Bietet eine Webseite einen Cookie-Banner ohne eine einfache Ablehnungsmöglichkeit an, liegt darin eine Datenschutzverletzung (BVerwG Österreich, Urt. v. 31.07.2024 - Az.: W108 2284491-1/15E).
Ein Nutzer beschwerte sich bei der österreichischen Datenschutzbehörde darüber, dass die Cookie-Einstellungen auf der Website eines Medienunternehmens die Möglichkeit, alle Cookies abzulehnen, absichtlich versteckten. Der User musste mehr Schritte unternehmen, um Cookies abzulehnen, als um sie zu akzeptieren.
Die Datenschutzbehörde verlangte daraufhin von der Firma, dass es den Cookie-Banner anpassen und eine gleichwertige Option zur Ablehnung der Cookies anbieten müsse. Dagegen wehrte sich das Unternehmen.
Das BVerwG wies die Beschwerde zurück und bestätigte, dass das Cookie-Banner eine gleichwertige und einfach zugängliche Ablehnungsoption bieten müsse.
Das Gericht entschied, dass das Medienprivileg für journalistische Tätigkeiten hier nicht greife, da die Datennutzung zu Werbezwecken erfolge. Die DSGVO verlange, dass die Einwilligung der Nutzer freiwillig und informiert erfolgen müsse. Wenn das Ablehnen mehr Schritte erfordere als das Akzeptieren, sei die Entscheidungsfreiheit des Nutzers eingeschränkt und widerspreche der DSGVO.
Ein “Ablehnen”-Button auf der ersten Ebene des Banners sei daher notwendig, eine faire und transparente Datenverarbeitung zu ermöglichen:
“Es ist der belangten Behörde auch beizupflichten, wenn sie ausführt, dass daraus folgt, dass für die Nichtabgabe einer Einwilligung bzw. die Schließung des Cookie-Banners ohne Abgabe einer Einwilligung nicht mehr Interaktionen mit dem Cookie-Banner notwendig sein dürfen, als für die Abgabe der Einwilligung. Im vorliegenden Fall ist jedoch für die Erteilung der Einwilligung nur ein Klick erforderlich, wohingegen die Nichtabgabe einer Einwilligung zumindest zwei Klicks erfordert, womit eine solche Gleichwertigkeit nicht gegeben ist, zumal eine sachliche Rechtfertigung für die unterschiedliche Behandlung der Wahlmöglichkeiten von der beschwerdeführenden Partei nicht vorgebracht und auch sonst nicht ersichtlich geworden ist.”
Anmerkung von RA Dr. Bahr:
Die Entscheidung des BVerwG Österreich entspricht auch der überwiegend vertretenen Ansicht in Deutschland, so zuletzt auch das OLG Köln (Urt. v. 19.01.2024 - Az.: 6 U 80/23), vgl. die Kanzlei-News v. 07.02.2024.
Das Urteil zeigt auch, dass die Anforderungen sehr streng sind und bereits ein einzelner zusätzlicher Klick (hier: anstatt einem zwei Klicks) zu einem Rechtsverstoß führen kann.