Das LG Rostock (Urt. v. 15.09.2020 - Az.: 3 O 762/19) hat entschieden, dass die meisten Cookie-Banner in Deutschland fehlerhaft und damit rechtswidrig sind.
Kläger war der Verbraucherzentrale Bundesverband, Beklagte die Betreiberin der Webseite advocado.de.
Advocado.de hatte ihre Homepage so ausgestaltet, dass beim Aufruf ein Cookie-Banner erschien. Es gab vier kleiner gehaltene, vorab aktivierte Menüpunkte:
"[ ] Notwendig [ ] Präferenzen [ ] Statistiken [ ] Marketing"
Daneben gab es noch den Punkt "Details anzeigen" und einen größeren, grün umrandeten und optisch hervorgehobenen "OK"-Button.
Dies stufte das LG Rostock als klar rechtswidrig ein, weil dadurch keine informierte Einwilligung vom User eingeholt werde:
"Eine wirksame Einwilligung ist damit auch mit dem nunmehr verwendeten Cookie-Banner nicht möglich. Denn auch bei diesem sind sämtliche Cookies vorausgewählt und werden durch Betätigung des grün unterlegten „Cookie zulassen '-Buttons „aktiviert“. Damit entspricht die Gestaltung des Cookie-Banners grundsätzlich der Gestaltung in dem durch den BGH entschiedenen Fall.
Zwar hat der Verbraucher die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich wird der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen und deshalb den Button ohne vorherige Information über die Details betätigen. Damit weiß der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung hat.
Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden" seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist.
Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen"-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden. Daran ändert auch der Einleitungstext nichts, da dieser bereits nicht darüber aufklärt, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden."
Darüber hinaus hatte die Beklagte zahlreiche Social Media- und Analyse-Tools (hier insbesondere: Google Analytics) auf der Webseite eingebunden, informierte in ihrer Datenschutzerklärung aber nicht über den Umstand, dass hier eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorlag. Die Beklagte vertrat den Standpunkt, dass lediglich eine Auftragsdatenverarbeitung gegeben sei.
Auch das beanstandet das LG Rostock:
"Der Kläger hat gegen die Beklagte einen Anspruch auf Unterlassung, dass diese im Falle gemeinsamer Verantwortung für eine Datenverarbeitung nach Art. 26 Abs. 1 S. 1 DSGVO entgegen Art. 26 Abs. 2 S. 2 DSGVO das Wesentliche der Vereinbarung zwischen den gemeinsam für die Verarbeitung Verantwortlichen den Nutzern nicht zur Verfügung zu stellen.
Die Beklagte hat gegen diese Verpflichtung verstoßen, indem sie durch Einbindung von Drittanbietercookies personenbezogene Daten an diese überträgt und die Drittanbieter diese Daten (auch) für eigene Zwecke verarbeiten, wie im Fall der Einbindung des „Google-Analytics"-Cookies des Anbieters Google.
Entgegen der Ansicht der Beklagten handelt es sich insoweit um eine gemeinsame Verantwortung für eine Datenverarbeitung i.S.d. Art. 26 DSGVO und nicht um eine Auftrags Verarbeitung gemäß Art. 28 DSGVO. (...)
Denn Google verarbeitet die Daten nicht allein zum Zwecke der Nutzung durch den Betreiber der Website. Vielmehr behält sich Google, ebenso wie andere Drittanbieter, ausdrücklich die Verarbeitung auch zu eigenen Zwecken vor."
Und weiter:
"Entsprechend haben die Datenschutzbehörden des Bundes und der Länder inzwischen auch eine entsprechende Einschätzung abgegeben. Es ist insoweit auch auf den Beschluss der Datenschutzkonferenz vom 12.05.2020 zu verweisen (...)
Dort heißt es: „Nach Auffassung der Datenschutzaufsichtsbehörden ist die Verarbeitung im Zusammenhang mit Google Analytics keine Auftragsverarbeitung gemäß Art. 28 DSGVO. Nach Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO hat der Verantwortliche die Zwecke und Mittel der Verarbeitung selbst zu bestimmen. Daraus folgt die Pflicht des Auftragsverarbeiters, die Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten (Art. 29 DSGVO).
Beim Einsatz von Google Analytics bestimmt der Website-Betreiber nicht allein über die Zwecke und Mittel der Datenverarbeitung. Diese werden vielmehr zum Teil ausschließlich von Google vorgegeben, sodass Google insoweit selbst verantwortlich ist, und vom Seitenbetreiber vertraglich akzeptiert. Die Verarbeitung beim Einsatz von Google Analytics stellt einen einheitlichen Lebenssachverhalt dar, in dem die verschiedenen Aspekte der Verarbeitung nur als Ganzes einen Sinn ergeben.
Dies hat zur Folge, dass die Beteiligten innerhalb einer Verarbeitungstätigkeit nicht ihre Rolle als Auftragsverarbeiter und/oder Verantwortlicher wechseln können. Zwar bietet Google weiterhin einen Vertrag zur Auftragsverarbeitung an, stellt aber zusätzlich in den „Google Measurement Controller-Controller Data Protection Terms“ klar, dass für bestimmte Verarbeitungsprozesse Google und der Anwender (Website-Betreiber) getrennt verantwortlich seien. Zudem stellt Google in den Nutzungsbedingungen klar, dass Google die Daten für eigene Zwecke, insbesondere auch zum Zweck der Bereitstellung seines Webanalyse- und Trackingdienstes, verarbeite. Gemäß Artikel 28 Abs. 10 DS-GVO handelt es sich bei Google damit nicht mehr um einen Auftragsverarbeiter.
Unter Berücksichtigung der aktuellen Rechtsprechung des EuGH sind Google und der Google-Analytics-Anwender gemeinsam für die Datenverarbeitung verantwortlich, sodass die Anforderungen des Art. 26 DS-GVO zu beachten sind,"
Die Entscheidung ist nicht rechtskräftig.
Anmerkung von RA Dr. Bahr:
Die Entscheidung ist außerordentlich lesenswert. Bereits deshalb, weil sie, soweit ersichtlich, das erste gerichtliche Urteil ist, das sich mit der aktuellen Cookie-Banner-Problematik beschäftigt.
Das Gericht legt an vielen Stellen den Finger tief in die hinlänglich bekannten Wunden und offenbart damit anschaulich, dass die allermeisten Cookie-Banner in Deutschland fehlerhaft und rechtswidrig sind. Es war nur eine Frage der Zeit, bis hierzu ein Gericht sich äußert.
Ebenso bedeutsam und praxisrelevant ist die zweite Konstellation, die das Gericht zu beurteilen hatte: Nämlich, dass beim Einsatz der üblichen websiteübergreifenden Analyse- und/oder Social-Media-Tools (im vorliegenden Fall war es Google Analytics) eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt und keine Auftragsdatenverarbeitung nach Art. 28 DSGVO.
Die Entscheidung dürfte für viel Aufruhr und Aufsehen in der Online-Szene sorgen. Auch wenn das Gericht eigentlich nur die bislang bekannten und überwiegend vertretenen Rechtsauffassungen bestätigt.