In seinem Urteil vom 15.09.2020 trifft das Landgericht Rostock Urteil vom 15.09.2020, Az.: 3 O 762/19 (noch nicht rechtskräftig) weitere Aussagen zu Anforderungen an Cookie-Banner.
bisherige Rechtsprechung und Entwicklung
Aufgrund der bisherigen Rechtsprechung des EuGH (Urteil vom 01.10.2019 - C-673/17) und BGH (Urteil vom 28.05.2020, I ZR 7/16) war bereits geklärt, dass
- für nicht technisch-notwendige Cookies eine aktive, ausdrückliche Einwilligung erforderlich ist
- voreingestellte Ankreuzkästchen dabei nicht erlaubt sind.
In der Praxis haben sich Cookie-Banner bzw, Consent-Layer etabliert, in welchen der Button für die Zustimmung farbig hervorgehoben ist. Dagegen findet sich meist ein Button für die Ablehnung der nicht notwendigen Cookies, welcher meist unscheinbar und frau daher kommt. Hierdurch sollen die Nutzer zur Einwilligung verleitet werden, ohne sich weiter mit den Einzelheiten befassen zu müssen.
Keine wirksame Einwilligung
Im konkreten Fall ging es vor dem Landgericht Rostock um folgenden Cookie-Banner:
Das Landgericht sah hierin keine wirksame Einwilligung. Hierzu führte es wie folgt aus:
„Eine wirksame Einwilligung ist […] mit dem nunmehr verwendeten Cookie-Banner nicht möglich. Denn auch bei diesem sind sämtliche Cookies vorausgewählt und werden durch Betätigung des grün unterlegten „Cookie zulassen ‚-Buttons „aktiviert“. Damit entspricht die Gestaltung des Cookie-Banners grundsätzlich der Gestaltung in dem durch den BGH entschiedenen Fall. Zwar hat der Verbraucher die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich wird der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen und deshalb den Button ohne vorherige Information über die Details betätigen. Damit weiß der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung hat.
Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden“ seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist. Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen“-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden. Daran ändert auch der Einleitungstext nichts, da dieser bereits nicht darüber aufklärt, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden.“
Anforderungen an Cookie-Banner – Hinweise der Aufsicht
Zuletzt hatte die niedersächsische Aufsichtsbehörde Hinweise zur datenschutzkonformen Einwilligungen auf Webseiten und zu Anforderungen an Cookie-Banner veröffentlicht. Diese können hier heruntergeladen werden.
Auch nach Auffassung der Behörde sind der Beeinflussung des Nutzerverhaltens (sogenanntes Nudging) Grenzen gesetzt, so dass eine verhaltensmanipulierende Ausgestaltungen zu einer Unwirksamkeit der Einwilligung führen können.
Häufige Fehler sind nach Auffassung der Behörde auch:
- nicht konkret genug beschriebene Verarbeitungszwecke (wie z.B. nur „im Ihr Surferlebnis zu verbessern“ oder „um Webanalyse durchzuführen“)
- der fehlende Hinweis auf das Widerrufsrecht auf der ersten Ebene des Consent-Layer
- unklare Bezeichnung der Schaltfläche für Zustimmung (wie z.B. „Alle akzeptieren“)
Ein weiteres Problem ist oft die fehlende Umsetzung des einfachen Widerrufs
Sofern ein Consent-Fenster eingesetzt wird, sollte dem Nutzer eine leicht auffindbare Möglichkeit gegeben werden, dieses jederzeit wieder öffnen und seine zuvor vorgenommenen Einstellungen ändern zu können. Hierfür bietet es sich zum Beispiel an, im Header oder Footer der Webseite, wo regelmäßig das Impressum und die Datenschutzhinweise zu finden sind, einen Link auf den Consent-Layer einzufügen, der zum Beispiel „Datenschutz-Einstellungen“ heißen könnte. Eine andere Alternative ist, diesen Link in den Datenschutzhinweisen einzubinden.