Source: https://cortina-consult.com/cookie-banner-legal-update/
Timestamp: 2020-07-13 15:05:48+00:00

Document:
Cookie Banner datenschutzkonform? Alle aktuellen Details zur Rechtslage!
Cookie Banner – Legal-Update
Die aktuelle Rechtslage rund um das Thema Datenschutz
Wir liefern Ihnen in diesem Beitrag alle Informationen zum Thema Cookie Banner, Cookie Management und dem Einholen einer rechtskonformen Einwilligung. Da sich die Rechtslage zu diesen Themen stetig ändert, informieren wir Sie in einer Update-Timeline über alle Neuigkeiten und relevanten Urteile. So bleiben Sie up to date und können Ihre Website stets rechtskonform gestalten.
Mai 2020: Europäischer Datenschutzausschuss
April 2020: Dänische Datenschutzbehörde
Oktober 2019: Planet 49 – Opt-in Pflicht
Juli 2019: Facebook Like Button
März 2019: Orientierungshilfe der DSK – für Anbieter von Telemedien
Urteil v. 28. Mai 2020 - I ZR 7/16 - Cookie-Einwilligung II - Guidelines on consent, Aktualisierte Vorgaben für die Einwilligung nach Art.6 l 1 lit. a DSGVO
Einwilligung in die Speicherung von Cookies: Am 28. Mai 2020 hat der Zivilsenat des Bundesgerichtshofs (BGH) über die Frage entschieden, welche Anforderungen an die Einwilligung in die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind.
BGH Entscheidung zu Cookies auf Websites
Am 28. Mai 2020 hat der Bundesgerichtshof ein weiteres Cookie-Urteil verkündet. Und das Ergebnis ist im Grunde wenig überraschend: Cookies auf Websites dürfen grundsätzlich nur mit Einwilligung der Nutzer gesetzt werden. Der bloße Hinweis auf ein Widerspruchsrecht (Opt-Out) wird damit eine eindeutige höchstrichterliche Absage erteilt.
Damit sollte nun doch alles geklärt sein, oder? Aber was bedeutet das für die praktischen Umsetzung auf Ihrer Website?
Wie ist eine wirksame Einwilligung der Nutzer einzuholen?
Gelten diese Anforderungen auch für rein funktionale Cookies?
Wie überprüfe ich meine Website auf Rechtskonformität?
Nachrichtendienst Spiegel integriert "Consent" in URL:
Wenn auf die Startseite von Spiegel.de zugegriffen werden möchte, fallen einem 2 Dinge ins Auge: Eine Wall, die den Inhalt der Webseite verdeckt und, bei genauem Hinsehen; das kleine Wörtchen consent, das die Seiten URL anführt.
Bedeutet konkret: Gratis Inhalte nur noch im Tausch gegen Werbung und Tracking des eigenen Surfverhaltens - sofer der User die Einwilligung hierzu erteilt hat.
Ob weitere Unternehmen der Cookie-Thematik eine vergleichbare Aufmerksamkeit schenken werden, bleibt abzuwarten.
Verbot des Nudging und Pflicht der Kategorisierung im ersten Layer
Dänische Aufsichtsbehörde erlässt Entscheidung zum Einholen einer Einwilligung für das Setzen von Cookies:
Grund hierfür ist eine Beschwerde gegen ein Cookie Banner des Dänischen Meteorologischen Instituts (DMI), welches dem Nutzer die Möglichkeit bietet, der Nutzung von Cookies zuzustimmen oder weitere Informationen einzusehen - Jedoch keine direkte Möglichkeit der Ablehnung. Darüber hinaus wird Bannerwerbung über Google Werbenetzwerke geschaltet, wobei personenbezogene Daten mit Google geteilt werden.
Die DMI vertrat dabei die Auffassung, dass alle Auflagen des Urteils Planet49 eingehalten wurden, da die Nutzer der Setzung von Cookies aktiv zustimmen müssen, bevor diese geschaltet werden. Darüber hinaus wäre eine differenzierte Einwilligung möglich, da der Nutzer bestimmten Cookies zustimmen und andere ablehnen könne.
Interessant ist hier die Entscheidung der Aufsichtsbehörde: Denn diese spricht sich gegen die Nudging-Lösung aus, die sich nach dem Planet49 Urteil etabliert hat. Nach Auffassung der Aufsichtsbehörde ist die Cookie-Banner Lösung der DMI somit aus folgenden drei Gründen unwirksam:
1. Keine freiwillige Einwilligung
Die Freiwilligkeit der Einwilligung soll Transparenz für die betroffene Person schaffen. So soll die Person die Kontrolle über die personenbezogenen Daten innehaben.
Ein Indiz für die Freiwilligkeit ist das Prinzip der Granularität. Dies beinhaltet, dass für Verarbeitungsvorgänge, die mehreren Zwecken dienen, separate Einwilligungen eingeholt werden müssen.
Ein „OK“ als Zustimmung zu allen Cookies reiche somit nicht aus. Darüber hinaus sei es nicht ausreichend, die Erfassung personenbezogener Daten für verschiedene Zwecke über die Funktion „Details anzeigen“ einzusehen und zu managen. Dies dürfe nicht einen Klick entfernt sein, sondern müsse mit der ersten Interaktion abzulehnen sein.
2. Keine informierte Einwilligung
Für eine informierte Einwilligung sei es erforderlich, dass die Identität des für die Verarbeitung Verantwortlichen einsehbar ist und über den Zweck der Verarbeitung informiert wird.
In dem Banner des DMI habe die Transparenz nicht ausreichend gewahrt, da nicht Google sondern die Werbenetzwerke von Google (DoubleClick und AdSense) genannt wurden. Diese seien für den Nutzer intransparent, da Sie auf den ersten Blick nicht mit Google in Verbindung gebracht werden können.
3. Verstoß gegen Grundsatz der Transparenz
Es muss ebenso leicht sein, die Einwilligung zur Verarbeitung personenbezogener Daten abzugeben, wie sie zu verweigern.
Durch den „One-Click-Away“-Ansatz kann dies nicht gewährleistet werden, da die Transparenz nicht erfüllt ist.
Darüber hinaus habe die Möglichkeit, keine Einwilligung in die Verarbeitung personenbezogener Daten zu erteilen, nicht den gleichen Kommunikationseffekt. Mit anderen Worten: diese Möglichkeit wird nicht so klar kommuniziert wie die Möglichkeit eine Einwilligung zu erteilen.
Zunächst ist nicht mit unmittelbaren Auswirkungen zu rechnen. Die Entscheidung kann als erstes Anzeichen gesehen werden, in welche Richtung sich die E-Privacy-Verordnung zum Einholen einer Einwilligung entwickeln wird.
Dabei sollte besonderes Augenmerk auf die unterschiedliche Auslegung oder Schwerpunktsetzung bei der Durchsetzung der Datenschutzgrundverordnung gelegt werden. Auch interessant: die Auswirkung auf den Wettbewerb im europäischen Binnenmarkt.
Besuchen Sie www.datenschutzbeauftragter-info.de, um weitere Informationen bezüglich der Entscheidung der dänischen Datenschutzaufsichtsbehörde zu erhalten.
Update - 04. März 2020
Das Oberlandesgericht Hamburg erklärte in einem aktuellen Beschluss (OLG Hamburg, Beschl. v. 10.12.2019 - Az.: 15 U 90/19), dass das Telemediengesetz (TMG) keine Anwendbarkeit neben der DSGVO findet.
Inhalt der Entscheidung war die Frage, ob die Regelungen des §13 Abs. 1 TMG anwendbar sind, oder in Folge einer Normenhierarchie hinter die Anwendbarkeit der DSGVO zurückfallen.
Die Richter entschieden die vorrangige Anwendung der DSGVO. Diese sei abschließend formuliert und nationale Gesetzgeber dürften nicht von dieser abweichen.
Die Auswirkungen dieser Entscheidung: ein wettbewerbsrechtlicher Unterlassungsanspruch könne nicht mehr auf die Verletzung von §13 Abs. 1 TMG gestützt werden.
§13 Abs. 1 TMG benennt die Pflichten des Dienstanbieters, den Nutzer zu Beginn des Nutzungsvorganges über die Art, den Umfang und den Zweck der Erhebung und Verwendung von personenbezogenen Daten aufzuklären.
Update - 24. Februar 2020
Untersagungsverfügungen und Einleitung gerichtlicher Verfahren wegen Nutzung von Google Analytics
Der Landesbeauftrage für den Datenschutz und die Informationssicherheit Rheinland-Pfalz Prof-Kugelmann teilte in einem Newsletter mit, er habe Untersagungsverfügungen gegen Webseiten-Betreiber erlassen, die Google-Analytics und vergleichbare Analyse-Tools eingesetzt haben.
Die Nachricht bezieht sich dabei auf eine Anweisung an Webseitenbetreiber, die aufgrund einer Reihe von Verfahren von der LfDI erlassen wurde. Diese fordert, dass Webseitenbetreiber ihre Webseite insofern ändern, dass die Übermittlung von Nutzerdaten an Dritte ausschließlich auf informierter und audrücklicher Einwilligung der Webseitennutzer basieren darf. Im Fokus steht dabei die Nutzung von Diensten wie Google Analytics oder Google Remarketing.
Reaktion der Webseitenbetreiber
Mehrere Webseitenbetreiber haben sich daraufhin gegen die Entscheidung ausgesprochen, weshalb mehrere gerichtliche Verfahren eingeleitet wurden;
Einer dieser Fälle wurde nun vom Verwaltungsgericht Mainz verabschiedet:
Laut Verwaltungsgericht wurde die Anwendbarkeit des Art. 6 DSGVO auf diese Fallkonstellation bestätigt und die Ausführungen zum überwiegenden Interesse der Nutzer als grundsätzlich überzeugend gewürdigt.
Laut Rechtsanwalt Dr. Bahr haben die Behörden mit diesem Urteil nun eine klare Regelung geschaffen, die verstärkt gegen Webseitenbetreiber vorgeht, die Google Analytics oder andere Remarketing Tools einsetzen.
Dabei bleibe jedoch abzuwarten, wie die ersten gerichtlichen Entscheidungen zu diesem Thema ausfallen werden.
Thema Cookies und Einwilligungen: Auf Grundlage der Entscheidung des EuGH haben sich die deutschen Datenschutzbehörden (Datenschutz ist Ländersache) in einer konzertierten Aktion zu einer Pressemeldnung zum Thema verabredet. Die Meldung aus NRW finden Sie hier bzw. auf der Webseite der Landesdatenschutzbehörde NRW.
Die Stellungnahme des Bundesdatenschutzbeauftragten, Ulrich Kelber, hier.
Kernaussage: Website-Betreiber sollten ihre Website auf Dritt-Inhalte und Tracking-Mechanismen überprüfen. Wer Funktionen nutzt, die eine Einwilligung erfordern, muss entweder die Einwilligung einholen oder die Funktion entfernen.
Cookie Banner - Einwilligungen rechtskonform einholen
Einwilligen, verwalten, dokumentieren – wie ist mit Cookies, Facebook-Pixeln etc. nach den jüngsten EuGH-Urteilen umzugehen? Opt-in- oder Opt-out-Verfahren? Das klären wir in diesem Beitrag.
Die Einholung rechtskonformer Cookie-Einwilligungen und der Begriff Cookie Consent sind seit dem neuen EuGH Urteil in aller Munde. Es geht um die Cookie Einwilligung von Website-Besuchern. Denn das Urteil lautet: Ohne Einwilligung des Users dürfen keine Cookies gefeuert werden. Damit sind Einwilligungs-Tools (statt Ok-Button) nun endgültig Pflicht.
Rechtliche Grundlagen eines Cookie Banners
Sobald eine Website geöffnet wird, die Cookies enthält, muss der Webseitenbetreiber seine Informationspflicht erfüllen und den Nutzer über die verwendeten Cookies und Technologien aufklären und seine Einwilligung einholen. Denn nur so kann eine Webseite DSGVO-konform gestaltet werden.
Um dem Nutzer das Recht auf Information zu gewährleisten und den Richtlinien der DSGVO Folge zu leisten, muss der Webseitenbetreiber offenlegen, welche Cookies und Technologien verwendet werden. Dies geschieht am besten in Form eines Einwilligungs-Banners. Solche Cookie-Banner erscheinen beim Öffnen der Webseite, um den User über die Nutzung von Cookies zu informieren. Auch holen Sie dessen Zustimmung für die Verwendung von Cookies ein oder stellen Auswahlmöglichkeiten für die Verwaltung bereit.
Bedeutung für den Webseitenbetreiber: es dürfen keine Cookies eingesetzt werden, ohne ein ausdrückliches Einverständnis des Nutzers eingeholt zu haben.
Was es dabei zu beachten gibt und wie Sie ein rechtskonformes Cookie-Banner erstellen, erfahren Sie in diesem Artikel.
Oktober 2019: Planet 49 - Opt-in Pflicht
Urteil v.01.10.19 EuGH: C-673/17
Das jüngste EuGH-Urteil vom 01.Oktober 2019 des Europäischen Gerichtshofes (EuGH) zu Cookies beendet eine deutsche Sonderregelung. Cookies dürfen ab sofort nur noch nach ausdrücklicher Zustimmung des Nutzers gespeichert werden.
Welche Arten von Cookies gibt es eigentlich? Und über welche Cookies muss mein Cookie Banner informieren?
Technisch notwenige Cookies Expand
Funktionale Cookies Expand
Funktionale Cookies: ermöglichen dem User einer Website verbesserte und personalisierte Funktionen zu nutzen, zum Beispiel indem der Benutzername oder die Sprachauswahl gespeichert werden; diese Cookies sammeln und speichern ausschließlich anonymisierte Informationen.
Performance Cookies Expand
Marketing- / Third Party-Cookies Expand
Marketing- / Third Party -Cookies werden unter anderem auch von externen Werbeunternehmen verwendet, um zielgruppenorientierte Werbung für die User zu erstellen; die Cookies werden genutzt, um Informationen über den Nutzer zu sammeln.
Generell gilt: Es besteht ein Unterschied zwischen technisch notwendigen Cookies – die ausschließlich für die Funktionstüchtigkeit der Webseite genutzt werden und meist mit dem Schließen des Browsers gelöscht werden und weiterhin nicht einwilligungsbedürftig sind – und anderen Cookies.
Für alle technisch nicht notwendigen Cookies, die personenbezogene Daten übermitteln bzw. verarbeiten, benötigen Webseitenbetreiber vor ihrem Einsatz eine ausdrückliche Einwilligung der Nutzer („Opt-in“). Davon betroffen sind vor allem Analyse-, Social-Media- und Werbe-Cookies - Wenn eine Einwilligung zu diesen nicht notwendigen Cookies fehlt, wird dies als Datenschutzverstoß gewertet.
Haben Sie Ihre Cookies nun in diese Kategorien unterteilt und detektiert, welche Cookies einwilligungsbedürftig sind, ist nun zu klären, welche Anforderungen an eine wirksame und rechtskonforme Einwilligung gestellt sind.
DSGVO und Cookies: 7 Punkte Checkliste
Voreingestellte Einwilligung
Zur Erinnerung: Nach dem EuGH Urteil Planet49 sind Einwilligungen im Sinne der maßgeblichen Richtlinien der EU nicht mehr rechtskräftig, wenn das Cookie Banner voreingestellte Ankreuzfelder beinhaltet, welche der Nutzer zur Verweigerung seiner Einwilligung abwählen muss. Der Nutzer muss also aktiv der Schaltung von Cookies zustimmen.
Auch müssen nun Angaben zur Funktionsdauer der Cookies gemacht werden, und die Informationen gestellt werden, ob Dritte Zugriff auf die Cookies haben.
Auf einen Blick: Was muss beim Cookie Hinweis beachtet werden?
Worauf sollten sich Website-Betreiber einstellen?
Einfache Cookie-Banner erfüllen nicht (mehr) die Anforderungen an eine wirksame Einwilligung. Generell ist die Verwendung jeglicher Cookies in der Datenschutzerklärung der jeweiligen Website aufzuführen.
Darüber hinaus muss für das Setzen technisch nicht notwendiger Cookies die Einwilligung der Nutzer eingeholt werden.
Diese Einwilligung ist nach Ansicht des EuGH nur wirksam, wenn der Nutzer vorab über alle Datenverarbeitungsvorgänge und sämtliche Empfänger seiner Daten ausführlich informiert wurde sowie die Möglichkeit zum Widerspruch gegen alle oder bestimmte Cookies erhält.
Damit sind viele der derzeit kursierenden Cookie-Banner, die nur einen einfachen „Okay-Button“ oder die Möglichkeit des Zuklickens enthalten, nicht ausreichend, weil der Nutzer dem Setzen solcher Cookies nicht widersprechen kann.
Die Anforderungen für die Verwaltung von Cookie-Einwilligungen wird deshalb komplexer. Die Lösung hierfür lautet: CMP (consent management platform).
Ein wirksames Consent-Management-Tool muss demnach dem Nutzer eine Einwilligungsmöglichkeit bieten und darf erst dann Daten übertragen, wenn der Nutzer eingewilligt hat.
Urteil v. 29.07.2019 EugH: C-40/17
Der Europäische Gerichtshof (EuGH) hat am 29. Juli 2019 eine Entscheidung bezüglich der Nutzung des Facebook „Gefällt mir“-Buttons getroffen; gleichzeitig hat sich der EuGH zum Einsatz von Cookies geäußert – und unterstrichen, dass das Ausspielen von Cookies die Einwilligung des User erfordert.
Die drei zentralen Aspekte zusammengefasst und aufs Wesentliche reduziert:
EuGH I
Die ungefragte Übertragung von User-Daten mittels Facebook-Like-Button verstößt gegen Datenschutzrecht.
EuGH II
Der Betreiber einer Website ist – zusammen mit Facebook – verantwortlich für die Datenerverarbeitung; das gilt auch für Datenschutzverstöße bzw. den daraus resultierenden Konsequenzen.
EuGH III
Für Cookies, die zu Tracking- oder Werbezwecken gesetzt werden, ist eine echte Einwilligung der Besucher nötig; ein Cookie-Hinweis-Banner reicht nicht aus.
Das Problem mit dem Facebook-Like Button und Cookie Einwilligungen: Opt-in- oder Opt-out-Verfahren?
Facebook stellt den Betreibern von Fanpages einen Code-Snippet zur Verfügung. Dieser Code kann auf der Website eingebunden werden. Der Like-Button erscheint für den User dann direkt im Frontend bzw. an jeder beliebigen Stelle der Website. So wird dem Website-Besucher die Möglichkeit geboten, die Facebookseite direkt zu liken – ohne Umweg bzw. Weiterleitung.
Was an dieser Stelle erwähnt werden muss: Der implementierte Code sammelt bereits Daten, bevor der User auf “Like” geklickt hat.
Damit werden User-Daten nicht nur unwissentlich, sondern ggf. auch ungewünscht an Dritte weitergegeben. Es kommt hinzu, dass die Verarbeitung der Daten unabhängig davon erfolgt, ob der Besucher ein Facebook-Account hat oder nicht.
Der User hat praktisch keine Möglichkeit, der Datenweitergabe zu widersprechen respektive sie zu unterbinden.
Das Problem mit dem Cookie Banner und der Einwilligung des Users
Oder besser gesagt: Das Problem mit der Einwilligung des Users. Einwilligungen können nämlich grundsätzlich über zwei Wege eingeholt werden: Opt-in oder Opt-out.
Beim Opt-in ist die Checkbox zunächst leer; der Website-Besucher muss seine Einwilligung aktiv durch das Anklicken eines Buttons bzw. das Setzen eines Häkchens erteilen. Beim Opt-out ist das Häkchen in der Box bereits gesetzt bzw. vorausgefüllt – und damit ist die Einwilligung bereits erteilt. Der User einer Website muss aktiv das Häkchen entfernen.
Sehr häufig verwenden die Betreiber von Webshops, eCommerce-Plattformen und Websites diese Opt-out-Verfahren. Davon ausgehend, dass die meisten User möglichst schnell das Online-Angebot nutzen wollen und den OK-Button des Cookie-Banners anklicken würden – ohne den Text gelesen zu haben oder darüber nachzudenken, was sie da gerade tatsächlich ankreuzen.
Für das Ausspielen von Cookies ist eine Einwilligung des Users erforderlich; die bisherige Praxis, Google Analytics, Ads etc. mit dem sogenannten berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) zu legitimieren, ist damit vorbei – und die Zeit der „Cookie-Feigenblätter“ und impliziten Einwilligungen ebenfalls. Aber der Reihe nach bzw. zunächst ein kurzer Cookie-Überblick.
Wie können Sie weiterhin Daten sammeln?
Viele Websitenbetreiber sind auf Tracking- und Marketingcookies angewiesen. Sie verwenden Dienste wie Google Analytics um Informationen über ihre Zielgruppe zu sammeln, ihre Dienste zu verbessern oder weiter mit den Daten zu arbeiten.
Die Betreiber möchten daher ein System benutzen, welches ihnen neben Rechtskonformität auch weiterhin Daten von einer Vielzahl von Nutzern garantiert. Wichtig ist daher, den Cookie-Banner so zu gestalten, dass er nicht nur alle rechtlichen Vorgaben erfüllt, sondern möglichst viele Nutzer zum Klick auf "Akzeptieren" überzeugt.
Außerdem wirken sich große und klobige Einwilligungs-Banner schlecht auf das Design der Seite aus. Ein guter Banner sollte sich also grafisch in die Seite einfügen und nicht das Seitenbild zerstören.
Die Antwort: Permission Marketing
Nach der DSGVO wird eine Rechtsgrundlage benötigt, wenn (personenbezogene) Daten erhoben werden. Eine solche Rechtsgrundlage kann eine Einwilligung des Webseitenbesuchers darstellen.
Also: Liegt eine Einwilligung des Webseitenbesuchers vor, darf der Webseitenbetreiber Marketing und Tracking verwenden. Der Name dafür: Permission Marketing.
Haben Sie die richtige Permission Marketing Strategie gewählt, haben Sie die Möglichkeit,
Ihr Haftungsrisiko zu minimieren (Schutz vor Abmahnungen)
die Reputation Ihres Unternehmens durch aktive Kommunikation zu stärken (Schutz der Datenhoheit der Nutzer)
Ihre Revenue Streams zu sichern, die auf Daten basieren (Schutz Ihrer Werbeperformance)
in eine nachhaltige Datengrundlage zu investieren (erfolgreiche Datenaktivierung und -nutzung)
Somit hat der Webseitenbetreiber trotz rechtlicher Einschränkungen die Möglichkeit, Daten zu erheben und Marketing zu betreiben.
Die Entscheidung dürfte einen massiven Effekt auf die Auslegungen zur datenschutzrechtlichen Verantwortlichkeit, die Erlaubnistatbestände und die Informationspflichten haben.
Für den Betreiber einer Website bedeutet das: Der Einsatz von Cookies ist mein berechtigtes Interesse – unabhängig von der konkreten Funktion des jeweiligen Cookies.
Die Lösung: Ein grafisch frei gestaltbares Banner - Usercentrics
Der ideale Banner sollte also:
Frei gestaltbar sein und nicht an feste Vorgaben gebunden
Detaillierte Ergebnisse liefern, wieviel Prozent der Nutzer den Cookies zustimmen/ablehnen/zum Teil zustimmen
Funktionen wie A/B - Testing anbieten um die Opt-In Rate zu steigern
März 2019: Orientierungshilfe der DSK - für Anbieter von Telemedien

References: Art.6

BGH 
 §13
 §13

§13
 Art. 6
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 

EuGH 

EuGH 

EuGH