Die Datenschutzbehörde Österreich hat sich zur Frage der freiwilligen DSGVO-Einwilligung in die Cookie-Verarbeitung bei dem Besuch einer Webseite geäußert (Beschl. v. 30.11.2018 - Az.: DSB-D122.931/0003-DSB/2018).
Die Entscheidung war bereits Ende letzten Jahres bekannt geworden, nun liegen die schriftlichen Entscheidungsgründe vor.
Das österreichische Online-Portal "Der Standard" bot unter https://www.derstandard.de ein entsprechende Webseite mit täglichen Nachrichten an. Der User konnte das Angebot vollständig kostenlos nutzen, wenn er zuvor einer Cookie-Einwilligung zugestimmt hatte. Diese lautete:
"Ich stimme der Verwendung von Cookies für die Zwecke der Webanalyse und digitaler Werbemaßnahmen zu. Auch wenn ich diese Website weiter nutze, gilt dies als Zustimmung"
Erteilte der Verbraucher keine Einwilligung, so musste er ein kostenpflichtiges Abonnement abschließen. Andernfalls waren ihm die Inhalte nicht zugänglich.
Ein Nutzer beschwerte sich hierüber bei der Datenschutzbehörde und sah einen Verstoß gegen den Grundsatz der Freiwilligkeit der Einwilligung nach der DSGVO.
Die Datenschutzbehörde wies die Beschwerde zurück. Ein Verstoß gegen die DSGVO sei nicht erkennbar:
"Gemäß Art. 7 DSGVO sowie unter Berücksichtigung von Art. 4 Z 11 sowie ErwGr 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl die Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist. Unfreiwillig ist eine Einwilligung dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist.
Die ehemalige Art. 29-Datenschutzgruppe hat sich bereits mit möglichen, die Freiwilligkeit verhindernden Nachteilen auseinandergesetzt und ist zu dem Ergebnis gekommen, dass ein solcher Nachteil dann gegeben ist, wenn das Risiko einer Täuschung, Einschüchterung, Nötigung oder beträchtlicher negativer Folgen besteht. Der Verantwortliche muss nachweisen, dass es möglich ist, die Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden. Ferner sollte der Verantwortliche nachweisen, dass die betroffene Person eine echte oder freie Wahl hatte, ob sie einwilligt oder nicht (vgl. Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/679, WP 259, rev. 01, S. 12; vgl. auch ErwGr 42 DSGVO)."
Nach diesen eher allgemeinen Ausführungen bezieht das Amt dann diese Vorgaben auf den konkret vorliegenden Einzelfall:
"Im vorliegenden Fall ist zunächst zu bemerken, dass die Beschwerdegegnerin in Variante 1 (Einwilligung zur Nutzung der Webpage) solange keine Cookies setzt, bis der Besucher der Webpage eine bewusste Entscheidung getroffen, also eine Einwilligung abgegeben hat, ob er Variante 1 in Anspruch nehmen möchte. Durch Verlinkung im Fenster („Pop-Up“) auf die Datenschutzerklärung und durch eine Aufzählung der im Einsatz befindlichen Cookies („Cookies-Anhang“) entspricht die Beschwerdegegnerin auch der in § 96 Abs. 3 TKG 2003 iVm Art. 5 Abs. 1 lit. a DSGVO geforderten transparenten Informationspflicht und ist auch ein eindeutiger und bestimmter Zweck ersichtlich, wodurch für die betroffene Person eine Kontrolle hinsichtlich der Verarbeitung ihrer Daten sichergestellt ist.
Gibt eine betroffene Person keine Einwilligung ab, so besteht die erste Konsequenz darin, dass diese ein O**-Abo abschließen kann. Dieses O**-Abo ist – wie festgestellt – frei von Werbung, frei von Daten-Tracking und frei von der Setzung von Fremdcookies. Das O**- Abo ist mit einem Preis von 6 Euro monatlich ab dem zweiten Monat auch keine unverhältnismäßig teure Alternative.Die zweite Konsequenz bei Nichtabgabe einer Einwilligung besteht darin, dass die betroffene Person die Webpage der Beschwerdegegnerin nicht in Anspruch nimmt und auf ein alternatives Informationsangebot zurückgreift.
Im Ergebnis liegt in den Konsequenzen bei Nichtabgabe einer Einwilligung bei weitem kein wesentlicher Nachteil vor und ist die betroffene Person mit keinen beträchtlichen
negativen Folgen konfrontiert.Ebenso ist nach der Judikatur der Datenschutzbehörde zu berücksichtigen, dass eine freiwillige Einwilligung dann vorliegen kann, wenn ein bestimmter Verarbeitungsvorgang auch zum erkennbaren Vorteil der betroffenen Person gereicht (vgl. anstelle vieler DSK vom 8. März 2006, DSK 8.3.2006, K178.209/0006-DSK/2006; vgl. dazu auch Kotschy in Brodil (Hrsg), Datenschutz im Arbeitsrecht (2010) 3).
Dies ist im vorliegenden Fall gegeben, da ein Besucher der Webpage nach Abgabe einer Einwilligung vollen Zugang zur Webpage und zu den Dienstleistungen der Beschwerdegegnerin erhält, wobei dieser Zugang – wie festgestellt – auch in keinerlei Weise beschränkt ist und inhaltlich dem Abschluss eines O**-Abos gleichkommt.
Da die Einwilligung, unter Berücksichtigung der Vorgaben nach Art. 4 und 7 DSGVO, freiwillig abgegeben wurde, war nicht mehr darauf einzugehen, ob durch eine etwaig unfreiwillig abgegebene Einwilligung eine Verletzung im Recht auf Geheimhaltung begründet wird."