Rechtlich in der Grauzone: Das Kreuz mit den Cookie-Bannern

Nichts wird derzeit so heiß diskutiert, wie die allgegenwärtigen Cookie-Banner. Von Surfern wie Unternehmen gleichermaßen gehasst, kommt fast keine Website mehr ohne aus. Der Grund hierfür ist nicht etwa die von vielen ebenso ungeliebte Datenschutzgrundverordnung (DSGVO), sondern zwei höchstrichterliche Urteile aus 2020. Website-Betreiber sind gehalten diese umzusetzen, will man Klagen und Bußgelder vermeiden. Doch dem deutschen Justizministerium und der EU scheint dies jetzt nicht mehr genug, denn sie fordern weitere Änderungen.

Höchste Gerichte fordern Einwilligung

Der deutsche Bundesgerichtshof (BGH) entschied bereits im Mai 2020, dass Websites, die Cookies zur Profilbildung einsetzen, eine informierte freiwillige Einwilligung des Nutzers einholen müssen, bevor sie Cookies verwenden. Nur zwei Monate später kippte der Europäische Gerichtshof das EU-US Privacy Shield Abkommen mit der Folge, dass jedweder Export von Nutzerdaten in die USA ohne Rechtsgrundlage und damit illegal ist. Zum Glück, so der häufige Irrglaube, lassen sich beide Probleme einfach durch ein Consent-Management-Tool lösen. Denn hat der Nutzer seine Einwilligung erteilt, steht dem Cookie-Tracking und dem Einsatz von US-Tools nichts mehr entgegen. Bleibt nur die Frage, wie man den Einwilligungsdialog gestaltet, um eine möglichst hohe Opt-in Rate zu erhalten.

Niedrige Einwilligungsraten führen zu Blindflug

Die Frage zu Einwilligungsraten verschiedener Cookie-Banner hat die Universität Bochum   in einer breit angelegten Studie bereits Ende 2019 untersucht. Sie kommt zu dem Schluss, dass bei einem rechtskonformen Banner deutlich weniger als zehn Prozent der Nutzer ihre Einwilligung erteilen - egal ob vom Desktop PC oder Mobil. Nach mehr als einem Jahr Praxiserfahrung ist klar: Die Kennzahlen der Studie spiegeln die Realität richtig wieder. Für die meisten Website-Betreiber eine echte Katastrophe, denn mit einer Zustimmungsrate von weniger als zehn Prozent gleicht jede datengetriebene Steuerungsstrategie einem Blindflug und die gezielte Monetarisierung der Website wird zum Glücksspiel.

Nudging verspricht Abhilfe

Abhilfe verspricht dabei sogenanntes Nudging (engl. für Stupsen), bei dem man den Nutzer geschickt zum "Alles akzeptieren" verleitet. Die psychologischen Tricks sind dabei kreativ wie mannigfaltig: "Alles akzeptieren" groß und grün gestalten, andere Wahlmöglichkeiten klein und grau darstellen oder gar weglassen. Alternative Einstellungsmöglichkeiten zur Auswahl anbieten, aber so kompliziert gestalten, dass selbst Datenschutz-sensible Nutzer aufgeben. Oder gleich alle Tracking-Tools als "wesentlich" deklarieren, so dass eine Ablehnung des Nutzers faktisch folgenlos bleibt. Mit solchen Tricks schafft man es zwar, die Einwilligungsrate auf 30 Prozent und mehr zu heben, jedoch bewegt man sich auf juristisch sehr dünnem Eis.

LG Rostock kassiert Nudging

Bereits im September 2020 urteilte das Landgericht Rostock zum Nudging bei Cookie Bannern  . Hier hatte die Verbraucherzentrale die Anwaltsvermittlung Advocado wegen Unzulässigkeit des verwendeten Cookie-Banners verklagt. Bei der Einholung der Einwilligung wurden den Nutzern im Cookie-Banner nur voreingestellte Ankreuzkästchen für verschiedene Verwendungszwecke angeboten und die Aus- bzw. Abwahlmöglichkeit war kaum sichtbar. Das Gericht befand: "Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist. Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden "Cookie zulassen"-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden."

Wie genau Banner aussehen müssen, "kommt drauf an"

Fragt man Juristen, wie Cookie-Banner rechtskonform gestaltet werden müssen, bekommt man meist die für Juristen typische Antwort: "Es kommt drauf an". Denn die DSGVO enthält als allgemeines, technikneutrales Gesetz gar keine Regelungen zu Cookies, zum Tracking oder zu Bannern. Antworten auf die konkreten Umsetzungsfragen sollte eigentlich die ePrivacy-Verordnung geben, die zeitgleich mit der DSGVO in Kraft treten sollte, bis heute aber nicht vom EU-Parlament verabschiedet wurde. Die Antwort auf die Frage, wie genau ein Cookie-Banner aussehen muss, bleibt daher der Interpretation allgemeinerer Gesetze durch findige Juristen vorbehalten - und hier gehen die Meinungen bekanntlich schnell auseinander.

Vorgaben der Aufsichtsbehörden werden ignoriert

Zum Glück gibt es Juristen, die klare Empfehlungen für die Gestaltung von rechtskonformen Einwilligungen geben - und die sitzen bei den Datenschutz-Aufsichtsbehörden. So haben sowohl die Aufsichtsbehörden der Länder in der Datenschutzkonferenz (DSK) als auch der Europäische Datenschutzausschuss (EDPB) klare Orientierungshilfen und Leitlinien   verfasst, die eigentlich unmissverständlich sind. So fordert der EDPB beispielsweise in Punkt 44 seiner Leitlinien, dass die Einwilligung für jeden Zweck der Datenverarbeitung einzeln einzuholen ist und damit ein pauschaler "Alles akzeptieren" Button nicht ausreicht. Punkt 82 erläutert, dass die Einwilligung, zum Beispiel durch das Weglassen eines Schließen-Buttons, nicht erzwungen oder durch komplexe Einstellungen erschwert werden darf. Glasklar äußern sich die Behörden auch zum Ablehnen-Button in Punkt 114. Hier erwarten sie, dass wenn Einwilligungen mit einem Klick gegeben werden können, die Ablehnung (jur. Widerruf) genau so einfach erfolgen muss - also mit einem Klick.

Justizministerium fordert Verbesserungen

Die Aufsichtsbehörden stützen sich bei ihren Auslegungen auf Artikel 7.3 der DSGVO, in dem diese Vorgabe ohnehin seit Jahren formuliert ist: "Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein." Aber nicht nur Nutzer und Aufsichtsbehörden sind genervt von der aktuellen Praxis. Mitte Januar hat sich erstmals auch das Justizministerium dazu geäußert. Verbraucherschutz-Staatssekretär der Bundesregierung, Christian Kastrop, unterstreicht die Forderungen der Aufsichtsbehörden und erklärte gegenüber der FAZ  : "Wir wollen das Ablehnen von Cookie-Einstellungen künftig genauso leicht wie das Einwilligen machen."

Reine Wahlkampftaktik oder echte Veränderungen in Sicht?

Beim Vorstoß des Justizministeriums verwundert es jedoch, dass die Forderungen an die Wirtschaft nicht wie sonst üblich über den Gesetzgebungsprozess oder härtere Sanktionen forciert werden sollen. Denn obwohl mit dem Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG)   bereits ein neues Gesetz in Arbeit ist, das die Lücken bei der Interpretation der DSGVO im Internet schließen soll, möchte das Ministerium einen anderen Weg gehen. So ist die Einrichtung eines "Kompetenzzentrums für verhaltenswissenschaftliche Verbraucherforschung" statt eines klareren Gesetzes geplant.

Die Frage, warum die Wirtschaft dem Rat eines Kompetenzzentrums eher folgen sollte, statt die Forderungen der Behörden umzusetzen, die Unternehmen in der Sache zu prüfen und sanktionieren, bleibt dabei offen. Fraglich ist auch der Zeitpunkt der Forderung. Kommt sie doch praktisch zeitgleich zur Veröffentlichung der Datenstrategie der Bundesregierung  , obwohl das Problem der nicht rechtskonformen Cookie-Banner lange bekannt ist. Die Vermutung drängt sich daher auf, dass es sich eher um eine geschickte Wahlkampftaktik handelt, denn um echten Willen zur Veränderung.

EU-Koalition fordert Abschaffung von "spionierender Werbung"

Wirklich frischer Wind bläst hingegen jetzt aus Brüssel, wo sich am 02.02.2021 die "Tracking-Free Ads Coalition" im EU-Parlament konstituiert hat. Sie sieht eine "gesamtgesellschaftliche Herausforderung" und erwartet sogar die gänzliche Abschaffung datenbasierter Werbung. Dabei bekommt sie unerwartete Schützenhilfe von Axel-Springer-Chef Mathias Döpfner  . Er fordert gemeinsam mit Kommissionspräsidentin Ursula von der Leyen, dass großen Plattformen verboten werden soll, persönliche Daten zu speichern und für kommerzielle Zwecke zu verwenden. Offenbar will der Verlagschef die Vormacht der amerikanischen Plattformen aus Europa verdrängen, um seine eigenen Werbe-Technologien zu empfehlen.

Ausweg aus der Misere

Egal, welcher Vorstoß sich schneller durchsetzt - die Zeiten stehen auf Wandel. Unternehmen sind daher gut beraten, sich jetzt auf Veränderungen einzustellen. Die Umstellung ist dabei weniger aufwendig als viele denken und beginnt mit der Abkehr von US-amerikanischen Diensten. Mit klarer Fokussierung auf europäische Anbieter vermeidet man nicht nur die auch in Zukunft noch anhaltende Unsicherheit bezüglich eines neuen Privacy Shields - so es denn überhaupt kommt. Zugleich können viele europäische Lösungen sogar unter dem "berechtigten Interesse" eingesetzt werden. Die Folge: Cookie-Banner können gänzlich entfallen und die Nutzer genießen den Internetbesuch wie er sein sollte - ungestört und völlig ohne Einwilligungshürden.

iBusiness-Autor Christian Bennefeld ist seit über 20 Jahren im Datenschutz aktiv. Nach seinem Studium war er viele Jahre in leitenden Positionen für internationale Softwarehäuser im Bereich IT-Security tätig. Im Jahr 2000 gründete er die etracker GmbH   , ein Unternehmen für Website-Analyse und Online-Marketing-Optimierung, die er bis 2013 aufbaute. Hier erkannte er die Gefahren der umfassenden Internet-Profilbildung und erschuf 2014 mit der eBlocker GmbH ein Gegenmodell: Ein Anti-Tracking Gerät zur digitalen Selbstverteidigung für Jedermann. Heute fokussiert sich der Unternehmer ehrenamtlich u.a. mit datenschutz-zwecklos.de   ausschließlich auf die Einhaltung des Datenschutzes und den Schutz der Privatsphäre.