BVerwG Österreich: Cookie-Einwilligung für Google reCAPTCHA

Setzt ein Dienst technisch nicht notwendige Cookies, ist für ihn eine Cookie-Einwilligung erforderlich. Dies gilt auch für Cookies des Bot-Blockers „Google ReCaptcha“, wie nun in Österreich entschieden wurde.

Der Sachverhalt

Um eine Mitgliedschaft zu beantragen, besuchte ein Nutzer die Webseite einer politischen Partei in Österreich. Dabei wurden auf seinem Endgerät Cookies gespeichert, unter anderem von Google reCAPTCHA. Der Nutzer wurde weder darüber informiert noch zuvor um Einwilligung gebeten.

Daraufhin beschwerte sich der Betroffene bei der zuständigen Datenschutzbehörde.

Er brachte vor, dass Google reCAPTCHA mittels Cookies im Hintergrund Daten wie zum Beispiel IP-Adressen und Browserinformationen des Nutzers an Google-Server übermittle.

Die österreichische Behörde, die sich dem Vorwurf anschloss, beanstandete den Datenschutzverstoß. Hiergegen wehrte sich der Webseitenbetreiber per Beschwerde und zog in Österreich vor Gericht.

Die Entscheidung

Das angerufene BVerwG Österreich wies die Beschwerde des Seitenbetreibers mit Urteil vom 13.09.2024 (Az: W298 2274626-1/8E) ab und folgte der Ansicht der Datenschutzbehörde.

1. Google reCAPTCHA und Cookies

ReCAPTCHA ist ein Security-Tool von Google, der Seitenbetreibern durch die Einbindung eines Verifizierungsschritts eine möglichst präzise Unterscheidung dahingehend ermöglicht, ob eine Eingabe durch eine natürliche Person oder missbräuchlich durch maschinelle und automatisierte Verarbeitung erfolgt.

Hierfür werden Nutzer angehalten, bestimmte Zahlenfolgen wiederzugeben oder bestimmte Motive innerhalb verschiedener Graphikelementen zu identifizieren. Derartige Leistungen können Computer bei missbräuchlichen Aufrufen (noch) nicht erbringen.

Versions- und seitenabhängig kann bei Einsatz von reCAPTCHA das Cookie „_GRECAPTCHA“ gesetzt werden, muss aber nicht zwangsweise zum Einsatz kommen.

Das Cookie soll laut Google der Analyse von Besucherzugriffsrisiken dienen, geht aber mit einer Übertragung gewisser, über das Cookie erhobener Informationen (so etwa der IP-Adresse des Seitenbesuchers) an Google einher.

2. Ergebnis im konkreten Fall

Das Bundesverwaltungsgericht Österreich entschied, dass das verwendete Tool „Google reCAPTCHA“ und folglich auch dessen Cookie für den Webseitenbetrieb technisch nicht notwendig sei.

Zwar sei das Tool nützlich, um Bot-Eingaben, Spam und Cyberangriffe abzuwehren. Für die Bereitstellung der Website als solche und die Gewährleistung der wesentlichen Seitenfunktionen sei es aber nicht zwingend erforderlich.

Der Einsatz des Cookies von reCAPTCHA hätte deswegen von einer vorherigen ausdrücklichen Einwilligung des Seitenbesuchers abhängig gemacht werden müssen.

Da diese Einwilligung nicht eingeholt worden sei und das Cookie bei Seitenaufruf ohne eine Mitwirkung des Besuchers gesetzt worden sei, liege ein Datenschutzverstoß vor.

Fazit

Seitenbetreiber, die Google reCAPTCHA unter Einsatz von reCAPTCHA-Cookies nutzen, müssen das Tool in ein Cookie-Consent-Tool integrieren und von einer vorherigen Einwilligung abhängig machen

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .