Keks ist nicht gleich Keks

Der Verbraucherzentrale Bundesverband (vzbv) hatte kürzlich knapp 950 Webseiten aus verschiedenen Branchen untersucht, darunter auch die von Versicherungen und Lebensmittel-Lieferdiensten. Teils waren „Durch Weitersurfen akzeptieren Sie alle Cookies“-Banner geschaltet, teils Einstellungen schon vorangekreuzt. Manchmal war gar kein Banner vorhanden, obwohl Daten gespeichert wurden. Viele Banner bewegten sich dabei in einer rechtlichen Grauzone: Sie wirkten auf den ersten Blick zulässig, versuchten aber durch Tricks, die Nutzer zu lenken.  Inwieweit ein derartiges „Nudging“ („Stupsen“) erlaubt ist, wird unterschiedlich beurteilt und landet daher meistens vor Gericht.

Art. 5 Abs. 3 der einschlägigen europäischen Richtlinie Nr. 2002/58 (ePrivacy-Richtlinie) besagt sinngemäß, dass eine möglichst informierte und freiwillige Einwilligung in die Nutzung von Cookies gegeben werden muss, „es sei denn, der alleinige Zweck ist die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz oder der Einsatz des Cookies ist unbedingt erforderlich, damit der Diensteanbieter den gewünschten Dienst zur Verfügung stellen kann“. Grob gesagt, muss bei der Nutzung von Cookies, die nicht für die Funktionalität der Webseite gebraucht werden, eine wirksame Einwilligung der Besucher eingeholt werden. Dies geschieht laut Rechtsprechung durch die Cookie-Banner.

So einfach, so gut. Die rechtliche Unsicherheit liegt hier jedoch in der Erfordernis einer informierten und freiwilligen Einwilligung in die Nutzung der Cookies und dem „Nudging“. Denn als Webseiten-Betreiber haben Sie mit Blick auf das Tracking natürlich ein Interesse daran, dass Besucher der Nutzung aller Cookies zustimmen.

Oftmals wird das Erstellen geschäftlicher Websites aber von Dritten übernommen oder über bestimmte Plattformen mithilfe vorgefertigter Tools, die solche Cookie-Banner bereits finalisiert enthalten, selbst gebaut. Hier haben Sie also nur insoweit Einfluss, als die Anbieter sich dieses Rechtsproblems bereits angenommen haben und auch regelmäßig entsprechend der Rechtsprechung aktualisieren. Sie sollten aber mindestens prüfen, ob das Endergebnis den oben genannten rechtlichen Anforderungen entspricht. Wenn Sie sicher sein wollen, emfehlen wir die Prüfung durch einen Anwalt.

Cookie ist nicht gleich Cookie. Die wichtigste Unterscheidung ist: Sind die Cookies technisch notwendig, also essenziell, oder nicht?

Essenziell sind Cookies, deren Setzung unbedingt erforderlich ist, damit die Webseite und die Funktionen, die der Nutzer ausdrücklich in Anspruch nehmen will, auch zur Verfügung gestellt werden können. Beispiele hierfür sind Cookies zur vorübergehenden Beibehaltung eines Log-ins auf einer passwortgeschützten Internetseite oder die Beibehaltung einer Spracheinstellung. Auf der anderen Seite stehen nicht essenzielle Tracking- beziehungsweise Marketing-Cookies. Für jene wird ein Cookie-Banner benötigt. Falls Sie nicht wissen, welche Cookies Ihre Website verwendet, fragen Sie Ihren Programmierer.

Zuallererst sollten Sie in der Datenschutzerklärung auf Ihrer Website über Funktion, Speicherdauer und Art der Cookies (essenziell oder nicht) aufklären. Im Banner sollte dann eine deutliche Verlinkung zur Erklärung erfolgen oder besser noch ein eigener Text, der über die Art und die Verwendung der Cookies aufklärt.

Nur am Rande sei erwähnt, dass grundsätzlich alle Webseiten-Betreiber insbesondere bei geschäftlichen Zwecken eine passende Datenschutzerklärung benötigen, und wenn Sie personenbezogene Daten verarbeiten – etwa beim Kontaktformular – sowieso.

Auf die Verwendung von Cookies sollte ihre Datenschutzerklärung also eingehen, um rechtssicher zu sein. Eine klare Antwort, welche Cookie-Banner rechtmäßig sind, liefert uns das Gesetz aber nicht. Das hängt wie so häufig von der juristischen Auslegung und damit von der Rechtsprechung ab. Worauf bei der Auslegung zu achten ist, führt vzbv-Vorstand Klaus Müller aus: „Rechtswidrige Cookie-Banner sind kein Kavaliersdelikt. Die zunehmende Daten-Schnüffelei gefährdet die Privatsphäre der Verbraucher und führt zum durchleuchteten Bürger.“

Denn durch ein rechtswidriges Nudging bei der Gestaltung der Cookie- (oder auch Consent-)Banner wird auch eine bereits erteilte Einwilligung in die Nutzung nicht funktionaler Cookies oder Tracking-Mechanismen unwirksam, da die Besucher keine freiwillige und informierte Entscheidung abgeben konnten. Eine wirksame Einwilligung ist wie auch im Datenschutzrecht die oberste Prämisse bei solchen Sachverhalten zum Schutz der Privatsphäre.

Optisch sollten alle Auswahlmöglichkeiten gleichwertig sein. Wird eine Option hervorgehoben und dadurch der Nutzer psychologisch dazu ermuntert, die Einwilligung ins Daten-Tracking zu geben, ist laut Rechtsprechung, keine Einwilligung mehr freiwillig gegeben. Ebenso wenig darf eine Vorauswahl getroffen sein, die erst weggeklickt werden muss in die für die Privatsphäre günstigste Alternative („Opt-Out“).

In Abbildung 1 ist eine wirksame Einwilligung nicht möglich, da einerseits der Button, mit dem man alle Cookies akzeptiert, optisch hervorgehoben ist. Andererseits wurde eine unzulässige Vorauswahl getroffen, da man auf den ersten Blick nur alle Cookies akzeptieren und erst über den Umweg per ausgegrautem Button die Einstellungen anpassen kann. Beide Mängel wären allein bereits abmahnfähig. 

Auch in Abbildung 2 wurde bei der linken Variante eine Vorauswahl getroffen, die erst durch ein umständlicheres Wegklicken abgeändert werden kann. Auf der rechten Seite hingegen wird eine sehr empfehlenswerte Variante abgebildet. Hier wird weder eine optische Hervorhebung noch eine über die essenziellen Cookies hinausgehende Vorauswahl getroffen. Dies ist abmahnsicher.

In Abbildung 3 sind die Beispiele in Ordnung, was die Optik betrifft, jedoch nicht, was die Eindeutigkeit der Optionen betrifft. Obiges Beispiel könnte missverständlich sein, da hier die Unterscheidung von essenziellen und zu Marktforschungszwecken genutzten Cookies nicht deutlich wird und der Nutzer davon ausgehen könnte, er lehne die Speicherung jedweder Cookies ab. Die untere Variante ist indes empfehlenswert, weil ein Link zur Cookie-Nutzung in der Datenschutzerklärung gesetzt wird und beide Optionen gleichwertig dargestellt werden, so dass dem Nutzer sofort klar wird, dass er nicht essenzielle Cookies einfach ablehnen kann. 

Rebecca Richter

DUNKEL RICHTER

Rechtsanwältinnen

Straßburger Str. 11, 10405 Berlin richter@dunkelrichter.deKatja Dunkel, LL.M.

DUNKEL RICHTER

Rechtsanwältinnen

Straßburger Str. 11, 10405 Berlin dunkel@dunkelrichter.de