Bei der Gestaltung der sogenannten „Cookie-Banner" gibt es noch immer Unsicherheiten. Bislang konnten sich Unternehmen allenfalls an den sehr strengen Auffassungen der deutschen Datenschutzbehörden orientieren, um Rechtssicherheit zu haben. Als erstes Gericht beschäftigte sich nun das Landgericht München I in einem Urteil vom 29. November 2022 (Az. 33 O 14776/19) mit den Vorgaben des „Cookie-Paragrafen" § 25 des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG). In dem Verfahren klagte der Bundesverband der Verbraucherzentralen gegen die Betreiberin der Webseite www.focus.de und bemängelte insbesondere die Gestaltung des dortigen Cookie-Banners.

Komplexität des Cookie-Banners stellt Informiertheit der Einwilligung in Frage

Einen großen Teil der 200 Seiten des Urteils nimmt die Wiedergabe des Cookie-Banners ein, die den Abdruck von über 140 Bildschirmansichten erforderte. Focus.de greift zur Vermarktung von Werbeplätzen auf den bekannten „Transparency and Consent Framework"-Standard (TCF) des Werbebranchenverbandes Interactive Advertising Bureau (IAB) zurück, den verschiedene europäische Aufsichtsbehörden für datenschutzwidrig halten. Das komplizierte System der Echtzeitversteigerung von Werbung bringt es mit sich, dass im Cookie-Banner über 100 potenzielle Adressaten der Nutzerdaten aufgelistet waren. Angesichts der erreichten Komplexität überrascht es nicht, dass das Landgericht Zweifel an der Informiertheit der Einwilligung der Webseitenbesucher äußerte.

Keine freiwillige Einwilligung ohne „Alles ablehnen"-Button

Die Unzulässigkeit des Cookie-Banners von Focus.de stützte das Landgericht jedoch allein auf die fehlende Freiwilligkeit der Einwilligung. Webseitenbesucher hätten keine echte Wahlfreiheit, die Einwilligung zu erteilen oder nicht zu erteilen, weil eine Ablehn-Möglichkeit auf der ersten Gestaltungsebene fehle. Wer in Analyse- und Marketing-Cookies nicht einwilligen wolle, müsse auf den Button „Einstellungen" klicken und könne erst dort optionale Cookies ablehnen. Der damit verbundene Mehraufwand und die farblich hervorgehobene Gestaltung des „Alle akzeptieren"-Buttons auf beiden Ebenen führten dazu, dass die Nutzer sich nicht frei für eine Einwilligung entscheiden würden.

Das erste Urteil zu § 25 TTDSG fällt damit deutlich zugunsten der strengen Lesart der Datenschutzbehörden aus (Lesen Sie dazu auch unseren Beitrag zur Forderung des Hamburger Datenschutzbeauftragten nach einem „Alles ablehnen"-Button). Zudem sprach sich das Landgericht im Urteil dafür aus, dass nur technisch notwendige Cookies unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TTDSG seien und ohne Einwilligung eingesetzt werden könnten. Auch das entspricht der Auffassung der meisten Datenschutzbehörden, Analysetools wie Google Analytics dürften allenfalls nach expliziter Einwilligung der Nutzer eingesetzt werden.

Verstärktes Vorgehen von Aufsichtsbehörden und Verbraucherverbänden zu erwarten

Das Urteil ist zwar noch nicht rechtskräftig, weil die Beklagte Rechtsmittel eingelegt hat. Auch drei Monate nach Verkündung des Urteils verzichtet Focus.de auf einen „Alles ablehnen"-Button auf erster Ebene. Dennoch dürften sich die Verbraucherschutzverbände und Datenschutzbehörden in ihrem Vorgehen gegen solche Cookie-Banner bestärkt sehen.

Weitere Unterstützung erhalten die deutschen Behörden durch ein Papier des Europäischen Datenschutzausschusses (EDSA) vom 17. Januar 2023 („Report of the work undertaken by the Cookie Banner Taskforce"). Danach ist die Mehrheit der europäischen Datenschutzbehörden der Auffassung, dass eine Ablehn-Möglichkeit auf der ersten Ebene notwendig sei. Zudem müsse der Webseitenbetreiber den Besuchern auf jeder Unterseite die Möglichkeit bieten, seine Einwilligung in das Setzen von Cookies zu widerrufen, beispielsweise durch ein mitlaufendes Icon oder einen einfach erreichbaren Link.

Tipp: Cookie-Banner überprüfen und wenn nötig anpassen

Vor dem Hintergrund der Gerichtsentscheidung und des neuen Behördenpapiers sollten Webseitenbetreiber ihre Cookie-Banner überprüfen und abwägen, ob und welche Änderungen sie ergreifen müssen. Auch wenn sich eine gefestigte Rechtsprechung erst noch bilden muss, dürfte der Druck auf Unternehmen durch Datenschutzbehörden, Datenschutzorganisationen und Verbraucherverbände weiter zunehmen.