Cookie Banner

Worum geht's?

Fast jede Webseite benötigt ein Consent Tool. Leider gibt es bei der Gestaltung der Consent Banner zahlreiche rechtliche Fallstricke, die Sie kennen sollten. Die Verbraucherzentrale hat in diesem Zusammenhang ca. 1.000 Webseiten zu der Frage untersucht, ob ein Consent Banner vorhanden und korrekt eingebunden ist. Bei 100 Webseiten war das nach Auffassung der Verbraucherzentrale nicht der Fall, diese wurden abgemahnt. Wir erklären Ihnen, was Sie wissen müssen, um Abmahnungen wegen fehlerhafter Consent Banner zu vermeiden.

Zurück zur Übersicht: "Cookies, Tracking & Datenschutz"

1. Cookie Banner: Was ist das?

Cookies werden zur Verarbeitung personenbezogener Daten eingesetzt. Cookies sind kleine Textdateien, die auf dem Gerät des Internetnutzers gespeichert werden. Im Rahmen der Cookie-Richtlinie, auch ePrivacy Richtlinie oder Verordnung genannt, wird geregelt, auf welche Weise Cookies von Unternehmen genutzt werden dürfen.

Da bei der Nutzung von Cookies personenbezogene Daten verarbeitet werden, schreibt die Datenschutz-Grundverordnung (DSGVO) vor, dass Webseitenbetreiber zum Setzen der Cookies eine Nutzereinwilligung vom User eingeholt werden muss.

Diese Nutzereinwilligung kann in Form eines Cookie Banners - auch Cookie Hinweis genannt – realisiert werden. Für technisch notwendige Cookies brauchen Sie keinen Cookie Banner. Bei technisch nicht notwendigen Cookies wie Marketing Cookies ist der Cookie Banner unabdingbar und muss DSGVO-konform sein.

Für technisch notwendige Cookies genügt eine Information über die Verwendung und Funktionsweise in der Datenschutzerklärung. Einen Cookie Banner können Sie trotzdem setzen, müssen Sie aber nicht. Oft sind die Übergänge zwischen technisch notwendig und technisch nicht notwendig allerdings fließend. Wollen Sie auf Nummer Sicher gehen, sollten Sie einen Cookie Banner mit entsprechendem Cookie-Banner-Text auf Ihrer Website setzen.

2. Wann ist der Cookie Banner Pflicht?

Wie bereits erwähnt, müssen Sie einen Cookie Banner auf Ihrer Website einfügen, sobald Sie technisch nicht notwendige Cookies (z. B. Werbe-Cookies oder Tracking Cookies) setzen. Um Nutzereinwilligung einzuholen können Sie auch sogenannte Cookie Consent Tools nutzen. Mehr dazu lesen Sie in unserem Artikel zum Thema „Die 6 gängigsten Cookie Consent Tools“.

3. Was muss in den Cookie Banner?

Wichtig ist, dass im Cookie Banner sowohl ein Hinweistext als auch Buttons und Links integriert sind. Ein einfacher Banner ohne Funktion reicht nicht aus. Im Hinweistext sollten Informationen über die Funktionsweise der Cookies erläutert werden. Außerdem sollten Sie aufgreifen was passiert, wenn der Nutzer die verschiedenen Buttons klickt.

Folgende Buttons dürfen im Cookie Banner nicht fehlen:

• Akzeptieren (von sämtlichen Cookies, auch nicht notwendigen)

• Ablehnen (es werden nur notwendige Cookies gesetzt)

• Einstellungen (hier kann der Nutzer selbst auswählen, welche Cookies gesetzt werden dürfen)

Zudem dürfen auf dem Cookie Banner Links zum Impressum und zur Datenschutzerklärung nicht fehlen.

4. Abmahnungen von Seitenbetreibern wegen Consent Tools: Was ist passiert?

Der Bundesverband Verbraucherzentralen hat in den Abmahnungen zahlreiche Punkte bemängelt, die den gesetzlichen Anforderungen im Inhalt, aber auch in der Gestaltung der verwendeten Consent Banner nicht entsprechen. Im Einzelnen betraf das folgende Punkte:

Banner überdeckt die Pflichtangaben

Wenn Sie als Seitenbetreiber einen Banner einbinden, müssen Sie darauf achten, dass der Banner keine Pflichtangaben auf der Seite überdeckt. Viele Seitenbetreiber binden die Banner unten auf der Webseite ein. Dort sind aber meistens auch das Impressum und die Datenschutzerklärung eingebunden.

Das Impressum muss allerdings nach § 5 Telemediengesetz (TMG) stets unmittelbar erreichbar und ständig verfügbar auf der Webseite sein. Wenn der Cookie Banner aber über dem Impressum liegt, werden diese gesetzlichen Bedingungen nicht erfüllt.

Das Gleiche gilt für die Datenschutzbestimmungen. Nach § 13 Absatz 1 Satz 1 TMG muss der User zu Beginn der Nutzung über Art, Umfang und Zwecke der Datenerhebung und -verwendung auf der Webseite informiert werden. Die Datenschutzerklärung auf der Webseite muss mit einem Klick erreichbar sein. Wenn der Cookie Banner die Datenschutzerklärung aber verdeckt, wird der Nutzer nicht ordentlich belehrt.

Einwilligung durch "einfach weiter Surfen"

In diesen Fällen handelt es sich gar nicht um echte Consent Tools, sondern lediglich um Cookie Banner ohne Funktion. Diese sind nicht DSGVO konform, da der Nutzer nicht einwilligen kann. Diese Banner haben keine technische Funktion, unterbinden das Nutzertracking nicht und sind nicht rechtskonform.

Nutzen Sie echte Consent Tools, keine Cookie Banner ohne Funktion. Die Consent-Lösung von Usercentrics, die über 1000 Tools abdeckt, ist mit einer Sessionzahl von 20.000/ Monat und Domain bei eRecht24 Premium inklusive.

Sören SiebertRechtsanwalt

Kein gleichwertiger Ablehnen-Button vorhanden

Der Nutzer muss aktiv "ja" sagen. Er muss aber auch "nein" sagen können. Wenn es keinen "Ablehnen"-Button neben den "Zustimmen"-Button gibt, ist dies nicht möglich. Das heißt, es muss einen "Ablehnen"-Button geben, der nicht in einem Untermenü oder einer tieferen Ebene versteckt ist. Alternativ kann der Button auch folgende Beschriftungen haben:

• “Alles akzeptieren” und “Ablehnen”
• „Zustimmen“ und „Nur essenzielle/ (technisch) notwendige Cookies zulassen“
• “Alles akzeptieren” und “Nur essenzielle/ (technisch) notwendige Cookies zulassen”

Achtung: Die Beschriftung mit "Anpassen" ist nicht ausreichend, weil er nicht gleichwertig gegenüber dem "Zustimmen"-Button ist: Nutzer müssen die Einstellungen dann für jede Datenverarbeitung einzeln verweigern. Hierzu gibt es bereits Stellungnahmen von Datenschutzbehörden, die diese Auffassung bestätigen, z.B. vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI). 

Wie wichtig es ist diese Regel einzuhalten, zeigt auch die neueste Entscheidung der französischen Datenschutzbehörde (CNIL). Im Dezember 2022 verhängte die CNIL eine Strafe von 60 Millionen Euro gegen den Internetriesen Microsoft wegen Unregelmäßigkeiten des Cookie Banners auf bing.com. Denn: Die beiden Optionen des Cookie Consent Banners “Annehmen“ und “Ablehnen” befanden sich beim Bing Cookie Consent Banner nicht auf der gleichen Ebene – Cookies konnten also nicht genauso einfach abgelehnt wie angenommen werden - und zustimmungspflichtige Cookies wurden ohne Zustimmung des Endnutzers gesetzt.

Bereits vorangewählte Checkboxen bei Auswahlmöglichkeiten

Bemängelt wurde auch, dass einzelne Tools und Funktionen bereits per Checkbox im Cookie Banner aktiviert waren, ohne dass der Nutzer diese Auswahl getroffen hat.

Hervorheben des "Zustimmen"-Buttons

Ein weiterer Streitpunkt ist die "Hervorhebung" des "Zustimmen"-Buttons, um den Nutzer zu einer Zustimmung zu motivieren. Leider ist momentan aber nicht geklärt, was genau "hervorheben" bedeutet. Den "Zustimmen"-Button in hellgrün und den "Ablehnen"-Button in Grau zu gestalten, dürfte kritisch sein. Ob man aber zum Beispiel auch zwei Blautöne oder zwei Grautöne im Cookie Banner verwenden kann, ist nicht geklärt.

5. So vermeiden Sie irreführendes "Nudging"

Nudging bedeutet, dass der Nutzer in eine bestimmte Richtung gedrängt wird. Der Nutzer wird (etwa wenn der "Zustimmen"-Button farblich hervorgehoben wird) dazu verleitet, die Einwilligung zu erteilen. Das ist nach Auffassung der Datenschutzbehörden und der Wettbewerbszentrale aber nicht erlaubt. Das Gleiche gilt auch für Texte auf dem Banner, die den Nutzer dazu verleiten sollen, auf "Zustimmen" zu klicken.

Dadurch sinken im Einzelfall natürlich die Conversions (also die Zahl der Zustimmungen). Wenn Sie alle rechtlichen Risiken ausschließen wollen, sollten die Button "Ablehnen" und "Zustimmen" farblich identisch gestaltet werden.

So setzen Sie diese Vorgaben bei den verschiedenen Tools um:

Borlabs Cookie

Borlabs Cookie gibt zu dieser Frage einen Hinweis aus "Buttons mit unterschiedlichen Farben können gegen geltende Gesetze verstoßen. Bitte informiere dich vorab über die für dich geltende Rechtslage."
Als Nutzer können Sie selbst über die Plugin-Konfiguration jedes Element auch die Buttons individuell einfärben.

Consent Management Provider

Die Lösung von consentmanager liefert die Buttons generell in identischer Farbe aus.

Usercentrics

In der kostenlosen eRecht24 Premium Version bietet Usercentrics 3 Farbvarianten an. Sie haben die Möglichkeit, in allen 3 Farbvarianten die Option "gleiche Buttonfarbe" auszuwählen.

6. Neuestes Urteil zu Cookie Banner Anforderungen

Das neueste Urteil zum Thema Cookie Banner des LG München I bestätigt die von den Datenschutzbehörden vorgegebenen Anforderungen an ein datenschutzkonformes Cookie Consent Banner. Worum es genau ging und worauf Sie für Ihr eigenes Consent Tool nun besonders achten sollten, erklären wir Ihnen hier.

Focus Cookie Banner

Am 29.11.2022 entschied das LG München I, dass das vom bekannten deutschen Wochenmagazin Focus eingesetzte Cookie Banner auf focus.de rechtswidrig ist. Focus benutzt ein Cookie Banner, das auf zwei Ebenen gestaltet ist. Auf der ersten gibt es unter dem Info-Text des Banners zwei Auswahlfelder. “Einstellungen oder ablehnen” und “Akzeptieren”. Klickt man auf die Einstellungen erscheinen unter den Details zum Datenschutz wieder zwei Felder mit “Auswahl speichern” und “Alle akzeptieren”. Die dritte Option “alle ablehnen” ist dabei nicht als Button, sondern relativ unauffällig als Schriftzug am oberen rechten Rand des Banners platziert.

Das LG München I kam zu dem Schluss, dass durch diese Gestaltung des Cookie Banners eine bewusste Manipulation des Nutzungsverhaltens des Website-Besuchers erfolgt.

Wieso? Weil der Nutzer für das (teilweise) Ablehnen der Cookies einen viel höheren Aufwand betreiben muss, als mit einem Klick die Cookies anzunehmen.

Die Begründung des Gerichts: Die Einwilligung des Nutzers in die Verwendung von Cookies muss freiwillig geschehen. Dadurch, dass ein Besucher von focus.de aber nicht ohne weitere Interaktion auf der ersten Ebene des Cookie Banners die Website ohne Cookies nutzen kann, spricht das nach Ansicht des Landgerichts gegen eine freiwillige Einwilligung. Cookies dürfen aber nur dann gesetzt werden, wenn eine freiwillige Einwilligung des Nutzers eingeholt wurde. Das Urteil des LG Müchen I ist nicht rechtskräftig, es wurde bereits angefochten. 

Was heißt das für die Gestaltung von Cookie Bannern?

Mit dieser Entscheidung bestätigt das LG München I die Forderungen der Datenschutzbehörden, dass “Ablehnen” genau so einfach sein muss wie “Annehmen”.

Es ist wahrscheinlich, dass nach dieser Entscheidung vermehrt Website-Betreiber abgemahnt werden könnten, die ihr Cookie Banner ohne Ablehnmöglichkeit auf der ersten Ebene gestaltet haben.

7. Das sagt der Europäische Datenschutzausschuss zu der Gestaltung von Cookie Bannern

Weil beim Thema Cookie Banner auch EU weit keine einheitliche Regelung besteht, hat der Europäische Datenschutzausschuss (EDSA) mit seiner “Cookie Banner Taskforce” einen Leitfaden erstellt. In seinem Berichtsentwurf bestätigt die EDSA, welche Einstellungen des Cookie Banners irreführend sind:

1. Fehlender Ablehnbutton auf der ersten Ebene des Cookie Banners
2. Vorangekreuzte Kästchen auf dem Banner, sodass der Nutzer nicht aktiv zustimmen kann
3. “Nudging” durch farblich oder durch Kontrast hervorgehobene “Akzeptieren” Schaltfläche
4. Komplizierte Links zur Ablehnung der Cookies, statt einer “Ablehnen” Schaltfläche
5. Fehlender Widerrufs-Button - Keine Schlatfläche vorhanden, um die Cookie Einwilligung zu widerrufen

Sind Sie noch auf der Suche nach dem richtigen Tool? Dann lesen Sie in diesem Beitrag, wie Sie Cookie Consent Tools rechtssicher konfigurieren können.

8. Welches ist das richtige Consent Tool für mich?

Welches Consent Tools für Sie das richtige ist können Sie anhand folgender Kriterien herausfinden:

• Ist das Consent Tool für Ihre CMS (etwa wordpress) geeignet?
• Wieviele Seitenaufrufe benötigen Sie?
• Wie komplex sind die Einbindung und das Setup der Tools?
• Setzt das Consent Tool alle rechtlichen Vorgaben der DSGVO korrekt um?
• Wieviel Geld wollen Sie für eine solche Lösung zahlen?

Die Consent-Lösung von Usercentrics, die über 1000 Tools abdeckt, ist mit einer Sessionzahl von 20.000/ Monat und Domain bei eRecht24 Premium inklusive.

Sören SiebertRechtsanwalt

Mehr rechtliche Hintergründe:
Nutzereinwilligung und Consent Tools 
https://www.e-recht24.de/tracking-cookies/8451-hinweispflicht-fuer-cookies.html

Eine Übersicht und Anleitung zum Einbinden der 6 gängigsten Cookie Consent Tools
https://www.e-recht24.de/tracking-cookies/12495-cookie-consent-tools.html

• Zurück zur Übersicht: "Cookies, Tracking & Datenschutz"
• Nutzereinwilligung über Cookie Hinweis
• Nutzereinwilligung über Cookie Consent Tools