Wir alle erinnern uns an das Frühjahr 2018, als das Inkrafttreten der DSGVO viele Betreiber kommerzieller Webseiten in Panik versetzte. Die Betreiber dieser Seiten sahen sich zu Recht veranlasst, Datenschutzerklärungen auf ihrer Webseite abrufbar zu machen. Außerdem kennen wir seitdem alle sogenannte Cookie-Banner, die vor Benutzung einer Webseite erscheinen und in den meisten Fällen vom Nutzer weggeklickt werden müssen.
Die vorhergesagte Welle von Abmahnungen, die über diejenigen Seitenbetreiber hereinbrechen sollte, die ihre Verpflichtungen diesbezüglich nicht ernst genug Namen, blieb weitestgehend aus. Auch die Behörden, die für die Durchsetzung dieser Regeln zuständig sind, verhängten bei Zuwiderhandlung bisher kaum Ordnungsgelder, obwohl deren mögliche Höhe von bis zu 20 Mio. € viele Seitenbetreiber das Fürchten lehrte.
In den letzten Wochen und Monaten haben sicher viele Internetnutzer festgestellt, dass eine große Zahl kommerzieller Webseiten ihre Cookie-Banner zwischenzeitlich umgestellt haben. Bei neueren Bannern werden verschiedene Arten von Cookies genannt und für das Wegklicken des Banners ist es erforderlich, dass der Nutzer aktiv eine Auswahl trifft, welche Art von Cookies er bereit ist zu akzeptieren.
Zum Hintergrund
Um zu verstehen, was diese Änderung hervorgerufen hat und warum dies den richtigen Umgang mit der Einwilligung zur Nutzung von Cookies darstellt, bedarf es leider einiger juristischer Ausführungen:
Wie allgemein bekannt ist, handelt es sich bei Cookies um ein in der Regel kleines Datenpaket, welches auf dem Computer des Internet Nutzers in der Regel für einen gewissen Zeitraum gespeichert wird, wenn er Webseiten aufruft und verwendet. Einige dieser Cookies sind technisch notwendig, um die Funktionsweise der Webseite sicherzustellen. Andere ermöglichen die Analyse des Nutzungsverhaltens des Seitenbesuchers und werden zum Teil sogar an die Betreiber anderer Webseiten (prominenteste Beispiele sind Social Media Plattformen wie Facebook, Twitter und Instagram) weitergegeben.
Behörden und Gerichte haben den Text der bestehenden Regelungen zuletzt dahingehend ausgelegt, dass zwischen diesen verschiedenen Arten von Cookies zu differenzieren ist. Vereinfacht gesagt braucht der Nutzer der Verwendung technisch notwendiger Cookies noch nicht einmal zustimmen, er muss darüber nur zum Beispiel im Rahmen der Datenschutzerklärung informiert werden. Bezüglich anderer Cookies und insbesondere bezüglich der Weitergabe personenbezogener Daten an Drittanbieter wird vom Text der DSGVO eine „informierte Zustimmung“ des Nutzers gefordert.
Darunter verstehen maßgeblichen Richtlinien sehr konkret nur eine „Willensbekundungen, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“ (Europ. Richtline 95/46 Art. 2 h.).
Mit dieser Begründung erteilte der europäische Gerichtshof Ende 2019 alten Cookie-Bannern, die in der Regel nur den Inhalt hatten „hiermit erkläre ich, dass ich mit der Nutzung und Verarbeitung personenbezogener Daten durch diese Webseite einverstanden bin.“ eine Absage.
Noch konkreter führte das Gericht aus, dass eine wirksame Einwilligung des Nutzers nicht vorliege, „wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Webseite gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, dass der Nutzer zur Verweigerung seiner Einwilligung abwählen muss“ (Große Kammer des europäischen Gerichtshofs EuGH, Entscheidung vom 01.10.2019, Az.: C-673/17).
Neue Anforderungen an Cookie-Banner
Das bedeutet dass eine rechtskonforme Einwilligung des Nutzers nur so aussehen kann, dass das Banner die Kategorien der auf der Webseite verwendeten Cookies darstellt und dem Nutzer die Auswahl darüber lässt, welche Cookies er akzeptieren möchte und welche nicht. Die Auswahl aller Cookies darf nicht in der Weise voreingestellt sein, dass der Nutzer mit einem Klick darüber wegklicken kann und soll.
Einen weiteren Punkt hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in einer über Google leicht auffindbaren „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien“ herausgestellt: Die Webseite darf Cookies der verschiedenen Arten auch wirklich erst dann setzen, wenn der Nutzer dem zugestimmt hat.
Auch dieser Anforderung wird die die heutige Praxis häufig nicht gerecht. Viele Webseitenbetreiber blenden nämlich zwar ein Cookie-Banner ein, setzen aber unabhängig von dem Umgang des Nutzers mit diesem Banner bereits entsprechende Cookies. Häufig ist die Nutzung einer Webseite sogar dann uneingeschränkt möglich, wenn der Nutzer das Banner schlicht ignoriert und die Webseite weiterbenutzt, ohne sein Einverständnis zu geben.
Auch jetzt ist weder eine große Abmahnwelle, noch die massenweise Verhängung hoher Bußgelder kurzfristig zu erwarten. Im Einzelfall kann aber natürlich nicht ausgeschlossen werden, dass gerade Ihre Webseite von Verbraucherschützern oder Wettbewerbern zum Ziel von Maßnahmen wird. Wir empfehlen daher, dass Sie – falls noch nicht geschehen – ohne in Panik zu verfallen, aber doch bei nächster Gelegenheit die Anpassung Ihrer Webseite veranlassen.
Was Sie tun sollten, um Cookies rechtssicher verwenden zu können:
Die Anpassung Ihres Cookie-Banners veranlassen
auf Differenzierung zwischen verschiedenen Arten von Cookies achten
keine Voreinstellung der Häkchen aller Kategorien
Sicherstellen, dass Cookies erst dann und nur in dem Umfang gesetzt werden, in dem der Nutzer zugestimmt hat
Sicherstellen, dass der Nutzer auch einer evtl. Weitergabe von Daten an Dritte vorher zustimmt
Datenschutzerklärung überprüfen (lassen)
Wir stehen Ihnen bei Fragen zum Thema Datenschutz im Internet oder für einen kompletten Check Ihrer Webseite zum Festpreis gerne zur Verfügung.
