LG München I urteilt: Cookie-Banner auf der Website von Focus Online rechtswidrig

In einem kürzlich ergangenen Urteil hat das Landgericht München I (LG München I) der zum Burda-Verlag gehörenden BurdaForward GmbH untersagt, ohne wirksame Einwilligung der Verbraucher:innen Tracking-Cookies zur „domainübergreifende[n] Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecke[n]“ zu setzen. Damit hat das Gericht einer Klage des Verbraucherzentrale Bundesverbands (vzbv) teilweise stattgegeben.

Bei dem Aufruf der Website wurde den Besucher:innen ein sogenanntes Cookie-Banner angezeigt, mit dem ihre Einwilligung in die Speicherung von Cookies und zur Auswertung von auf ihren Endgeräten gespeicherten Daten zu Werbe- und Analysezwecken eingeholt werden sollte.

Der Banner war in mehreren Ebenen aufgebaut. Die Besucher:innen konnten auf der ersten Ebene allerdings nur auf „Akzeptieren“ oder „Einstellungen“ klicken. Ersteres führte dazu, dass sie in vollem Umfang in die Verarbeitung ihrer Daten und ihres Surfverhaltens einwilligten - auch durch Drittunternehmen. Durch Anklicken der Schaltfläche „Einstellungen“ konnte eine genauere Auswahl getroffen werden. In diesem Fall öffnete sich ein Fenster, das auf über 140 Bildschirmseiten Einstellungen für mehr als 100 Drittanbieter enthielt. Die Schaltflächen „Alle akzeptieren“ und „Auswahl speichern“ waren hervorgehoben, während die Möglichkeit „alle ablehnen“ in Größe und Gestaltung unauffällig gehalten wurde.

Das Gericht kam zu dem Schluss, dass die durch das eingesetzte Banner eingeholten Einwilligungen in die Datenverarbeitung unwirksam sind, da sie bereits nicht auf einer freiwilligen Entscheidung der Besucher:innen beruhten: Hierfür spräche bereits der Umstand, dass die Website nicht ohne weitere Interaktion mit dem Cookie-Banner genutzt werden könne. Auch sei eine Verweigerung der Einwilligung erst nach Betätigung der Schaltfläche „Einstellungen“ auf der zweiten Ebene möglich und damit mit mehr Aufwand verbunden als das bloße „Akzeptieren“ der Datenverarbeitung. Darüber hinaus gäbe es keine sachliche Rechtfertigung für die unterschiedliche Behandlung der Wahlmöglichkeiten „Einwilligung erteilen“ und „Einwilligung verweigern“; vielmehr erscheint es aus Sicht des Gerichts „angesichts der unterschiedlichen Gestaltung […] naheliegend, dass hierdurch das Wahlrecht der Webseitenbesucher beeinflusst werden soll […].“

Auch die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat in der neuesten Version der Orientierungshilfe für Anbieter:innen von Telemedien klargestellt, dass die Möglichkeit, keine Einwilligung zu erteilen, eindeutig als gleichwertige Alternative zur Option „Einwilligung erteilen“ dargestellt werden muss. Dies sei anzunehmen, wenn sich zum Beispiel neben einem Button „Einwilligung erteilen“ ein insbesondere in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button „Weiter ohne Einwilligung“ finden lässt. Eine Schaltfläche „Einstellungen oder Ablehnen“, die zu einer weiteren Ebene des Banners führt, sei nicht ausreichend.

„Das heißt zwar nicht pauschal, dass  die Verhaltenssteuerung durch Gestaltung – sogenanntes Nudging – generell unzulässig ist“, so Dragana Dujak, Expertin für Datenschutzrecht bei Pinsent Masons. „Verantwortliche Stellen sollten jedoch sicherstellen, dass auf der ersten Ebene eine Möglichkeit auch zur Ablehnung angeboten wird, die Buttons hinsichtlich Farbe, Größe oder Kontrasten möglichst gleich ausgestaltet sind und außerdem klare Informationen vorgehalten werden.“

Nadia Schaff, ebenfalls Expertin für Datenschutzrecht bei Pinsent Masons, ergänzt, dass zuvor jedoch geprüft werden sollte, ob tatsächlich eine Einwilligung erforderlich ist. „Dies wäre beispielsweise bei Sicherheits-Cookies zu verneinen, die dazu verwendet werden, wiederholt fehlgeschlagene Anmeldeversuche auf einer Website zu entdecken“, so Schaff. „Um den Positionen und Bewertungen der Aufsichtsbehörden Rechnung zu tragen, empfehlen wir, das Urteil sowie die aktualisierte Orientierungshilfe zum Anlass zu nehmen, Websites und Apps noch einmal sorgfältig zu prüfen.“

Schaff weiter: „In diesem Zusammenhang sollte auch berücksichtigt werden, dass die vom Gericht beurteilte Einwilligungsgestaltung dem Branchen-Standard mit der Bezeichnung 'Transparency & Consent Framework (TCF) 2.0' des Interactive Advertising Bureau (IBA) entspricht, der auf einer Vielzahl von Websites eingesetzt wird. Auch aus dieser Warte besteht gegebenenfalls Handlungsbedarf.“

Das LG München I gab der Klage des vzbv jedoch nur in Teilen statt und lehnte ab, den Verlag auch wegen unzureichender Informationen über die beabsichtige Datennutzung und seine Vereinbarungen mit Drittanbietern zu verurteilen, da der vzbv seine Klage allein auf das Telekommunikation-Telemedien-Datenschutz-Gesetz gestützt habe, sich die Informationspflichten jedoch allein aus der Datenschutz-Grundverordnung ergäben.

Das Urteil (202-seitiges PDF/34 MB) kann auf der Website des vzbv abgerufen werden.