Cookie-Banner-Alternativen müssen gleichwertig sein

Die Verbraucherzentrale Nordrhein-Westfalen e.V. klagte bis vor das OLG Köln gegen einen Anbieter von Dienstleistungen zum Wetter. Der hatte auf seiner Webseite die folgende Cookie-Banner-Gestaltung vorgesehen:

Aus Sicht der Verbraucherschützer genügte die Gestaltung nicht den gesetzlichen Anforderungen, um eine wirksame Einwilligung der Seitenbesucher einzuholen. Dabei ging es um Datenverarbeitungen zur Anzeige interessenbasierter Inhalte, insbesondere auch personalisierter Anzeigen, Standortdaten und die Abfrage von Daten auf den Geräten der Besucher:

Der Wetter-Dienst gab keine Unterlassungserklärung ab, änderte aber im weiterer Verlauf der Streitigkeiten die Gestaltung.

Schon das Landgericht Köln gab in I. Instanz dem Verbraucherschutzverband dem Grunde nach Recht. Es bestehe zwar ein Unterlassungsanspruch, der könne aber nicht in der mit dem Klageantrag geltend gemachten zu weiten Fassung zugesprochen werden, da darin eine Verpflichtung zu einer bestimmten Form der Bannergestaltung enthalten sei. Eine bestimmte Form ergebe sich aber nicht aus der DSGVO oder den dortigen Erwägungsgründen.

Anforderungen von § 25 TTDSG nicht erfüllt

Allerdings stellten die Kölner Richter schon damals fest, dass die Einwilligungserteilung nicht als „freiwillig“ und hinreichend aufgeklärt im Sinne der DSGVO bewertet werden könne, da der Nutzer durch die Gestaltung der Cookie-Banner gezielt in Richtung einer Einwilligung gelenkt werde (LG Köln, Urt. v. 04.05.2023, Az. 33 O 311/22).

§ 25 TTDSG regelt die „Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind“.

§ 25 TTDSG
(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.
(2) Die Einwilligung nach Abs. 1 ist nicht erforderlich, 1. wenn…

Technologie egal

Zwar ist nicht von „Cookies“ die Rede. Die Regelung umfasst aber alle möglichen Techniken, mit denen Informationsspeicherungen oder der Zugriff auf bereits gespeicherte Informationen erfolgen können. Damit sind auch die kleinen Textdateien umfasst, die landläufig „Cookies“ genannt werden, aber auch das sog. Browser-Fingerprinting oder Verwertung von Pixeln.

Der Europäische Gerichtshof hatte bereits 2019 auf Klage des vzbv entschieden (EuGH Urt. v. 01.10.2019, C 673/17 Planet49), dass eine Einwilligung in das Nutzen von Cookies auch bei der Verarbeitung von nicht personenbezogenen Daten notwendig ist. Mit dem am 01.12.2021 in Kraft getretenen neuen Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) wurden die Erfordernisse in Gesetzesform gegossen.

Einwilligung nach DSGVO

Dabei verweist das Gesetz auf die Einwilligungserfordernisse der DSGVO, die in Art. 4 eine Einwilligung wie folgt definiert:

„Einwilligung“ der betroffenen Person [ist] jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;.

Einwilligung nicht freiwillig und informiert

Das OLG Köln (OLG Köln, Urt. v. 19.01.2024, Az. 6 U 80/23) folgte der Einschätzung der I. Instanz darin, dass weder auf der I. noch auf der II. Ebene des Cookie-Banners dem Verbraucher eine gleichwertige, auf einer klaren und umfassenden Information beruhende Ablehnungsoption geboten wurde. Damit wurde der Verbraucher zur Abgabe der Einwilligung hingelenkt und von einer Ablehnung abgehalten. Daher, so die Richter des OLG, sei die erteilte Einwilligung nicht als freiwillig und hinreichend aufgeklärt anzusehen.

„Die erste Ebene enthält überhaupt keine Ablehnungsoption für den Verbraucher. Vielmehr kann dieser durch den Button „Einstellungen“ lediglich auf die zweite Ebene gelangen. Hier hat der Verbraucher dann die Auswahl zwischen dem Button „Alles Akzeptieren“ und dem Button „Speichern“. Wie vom Landgericht zutreffend ausgeführt, erschließt sich dem Durchschnittsnutzer aber bereits nicht, welche Funktion sich konkret hinter dem jeweiligen Button verbirgt bzw. mit welchem Button er nunmehr tatsächlich die Ablehnung der Cookies erreichen kann…
...
Das „X“-Symbol ist Nutzern bekannt als Möglichkeit, um ein Fenster zu schließen, nicht aber, um in die Verwendung von Cookies und anderen Technologien durch den Websitebetreiber einzuwilligen. Dass hiermit eine Einwilligung erklärt wird, wird dem durchschnittlichen Nutzer nicht bewusst sein. Zwar steht unmittelbar neben dem „X“- Symbol „Akzeptieren & Schließen“. Die Verknüpfung dieser beiden Funktionen ist aber irreführend und intransparent für die Nutzer. Auch wird für die Nutzer nicht ohne weiteres erkennbar, dass es sich bei „Akzeptieren & Schließen“ und dem „X“-Symbol um ein und denselben Button handelt. Vor diesem Hintergrund kann die Einwilligung mithilfe des „X“-Symbols weder als unmissverständlich oder eindeutig bestätigend, noch als freiwillig im Sinne von § 25 Abs. 1 TTDSG, Art 4 Nr. 11 DSGVO bewertet werden.“

Das Gericht gab sogar der Berufung statt und sah die zuletzt gestellten Anträge als hinreichend bestimmt an.

Fazit

Natürlich hatte es keine Relevanz, dass die Beklagte ihre Gestaltung geändert hatte. Die Wiederholungsgefahr für einen begangenen Verstoß konnte außergerichtlich nur durch Unterlassungserklärung beseitigt werden. Auch die Abmahnkosten hatte bereits die I. Instanz zugesprochen, da die Abmahnung grundsätzlich berechtigt gewesen sei.

In der Sache wird die Luft für alle Seitenbetreiber damit mehr als dünn, die keine gleichwertigen Alternativen für eine Ablehnung der erbetenen Einwilligung vorsehen. Das ist noch ganz vielfach der Fall. Die Urteile zeigen aber, dass man hier Abmahnungen und Klagen riskiert, wenn auch der Streitwert mit 5.000 Euro moderat ausfiel. Generell stehen allerdings auch Bußgelder im Raum (§ 28 Abs. 1 Nr. 13), die bis zu 300.000 Euro betragen können.