Keine echte Wahlfreiheit für den Nutzer und unbewusste Beeinflussung: Verbraucherschützer und Gerichte beschäftigen sich immer häufiger mit den sogenannten Cookie-Bannern, mit denen Firmen die Zustimmung der Nutzer zur Verwendung ihrer personenbezogenen Daten einholen. Der Grund: Viele Unternehmen verstoßen dabei gegen die Datenschutz-Grundverordnung (DSGVO). Diese gibt vor, dass die Zustimmung freiwillig, informiert, explizit, granular, vorab, dokumentiert und widerrufbar gegeben werden muss. Doch was genau bedeuten diese Vorgaben für die eingesetzten Cookie-Banner? Und was sind die häufigsten Verstöße?

Zunächst einmal zu den Vorgaben der DSGVO: „Freiwillig“ bedeutet, dass der User sich frei entscheiden kann und eine echte Wahlfreiheit hat. Konkret heißt das zum Beispiel: Er muss auf dem Banner einen „Annehmen“- und einen „Ablehnen“-Button vorfinden. Und gibt er seine Zustimmung nicht, muss er den Service bzw. die Website trotzdem uneingeschränkt nutzen können. Gerade diese Freiwilligkeit wird von Rechtsprechung und den Behörden sehr eng ausgelegt. Das Kriterium „informiert“ ist erfüllt, wenn die betroffene Person detailliert über die Datennutzung informiert wird und dieser wissentlich zustimmt. Zu den Informationen, die User direkt einsehen können sollten, zählen: Welche Daten werden erhoben? Wer bekommt meine Daten? Zu welchem Zweck werden sie erhoben? Dass der User „explizit“ der Verwendung von Technologien zustimmen muss, bedeutet, dass eine implizite Einwilligung etwa durch Weiterscrollen oder die Nutzung von Diensten nicht rechtmäßig ist. „Granular“ wiederum meint, dass der User im Detail darüber informiert werden muss, für welchen Datensatz und auch für welchen Drittanbieter er seine Einwilligung gibt. Pauschale Einwilligungen und allgemeine Hinweise erfüllen dieses Informationsprinzip nicht.

Das Kriterium „vorab“ meint, dass die Daten auch wirklich erst dann erfasst werden dürfen, wenn die Einwilligung des Users vorliegt. Sichergestellt sein muss demnach auch, dass keine Daten erhoben und weitergeben werden, wenn der User nicht zugestimmt hat. Zudem müssen sämtliche Einwilligungen „dokumentiert“ erfolgen. In diesem Punkt unterliegen Website-Betreiber nach der Datenschutzverordnung einer Beweispflicht und müssen im Falle einer Abmahnung oder eines Audits der Datenschutzbehörde nachweisen, dass keine Cookies eingesetzt wurden, bevor die Einwilligung vorlag. „Wiederrufbar“ schließlich bedeutet: Der User hat das Recht, seine Zustimmung jederzeit und ohne Begründung zu widerrufen. Dabei muss der Widerruf genauso einfach wie die Erteilung der Einwilligung sein.

Diese Vorgehensweisen werden geahndet

Dass diese Kriterien längst nicht immer erfüllt werden, zeigen nicht nur die Abmahnungen und Klagen der Verbraucherschützer. Auch eine Analyse häufig genutzter Banner-Lösungen kommt zu dem Ergebnis, dass viele der dort genutzten Tricks und Kniffe nicht erlaubt sind. Darunter fallen:

1. Opt-out ist auf der ersten Ebene nicht möglich

Der Cookie-Banner bietet auf der ersten Ebene keine Opt-Out-Möglichkeit. Diese häufig genutzte Variante ist nicht DSGVO-konform. Denn laut der Datenschutzverordnung muss der Ablehnen- Button genauso schnell, z. B. durch die gleiche Anzahl von Klicks, erreichbar sein wie der Annehmen-Button.

2. Inhalte werden hinter der Cookie-Wall versteckt

Auf der Webseite erscheint ein Banner, der den Zugang zu den Inhalten der Webseite versperrt. Der User muss erst der Datennutzung zustimmen, um weiterzukommen. Diese sogenannten Cookie-Walls entsprechen ebenfalls nicht den Vorgaben der Datenschutzrichtlinie. Denn: Kann der Besucher nur auf die Inhalte der Website zugreifen, wenn er der Nutzung seiner Daten zustimmt, verstößt dies gegen das Kriterium der Freiwilligkeit.

3. Weiterscrollen gilt als Zustimmung

Der Cookie-Banner informiert den User darüber, dass er der Datenverarbeitung zustimmt, wenn er das Angebot weiterhin nutzt. Dies gilt nicht als explizite Zustimmung im Sinne der DSGVO und ist damit nicht rechtskonform. Denn Weiterscrollen oder eine anderweitige Nutzung der Website gelten in keinem Fall als Einwilligung zur Datenerhebung bzw. Verarbeitung. Die Nutzer-Einwilligung muss immer in Form einer eindeutig bestätigenden Handlung erfolgen.

4. Kästchen sind im Vorfeld angekreuzt

Geht es um die Einwilligung des Users zur Verwendung bestimmter Technologien, nutzen die meisten Webseitenbetreiber Checkboxen oder Regler. Der Webseitenbesucher gibt die Einwilligung zum Einsatz bestimmter Technologien, wie zum Beispiel Tracking Tools, indem er das Kästchen anklickt, um einen Haken zu setzen oder den Regler aktiv verschiebt. Bereits im Voraus gesetzte Häkchen oder aktivierte Regler jedoch sind nur bei technisch notwendigen Cookies rechtskonform. Bei allen anderen Cookies, zum Beispiel solchen für Marketing-Zwecke, muss das Kästchen zunächst leer bzw. der Regler nicht aktiviert sein. Dies wurde bereits durch ein Gerichtsurteil des EuGH – das Urteil gegen den Glücksspielanbieter Planet49 – bestätigt.

5. Der Nutzer wird durch das Banner-Design beeinflusst

Webseiten-Besuchern wird durch sogenanntes Nudging, also die gezielte Beeinflussung durch ein bestimmtes Banner-Design, die Zustimmung nahegelegt. Hierunter fällt unter anderem das farbliche Hinterlegen bestimmter Elemente, z. B. Grün für den Annehmen- Button, oder das optische Verstecken anderer Elemente, z. B. Grau für die Opt-out-Möglichkeit. Nudging widerspricht gleich in zweifacher Hinsicht den Vorgaben der DSGVO. Denn wird der Nutzer unbewusst in seiner Entscheidung beeinflusst, trifft er diese weder freiwillig noch informiert.

„Ein unkompliziertes und transparentes Einwilligungsmanagement lässt Verbraucher die Website als vertrauenswürdig empfinden. Das wiederum sorgt für einen klaren Wettbewerbsvorteil.“

Legale Marketing-Tricks nutzen

Um ihr Geschäft bzw. ihre gezielten Marketingaktivitäten fürchten müssen die Firmen jedoch auch bei einer strengen Auslegung der Datenschutzverordnung nicht. So zeigt die Erfahrung, dass die häufig genutzten Tricks gar nicht nötig sind. Denn es gibt Cookie-Banner, die DSGVO-konform sind und dennoch sehr gute Zustimmungsraten erreichen. So können sich die User durchaus vorstellen, die Nutzung ihrer Daten zu erlauben. Oftmals klicken sie die Cookie-Banner nur weg, weil diese kompliziert gestaltet, unübersichtlich und schwer verständlich sind. Ein ansprechendes Design hingegen und eine angenehme und sympathische sowie der Nutzergruppe angepasste Sprache führen in der Regel zu guten Consent-Raten. Auch eine günstige Platzierung des Banners erhöht die Zustimmung.