festlegen und diese Entscheidung dann automatisch überall gilt, werden viele voraussichtlich eher eine zurückhaltende Einstellung wählen. Klassische Marketing- und Analyse-Cookies könnten dadurch seltener eine aktive Zustimmung erhalten.

Wie geht es weiter?

Die Neuausgestaltung der Cookie-Regelungen ist lediglich ein Teil des „Digital Omnibus“-Vorschlags der Kommission. Dieser soll dazu dienen, insbesondere hinsichtlich des Einsatzes von KI, digitale Regelungen zu vereinfachen und Innovation zu fördern. Bereits jetzt stößt dieses Gesamtpaket jedoch auf teils scharfe Kritik. Datenschützer fürchten ein Unterlaufen der DSGVO und der digitalen Rechte der Europäer. Ob und in welcher Form die im Vorschlag enthaltenen Cookie-Regelungen Bestand haben, ist daher derzeit offen. Der Vorschlag ist erst der Beginn eines Gesetzgebungsverfahrens, in dem Europäisches Parlament und Rat die Inhalte nun noch intensiv diskutieren und verändern können.

Fazit

Es spricht vieles dafür, dass eine Anpassung der Cookie-Regelungen bevorsteht. Zugleich ist aufgrund der weitreichenden Kritik allerdings zu erwarten, dass der Entwurf im weiteren Verfahren noch umfassend verändert wird. Gerade deshalb sollten Unternehmen die weitere Entwicklung aufmerksam verfolgen, um sich frühzeitig auf neue Anforderungen sowie die damit verbundenen Chancen und Herausforderungen einzustellen und ihren Umgang mit Cookies rechtzeitig anzupassen.

In diesem Blog halten wir Sie über relevante gesetzgeberische Entwicklungen in diesem Bereich auf dem Laufenden und zeigen auf, welche praktischen Konsequenzen sich jeweils für Unternehmen ergeben.

VG Hannover: Einsatz des Google Tag Managers nur mit vorheriger Einwilligung

Zahlreiche Websites nutzen den Google Tag Manager (GTM), um Dienste wie Google Analytics, Facebook Pixel oder andere Marketing-Tools einzubinden. Während der Tag Manager in aller Regel so konfiguriert wird, dass die Tags solcher Analyse- und Marketing-Tools erst nach Einwilligung des Users im Cookie Consent Banner ausgelöst werden, wird der GTM selbst häufig direkt beim Aufruf der Website geladen; also unabhängig vom Consent des Users. Read more

Cookie Banner Task Force

Im Jahr 2021 hatte der Verein des österreichischen Datenschützers Max Schrems (NOYB) 422 Beschwerden bei unterschiedlichen europäischen Aufsichtsbehörden eingereicht. Grund hierfür waren datenschutzrechtliche Verstöße durch manipulative Gestaltungen von Cookie-Bannern, sogenanntes Nudging bzw. Dark Patterns. Als Reaktion darauf hat der Europäische Datenschutzausschuss (EDSA) eine Task Force zur Bewertung von Cookie-Consent-Bannern eingerichtet. Im Januar 2023 wurde nun ein Bericht veröffentlicht, der einheitliche Kriterien zur Gestaltung von Cookie-Bannern beinhaltet und damit insbesondere den verschiedenen Datenschutzbehörden die Bewertung  im Einzelfall erleichtern soll.

Read more

LG München I: Nudging und Dark Patterns in Cookie Consent Tools kaum noch möglich

Wer auf seiner Website Cookies und andere Technologien einsetzt, um das Nutzungsverhalten zu analysieren und Werbung gezielter ausspielen zu können, benötigt hierfür eine vorherige Einwilligung des Users. Diese wird heute über sogenannte Cookie Consent Management Plattformen (CMP) bzw. “Cookie Banner” eingeholt. Die konkrete Ausgestaltung dieser Banner ist nicht ausdrücklich gesetzlich geregelt und zwischen Datenschützern und Website-Betreibern umstritten: Letztere versuchen, durch eine entsprechende Gestaltung (“Nudging”, z.B. durch farbliche Hervorhebung des “Akzeptieren” Buttons) eine möglichst hohe Zustimmungsrate zu erzielen. Nachdem das Landgericht Rostock dieser Methode bereits 2020 einen ersten Riegel vorgeschoben hatte, macht das Landgericht München I nun in einer bemerkenswert umfangreichen Entscheidung deutlich, dass “Tricksereien” hier in aller Regel zur Unwirksamkeit der Einwilligung führen. 

 

Hintergrund

Gemäß § 25 Abs. 1 Satz 1 TTSGO ist die Speicherung von Informationen (z.B. in Cookies) oder der Zugriff auf solche Informationen auf dem Endgerät des Nutzers nur zulässig, wenn der Nutzer hierin vorab eingewilligt hat. Wie die Einwilligung zu erfolgen hat, richtet sich nach den Vorgaben der DSGVO. Insbesondere muss die Einwilligung freiwillig und in informierter Weise erfolgen (Erwägungsgrund 32 zur DSGVO). Klar ist: Wird der Website-Besucher durch die Gestaltung des CMP manipuliert, ist die Einwilligung nicht “freiwillig” und damit unwirksam. Aber wo verläuft die Grenze zwischen zulässiger Gestaltung und unzulässiger Manipulation? Das LG Rostock hatte mit Urteil vom Urteil vom 15.09.2020, Az. 3 O 762/19, festgehalten, dass eine Einwilligung unwirksam sei, wenn das Ablehnen von Cookies erst auf einer zweiten Ebene oder mittels eines grau hinterlegten (und deshalb nicht als gleichwertige Auswahloption erkennbaren) Buttons möglich ist (wir hatten berichtet).

Nun legte das LG München I mit einer bemerkenswert umfangreichen und technisch detaillierten Entscheidung nach (Urteil vom 29.11.2022, Az. 33 O 14766/19). Die Luft für “Nudging” wird immer dünner.

 

DAS URTEIL DES LG MÜNCHEN I

Gegenstand des Verfahrens war eine Klage des Bundesverbandes der Verbraucherzentralen, welcher den Betreiber des Nachrichtenportals FOCUS Online wegen dessen CMP abgemahnt hatte:

Bild

Das LG München I erklärte die so abgefragte Einwilligung für unwirksam. Entscheidend sei, dass das Verweigern der Einwilligung mit einem größeren Aufwand verbunden sei, als die Zustimmung. Zwar erscheine dieser Mehraufwand als verhältnismäßig gering. Gleichwohl sei ein solcher zusätzlicher Aufwand “angesichts der im Internet gerade üblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzer” nicht unerheblich. Das Gericht stellt also ausdrücklich auf die Trägheit und mangelnde Aufmerksamkeit von Internetnutzern ab, welche sich Website-Betreiber durch “Nudging” gerade zum Vorteil machen möchten.

Konkret werteten die Richter eine ganze Reihe von Umständen:

  • Auf der ersten Seite des CMP (siehe Abbildung) konnte die Einwilligung nur in vollem Umfang erteilt oder durch Betätigung der Schaltfläche „Einstellungen“ eine gesonderte Auswahl getroffen werden.
  • Die Schaltfläche “Akzeptieren” war durch die blaue Markierung optisch in den Vordergrund gerückt. Hierdurch sei “für den Nutzer offensichtlich (…), dass deren Betätigung die schnellste Möglichkeit darstellt, die Webseite zu nutzen”.
  • Auch der Umstand, dass ein Besucher die Webseite der Beklagten nicht ohne weitere Interaktion mit der CMP nutzen konnte, spreche gegen eine freiwillige Entscheidung.
  • Auf der ersten Ebene sei allein aus dem Fließtext ersichtlich, dass die Einwilligung auch abgelehnt werden kann. Ob eine Ablehnung mit Nachteilen oder Mehraufwand verbunden ist, könne der Nutzer dagegen nicht erkennen.
  • Jedenfalls ist eine Verweigerung der Einwilligung erst nach Betätigung der Schaltfläche „Einstellungen“ auf einer zweiten Ebene der CMP möglich und damit mit mehr Aufwand als das bloße „Akzeptieren“ der Datenverarbeitung verbunden.
  • Auf der zweiten Ebene gebe es eine Vielzahl von Einstellungsmöglichkeiten, was das Verweigern der Einwilligung zusätzlich erschwere. Auch hier werde die Schaltfläche „Alle Akzeptieren“ sowohl aufgrund der farblichen Gestaltung als auch durch ihre Positionierung und Größe nochmals hervorgehoben, während die Schaltfläche „alle ablehnen“ in Größe und Gestaltung dagegen unauffällig gehalten sei.

Interessant: Das Gericht hält ausdrücklich fest, dass es für eine unterschiedliche Gestaltung von “Akzeptieren” und “Ablehnen” Button keine sachliche Rechtfertigung gebe. Eine scharfe Absage an jede Form von Nudging.

Eine sachliche Rechtfertigung für die unterschiedliche Behandlung der Wahlmöglichkeiten „Einwilligung erteilen“ und „Einwilligung verweigern“ ist weder vorgetragen noch ersichtlich. Angesichts der unterschiedlichen Gestaltung erscheint es daher naheliegend, dass hierdurch das Wahlrecht der Webseitenbesucher beeinflusst werden soll.

Der Website-Betreiber kann sich nicht darauf berufen, dass die Gestaltung vom Anbieter des CMP vorgegeben sei. Es liege in der Verantwortung des Website-Betreibers, eine rechtskonforme Einwilligung einzuholen.

Dieser Ausgang des Verfahrens war von den meisten Beobachtern bereits erwartet worden. Nach den Aufsichtsbehörden schließen nun auch die Gerichte langsam den Gestaltungsspielraum für eine “zustimmungs-freundliche” Gestaltung von Cookie Consent Bannern. Überraschend ist, wie ausführlich und technisch detailliert das Landgericht zu den Einzelaspekten Stellung genommen hat. Es ist damit zu rechnen, dass noch in diesem Jahr eine ganze Reihe weiterer Entscheidungen zum Thema Cookie Consent ergehen dürfte.

 

Photo by Colin Lloyd on Unsplash

Abmahnung wegen unzureichender Cookie-Consent-Tools

Unserer Kanzlei liegt eine aktuelle Abmahnung der Verbraucherzentrale Baden-Württemberg vor, welche ein vermeintlich unzureichendes Cookie-Banner auf einer Website zum Gegenstand hat. Beanstandet wird ein Verstoß gegen § 15 Abs. 3 TMG, da auf der Website Third-Party-Cookies eingesetzt würden, ohne dass über das Cookie-Banner eine ausdrückliche Einwilligung des Website-Besuchers eingeholt werde.

Hintergrund: Der Bundesgerichtshof (BGH) hatte in der Sache Planet 49 entschieden, dass Website-Betreiber eine aktive Einwilligung der Nutzer benötigen, wenn sie Cookies zur Speicherung und Analyse des Nutzerverhaltens auf ihrer Seite setzen wollen (Urteil vom 28.05.2020, Az. I ZR 7/16wir hatten berichtet). Dabei hatte das Gericht ausdrücklich festgehalten, dass ein sogenannter Opt-Out, also beispielsweise ein voreingestelltes Ankreuzkästchen, gerade keine wirksame Einwilligung darstellt. Der BGH setzte hier die Rechtsprechung des Europäischen Gerichtshofs (EuGH) fort, welcher bereits im Oktober 2019 (Az. C-673/17) entschieden hatte, dass die Speicherung von Cookies – sofern diese für den Betrieb der Website nicht zwingend erforderlich seien – nur mit vorheriger, ausdrücklicher Einwilligung zulässig sei und dass das bloße “Weitersurfen” gerade keine solche Einwilligung darstelle.

Read more

Google verbannt Third Party Cookies

Ein Gastbeitrag unserer studentischen Mitarbeiterin Gökce Bulut: Google hat angekündigt, vor dem Jahr 2022 sogenannte „Third-Party-Cookies“ innerhalb des eigenen Web-Browsers „Google Chrome“ abzuschaffen. Nach Angaben von Google soll Google Chrome Nutzern keine per Tracking personalisierte Werbung mehr angezeigt werden.

Kürzlich hat Google angekündigt, das sogenannte Third Party Cookie Tracking abzuschaffen und auf personalisierte Werbung verzichten zu wollen. Dies soll zur Folge haben, dass Nutzern keine personalisierte Werbung mehr angezeigt wird. Was das zur Folge hat und ob Nutzern deshalb weniger Werbung angezeigt wird, soll im Folgenden kurz beleuchtet werden.

Read more