Cookie-Tool muss Ablehn-Button auf erster Ebene enthalten

Technisch nicht notwendige Cookies müssen auf Websites per Cookie-Tool bis zur Nutzereinwilligung blockiert werden. Das Tool-Interface muss dem Nutzer hierbei eine direkte Ablehnfunktion bieten, so das BVerwG Österreich.

Der Sachverhalt

Ein Nutzer reichte bei der österreichischen Datenschutzbehörde eine Beschwerde ein, da die Cookie-Einstellungen auf der Website eines Medienunternehmens die Option, alle Cookies abzulehnen, absichtlich schwer zugänglich machten.

Der Nutzer musste mehr Schritte unternehmen, um Cookies abzulehnen, als um sie zu akzeptieren.

In Reaktion darauf forderte die Datenschutzbehörde das Unternehmen auf, den Cookie-Banner zu überarbeiten und eine gleichwertige Möglichkeit zur Ablehnung der Cookies auf erster Ebene der Bedienoberfläche anzubieten. Das Unternehmen wehrte sich gegen diese Forderung.

Die Entscheidung

Das zuständige österreichische Bundesverwaltungsgericht wies das Rechtsmittel des Medienunternehmens mit Urteil vom 31.07.2024 (Az: W108 2284491-1/15E) zurück und bestätigte, dass das streitgegenständliche Cookie-Tool eine im Vergleich zur Cookie-Einwilligung ebenso einfache und leicht zugängliche Option zur Ablehnung bereithalten müsse.

Die DSGVO verlange, dass die Einwilligung der Nutzer freiwillig und informiert erteilt werde. Wenn das Ablehnen mehr Schritte erfordere als das Akzeptieren, sei die Entscheidungsfreiheit der Nutzer eingeschränkt, was der DSGVO widerspreche.

Ein „Ablehnen“-Button auf der ersten Ebene des Benutzeroberfläche des Cookie-Tools sei daher erforderlich, um eine faire und transparente Datenverarbeitung zu gewährleisten.

Damit schloss sich das Gericht der Ansicht der Behörde an, dass für die Nichterteilung der Einwilligung bzw. das Schließen des Cookie-Tools ohne Zustimmung nicht mehr Interaktionen erforderlich sein dürften als für deren Erteilung.

Dies folge aus Art. 7 Abs. 3 DSGVO, wonach das Ersuchen um Einwilligung genauso einfach auszugestalten sei wie der Widerruf dieser Einwilligung.

Im vorliegenden Fall könnten betroffene Personen durch Auswahl der Schaltfläche „Akzeptieren“ die Einwilligung abgeben. Zur Nichtabgabe der Einwilligung hingegen müsse zunächst ein Link „Zwecke anzeigen“ angeklickt werden, um dann in einem zweiten Schritt die Schaltfläche „Alle Ablehnen“ auswählen zu können.

Man könne von den betroffenen Personen aber nicht verlangen, dass sie beim Ersuchen um Einwilligung im Cookie-Tool erst auf einer zweiten oder dritten Ebene entscheiden könnten, keine Einwilligung abzugeben.

In einem solchen Fall könne von keiner unmissverständlichen Willensbekundung i.S.d. Art. 4 Nr. 11 DSGVO ausgegangen werden.

Vor allem könne nicht ausgeschlossen werden, dass betroffene Personen nur deshalb auf „Akzeptieren“ klickten, weil aus ihrer Sicht keine unmittelbare Option zum „Ablehnen“ zur Verfügung gestanden habe oder sie aufgrund der Ausgestaltung des Banners gar nicht erkannt hätten, dass es die Option „Ablehnen“ überhaupt gebe.

Da im vorliegenden Fall für die Erteilung der Einwilligung nur ein Klick nötig sei, während die Ablehnung mindestens zwei Klicks erfordere, sei eine Gleichwertigkeit der Optionen ausgeschlossen.

Ähnliches Urteil des OLG Köln

Auch in Deutschland stellte das OLG Köln mit Urteil vom 19.01.2024 (Az: 6 U 80/23) fest, dass die Buttons in einem Cookie-Tool zur Zustimmung und Ablehnung gleichwertig ausgestaltet sein müssten.

In diesem Fall war der Banner so ausgestaltet, dass auf dem Startbildschirm zwei Buttons erschienen: „Akzeptieren“ und „Einstellungen“. Durch das Anklicken des Buttons „Akzeptieren“ stimmte der Verbraucher der Vorauswahl zu. Ablehnen konnte er nur, indem er den Button „Einstellungen“ wählte und dann auf dieser zweiten Ebene jeweils die einzelnen Regler für unterschiedliche Rubriken aktivierte bzw. deaktivierte. Zusätzlich befand sich auf der ersten Seite ein weiterer Button rechts oben mit der Beschriftung „Akzeptieren & Schließen (X)“.

Das OLG Köln stellte fest, dass der Verbraucher bei nicht gleichwertiger Ausgestaltung der Zustimmungs- und Ablehnungsbuttons zur Abgabe der Einwilligung hingelenkt würde und von der Ablehnung der Cookies abgehalten werde.

Dadurch könne die erteilte Einwilligung nicht als freiwillig und hinreichend aufgeklärt im Sinne von § 25 Abs. 1 TDDDG, Art. 4 Nr. 11 DSGVO angesehen werden.

Das OLG Köln sah in der unzureichenden Ausgestaltung des Cookie-Tools aber nicht nur einen Daten-, sondern auch einen abmahnbaren Wettbewerbsverstoß und erlaubte damit ausdrücklich die wettbewerbsrechtliche Ahndung datenschutzwidriger Aufmachungen von Cookie-Tools.

Fazit

Cookie-Tools müssen auf erster Ebene der Benutzeroberfläche eine ebenso einfach erreichbare und eindeutige Ablehn-Funktion bieten wie eine Einwilligungsoption.
Zusätzlich erforderliche Klicks für die Ablehnung verstoßen gegen die DSGVO und können in Deutschland nicht nur datenschutzrechtlich vom Betroffenen, sondern auch wettbewerbsrechtlich von Mitbewerbern und Verbänden per Abmahnung verfolgt werden.

Um rechtskonform zu sein, muss eine Cookie-Zustimmungsoberfläche über drei gleichwertige Buttons verfügen, mit denen jeweils

• alle Cookies akzeptiert werden können
• alle nicht notwendigen Cookies abgelehnt werden können
• individuelle Einwilligungseinstellungen aufgerufen werden können, über die sodann Einwilligungen nur für einzelne cookie-basierte Dienste möglich sind

Anderenfalls ist die Freiwilligkeit von Einwilligungen nicht gewährleistet und der Weg für eine wettbewerbsrechtliche Inanspruchnahme geebnet.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .