Der Europäische Datenschutzausschuss ( EDSA ) hat sich in letzter Zeit wieder vermehrt mit der Zulässigkeit und Gestaltung von Cookies und Cookie-Bannern in Zusammenhang der e-Privacy-Richtlinie und der DSGVO beschäftigt.

Und auch die deutsche Rechtsprechung interessiert sich zunehmend für dafür. So fällte das LG Rostock ein Urteil (3 O 762/19), das die Vorauswahl von Cookies sowie die optisch unterschiedliche Gestaltungen des Einwilligungs- und Ablehn-Buttons untersagt. Der BGH untersagte wiederum die Verwendung von Cookie-Bannern mit vorausgefüllten Optionen.

Wir haben Ihnen die wichtigsten Punkte der Stellungnahme zusammengefasst und verraten Ihnen auf was Sie bei der Erstellung Ihres Cookie-Banners achten sollten.

Was ist eigentlich ein Cookie Banner?

Ein Cookie Banner ist ein Consent Management der der Verwaltung von Einwilligungen dient, mithilfe dessen Website-Besucher individuell einstellen können, welchen Diensten sie auf einer Website zustimmen und welche sie ablehnen. Die Abfrage der Präferenzen wird meist angezeigt, bevor Sie Zugriff auf die Gesamtheit aller Inhalte der Website haben.
Cookie Banner dürfen grundsätzlich nicht so gestaltet werden, dass die Website-Nutzer den Eindruck gewinnen, dass Sie ihre Einwilligung erteilen müssen, um die Website benutzen zu können. Auch darf der Cookie Banner den Nutzer nicht dazu drängen, die Einwilligung zu erteilen.

Hier die wichtigsten Punkte der Stellungnahme des Europäischen Datenschutzausschusses

• Wichtig ist, dass der Cookie-Banner sofort beim Aufruf der Webseite erscheint und zunächst keine Cookies geladen werden und auch keine Daten an Dritte (zum Beispiel über ein Social Plugin) übermittelt werden.
• Ein Cookie Banner, der keinen Button zur Ablehnung von technisch nicht notwendigen Cookies hat, verletzt nach den Behörden Art 5 Abs 3 ePrivacy Richtlinie.
• Vorangehakte Kästchen oder Checkboxen stellen keine wirksame Einwilligung nach der ePrivacy Richtlinie oder der DSGVO dar.
• Im Fließtext versteckte Links, die zur Ablehnung nicht erforderlicher Cookies zur Verfügung gestellt werden, führen zur Unwirksamkeit der Einwilligung.
• Hinsichtlich der farblichen Gestaltung eines Cookie Banners kommt es nach dem Bericht des EDSA grundsätzlich auf eine Einzelfallbeurteilung an. Es gilt aber ein allgemeines Verbot irreführender Farben bzw. fehlender Kontrast. Somit ist keine Hervorhebung des Buttons „Alle Akzeptieren“ erlaubt.
• Der EDSA führt weiter zur Frage der technischen Erforderlichkeit von Cookies aus, dass der Website-Betreiber eine Liste führen muss, die ggf. auch der Aufsichtsbehörde zur Verfügung zu stellen ist. In dieser soll die Erforderlichkeit der Cookies erläutert werden. Nur tatsächlich technisch notwendige Cookies dürfen als „unbedingt erforderlich“ und somit ohne Zustimmung gesetzt werden.
• Abschließend beschäftigt sich der Bericht mit dem Widerruf einer einmal erteilten Einwilligung. Nach der EDSA muss der Website-Nutzer seine Einwilligung jederzeit widerrufen können. Dies könnte beispielsweise mit einem Icon, das bei der Nutzung der Website durchgängig sichtbar ist, oder mit einem Link, der an einer sichtbaren und standardisierten Stelle platziert wird, umgesetzt werden. Die Einwilligung muss jedenfalls so leicht und jederzeit widerrufen werden können, wie sie erteilt wird.
• Achten Sie auch darauf, dass die einzigen Seiten, die nicht von einem Cookie Banner „verdeckt“ werden dürfen, rechtlich verpflichtende Unterseiten, wie die Datenschutzerklärung oder das Impressum, sind.

Beispiel eines rechtskonformen Cookie-Banners

Verurteilung von Google und Facebook

Die französische Datenschutzbehörde CNIL verurteilte bereits Google zu 150 Millionen Euro und Facebook zu 60 Millionen Euro Bußgeld. Beiden Anbietern wurde vorgeworfen, die Einwilligung in die Nutzung von Cookies mit einem Klick zu ermöglichen, die Ablehnung hingegen durch kompliziertere Auswahlvorgänge willentlich zu erschweren.

Gemäß Art. 7 DSGVO muss jedoch der Widerruf bzw. die Ablehnung genauso einfach sein und auf demselben Wege erfolgen, wie die Einwilligung selbst.