Cookie Banner Task Force

Im Jahr 2021 hatte der Verein des österreichischen DatenschĂŒtzers Max Schrems (NOYB) 422 Beschwerden bei unterschiedlichen europĂ€ischen Aufsichtsbehörden eingereicht. Grund hierfĂŒr waren datenschutzrechtliche VerstĂ¶ĂŸe durch manipulative Gestaltungen von Cookie-Bannern, sogenanntes Nudging bzw. Dark Patterns. Als Reaktion darauf hat der EuropĂ€ische Datenschutzausschuss (EDSA) eine Task Force zur Bewertung von Cookie-Consent-Bannern eingerichtet. Im Januar 2023 wurde nun ein Bericht veröffentlicht, der einheitliche Kriterien zur Gestaltung von Cookie-Bannern beinhaltet und damit insbesondere den verschiedenen Datenschutzbehörden die Bewertung  im Einzelfall erleichtern soll.

Read more

LG MĂŒnchen I: Nudging und Dark Patterns in Cookie Consent Tools kaum noch möglich

Wer auf seiner Website Cookies und andere Technologien einsetzt, um das Nutzungsverhalten zu analysieren und Werbung gezielter ausspielen zu können, benötigt hierfĂŒr eine vorherige Einwilligung des Users. Diese wird heute ĂŒber sogenannte Cookie Consent Management Plattformen (CMP) bzw. “Cookie Banner” eingeholt. Die konkrete Ausgestaltung dieser Banner ist nicht ausdrĂŒcklich gesetzlich geregelt und zwischen DatenschĂŒtzern und Website-Betreibern umstritten: Letztere versuchen, durch eine entsprechende Gestaltung (“Nudging”, z.B. durch farbliche Hervorhebung des “Akzeptieren” Buttons) eine möglichst hohe Zustimmungsrate zu erzielen. Nachdem das Landgericht Rostock dieser Methode bereits 2020 einen ersten Riegel vorgeschoben hatte, macht das Landgericht MĂŒnchen I nun in einer bemerkenswert umfangreichen Entscheidung deutlich, dass “Tricksereien” hier in aller Regel zur Unwirksamkeit der Einwilligung fĂŒhren. 

 

Hintergrund

GemĂ€ĂŸ § 25 Abs. 1 Satz 1 TTSGO ist die Speicherung von Informationen (z.B. in Cookies) oder der Zugriff auf solche Informationen auf dem EndgerĂ€t des Nutzers nur zulĂ€ssig, wenn der Nutzer hierin vorab eingewilligt hat. Wie die Einwilligung zu erfolgen hat, richtet sich nach den Vorgaben der DSGVO. Insbesondere muss die Einwilligung freiwillig und in informierter Weise erfolgen (ErwĂ€gungsgrund 32 zur DSGVO). Klar ist: Wird der Website-Besucher durch die Gestaltung des CMP manipuliert, ist die Einwilligung nicht “freiwillig” und damit unwirksam. Aber wo verlĂ€uft die Grenze zwischen zulĂ€ssiger Gestaltung und unzulĂ€ssiger Manipulation? Das LG Rostock hatte mit Urteil vom Urteil vom 15.09.2020, Az. 3 O 762/19, festgehalten, dass eine Einwilligung unwirksam sei, wenn das Ablehnen von Cookies erst auf einer zweiten Ebene oder mittels eines grau hinterlegten (und deshalb nicht als gleichwertige Auswahloption erkennbaren) Buttons möglich ist (wir hatten berichtet).

Nun legte das LG MĂŒnchen I mit einer bemerkenswert umfangreichen und technisch detaillierten Entscheidung nach (Urteil vom 29.11.2022, Az. 33 O 14766/19). Die Luft fĂŒr “Nudging” wird immer dĂŒnner.

 

DAS URTEIL DES LG MÜNCHEN I

Gegenstand des Verfahrens war eine Klage des Bundesverbandes der Verbraucherzentralen, welcher den Betreiber des Nachrichtenportals FOCUS Online wegen dessen CMP abgemahnt hatte:

Bild

Das LG MĂŒnchen I erklĂ€rte die so abgefragte Einwilligung fĂŒr unwirksam. Entscheidend sei, dass das Verweigern der Einwilligung mit einem grĂ¶ĂŸeren Aufwand verbunden sei, als die Zustimmung. Zwar erscheine dieser Mehraufwand als verhĂ€ltnismĂ€ĂŸig gering. Gleichwohl sei ein solcher zusĂ€tzlicher Aufwand “angesichts der im Internet gerade ĂŒblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzer” nicht unerheblich. Das Gericht stellt also ausdrĂŒcklich auf die TrĂ€gheit und mangelnde Aufmerksamkeit von Internetnutzern ab, welche sich Website-Betreiber durch “Nudging” gerade zum Vorteil machen möchten.

Konkret werteten die Richter eine ganze Reihe von UmstÀnden:

  • Auf der ersten Seite des CMP (siehe Abbildung) konnte die Einwilligung nur in vollem Umfang erteilt oder durch BetĂ€tigung der SchaltflĂ€che „Einstellungen“ eine gesonderte Auswahl getroffen werden.
  • Die SchaltflĂ€che “Akzeptieren” war durch die blaue Markierung optisch in den Vordergrund gerĂŒckt. Hierdurch sei “fĂŒr den Nutzer offensichtlich (…), dass deren BetĂ€tigung die schnellste Möglichkeit darstellt, die Webseite zu nutzen”.
  • Auch der Umstand, dass ein Besucher die Webseite der Beklagten nicht ohne weitere Interaktion mit der CMP nutzen konnte, spreche gegen eine freiwillige Entscheidung.
  • Auf der ersten Ebene sei allein aus dem Fließtext ersichtlich, dass die Einwilligung auch abgelehnt werden kann. Ob eine Ablehnung mit Nachteilen oder Mehraufwand verbunden ist, könne der Nutzer dagegen nicht erkennen.
  • Jedenfalls ist eine Verweigerung der Einwilligung erst nach BetĂ€tigung der SchaltflĂ€che „Einstellungen“ auf einer zweiten Ebene der CMP möglich und damit mit mehr Aufwand als das bloße „Akzeptieren“ der Datenverarbeitung verbunden.
  • Auf der zweiten Ebene gebe es eine Vielzahl von Einstellungsmöglichkeiten, was das Verweigern der Einwilligung zusĂ€tzlich erschwere. Auch hier werde die SchaltflĂ€che „Alle Akzeptieren“ sowohl aufgrund der farblichen Gestaltung als auch durch ihre Positionierung und GrĂ¶ĂŸe nochmals hervorgehoben, wĂ€hrend die SchaltflĂ€che „alle ablehnen“ in GrĂ¶ĂŸe und Gestaltung dagegen unauffĂ€llig gehalten sei.

Interessant: Das Gericht hĂ€lt ausdrĂŒcklich fest, dass es fĂŒr eine unterschiedliche Gestaltung von “Akzeptieren” und “Ablehnen” Button keine sachliche Rechtfertigung gebe. Eine scharfe Absage an jede Form von Nudging.

Eine sachliche Rechtfertigung fĂŒr die unterschiedliche Behandlung der Wahlmöglichkeiten „Einwilligung erteilen“ und „Einwilligung verweigern“ ist weder vorgetragen noch ersichtlich. Angesichts der unterschiedlichen Gestaltung erscheint es daher naheliegend, dass hierdurch das Wahlrecht der Webseitenbesucher beeinflusst werden soll.

Der Website-Betreiber kann sich nicht darauf berufen, dass die Gestaltung vom Anbieter des CMP vorgegeben sei. Es liege in der Verantwortung des Website-Betreibers, eine rechtskonforme Einwilligung einzuholen.

Dieser Ausgang des Verfahrens war von den meisten Beobachtern bereits erwartet worden. Nach den Aufsichtsbehörden schließen nun auch die Gerichte langsam den Gestaltungsspielraum fĂŒr eine “zustimmungs-freundliche” Gestaltung von Cookie Consent Bannern. Überraschend ist, wie ausfĂŒhrlich und technisch detailliert das Landgericht zu den Einzelaspekten Stellung genommen hat. Es ist damit zu rechnen, dass noch in diesem Jahr eine ganze Reihe weiterer Entscheidungen zum Thema Cookie Consent ergehen dĂŒrfte.

 

Photo by Colin Lloyd on Unsplash

Abmahnung wegen unzureichender Cookie-Consent-Tools

Unserer Kanzlei liegt eine aktuelle Abmahnung der Verbraucherzentrale Baden-WĂŒrttemberg vor, welche ein vermeintlich unzureichendes Cookie-Banner auf einer Website zum Gegenstand hat. Beanstandet wird ein Verstoß gegen § 15 Abs. 3 TMG, da auf der Website Third-Party-Cookies eingesetzt wĂŒrden, ohne dass ĂŒber das Cookie-Banner eine ausdrĂŒckliche Einwilligung des Website-Besuchers eingeholt werde.

Hintergrund: Der Bundesgerichtshof (BGH) hatte in der Sache Planet 49 entschieden, dass Website-Betreiber eine aktive Einwilligung der Nutzer benötigen, wenn sie Cookies zur Speicherung und Analyse des Nutzerverhaltens auf ihrer Seite setzen wollen (Urteil vom 28.05.2020, Az. I ZR 7/16, wir hatten berichtet). Dabei hatte das Gericht ausdrĂŒcklich festgehalten, dass ein sogenannter Opt-Out, also beispielsweise ein voreingestelltes AnkreuzkĂ€stchen, gerade keine wirksame Einwilligung darstellt. Der BGH setzte hier die Rechtsprechung des EuropĂ€ischen Gerichtshofs (EuGH) fort, welcher bereits im Oktober 2019 (Az. C-673/17) entschieden hatte, dass die Speicherung von Cookies – sofern diese fĂŒr den Betrieb der Website nicht zwingend erforderlich seien – nur mit vorheriger, ausdrĂŒcklicher Einwilligung zulĂ€ssig sei und dass das bloße “Weitersurfen” gerade keine solche Einwilligung darstelle.

Read more

Google verbannt Third Party Cookies

Ein Gastbeitrag unserer studentischen Mitarbeiterin Gökce Bulut: Google hat angekĂŒndigt, vor dem Jahr 2022 sogenannte „Third-Party-Cookies“ innerhalb des eigenen Web-Browsers „Google Chrome“ abzuschaffen. Nach Angaben von Google soll Google Chrome Nutzern keine per Tracking personalisierte Werbung mehr angezeigt werden.

KĂŒrzlich hat Google angekĂŒndigt, das sogenannte Third Party Cookie Tracking abzuschaffen und auf personalisierte Werbung verzichten zu wollen. Dies soll zur Folge haben, dass Nutzern keine personalisierte Werbung mehr angezeigt wird. Was das zur Folge hat und ob Nutzern deshalb weniger Werbung angezeigt wird, soll im Folgenden kurz beleuchtet werden.

Read more

Cookie-Richtlinie: Opt-In oder Opt-Out? Wie ist die Rechtslage?

Es ist seit Jahren ein Dauerthema, doch nun scheint mal wieder Bewegung hinein zu kommen. Die Konferenz der Datenschutzbeauftragten des Bundes und der LĂ€nder möchte die Bundesregierung auffordern, die E-Privacy-Richtlinie “nun ohne weitere Verzögerung vollstĂ€ndig in das nationale Recht zu ĂŒberfĂŒhren”. BegrĂŒndung: Die Datenschutzbeauftragten halten den aktuellen Zustand fĂŒr “nicht hinnehmbar”.

Da stellt sich die Frage: Wie ist er denn, dieser aktuelle Zustand? Read more

EU-Kommission: Cookie-Richtlinie in Deutschland umgesetzt

Die EU-Kommission hat auf Anfrage des Bundesverbands Digitale Wirtschaft ĂŒberraschenderweise bestĂ€tigt, dass aus ihrer Sicht die Datenschutzstandards in Deutschland bereits die Anforderungen der von der EU erlassenen Cookie-Richtlinie erfĂŒllen.

Die auch E-Privacy-Richtlinie genannte Richtlinie (2009/136/EG) sieht insbesondere vor, dass die Speicherung von Cookies nur mit ausdrĂŒcklicher Einwilligung des Nutzers zulĂ€ssig sein soll. Die EU-Mitgliedsstaaten hatten bis Mai 2011 Zeit, die bereits im November 2009 erlassene Richtlinie umzusetzen. Zwar wurde im Bundestag Anfang 2012 ein entsprechender Gesetzesentwurf vorgelegt. Dieser wurde jedoch nicht verabschiedet. So existiert in Deutschland bis heute kein Gesetz, welches die in der Richtlinie vorgesehenen Änderungen ausdrĂŒcklich aufgreift und umsetzt.

Umso ĂŒberraschender kommt jetzt die Stellungnahme der EU-Kommission, wonach bereits das bestehende Telemediengesetz (TMG) die Voraussetzungen der Richtlinie erfĂŒllen soll.