Worum geht's?
Fast jede Webseite benötigt ein Consent Tool. Leider gibt es bei der Gestaltung der Consent Banner zahlreiche rechtliche Fallstricke, die Sie kennen sollten. Die Verbraucherzentrale hat in diesem Zusammenhang ca. 1.000 Webseiten zu der Frage untersucht, ob ein Consent Banner vorhanden und korrekt eingebunden ist. Bei 100 Webseiten war das nach Auffassung der Verbraucherzentrale nicht der Fall, diese wurden abgemahnt. Wir erklären Ihnen, was Sie wissen müssen, um Abmahnungen wegen fehlerhafter Consent Banner zu vermeiden.
1. Cookie Banner: Was ist das?
Cookies werden zur Verarbeitung personenbezogener Daten eingesetzt. Cookies sind kleine Textdateien, die auf dem Gerät des Internetnutzers gespeichert werden. Im Rahmen der Cookie-Richtlinie, auch ePrivacy Richtlinie genannt, wird geregelt, auf welche Weise Cookies von Unternehmen genutzt werden dürfen.
Da bei der Nutzung von Cookies personenbezogene Daten verarbeitet werden, schreibt die Datenschutz-Grundverordnung (DSGVO) vor, dass Webseitenbetreiber zum Setzen der Cookies eine Nutzereinwilligung vom User eingeholt werden muss.
Diese Nutzereinwilligung kann in Form eines Cookie Banners - auch Cookie Hinweis genannt – realisiert werden. Für technisch notwendige Cookies brauchen Sie keinen Cookie Banner. Bei technisch nicht notwendigen Cookies wie Marketing Cookies ist der Cookie Banner unabdingbar und muss DSGVO-konform sein.
Für technisch notwendige Cookies genügt eine Information über die Verwendung und Funktionsweise in der Datenschutzerklärung. Einen Cookie Banner können Sie trotzdem setzen, müssen Sie aber nicht. Oft sind die Übergänge zwischen technisch notwendig und technisch nicht notwendig allerdings fließend. Wollen Sie auf Nummer Sicher gehen, sollten Sie einen Cookie Banner mit entsprechendem Cookie-Banner-Text auf Ihrer Website setzen.
2. Wann ist der Cookie Banner Pflicht?
Wie bereits erwähnt, müssen Sie einen Cookie Banner auf Ihrer Website einfügen, sobald Sie technisch nicht notwendige Cookies (z. B. Werbe-Cookies oder Tracking Cookies) setzen. Um Nutzereinwilligung einzuholen können Sie auch sogenannte Cookie Consent Tools nutzen. Mehr dazu lesen Sie in unserem Artikel zum Thema „Die 6 gängigsten Cookie Consent Tools“.
Für funktionale und technisch notwendige Cookies benötigen Sie keinen Cookie Banner. Hierbei werden keine personenbezogenen Daten erhoben. Damit sind Einwilligungen nicht nötig und aus rechtlicher Sicht muss kein Cookie Banner gesetzt werden. Das gleiche gilt auch für den unwahrscheinlichen Fall, dass Sie gar keine Cookies setzen.
3. Was muss in den Cookie Banner?
Wichtig ist, dass im Cookie Banner sowohl ein Hinweistext als auch Buttons und Links integriert sind. Ein einfacher Banner ohne Funktion reicht nicht aus. Im Hinweistext sollten Informationen über die Funktionsweise der Cookies erläutert werden. Außerdem sollten Sie aufgreifen was passiert, wenn der Nutzer die verschiedenen Buttons klickt.
Folgende Buttons dürfen im Cookie Banner nicht fehlen:
-
Akzeptieren (von sämtlichen Cookies, auch nicht notwendigen)
-
Ablehnen (es werden nur notwendige Cookies gesetzt)
-
Einstellungen (hier kann der Nutzer selbst auswählen, welche Cookies gesetzt werden dürfen)
Zudem dürfen auf dem Cookie Banner Links zum Impressum und zur Datenschutzerklärung nicht fehlen.
4. Abmahnungen von Seitenbetreibern wegen Consent Tools: Was ist passiert?
Der Bundesverband Verbraucherzentralen hat in den Abmahnungen zahlreiche Punkte bemängelt, die den gesetzlichen Anforderungen im Inhalt, aber auch in der Gestaltung der verwendeten Consent Banner nicht entsprechen. Im Einzelnen betraf das folgende Punkte:
Banner überdeckt die Pflichtangaben
Wenn Sie als Seitenbetreiber einen Banner einbinden, müssen Sie darauf achten, dass der Banner keine Pflichtangaben auf der Seite überdeckt. Viele Seitenbetreiber binden die Banner unten auf der Webseite ein. Dort sind aber meistens auch das Impressum und die Datenschutzerklärung eingebunden.
Das Impressum muss allerdings nach § 5 Digitale-Dienste-Gesetz (kurz: DDG (ehemals TMG)) stets unmittelbar erreichbar und ständig verfügbar auf der Webseite sein. Wenn der Cookie Banner aber über dem Impressum liegt, werden diese gesetzlichen Bedingungen nicht erfüllt.
Das Gleiche gilt für die Datenschutzbestimmungen. Der User muss zu Beginn der Nutzung über Art, Umfang und Zwecke der Datenerhebung und -verwendung auf der Webseite informiert werden. Die Datenschutzerklärung auf der Webseite muss mit einem Klick erreichbar sein. Wenn der Cookie Banner die Datenschutzerklärung aber verdeckt, wird der Nutzer nicht ordentlich belehrt.
Einwilligung durch "einfach weiter Surfen"
In diesen Fällen handelt es sich gar nicht um echte Consent Tools, sondern lediglich um Cookie Banner ohne Funktion. Diese sind nicht DSGVO konform, da der Nutzer nicht einwilligen kann. Diese Banner haben keine technische Funktion, unterbinden das Nutzertracking nicht und sind nicht rechtskonform.
Nutzen Sie echte Consent Tools, keine Cookie Banner ohne Funktion. Die Consent-Lösung von Usercentrics, die über 1000 Tools abdeckt, ist bei eRecht24 Premium inklusive.
Kein gleichwertiger Ablehnen-Button vorhanden
Der Nutzer muss aktiv "ja" sagen. Er muss aber auch "nein" sagen können. Wenn es keinen "Ablehnen"-Button neben den "Zustimmen"-Button gibt, ist dies nicht möglich. Das heißt, es muss einen "Ablehnen"-Button geben, der nicht in einem Untermenü oder einer tieferen Ebene versteckt ist. Alternativ kann der Button auch folgende Beschriftungen haben:
- “Alles akzeptieren” und “Ablehnen”
- „Zustimmen“ und „Nur essenzielle/ (technisch) notwendige Cookies zulassen“
- “Alles akzeptieren” und “Nur essenzielle/ (technisch) notwendige Cookies zulassen”
Achtung: Die Beschriftung mit "Anpassen" ist nicht ausreichend, weil er nicht gleichwertig gegenüber dem "Zustimmen"-Button ist: Nutzer müssen die Einstellungen dann für jede Datenverarbeitung einzeln verweigern.
PRAXIS-TIPP
Nutzen Sie ein Tool, das einen "Ablehnen" und einen "Zustimmen"- Button im Cookie Banner anzeigt. Ein zusätzlicher dritter Button "Einstellungen" oder ähnliches ist auch erlaubt.
Wie wichtig es ist diese Regel einzuhalten, zeigt auch die neueste Entscheidung der französischen Datenschutzbehörde (CNIL). Im Dezember 2022 verhängte die CNIL eine Strafe von 60 Millionen Euro gegen den Internetriesen Microsoft wegen Unregelmäßigkeiten des Cookie Banners auf bing.com. Denn: Die beiden Optionen des Cookie Consent Banners “Annehmen“ und “Ablehnen” befanden sich beim Bing Cookie Consent Banner nicht auf der gleichen Ebene – Cookies konnten also nicht genauso einfach abgelehnt wie angenommen werden - und zustimmungspflichtige Cookies wurden ohne Zustimmung des Endnutzers gesetzt.
ACHTUNG
Am Beispiel Microsoft Bing wird deutlich: Halten Sie sich nicht an die rechtlichen Vorgaben zum Cookie Banner oder setzen es falsch um, kann dies teure Konsequenzen haben – selbst globale Marktführer wie Microsoft werden hier zur Rechenschaft gezogen.
Bereits vorangewählte Checkboxen bei Auswahlmöglichkeiten
Bemängelt wurde auch, dass einzelne Tools und Funktionen bereits per Checkbox im Cookie Banner aktiviert waren, ohne dass der Nutzer diese Auswahl getroffen hat.
PRAXIS-TIPP
Wenn Sie Checkboxen zu einzelnen Tools oder Cookies anbieten, muss der Nutzer die Möglichkeit haben, diese vorher aktiv anwählen zu können. Die Checkboxen dürfen vorher nicht automatisch vorausgewählt sein.
Hervorheben des "Zustimmen"-Buttons
Ein weiterer Streitpunkt ist die "Hervorhebung" des "Zustimmen"-Buttons, um den Nutzer zu einer Zustimmung zu motivieren. Grundsätzlich gilt, dass die Wahlmöglichkeit zwischen Akzeptieren und Ablehnen klar erkennbar sein muss.
Aber: Eine unterschiedliche Farbwahl für die Buttons führt nicht automatisch zu einer verstärkten Lenkungswirkung. Das heißt, dass prinzipiell unterschiedliche Farben für Akzeptieren und Ablehnen Button gewählt werden dürfen. Ist aber zum Beispiel die Ablehn-Schaltfläche kaum oder nicht erkennbar, dann kann das als unzulässige Nutzerbeeinflussung gesehen werden.
Wir haben Ihnen einige Beispiele zusammengestellt, die als unzulässige Nutzerbeeinflussung eingestuft werden können:
- nicht mehr oder schlecht lesbare Schrift aufgrund greller Farben, geringer Kontraste oder unlesbarer Schrift aufgrund eines besonderen Farbtons,
- extrem unterschiedliche Farbwahl, sodass ein durchschnittlicher Webseiten User zu stark in eine Richtung gedrängt bzw. "genudget" wird,
- schlecht bis nicht mehr lesbare Schriftgrößen oder -arten,
- Ablehnbutton als solcher aufgrund der Farbwahl nicht mehr als Schaltfläche erkennbar.
5. So vermeiden Sie irreführendes "Nudging"
Nudging bedeutet, dass der Nutzer in eine bestimmte Richtung gedrängt wird. Der Nutzer wird beim Nudging dazu verleitet, die Einwilligung zu erteilen. Das ist nach Auffassung der Datenschutzbehörden und der Wettbewerbszentrale aber problematisch. Das Gleiche gilt auch für Texte auf dem Banner, die den Nutzer dazu verleiten sollen, auf "Zustimmen" zu klicken.
Dadurch sinken im Einzelfall natürlich die Conversions (also die Zahl der Zustimmungen).
Letztendlich wird immer anhand des Einzelfalls entschieden werden müssen, ob eine unterschiedliche Farbwahl den Nutzer irreführt. Der Ablehnen-Button sollte als Mindestanforderung für die Verwendung verschiedener Farben klar als solcher erkennbar sein.
Wenn Sie alle rechtlichen Risiken ausschließen wollen, sollten die Button "Ablehnen" und "Zustimmen" farblich identisch gestaltet werden.
So setzen Sie diese Vorgaben bei den verschiedenen Tools um:
Borlabs Cookie
Borlabs Cookie gibt zu dieser Frage einen Hinweis aus "Buttons mit unterschiedlichen Farben können gegen geltende Gesetze verstoßen. Bitte informiere dich vorab über die für dich geltende Rechtslage."
Als Nutzer können Sie selbst über die Plugin-Konfiguration jedes Element auch die Buttons individuell einfärben.
Consent Management Provider
Die Lösung von consentmanager liefert die Buttons generell in identischer Farbe aus.
Usercentrics
In der kostenlosen eRecht24 Premium Version bietet Usercentrics 3 Farbvarianten an. Sie haben die Möglichkeit, in allen 3 Farbvarianten die Option "gleiche Buttonfarbe" auszuwählen.
6. Neuestes Urteil zu Cookie Banner Anforderungen
Das neueste Urteil zum Thema Cookie Banner des LG München I bestätigt die von den Datenschutzbehörden vorgegebenen Anforderungen an ein datenschutzkonformes Cookie Consent Banner. Worum es genau ging und worauf Sie für Ihr eigenes Consent Tool nun besonders achten sollten, erklären wir Ihnen hier.
Focus Cookie Banner
Am 29.11.2022 entschied das LG München I, dass das vom bekannten deutschen Wochenmagazin Focus eingesetzte Cookie Banner auf focus.de rechtswidrig ist. Focus benutzt ein Cookie Banner, das auf zwei Ebenen gestaltet ist. Auf der ersten gibt es unter dem Info-Text des Banners zwei Auswahlfelder. “Einstellungen oder ablehnen” und “Akzeptieren”. Klickt man auf die Einstellungen erscheinen unter den Details zum Datenschutz wieder zwei Felder mit “Auswahl speichern” und “Alle akzeptieren”. Die dritte Option “alle ablehnen” ist dabei nicht als Button, sondern relativ unauffällig als Schriftzug am oberen rechten Rand des Banners platziert.
Das LG München I kam zu dem Schluss, dass durch diese Gestaltung des Cookie Banners eine bewusste Manipulation des Nutzungsverhaltens des Website-Besuchers erfolgt.
Wieso? Weil der Nutzer für das (teilweise) Ablehnen der Cookies einen viel höheren Aufwand betreiben muss, als mit einem Klick die Cookies anzunehmen.
Die Begründung des Gerichts: Die Einwilligung des Nutzers in die Verwendung von Cookies muss freiwillig geschehen. Dadurch, dass ein Besucher von focus.de aber nicht ohne weitere Interaktion auf der ersten Ebene des Cookie Banners die Website ohne Cookies nutzen kann, spricht das nach Ansicht des Landgerichts gegen eine freiwillige Einwilligung. Cookies dürfen aber nur dann gesetzt werden, wenn eine freiwillige Einwilligung des Nutzers eingeholt wurde. Das Urteil des LG Müchen I ist nicht rechtskräftig, es wurde bereits angefochten.
Was heißt das für die Gestaltung von Cookie Bannern?
Mit dieser Entscheidung bestätigt das LG München I die Forderungen der Datenschutzbehörden, dass “Ablehnen” genau so einfach sein muss wie “Annehmen”.
AUFGEPASST
Sollten Sie also in Ihrem Cookie Banner eine ähnliche Gestaltung auf zwei Ebenen gewählt haben, ist es höchste Zeit dies umzustellen.
Es ist wahrscheinlich, dass nach dieser Entscheidung vermehrt Website-Betreiber abgemahnt werden könnten, die ihr Cookie Banner ohne Ablehnmöglichkeit auf der ersten Ebene gestaltet haben.
7. Das sagt der Europäische Datenschutzausschuss zu der Gestaltung von Cookie Bannern
Weil beim Thema Cookie Banner auch EU weit keine einheitliche Regelung besteht, hat der Europäische Datenschutzausschuss (EDSA) mit seiner “Cookie Banner Taskforce” einen Leitfaden erstellt. In seinem Berichtsentwurf bestätigt die EDSA, welche Einstellungen des Cookie Banners irreführend sind:
- Fehlender Ablehnbutton auf der ersten Ebene des Cookie Banners
- Vorangekreuzte Kästchen auf dem Banner, sodass der Nutzer nicht aktiv zustimmen kann
- eine kaum erkennbare Ablehnen-Schaltfläche aufgrund der Verwendung von Kontrasten und Farben
- Komplizierte Links zur Ablehnung der Cookies, statt einer “Ablehnen” Schaltfläche
- Fehlender Widerrufs-Button - Keine Schaltfläche vorhanden, um die Cookie Einwilligung zu widerrufen
AUCH HIER GILT
Nehmen Sie sich ein paar Minuten und überprüfen Sie Ihr eigenes Cookie Banner auf die oben genannten Punkte. Sollte einer oder mehrere davon auf Sie zutreffen, ändern Sie die Einstellungen Ihres Banners vorsichtshalber.
Sind Sie noch auf der Suche nach dem richtigen Tool? Dann lesen Sie in diesem Beitrag, wie Sie Cookie Consent Tools rechtssicher konfigurieren können.
8. Welches ist das richtige Consent Tool für mich?
Welches Consent Tools für Sie das richtige ist können Sie anhand folgender Kriterien herausfinden:
- Ist das Consent Tool für Ihre CMS (etwa wordpress) geeignet?
- Wieviele Seitenaufrufe benötigen Sie?
- Wie komplex sind die Einbindung und das Setup der Tools?
- Setzt das Consent Tool alle rechtlichen Vorgaben der DSGVO korrekt um?
- Wieviel Geld wollen Sie für eine solche Lösung zahlen?
MEHR RECHTLICHE HINTERGRÜNDE DAZU
Lesen Sie mehr zum Thema in unseren folgenden Artikeln:
- Zurück zur Übersicht: "Cookies, Tracking & Datenschutz"
- Nutzereinwilligung über Cookie Hinweis
- Nutzereinwilligung über Cookie Consent Tools
Alles, was Sie wissen müssen
