Aufgepasst: Cookie-Tool darf Impressum und Datenschutzhinweise nicht verdecken

Thema Cookie-Consent-Tool: Nicht nur in Bezug auf die Tauglichkeit des Tools selbst kann man hier Fehler machen. Auch die Platzierung des Tools auf der Webseite kann viel Ärger machen, wenn dabei Pflichtangaben wie zum Impressum und Datenschutz verdeckt werden, wie eine kürzliche Abmahnung der Verbraucherzentrale Brandenburg zeigt.

Worum geht es?

Bereits seit einer Grundsatzentscheidung des EuGH im Jahre 2019 führt kein Weg mehr an einem sogenannten Cookie-Consent-Tool vorbei, will der Betreiber einer Webseite bzw. eines Onlineshops auf seinen Seiten auch Cookies nutzen, die nicht zwingend für den Betrieb der Webseite bzw. des Shops technisch erforderlich sind.

Schon durch die Entscheidung des EuGH herrscht seitdem Klarheit, dass solche technisch nicht notwendigen Cookies (die etwa gerne zu Zwecken des Trackings, der Analyse und für Komfortfunktionen verwendet werden) nur dann gesetzt werden dürfen, wenn der Seitenbesucher dazu zuvor seine ausdrückliche Einwilligung erteilt hat.

Inzwischen regelt auch die Vorschrift des § 25 Abs. 1 TDDDG die Notwendigkeit der Erteilung einer entsprechenden Einwilligung, bevor nicht notwendige Cookies gesetzt werden.

In der Praxis erfolgt die Erholung der notwendigen Einwilligung durch den Einsatz eines Cookie-Zustimmungs-Tools, zumeist als Cookie-Consent-Tool (CCT) bekannt. Ein CCT wird gerne auch (falsch) als „Cookie-Banner“ bezeichnet.

Woran störte sich die Verbraucherzentrale?

Kern der Abmahnung sind zwei Vorwürfe:

Zum einen ging es der Abmahnerin darum, dass das vom Seitenbetreiber eingesetzte CCT qualitativ nicht tauglich war, um eine wirksame Einwilligung für das Setzen nicht notwendiger Cookies zu erholen, weil das Abwählen der Einwilligung in das Setzen technisch nicht notwendiger Cookies (welche beim Besuch der Webseite gesetzt wurden) bei diesem CCT zu komplex ausgestaltet war.

Um diese Problematik soll es hier aber gar nicht gehen.

Neben der „Untauglichkeit“ des CCT für die eigentliche Aufgabe der rechtskonformen Cookie-Einwilligung kommt es in der Praxis sehr häufig zu einem ganz anderen Problemkreis:

Bei Aufruf einer Webseite bzw. eines Onlineshops blockiert das Fenster des CCT alle weiteren Interaktionsmöglichkeiten, solange im CCT keine Auswahl bezüglich der Cookies getroffen wird.

Wenn der Seitenbesucher essentielle Pflichtangaben wie Impressum oder Datenschutzerklärung aufrufen möchte, muss er sich erst durch die Hierarchie des CCT klicken, bis dieses mit seinen Angaben einverstanden ist und ihn zur „normalen“ Webseitendarstellung entlässt.

Noch schlimmer: Manche CCT-Gestaltungen verdecken auch optisch die Hinweise / Verlinkungen zu Impressum und Datenschutzerklärung, weil diese so angeordnet wurden, dass etwa die Verlinkungen zu Impressum und Datenschutz im Footer der Seite vom CCT verdeckt werden.

Genau dieser Umstand wurde auch von der Verbraucherzentrale hier abgemahnt.

Was ist die Rechtsfolge?

Wegen des nötigen „Durchklickens“ des CCT war die von § 5 DDG geforderte, unmittelbare Erreichbarkeit des Impressums („Zwei-Klick-Regel“) nicht mehr gewährleistet, da das Durchlaufen des CCT-Prozesses bereits mehr Klicks erforderte, bevor das Impressum überhaupt erreichbar war.

Unabhängig von der Anzahl der Klicks kann bei einer Verdeckung der Rubrik „Impressum“ dann auch das von § 5 DDG ebenso geforderte Kriterium der leichten Erkennbarkeit nicht erfüllt sein.

In Bezug auf die nach Art. 12 und 13 DSGVO nötigen Informationen zum Datenschutz stellt sich dieselbe Problematik:

Kann auf die Datenschutzerklärung der Webseite bzw. des Onlineshops erst zugegriffen werden, wenn das CCT umständlich „weggeklickt“ wurde bzw. wird die Rubrik „Datenschutzerklärung“ durch das CCT verdeckt, erfolgt die Darstellung der Datenschutzhinweise nicht zu dem vom Gesetz geforderten Zeitpunkt, sondern zu spät bzw. nicht in der nötigen, vom Gesetz geforderten transparenten Art und Weise.

Denn: Mit Betätigen des CCT beginnt in aller Regel bereits die Datenverarbeitung, etwa indem bei erteilter Einwilligung direkt Cookies gesetzt werden. Bereits zu diesem Zeitpunkt, also im Zeitpunkt der Einwilligung in das Setzen der Cookies muss dann der Zugang zu den Datenschutzhinweisen in transparenter Form möglich sein.

Verdeckt das CCT optisch den Zugriff auf die Verlinkung zur Datenschutzerklärung, dürften die Datenschutzhinweise beim Aufruf der Webseite nicht in transparenter Weise zugänglich gemacht worden sein

Damit liegt hierbei sowohl in Bezug auf die Darstellung von Impressum und DSGVO jeweils ein Rechtsverstoß vor. Diese Verstöße dürften zudem auch ohne Weiteres wettbewerbsrechtlich abmahnbar sein.

Die Folge: Nervige und teure Abmahnungen.

Fazit:

Wichtig für Webseitenbetreiber und Online-Händler mit eigenem Shop: Bitte nutzen Sie nicht „irgendein“ CCT, sondern ein rechtssicheres CCT. Damit lassen sich Probleme und vor allem Abmahnungen, wie eine solche hier exemplarisch geschildert wurde, vermeiden.

Ein CCT wird nicht dadurch rechtssicher, indem es den Besucher fragt, ob er (bestimmte) Cookies zulassen möchte. Vielmehr bestehen hohe Anforderungen an die Transparenz und leichte Bedienbarkeit. Ferner darf der Besucher nicht zur Auswahl „ich akzeptiere alle Cookies“ gedrängt werden, etwa durch eine „verlockende“, optisch dominante Darstellung dieses Buttons im Vergleich zum Button zur Ablehnung technisch nicht notwendiger Cookies.

Ebenso sollte inzwischen jedem Webseitenbetreiber klar sein, dass ein bloßer „Cookie-Banner“ längst nicht mehr den rechtlichen Anforderungen genügt, sollen technisch nicht notwendige Cookies gesetzt werden.

Bei der Einbindung des CCT muss schließlich darauf geachtet werden, dass Pflichtinformationen wie das Impressum und die Datenschutzerklärung in transparanter Weise auf der Webseite dargestellt werden und idealerweise direkt erreichbar sind, jedenfalls aber nicht mit mehr als 2 Klicks aufgerufen werden können. Ferner muss vermieden werden, dass das CCT diese Links "überlagert" und diese dann für den Besucher vor "Weglicken" des CCT optisch gar nicht erkennbar sind.

Wichtig ist also, dass ein CCT dann ggf. direkt auf der CCT-Oberfläche Verlinkungen auf das Impressum und die Datenschutzerklärung vorhält, die idealerweise direkt beim Anklicken zu diesen Pflichtinformationen führen.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.