Source: https://datenschutz-generator.de/bgh-cookies-opt-in-faq-checkliste/
Timestamp: 2020-07-05 00:33:29
Document Index: 380543995

Matched Legal Cases: ['BGH', 'BGH', 'EuG', 'EuG', 'EuG', 'BGH', 'BGH', 'EuG', 'BGH', 'EuG', 'EuG', 'EuG', 'BGH', 'BGH', 'EuG', '§ 15', '§ 15', '§ 15', 'BGH', 'EuG', 'BGH', 'BGH', 'BGH', 'EuG', 'Art. 5', 'BGH', '§ 15', 'Art. 4', 'EuG', 'BGH', 'BGH', 'EuG', 'EuG', 'BGH', 'EuG', 'Art. 13', 'EuG', 'EuG', 'EuG', 'BGH', 'Art. 7', 'Art. 7', 'Art. 6', 'Art. 6', 'EuG', '§ 16', 'BGH', 'BGH', 'EuG', 'BGH', 'Art. 25', 'Art. 25', '§ 96', 'BGH', 'BGH', 'BGH', 'Art. 6', 'Art. 7', 'EuG']

BGH-Urteil: Opt-In-Pflicht für Werbe- und Marketing-Cookies (FAQ mit Anleitung und Checkliste) - Datenschutz-Generator.de - DSGVO-Datenschutzerklärung und weitere Vorlagen vom Experten
28. Mai 2020 18. Juni 2020
Hinweis: Auch nach dem Urteil des BGH bleiben viele Einzelheiten unklar und dürften zwischen Unternehmen und den Datenschutzaufsichtsbehörden weiterhin umstritten bleiben. Sie werden nachfolgen auf strittige Ansichten hingewiesen und dementsprechend kann auch den hier vertretenen Ansichten widersprochen werden. Ferner liegen bisher nur eine Pressemitteilung des EuGH und noch keine Urteilsgründe vor (die werden nachgereicht und die FAQ aktualisiert). Die FAQ erscheint jedoch schon jetzt, da viele Websitebetreiber ein Interesse an der rechtlichen Entwicklung bei Cookies haben.
Worum ging es in dem entschiedenen Fall?
Wurde der Fall nicht bereits von dem EuGH entschieden?
Warum war die Opt-In-Pflicht in Deutschland trotz des EuGH-Urteils umstritten?
Welche Auswirkung hat das BGH-Urteil für die Cookie-Nutzung?
Wann sind Cookies für eine Webseite unbedingt erforderlich und einwilligungsfrei?
Sind auch Komfort-Cookies, Webanalyse- oder A/B-Testing unbedingt erforderlich?
Geht es nur um Cookies?
Gilt das Urteil auch für “anonymes Tracking”?
Ist ein Opt-In für die Dienste Matomo, Google Analytics oder das Facebook-Pixel erforderlich?
Muss ich ein Cookie-Opt-In.Banner anbieten, wenn lediglich notwendige Cookies eingesetzt werden?
Wie kann eine wirksame Cookie-Einwilligung eingeholt werden?
Wann ist eine Einwilligung transparent und informiert?
Muss ich einen externen Cookie-Management-Anbieter einsetzen?
Benötige ich neben einem Cookie-Management eine Datenschutzerklärung?
Dürfen Cookies in Gruppen zusammengefasst werden?
Dürfen alle Cookies mit einem Klick bestätigt werden?
Verbietet das Kopplungsverbot verpflichtende Cookie-Einwilligungen?
Gibt es Vorgaben für die Platzierung von Cookie-Bannern?
Wie sollte der Einleitungstext in einem Cookie-Banner aussehen?
Wie müssen die Zustimmungs- und Ablehnungsschaltflächen aussehen?
Wo müssen die Möglichkeiten zu nachträglichen Änderungen der Einwilligung platziert werden?
Wie kann eine Cookie-Einwilligung nachgewiesen werden?
Müssen Cookies auch für eingebettete Inhalte eingeholt werden?
Welche Folgen drohen bei Verstößen gegen die Opt-In-Pflicht
Wie holen die sozialen Netzwerke, z. B. Facebook, die Cookie-Einwilligung ein?
Wird die ePrivacy-Verordnung die Cookie-Nutzung erleichtern?
In dem Fall ging es um die Klage der Verbraucherzentrale Bundesverband (vzbv) gegen das Unternehmen „planet49″, welches im Rahmen von Gewinnspielen Daten für Werbezwecke sammelte.
Vor dem Klick auf die Absende-Schaltfläche des Gewinnspiels fanden die Teilnehmer zwei Kontrollkästchen vor:
ein nicht vorangehaktes Kontrollkästchen mit einer Einwilligung in Werbezusendungen.
ein vorangehaktes Kontrollkästchen, über das sie sich mit dem Einsatz von Cookies unterschiedlicher Anbieter einverstanden erklärten.
Der vzbv fand, dass das Kontrollkästchen für Cookies nicht hätte vorangehakt werden müssen, klagte und bekam vor dem BGH recht.
Der EuGH beantwortet Fragen deutscher Gerichte, wenn sie in letzter Instanz über Fälle auf Grundlage des Europäischen Rechts entscheiden (sog. Vorabentscheidungsverfahren). Damit soll gesichert sein, dass europäisches Recht von Gerichten einheitlich und nicht je Land und Gericht unterschiedlich ausgelegt wird.
Im Fall von “planet49” fragte der BGH daher beim EuGH an, ob eine Opt-In-Pflicht für nicht notwendige Cookies besteht (EuGH, 1.10.2019 – C-673/17 “planet49”). Dies bejahte der EuGH und an dieses Urteil musste sich der BGH halten.
Damit bezog sich die Entscheidungsspielraum des BGH nur auf die Umsetzung der Opt-In-Pflicht in Deutschland.
Die Richtlinie, auf deren Grundlage der EuGH eine Opt-In-Pflicht für Cookies fordert, wurde in Deutschland (je nach Auslegung wahlweise) gar nicht oder wie folgt im § 15 Telemediengesetz (TMG) umgesetzt:
(3) Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. […]
Damit gibt das deutsche Gesetz keine Einwilligungspflicht für Cookies vor (zumindest laut Gesetzeswortlaut bei pseudonymen Cookies). Wie mit diesem Widerspruch zu den Vorgaben umzugehen ist, war umstritten.
Einwilligungspflicht laut Datenschutzbehörden: Datenschutzbehörden hielten § 15 Abs. 3 TMG für nicht anwendbar (bzw. die Cookievorgaben der EU darin ohnehin nicht umgesetzt, respektive halten Sie Cookies nicht für pseudonym) und waren der Ansicht, dass daher für Cookies unmittelbar die DSGVO gelte; da nach der DSGVO eine Opt-Out-Lösung nach nur dann möglich ist, wenn Nutzer vernünftigerweise mit dem Profiling mittels Cookies im konkreten Umfang rechnen müssen und dies bei Onlinemarketing-Tools verneint wird, ist eine Einwilligung lt. den Behörden Pflicht.
Keine Einwilligungspflicht laut Werbewirtschaft: Die Werbewirtschaft meinte, dass entweder § 15 Abs. 3 TMG weiterhin gelte (immerhin hat der Gesetzgeber die Vorschrift nicht aufgehoben) oder, falls die DSGVO unmittelbar gelte, Nutzer mit Profiling zu Werbezwecken heutzutage vernünftigerweise rechnen müssten.
Der BGH folgte weder den Ansichten der Datenschutzbehörden noch der Werbewirtschaft. Vielmehr entschied er, dass der Abschnitt “sofern der Nutzer dem nicht widerspricht” im Lichte der EuGH-Rechtsprechung als “sofern der Nutzer einwilligt” zu verstehen ist. Bzw. mit den Worten des BGH:
Dieses auf einem logischen Umkehrschluss basierendes Verständnis des Gesetzes stößt zwar an die Grenzen des Wortlauts der Vorschrift, aber der BGH nimmt sich als ein letztinstanzliches Gericht diese Freiheit schlicht heraus.
Damit müssen zumindest für Cookies, die der Erstellung von Nutzerprofilen für Zwecke der Werbung und Marktforschung sowie bedarfsgerechten Gestaltung von Telemedien dienen, Einwilligungen der Nutzer eingeholt werden.
Übertragen auf Webseiten entschied der BGH, dem EuGH folgend, dass die bis dato häufig verwendeten Einwilligungsbanner „Wir nutzen Cookies – wenn Sie unsere Webseite weiterhin nutzen, erklären Sie sich mit der Cookie-Nutzung einverstanden” nicht ausreichend sind.
Die Weiternutzung einer Webseite stellt keine klare und zweifelsfreie Einwilligung für den konkreten Fall der Cookie-Nutzung dar.
Cookies dürfen daher erst nach einer ausdrücklichen und informierten Einwilligung auf den Geräten der Nutzer verarbeitet werden, es sei denn, sie sind unbedingt erforderlich oder, was unklar bleibt, sie dienen nicht der Werbung und Marktforschung.
Der Einsatz unbedingt erforderlicher (auch als “notwendig”, bzw. “essentiell” bezeichneter) Cookies, bedarf keiner Einwilligung der Nutzer. Es existiert jedoch kein verbindlicher Katalog notwendiger Cookies.
Die Regelung, wann ein Cookie unbedingt erforderlich ist, lässt sich dem. Art. 5 Abs. 3 der ePrivacy-RL nicht eindeutig entnehmen.
Die Ansichten wann Cookies unbedingt erforderlich sind, reichen von “Nie” bis “Google-Analytics-Cookies sind notwendig, um eine Website wirtschaftlich zu betreiben und damit überhaupt am Leben zu erhalten“. Als hinreichend sicher können die folgenden Cookies als notwendig betrachtet werden:
Hinweis: Wenn von Cookie-Verboten oder Cookie-Urteilen die Rede ist, dann sind damit nur Cookies gemeint, die nicht notwendig sind. Der Grund für diese Verkürzung ist häufig, dass Titel wie “Der BGH fordert ein Opt-In für Cookies, die nicht unbedingt erforderlich sind” sich für Nicht-Juristen schlicht schlecht lesen. Umgekehrt ist es nachvollziehbar, dass auf Genauigkeit bedachte Juristen sich darüber häufig beschweren.
Die genauen Grenzen der Notwendigkeit sind nicht klar. Dabei sollten Sie jedoch bedenken, dass es auf die Sicht der “objektiven Nutzer” ankommt, ob der Cookie-Einsatz unbedingt erforderlich ist.
Komfortfunktionen: Ungewiss (aber m.E. gut vertretbar) ist z.B., ob der Warenkorb nur vorübergehend in einem „Session-Cookie” oder auch nach dem Schließen des Browsers gespeichert werden darf oder ob Design- oder Mediensteuerungs-Cookies unbedingt erforderlich sind (z.B. letzte angeschaute Stelle in einem YouTube-Video).
Marketing, Tracking, Profiling, Conversion-Messung – Cookies, die dazu eingesetzt werden, um Nutzerprofile zu bilden oder deren Verhalten über Webseiten hinweg zu speichern (sei es von Websitebetreibern oder Anbietern der Dienste, wie Google oder Facebook), werden überwiegend nicht als notwendig betrachtet. Zudem dienen sie dem Profiling zu Werbe- und Marketingzwecken im Sinne des § 15 Abs. 3 TMG. Bis es hier keine anders lautende Gerichtsentscheidung gibt, sollten Sie dieser Betrachtung folgen.
Webanalyse, Reichweitenmessung und A/B-Testing – Es lässt sich durchaus argumentieren, dass die bloße Analyse der Besucherströme, für eine ihre Funktionen erfüllende Webseite heutzutage notwendig sind. Allerdings gibt es hier weder Rechtsprechung noch eindeutige Bestätigungen von Datenschutzbehörden. Allerdings denke ich, genauso wie bei Komfortfunktionen, dass das Risiko diese Ansicht zu vertreten, gering ist (d. h. ich rechne nicht, dass Aufsichtsbehörden in derartigen Fällen Bußgelder verhängen würden).
Neben der Notwendigkeit von Cookies, kann man sich auch über die Frage streiten, wann ein “Nutzerprofil” vorliegt. Legt man die DSGVO (Art. 4 Nr. 4 DSGVO) zugrunde, dann ist Profiling:
Ob diese Voraussetzungen bei reiner Webanalyse, die nicht dazu dienen soll auf Nutzer einzuwirken, vorliegt, ist nach der hier vertretenen Ansicht eher fernliegend.
In dem Urteil des EuGH, auf das sich der BGH stützt, wird zwar nur von Cookies gesprochen: “Cookies sind Textdateien, die der Anbieter einer Website auf dem Computer des Nutzers der Website speichert und bei ihrem erneuten Aufruf durch den Nutzer wieder abrufen kann, um die Navigation im Internet oder Transaktionen zu erleichtern oder Informationen über das Nutzerverhalten zu erlangen.”
Allerdings reicht das Urteil nach Ansicht mancher Juristen viel weiter und betrifft alle Technologien, die Daten auf den Geräten der Nutzer speichern und auslesen (z.B. auch sogenannte Fingerprints, Web-Beacons, Tags, Pixels, o.ä.). Zur Vereinfachung spricht man jedoch zusammenfassend von Cookies. Ob diese Ansicht zutreffend ist, lässt sich derzeit nicht sagen.
Die maßgebliche ePrivacy-RL betrifft auch anonyme Daten, was der BGH bestätigt.
Wobei Anonymität und Tracking sich grundsätzlich ausschließen. Schon wenn mit Hilfe der Cookies ein “Schattenprofil” einer Person erstellt wird, die als Zielobjekt für bestimmte Werbung in Frage kommt oder man deren Besuchsverhalten über einen gewissen Zeitraum verfolgen kann, liegt ein Personenbezug vor. Nur wenn das Cookie gelöscht wird, entfällt der Personenbezug und das Cookie wird anonym.
Daher sind die Datenschutzmaßnahmen in der Regel lediglich “pseudonym“, d. h. nicht mit Klardaten wie Namen, verbunden. Pseudonyme Daten sind zwar datenschutzrechtlich vorzuziehen, aber weiterhin personenbezogen.
Um die Notwendigkeit des Cookie-Opt-Ins zu verdeutlichen, habe ich die am häufigsten verwendeten Dienste ausgewählt.
Matomo – Matomo hat den Vorteil, dass die Daten auf dem eigenen Server verarbeitet werden. Matomo kann mit Cookies oder ohne Cookies eingesetzt werden. Ohne Cookies wird nur ein so genannter digitaler Fingerabdruck (“digital Fingerprint”) gespeichert, der alle 24 Stunden geändert wird. Ob dieser Fingerprint wie ein Cookie zu behandeln ist, ist zwar rechtlich nicht geklärt (man kann aber gut vertreten, dass die Cookie-Regelung für den Fingerprint nicht anwendbar ist). Aber unabhängig ob mit oder ohne Cookie, ist die Webanalyse nach Ansicht des Autors als notwendig zu betrachten, bzw. dient sie nicht der Marktforschung, außer sie wird zur Absatzforderung eingesetzt. Ferner dürften die Risiken, zumindest wenn man reine Webanalyse-Cookies ohne Opt-In einsetzt, gering sein (zumal sogar die Datenschutzaufsichtsbehörde Baden-Württemberg bei Matomo auf ein Opt-In verzichten würde). Wenn Sie jedoch auf Nummer Sicher gehen möchten, dann sollten Sie Matomo ohne Cookies einsetzen, wenn Sie auf ein Cookie-Opt-In verzichten möchten.
Google Analytics – Bei Google Analytics kommt es zunächst auf die Einstellungen an. Wenn Sie Universal Analytics nutzen, Analytics Audiences bilden oder eine Verknüpfung mit Ihrem Google Werbekonto besteht, dann ist die Nutzung von Google Analytics auf jeden Fall nicht notwendig. Wenn Sie dagegen Google die Daten nur für Sie verarbeiten lassen (und diese Trennung tatsächlich erfolgt), dann wäre Google Analytics wie Matomo zu betrachten. Zwar ist es ein externer Anbieter, der jedoch mit Abschluss eines Auftragsverarbeitungsvertrages zusagt, die Besucherdaten so zu behandeln, also ob Sie die Verarbeitung selbst durchführen würden. Gehen Sie jedoch davon aus, dass Datenschutzbehörden dies anders sehen werden.
Facebook-Pixel – Da Facebook die Daten der Websitebesucher auch für eigene Werbezwecke nutzt und Nutzerprofile für Werbe- und Marketingzwecke bildet, scheidet eine Notwendigkeit aus und ein Opt-In ist erforderlich.
Hinweis: In unserem Generator für Datensschutzerklärungen bieten wir nunmehr auch einen Hinweis für den Einsatz von Matomo ohne Cookies an.
Wenn Sie lediglich notwendige Cookies einsetzen, dann ist ein Cookie-Opt-In-Banner nicht erforderlich. Es reicht dann ein Hinweis auf den Einsatz von Cookies in der Datenschutzerklärung.
Eine Cookie-Einwilligung kann derzeit praktisch nur mit sogenannten „Cookie-Opt-In-Bannern” eingeholt werden (die anderen Bezeichnungen lauten Einwilligungs-, bzw. Consent-Banner, Cookie Management Tools, etc.). Ebenso kommt eine Einwilligung im Rahmen eines Registrierungsvorgangs in Frage.
Die Einwilligung muss jedoch in allen Fällen ausdrücklich per Klick, am besten auf eine Schaltfläche oder sonst eine Checkbox, erklärt werden. Nicht zulässig ist laut dem EuGH eine Opt-Out-Lösung, in deren Falle die Cookies beim Betreten der Webseite bereits aktiv sind und Nutzer sie deaktivieren müssen. Auch ein vorangehaktes Kontrollkästchen im Rahmen einer Registrierung wäre unzulässig.
Die vom EuGH verlangten Informationen sollten Websitebesuchern am besten schon in den Detailhinweisen des Cookie-Opt-In-Banners bereitgestellt werden.
Geht man vom Urteil des BGH (entsprechend den Vorgaben des EuGH) aus, dann müssen die Nutzer über die folgenden Punkte informiert werden:
Art und Funktionsweise: Die Nutzer müssen wissen, welche Arten von Daten zu welchen Zwecken verarbeitet werden (z.B. IP-Adressen, verhaltens- und interessensbezogene Angaben zu Zwecken von Onlinemarketing, Profiling etc.). Diese Aufklärung kann umfangreich ausfallen, weshalb sie nach meiner Ansicht, zumindest in voller Länge in der Datenschutzerklärung platziert werden kann.
Lebensdauer von Cookies: Die Lebensdauer beträgt bei den meisten Marketingdiensten 24 Monate. Jedoch sollten Sie dies für die von Ihnen eingesetzten Dienstleister prüfen oder sie fragen. Anbieter von Cookie-Opt-In-Tools haben die Lebensdauer für die am häufigsten verwendeten Dienste häufig schon voreingetragen.
Identität der Dienstleister, die die Cookies verarbeiten: D.h., Sie müssen die eingesetzten Dienstleister benennen, im Optimalfall schon im Cookie-Banner und mit Link zu deren Datenschutzerklärung. Sie sollten auch mitteilen, wenn die Cookies nur in Ihrer Verantwortung verarbeitet werden (z.B. bei dem Dienst Matomo).
Anbieter wie in diesem Beispiel “Cookiebot” sollen eingesetzte Cookies automatisch erkennen und aktualisieren. Dies ist vor allem nützlich, wenn die Marketing-Tools häufiger ausgetauscht werden.
Auf dem Markt gibt es viele Anbieter, wie z. B. Cookie-Bot oder Usercentrics. Sie sind in zwei Fällen nützlich:
Sie möchten sich die eigene Technische Umsetzung ersparen: In dem Fall kommen praktisch alle Dienstleister in Frage (die zumindest die nachfolgenden Vorgaben erfüllen).
Sie möchten stets aktuelle Angaben zu den Cookies erhalten und/oder wechseln häufig die eingesetzten Dienste: Wenn Sie sich nicht stets darum kümmern möchten die notwendigen Angaben zu den verwendeten Cookies zusammenzu- und einzutragen, dann sollten Sie Tools nutzen, die sich automatisch aktualisieren.
Wenn Sie z. B. eine Datenschutzerklärung mit unseren Generator erstellen, erhalten die Nutzer eine Beschreibung der Funktionen der jeweiligen Dienste sowie ein Glossar mit den verwendeten Begriffen, wie z. B. “Tracking”, “Zielgruppenbildung” oder “Remarketing”.
Ja, auch neben einem Cookie-Management benötigen Sie eine Datenschutzerklärung. Die Datenschutzerklärung enthält zum einen die Vielzahl weiterer Pflichtinformationen gem. Art. 13-14 DSGVO (z. B. zum Verantwortlichen, Betroffenenrechten (Recht auf Auskunft, Löschung. etc.) und anderen Verarbeitungsverfahren (z. B. Newsletter, Kontaktformular, Videokonferenzen, etc.).
Daneben sollte die Datenschutzerklärung weitere Erläuterungen zu den eingesetzten Cookie-Funktionen und Diensten enthalten. Z. B. Erläuterungen von Begriffen wie Remarketing oder Tracking an sich.
Zu der Frage gibt es keine Urteile, aber ausgehend von dem Gros der europäischen Datenschutzbehörden, reicht die Einwilligung in funktionell zusammengefasste Gruppen von Cookies ein, z. B. “Marketing”, “Webanalyse”, “Mediensteuerung”, etc.
Auch die Datenschutzkonferenz, die für die deutschen Datenschutzbehörden spricht, scheint keine Einwilligung für jeden einzelnen Anbieter zu fordern. In ihrer “Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien” ist von der Einwilligung in “Verarbeitungsvorgänge” unter “Nennung der Akteure” und nicht von Einwilligung für einzelne Akteure die Rede.
Auch der EuGH entschied lediglich, dass die einzelnen Dienste-Anbieter einzeln aufgeführt werden müssen. Zu der Frage, ob die Nutzer eine Einwilligung in jeden einzelnen Dienst abgeben müssen, hat der EuGH keine Entscheidung getroffen.
Bejahung durch den Europäischen Datenschutzausschuss: Die Bündelung mehrerer Dienste ist wohl auch laut dem Europäischen Datenschutzausschuss möglich. Zumindest ausgehend von der der aktuellen “Leitlinie zu Voraussetzungen einer Einwilligung“, nach der die Einwilligung zwar in einzelne Zwecke aufgespalten werden muss, aber die Zusammenfassung mehrerer Anbieter möglich ist (s. Randnummer 66).
Nach derzeitigem Stand darf davon ausgegangen werden, dass eine Zustimmung für alle Cookies ausreichend ist, wenn die eingesetzten Cookies, wie in diesem Beispiel, auch einzeln ausgewählt werden können.
Auch wenn sich diese Aussage wiederholt, gibt es auch hier unterschiedliche Ansichten (was generell für die optische und technische Ausgestaltung der Cookie-Banner gilt).
Nach meiner Ansicht ist eine zusammenfassende Einwilligung zulässig. Zumindest entnehme ich weder dem Urteil des EuGH noch des BGH, dass eine zusammenfassende Einwilligung nicht notwendig ist.
Ich empfehle jedoch, dass die Cookiegruppen (und am besten einzelne Cookies), auch einzeln auswählbar- und abwählbar sind. So ist m. E. der Transparenz und der Forderung nach einer “echten Wahlmöglichkeit” genügt.
Derartige Cookie-Walls können derzeit als zulässig betrachtet werden, wenn eine Alternative ohne Marketing-Cookies angeboten wird und der Preis verhältnismäßig ist (worüber man sich natürlich streiten kann).
Neuerdings kommt es immer häufiger vor, dass Webseiten Nutzern den Zugang zu Webseiten nur dann erlauben, wenn die Nutzer in den Einsatz von Cookies einwilligen (so genannte “Cookie-Wall”). Hierbei darf man sich durchaus fragen, ob eine solche Einwilligung noch freiwillig und damit wirksam ist.
Zwar existiert eine Regelung (Art. 7 Abs. 4 DSGVO), bei der Frage der Freiwilligkeit darauf abstellt, inwieweit eine Einwilligung erforderlich ist. Was darunter zu verstehen ist, streiten sich jedoch die Gelehrten:
Keine Freiwilligkeit bei echter Zwangslage: An der Freiwilligkeit wird es je eher fehlen, je notwendiger die angesteuerten Webseiten für die Besucher sind. Z. B. bei Webseiten von Banken, Versicherungen, Energieversorgern, Behörden, Ärzten, Apotheken, Rechtsanwaltskanzleien oder Loginbereichen, die zuvor ohne Cookies erreicht werden konnten.
Keine wirksame Einwilligung, bei Webseiten die sich (auch) an Minderjährige richten: Einwilligungen von Minderjährigen sind erst ab 16 Jahren zulässig. Die Minderjährigen sollten daher eine Möglichkeit haben die Webseiten Cookiefrei zu nutzen (in solchen Fällen empfehle ich eine spezielle Schaltfläche “Zugang für Personen unter 16“, die verhindert, dass minderjährige Besucher unwirksame Cookie-Einwilligungen abgeben).
Freiwilligkeit bei angemessener Kostenpflicht als Alternative: Als freiwillig wird eine Cookiepflicht betrachtet, wenn Websitebesucher statt der Cookies einen dem “Werbeverlust” angemessenen Betrag für die Cookiefreiheit bezahlen können.
Ein in der Mitte des Bildschirms platziertes Cookie-Opt-In-Banner, kann die Nutzer eher zu einem Opt-In veranlassen, als ein unauffälliges Banner im Fußbereich einer Webseite. Noch wirksamer könnte eine Vorschaltseite mit einem Cookie-Opt-In sein (wobei dies hier natürlich keine verbindlichen Konversions-Ratschläge sind).
Vorgaben gibt es hier jedoch keine. Solange die Nutzer eine Möglichkeit haben, die Einwilligung abzulehnen, sind beide Versionen zulässig.
Achtung: Platzieren Sie die Cookie-Opt-In-Banner so, dass die Links zum Impressum, der Datenschutzerklärung (oder AGB sowie Widerrufsbelehrungshinweisen und anderen Kundeninformationen in Onlineshops) nicht verdeckt werden. Ansonsten können Sie abgemahnt werden. Sie können diese Links natürlich im Cookie-Opt-In-Banner aufnehmen, dann dürfen die auf der Website verdeckt werden.
Der Einleitungstext sollte den Websitebesuchern verdeutlichen, wie das Cookie-Banner funktioniert und wie sie nachträgliche Änderungen vornehmen können, z. B. in einem Onlineshop:
In diesem Beispiel, muss auf zweiter Ebene ein Einstellungsbereich aufgerufen werden, um Marketing-Cookies abzulehnen. Ob dies eine, im Vergleich zu der einfachen Möglichkeit sie anzunehmen, gleichwertige Ablehnungsmöglichkeit ist, wird von manchen Datenschutzbehörden bezweifelt (z. B. befand die dänische Datenschutzbehörde, dass dies keine wirksame Einwilligung sei).
Die Ablehnung der Cookies sollte so einfach sein, wie die Zustimmung. Was das konkret bedeutet, lässt sich am besten anhand der folgenden Beispiele verdeutlichen:
Eindeutige Bezeichnung – Eindeutig zulässig sind Schaltflächen, die Begriffe, wie “Ablehnen” und “Akzeptieren” tragen.
“Nor notwendige Cookies akzeptieren” – Bei vielen Anbietern von Cookie-Management-Tools findet sich statt “Ablehnen“, die Schaltfläche “Nur notwendige Cookies akzeptieren“. Diese Bezeichnung ist zumindest m. E. hinreichend deutlich, da sie letztendlich auf die Rechtslage verweist.
Farbenspiele – Vorsicht sollte bei Leitung der Nutzer mithilfe von Farben angebracht sein. Wer z. B. merkt, dass Nutzer lieber auf eine grüne Schaltfläche klicken und deswegen die “Akzeptieren“-Schaltfläche rot hinterlegt und “Ablehnen” grün, der setzt sich dem Vorwurf aus, die Nutzer bewusst in die Irre zu führen. Wenn dieser Vorwurf von einem Gericht bestätigt werden würde, wäre eine Einwilligung unwirksam (man spricht hier auch von so genannten “Dark Patterns”).
Größe und Form: Die Schaltflächen zum Akzeptieren und Ablehnen sollten nach Möglichkeit gleich groß sein, um als gleichwertig zu gelten.
Ablehnung auf zweiter Ebene – Es existieren Cookie-Opt-In-Banner, bei denen Nutzer nicht mit einem Klick die Zustimmung zum Einsatz von nicht notwendigen Cookies nicht einfach verweigern können. Stattdessen müssen sie eine Detailseite aufrufen, auf der sie die Cookies einzeln abwählen können. Ein derartiges Verfahren ist ebenfalls risikoreich und zumindest in Deutschland ist damit zu rechnen, dass die Aufsichtsbehörden es nicht für ausreichend halten werden.
Nutzer müssen deren Cookie-Einstellungen ändern können (um so insbesondere ihren Widerspruch erklären zu können). Platzieren Sie daher die Möglichkeit, die Einstellungen zu ändern, deutlich. Ich empfehle die Platzierung
in der Datenschutzerklärung und
im Fußbereich Ihrer Webseite.
Ferner sollten Nutzer schon im Cookie-Einwilligungs-Banner darüber belehrt werden, wo sie diese Links finden.
Bei uns auf der Webseite werden Nutzer darauf hingewiesen, dass sie eine Opt-Out-Möglichkeit im Fußbereich der Webseite finden (die Schaltfläche findet sich so auch in den Hinweisen zu Cookies in der Datenschutzerklärung).
Bei der Nachweisbarkeit von Einwilligungen setzen manche Content-Management-Tools auf ein ausgeklügeltes ID-System. In den meisten Fällen wird bei der Zustimmung ein Opt-In-Cookie auf den Geräten der Nutzer gespeichert.
In beiden Fällen sehe ich die Anforderungen an den Nachweis einer Einwilligung durch Nachweis eines funktionsfähigen Cookie-Opt-In-Verfahrens als erfüllt an (Art. 7 Abs. 1 DSGVO).
Hinweis: Die entsprechende Speicherung von IDs und Cookies kann m. E. als unbedingt erforderlich betrachtet werden, so dass eine Einwilligung in den Nachweis der Einwilligung nicht erforderlich ist. Als Rechtsgrundlage ihrer Verarbeitung kommen Art. 6 Abs. 1 S. 1 lit. b., c. oder f. in Betracht, die sich m. E. alle begründen lassen (wobei ich die Verarbeitung als für die Erfüllung des Websitenutzungsvertrages gem. Art. 6 Abs. 1 S. 1 lit. b. DSGVO erforderlich betrachten würde).
Da auch bei eingebetteten Inhalte nicht erforderliche Cookies geladen werden können, empfehlen wir so genannte Inhalts-, bzw. Content-Blocker einzusetzen.
Wenn Sie Dienste einsetzen, die Cookies auf den Geräten der Nutzer platzieren, dann gilt dasselbe, wie für die Webseite. D. h. auch hier müssen die Nutzer eine Einwilligung erklären (das entschied der EuGH im Hinblick auf Social Plugins von Facebook). Die meisten Cookie-Consent-Tools bieten entsprechende Einstellungen.
Wenn Sie keine notwendigen Opt-Ins bereithalten, drohen Ihnen die folgenden Konsequenzen:
Untersagungsverfügungen der Behörden.
Bußgelder (die von Ihrem Umsatz abhängen und zumindest in Deutschland nach einem einheitlichen Verfahren abhängig vom Umsatz berechnet werden sollen und zumindest einen Tagesumsatz betragen sollen).
Abmahnungen (mit Unterlassungsforderungen samt Vertragsstrafen von ca. 2.500 – 5.000 Euro bei Wiederholung) und Schadensersatzforderungen der Nutzer (bisher waren diese eher selten, könnten jedoch nach dem Urteil zunehmen).
Abmahnungen durch klagebefugter Organisationen (z. B. Verbraucherzentralle, Wettbewerbszentrale, etc).
Abmahnungen durch von Mitbewerbern (derzeit ist es noch unklar, ob Mitbewerber Datenschutzverstöße abmahnen können, aber die Tendenz zeigt in diese Richtung).
Angesichts der verbleibenden Unwägbarkeiten wird es in vielen Fällen weiterhin bei einer Risikoabwägung bleiben. Das Risiko sehe ich beim Einsatz reiner Reichweitenmessung ohne Opt-In als vertretbar an, wenn die wirtschaftlichen Vorteile einer auf Nutzerbedürfnisse ausgerichteten Website bei ca. 5.000 – 10.000 Euro liegen (ca. Schätzung eines Risikos).
Dagegen wird das Risiko als hoch zu bezeichnen sein, wenn Cookies zu Marketingzwecken und Profiling ohne Opt-In eingesetzt werden, bzw. die Cookie-Informationen und die Datenschutzerklärung unvollständig sind.
Hinweis zur Unklaren Rechtslage: Allerdings auch im Hinblick auf Bußgelder ist es derzeit unklar, welche Behörde für die Verhängung von Bußgeldern zuständig ist. Was die Höhe angeht, ist zumindest derzeit in Deutschland ein Bußgeld in der Maximalhöhe von 50.000 Euro vorgesehen (§ 16 Abs. 3 TMG). Allerdings gilt dies nur für den Cookie-Einsatz. Zusätzliche Rechtsverstöße nach der DSGVO (z. B. wegen unzureichender Informationen der Nutzer), können daneben anfallen.
Facebook ist der Ansicht, dass die Einwilligung auf Grundlage eines bei der Registrierung geschlossenen Vertrages (“Daten gegen Plattformnutzung”) verarbeitet werden. Das Unternehmen ist damit der Ansicht, keine Einwilligung zu benötigen. Ob dieses Vorgehen eindeutig zulässig ist oder nicht, kann derzeit nicht gesagt werden.
Der Grund ist, dass für Facebook die irische Datenschutzaufsicht zuständig ist, die jedoch eher zaghaft ist, was die Prüfung der örtlich ansässigen EU-Dependancen der US-Unternehmen angeht (zu den Hintergründen s. offenen Brief des NYOB, wobei der Verein sich explizit gegen Facebook stellt und der Brief in dieser Hinsicht nicht objektiv ist).
Die ePrivacy-VO sollte je nach Entwurfsstand sogar die Webanalyse und vor ihrem vorläufigen Scheitern in 2019 sogar Onlinemarketing in Grenzen zulassen. Ob, wann und wie sie in der Zukunft ausgestaltet sein wird, steht jedoch in den sprichwörtlichen Sternen.
Nachfolgend erhalten Sie eine Zusammenfassung der Rechtslage und Tipps zu Umsetzung von Cookie-Opt-Ins
Notwendigkeit eines Opt-Ins: Ein Opt-In wird nicht benötigt, wenn Cookies (aus Nutzersicht) für ein Onlineangebot unbedingt erforderlich, also notwendig sind.
Eindeutig notwendige Cookies: Als notwendig werden z. B. Cookies betrachtet, die sich den Warenkorbinhalt oder den Loginstatus merken.
Komfortfunktionen: Aber schon bei Komfortfunktionen (z. B. Stelle bis zu der ein Video geschaut wurde) gehen die Ansichten auseinander.
Reine Webanalyse: Auch bei reiner Webanalyse (z. B. mit eigenen Tools wie Matomo) ist die Notwendigkeit unklar, liegt jedoch zumindest nach der hier vertretenen Ansicht vor (auch bei Google Analytics mit abgeschalteten Marketingfunktion ließe sich die Ansicht vertreten, wobei Aufsichtsbehörden es anders sehen werden).
Marketing: Bei Tools die Nutzerprofile zu Werebe- und Marketingzwecken erstellen (z. B. Facebook-Pixel), Conversions messen (z. B. Google Analytics bei Verknüpfung mit Werbekonto) ist eine Notwendigkeit nach derzeitigem Standausgeschlossen.
Kopplungsverbot: Opt-In sollte keine Voraussetzung für den Zugang zu einer Website sein. Außer der Zugang ist nicht unbedingt erforderlich und es steht eine cookiefreie Alternative zur Verfügung (auch wenn sie kostenpflichtig sein sollte).
Aktive Zustimmung erforderlich: Eine bloßer Hinweis “wenn Sie unsere Website nutzen, stimmen Sie Cookies zu”, ist nicht ausreichend. Nutzer müssen eine Schaltfläche aktiv klicken. Nach der hier vertretenen Ansicht, ist ein Klick ausreichend, wenn Nutzer auch einzeln Cookiegruppen (und optimal einzelne Anbieter) aus-, bzw. abwählen können (z. B. “Marketing”, “Komfort”, etc.).
Einfache Ablehnung: Die Ablehnung von nicht erforderlichen Cookies sollte per Klick auf die Schaltfläche “Ablehnen” oder “Nur notwendige Cookies akzeptieren” möglich sein.
Hinweis auf Einstellungs-/Widerrufsmöglichkeit: Schon im Cookie-Opt-In-Banner sollten Nutzer darauf hingewiesen werden, wo sie die Einstellungen ändern können (z. B. in der Datenschutzerklärung und im Fußbereich der Webseiten).
Hinweis auf die Datenschutzerklärung: Weisen Sie die Nutzer auf weitere Informationen in der Datenschutzerklärung hin.
Links zum Impressum, Datenschutzerklärung und ggf. AGB nicht verdecken: Es ist im Prinzip egal, wo Sie das Opt-In-Banner platzieren. Wichtig ist, dass Sie die Links mit Pflichtinformationen nicht verdecken (oder Sie nehmen die Links im Cookie-Banner auf).
Detailinformationen: Die folgenden Informationen zu den eingesetzten Cookies sollten am besten schon in einer Detailübersicht im Cookie-Opt-In-Banner vorhanden sein:
Identität der Dienstleister, die die Cookies verarbeiten: Sie müssen die eingesetzten Dienstleister benennen, im Optimalfall schon im Cookie-Banner und mit Link zu deren Datenschutzerklärung. Sie sollten auch mitteilen, wenn die Cookies nur in Ihrer Verantwortung verarbeitet werden (z.B. bei dem Dienst Matomo).
Art und Funktionsweise: Die Nutzer müssen wissen, welche Arten von Daten zu welchen Zwecken verarbeitet werden (z.B. IP-Adressen, verhaltens- und interessensbezogene Angaben zu Zwecken von Onlinemarketing, Profiling etc.). Diese Aufklärung kann umfangreich ausfallen, weshalb sie nach meiner Ansicht, zumindest in voller Länge in der Datenschutzerklärung platziert werden kann. Die Datenschutzerklärung und das Impressum, sollten ohne Beschränkung durch ein Cookie-Banner erreichbar sein (Link zu den beiden am besten im Cookie-Banner platzieren).
Lebensdauer von Cookies: Die Lebensdauer beträgt bei den meisten Marketingdiensten 24 Monate. Jedoch sollten Sie dies für die von Ihnen eingesetzten Dienstleister prüfen oder sie fragen.
Auch nach dem BGH-Urteil bleiben sehr viele Fragen offen, vor allem was das für Nutzer kaum schädliche Reichweitenmessung/ Webanalyse angeht. Wäre die ePrivacy-Verordnung nicht gescheitert, wäre die Webanalyse entsprechend dem früheren Entwurf erlaubt.
So bleibt es weiterhin bei einem Tauziehen zwischen Unternehmen, Websitebetreibern und Datenschutzaufsichtsbehörden. Nach der hier vertretenen Ansicht, ist die reine Reichweitenmessung/ Webanalyse auch ohne Opt-In zulässig, muss jedoch im Einzelfall dem Umfang und den Zwecken nach begutachtet werden.
Im Hinblick auf den eindeurtigen Einsatz von Cookies zu Werbe- und Marketingzwecken (d. h. Profiling, Remarketing, Conversion-Messung), postuliert der BGH, wie schon der EuGH, eine Opt-In-Pflicht. Ob die Masse an Informationen, die den Nutzern dabei bereitgestellt wird tatsächlich sinnvoll ist, darf durchaus bezweifelt werden.
Angesichts der Anzahl der Opt-Ins, die man heutzutage schlicht gedankenlos “wegklickt”, erscheint auch hier eine gesetzliche Regelung statt einzuholender Einwilligungen als weitaus sinnvoller. Es bleibt abzuwarten, ob und wie der deutsche Gesetzgeber die bestehenden Cookie-Regelungen anpassen wird.
11.06.2020 – Hinweise zu Matomo ohne Einsatz von Cookies angepasst; Hinweise zu Bußgeldern um Hinweis auf Unklarheiten zur Zuständigkeit & Höhe angepasst; Antwort auf Frage, ob ein Cookie-Banner auch ohne Cookies erforderlich ist, aufgenommen.
Vermeiden Sie Abmahnungen und Bußgelder mit rechtssicherer DSGVO-Datenschutzerklärung: ✔ mit über 600 aktuellen Modulen, u.a. mit Angaben zu Cookies und Onlinemarketing ✔ testen ohne Anmeldung ✔ kein Abo ✔ nur 99,00 Euro netto (nur für Unternehmen). Grundmodule gratis für Privatpersonen.
Opt-In-Empfehlung für WordPress (für Cookies und eingebundene Inhalte)
Schlagwörter: BGH, cookies, einwilligung, ePrivacy, Fingerprinting, Google Analytics, Matomo, opt-in, Urteil
28. Mai 2020 um 14:18 Uhr
Ich habe eine Frage, weil ich das nicht so explizit herauslesen kann:
Wenn meine Webseite nur essentielle (aus Nutzersicht notwendige) Cookies verwendet, sollte ich da überhaupt irgend eine Art von Banner anzeigen? (Z.B.: “Diese Webseite verwendet Cookies, jedoch nur notwendige. Näheres erfahren Sie in der Link:Datenschutzerklärung.”)
Oder genügt da ein Absatz über die essentiellen Cookies in der Datenschutzerklärung, und ein Banner wäre sogar gefährlich?
28. Mai 2020 um 15:04 Uhr
Wenn nur notwendige Cookies auf einer Website verwendet werden, kann man m.E. auf das Opt-In-Banner ganz verzichten.
28. Mai 2020 um 16:46 Uhr
Ist der Cookie den Cloudflare als CDN setzt ein Technisch Essentieller Cookie ?
ich würde sagen ja, wenn keine cookielose Alternative besteht. Fällt aber in den “kann man so oder so sehen”-Bereich.
28. Mai 2020 um 17:07 Uhr
vielen Dank für den sehr guten und ausführlichen Artikel. Die Opt-In Lösung von Borlabs wird ja für WordPress empfohlen. Auf einigen Webseiten wo diese Lösung verwendet wurde ist mir aufgefallen, dass unter “externen Medien” auch ein Cookie für Google Fonts aufgelistet ist.
Ich erstelle generell komplett Cookie freie Webseiten ohne CMS, jedoch verwende ich einen speziellen Google Font pro Webseite welcher über den Google API Link eingebunden ist. Mir war bisher jedoch nicht bekannt das durch bloße Einbindung des Fonts auch Cookies gespeichert werden. Auch ein kompletter Scan der One-Pager Webseite durch Cookiebot lieferte mir das Ergebnis: Anzahl der verwendeten Cookies 0.
Kann man auf solche Scans vertrauen oder wäre es generell besser die Fonts lokal einzubinden?
Google Fonts kann man meines Erachtens auf Grundlage berechtigter Interessen nutzen und ich wüsste nicht, dass es da (bis auf theoretische Diskussionen, bei denen einen andere Ansicht vertreten kann), je zu praktischen Problemen kann. Ebenso werden dabei m. W. auch keine Cookies gesetzt.
Hasko sagt:
28. Mai 2020 um 18:05 Uhr
Nein, keine Cookies, aber wenn die Google Fonts abgefufen werden, dann wird die IP meines Website-Besuchers an Google übermittelt. Gibt es denn inzwischen einen Konsens dass das ohne Einwilligung erlaubt ist? Kenne ich bisher nicht.
28. Mai 2020 um 18:11 Uhr
Mir ist kein Konsens, d. h. im Sinne einer allgemein vertreten Ansicht, bekannt. Eine IP-Adresse wird jedoch von jedem Browser an Server übermittelt, damit die Inhalte übermittelt werden können. D. h. das alleine begründet noch kein Einwilligungserfordernis.
Prof. Dr. Gerd Stottmeister sagt:
Besten Dank für die umfassende Analyse! 🙂
Zum Thema “Nachweis der Cookie-Einwilligung” vertrete ich bei meinen Mandanten spätestens seit dem 1. Oktober 2019 folgende Ansicht:
Wenn durch technische Einstellungen (geeignetes Cookie-Banner gem. Art. 25 DSGVO, wie im Bericht anschaulich dargestellt) sichergestellt ist, dass Cookies nur gesetzt werden können, wenn vorab aktiv hierzu zugestimmt wurde, ist eine Speicherung der Daten, wer wann wozu zugestimmt hat, nicht erforderlich. Im Gegenteil: Die Speicherung würde nicht mehr dem eigentlichen Zweck des Nachweises dienen. Strenggenommen hätten wir also eine Speicherung personenbezogener Daten ohne Rechtsgrundlage, die dem Postulat der Datenminimierung widerspricht.
29. Mai 2020 um 15:06 Uhr
Das sehe ich genauso. Es sei denn die Opt-In-Cookies würden z. B. von Browsern in default-Einstellungen unterdrückt. Dann würde ich Umstände im Sinne des Art. 25 Abs. 1 DSGVO annehmen, die zu einer Speicherung von IDs (z. B. von digitalen Fingerprints) berechtigen. Mich wundert es aber ohnehin, dass die Browseranbieter nicht längst eine Opt-In-Verwaltung integriert haben.
Danke für Ihre immer bis ins letzte Detail ausgearbeiteten Beiträge.
Da ich in Österreich tätig bin, liegt die Frage nahe, wie dieses Urteil bei uns zu interpretieren ist. Ich kann mir zwar die Antwort fast denken, da das Internet ja keine Grenzen kennt, bin aber trotzdem auf Ihre Antwort gespannt.
29. Mai 2020 um 14:22 Uhr
Aber gerne doch und die Vermutung stimmt, das gilt auch in Österreich, s. § 96 Abs. 3 TKG: https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20002849
29. Mai 2020 um 08:13 Uhr
vielen Dank für diesen tollen Artikel. Ich habe zwei Punkte:
1. Zum Thema Nachweisbarkeit: Aus meiner persönlichen Sicht ist die Speicherung in einem Cookie nicht hilfreich, weil Browser wie Safari & Firefox Cookies nach kurzem Zeitraum automatisiert löschen. Stichwörter sind hier: Intelligent Tracking Protection & Enhanced Tracking Protection.
Sehen Sie es ähnlich, dass die Informationen dann im CMS oder in einer separaten Datenbank vom Betreiber der Webseite gespeichert werden müssen? Wobei sich die Frage stellt, wie das umzusetzen ist, wenn es nicht an die IP gekoppelt werden darf.
2. Wurde im BGH Urteil irgendetwas dazu gesagt, ab wann das gilt bzw. umgesetzt werden muss? Wird es eine Übergangsfrist geben oder müssen alle Webseitenbetreiber das ab sofort umsetzen?
Vielen Dank Ihnen und noch einen schönen Tag!
1. Ich sehe dann nur digitales Fingerprinting mit einer Datenbank als eine (m. E. zulässige) Alternative, da die IP-Adresse sich in der Regel stets ändert.
2. Der BGH hat quasi nur bestätigt, was bereits seit der Umsetzung der Cookie-Richtlinie, also spätestens seit 2011 galt. Also gibt es auch keine Übergangsfrist.
Jan Schulte sagt:
29. Mai 2020 um 13:54 Uhr
> … notwendig[er] … Cookies bedarf keiner Einwilligung der Nutzer.
Das das dann auch, dass man auf die Cookie-Banner komplett verzichten könnte?
Könnte man auf das Banner dann verzichten? Ein Verzicht auf Google-Analytics ist für viele Website gar nicht so schlimm – denn oft werden die Statistiken bei kleineren Firmenwebsites gar nicht benutzt oder bedienen einfach nur die Neugier der Admins; ohne daraus wirkliche Auswirkungen aufs Marketing zu haben.
29. Mai 2020 um 14:19 Uhr
eine Frage zum Aussehen-Abschnitt mit den Hinweisen zu “Farbenspiele” und “Größe und Form” der Banner: der von Ihnen empfohlene und genutzte Banner widerspricht doch eigentlich diesen Vorgaben? D.h. der obige Button in leuchtendem grün, der ja auch die Marketing Cookies einschließt, ist viel prominenter, also größer und auffälliger, als der untere “unscheinbare” blasse Button, der nur die essentiellen Cookies akzeptiert.
Daher verleitet doch der obere Button den Besucher viel mehr da drauf zu klicken, als auf den unteren.
Und war das nicht in einem Urteil als gesetzeswidrig erklärt worden?
Vielen Dank vorab für eine Erklärung.
29. Mai 2020 um 14:51 Uhr
Der BGH hat selbst nichts zu den Schaltflächen(farben) gesagt, die Ausführungen beruhen auf den Aussagen von Aufsichtsbehörden oder Juristen. Als Dark Pattern meine ich eine bewusste Umkehrung entsprechend dem Nutzerverhalten: Wer z. B. merkt, dass Nutzer lieber auf eine grüne Schaltfläche klicken und deswegen die “Akzeptieren”-Schaltfläche rot hinterlegt und “Ablehnen” grün, der setzt sich dem Vorwurf aus, die Nutzer bewusst in die Irre zu führen. Ob diese Ansicht zutreffend ist, kann ich nicht sagen. Ich selbst meine, dass eine Kennzeichnung von “Akzeptieren” mit grün und Ablehnen mit grau in Ordnung ist, aber man kann natürlich auch anderer Ansicht sein. Sorry, derzeit ist keine genauere Antwort möglich.
Vielen Dank für diesen ausführlichen und guten Beitrag!
Leider ist mir aber immer noch nicht klar, wie eigentlich simple Affiliate-Links in diesem Zusammenhang zu sehen sind (wie z.B. der Link im obigen Beitrag auf die Borlabs-Lösung).
Die Webseite, die den Link beinhaltet, setzt ja selber keine Cookies. Dennoch dient der Link der Nachverfolgung (Tracking) der User-Aktivitäten.
Etwas anders (aber auch ohne Cookies) wären z.B. Zählpixel, die z.B. von VG-Wort benutzt werden, um Autoren eine Vergütung für ihre Beitrage zu gewährleisten.
Herr Dr. Schwenke, wie wäre denn Ihre Einschätzung zu diesen beiden Punkten?
Danke für diesen wirklich sehr ausführlichen Artikel.
Eine Frage habe ich noch, die im Artikel nicht geklärt wird. Wie geht man mit Third-Party-Cookies um? Konkretes Beispiel ist Google Adsense. Da werden teilweise von der eingeblendeten Werbung selber Cookies gesetzt. Da die Werbung aber dynmaisch ist, kann ich vorher ja gar nicht wissen, welche Cookies gesetzt werden!?
Dürften demnach nicht Google-Adsense Inhalte erst dann geladen werden, wenn der Nutzer in Cookies für Google-Adsense bzw. in das entsprechende Cookie-Cluster für Werbecookies eingewilligt hat?
Ja, wobei m.E. auch nichtpersonalisierte AdSense-Anzeigen einer Opt-In-Pflicht bedürften, da auch sie Cookies z.B. zur Fraud-Detection oder Frequency-Capping nutzen.(ich freue mich jedoch über Gegenargumente).
Alexander Keiner sagt:
Besten Dank für diese ausgezeichnete Informationssammlung zu diesem Thema.
Trotz umfangreicher Recherche zu dieser Problematik bleibt leider auch hier ein Punkt für mich unbeantwortet. Wenn eine Webseite sowohl einen öffentlichen Bereich als auch einen geschützten Mitgliederbereich hat, der nur nach Registrierung und Akzeptierung der ABG/Datenschutzbestimmungen zugänglich ist, benötigt man für diesen ebenfalls gesonderte Cookie-Informationen oder können diese integrierter Bestandteil der ABG/Datenschutzbestimmungen sein.
In Ihrem Artikel wird in einem Abschnitt in Bezug auf Facebook kurz darauf eingegangen (“Facebook ist der Ansicht, dass die Einwilligung auf Grundlage eines bei der Registrierung geschlossenen Vertrages (“Daten gegen Plattformnutzung”) verarbeitet werden.”). Muss man, wenn man kein übermächtiges Facebook oder ein ähnlich großer “Player” ist, den Zugang für seine zukünftigen Mitglieder so erschweren (zuerst Cookie-Banner und danach Registrierungsmaske ABG/Datenschutzbestimmungen) oder kann man aufgrund seines “berechtigten Interesses” den Mitgliederbereich mit verpflichtender Cookie-Zustimmung betreiben?
Können Sie vielleicht zu diesem Punkt noch eine kurze Einschätzung geben?
3. Juni 2020 um 23:04 Uhr
Leider habe ich hier keine verlässliche Einschätzung, hier ist der Ausgang eines Rechtsstreits offen. M.E. sollte eine vertragliche Regelung möglich sein, wenn sie hinreichend transparent ist, die Cookies funktionell für die Vertragsleistung erforderlich sind (Facebook sagt, dass Cookies deren essentielle Geschäftsgrundlage sind) und das Angebot für die Nutzer nicht so relevant, dass die Nutzer sich innerlich gezwungen fühlen die Cookies zu akzeptieren.
1. Juni 2020 um 09:03 Uhr
Vielen Dank für den umfassenden und sehr guten Artikel! Eine Frage hätte ich noch, da es als Beispiel nicht angesprochen wird: Wie sieht es bei Nutzung von JavaScripts aus: Müssen JavaScripte per default deaktiviert werden oder gibt es dafür keine Veranlassung? In den meisten Fällen wird JavaScript zB bei Formularen (Newsletterformulare) genutzt, was die Handhabung auf der Website vereinfacht.
Auch ich freue mich über eine kurze Rückmeldung! Herzlichen Dank, Katja
Es kommt auf die Funktion der Skripte an. Google Analytics nutzt auch Javascript. Aber generell müssen sie nicht abgeschaltet werden.
Mir stellt sich die Frage, wie mit Affiliate-Links umgegangen werden muss. Es gibt zahlreiche Affiliate-Lösungen, die z.B. als iFrame integriert werden und Cookies setzen (z.B. zum Zwecke des Conversion Trackings). Wenn man seinen Content ausschließlich über Affiliate-Angebote finanziert, kann ich mich dann auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO berufen? Gleiches interessiert mich, wie vom letzten Kommentar angesprochen, für Google AdSense für nicht personalisierte Anzeigen…
Lorena Jurma sagt:
2. Juni 2020 um 07:34 Uhr
Hallo Herr Dr. Schwanke,
wie steht es um Local Storage in diesem Zusammenhang?
Elementor Pro setzt diese Technik ein, seit es eine Popup-Funktion mitbringt. Es werden keine Daten an Dritte weiter gegeben. Die Speicherdauer wird über das Plugin Complianz als “hartnäckig” beschrieben.
Local Storage wird ja vor dem Gesetz ähnlich wie Cookies behandelt. Sie haben ja schon geantwortet, dass – sobald es essenziell wird – ein Consent nicht notwendig ist und das Banner unterbleiben kann.
Gilt das auch für Local Storage?
Vielen Dank übrigens für den großartigen Artikel!
3. Juni 2020 um 22:58 Uhr
Hier muss ich passen, was die konkreten technischen Vorgänge angeht, da ich die Plugins nicht kenne. Aber Lokal Storage ist für sich kein Problem, wenn es zum Betrieb des Angebots notwendig ist. Sofern die Speicherung aber für die Ausgabe der Website mit Hilfe eines Page Builders erforderlich ist, würde ich sie als notwendig betrachten (man darf aber eine andere Ansicht vertreten, wobei ich das Risiko in dieser Konstellation für eher gering halte).
S. Neise sagt:
2. Juni 2020 um 16:02 Uhr
Beim durchlesen kam mir mit Hinblick auf die spiegel.de Lösung sofort der Gedanke – kann man nicht einfach “kostenfreie Seitenutzungsabos” anbieten? Also Nutzer werden getrackt, es sei denn sie registrieren sich (schliessen ein nutzungs-ABO” ab). Wer sich dann einlockt, der wird nicht getrackt. Das könnte dann wirklich jeder so handhaben.
Was mich grundsätzlich sehr wundert – als Gastronom habe ich Hausrecht und kann z.B. Krawattenpflicht o.ä. verlangen. Die Logik macht es schwer vorstellbar, dass man sogar den Content mit Warnhinweisen nicht wirklich verdecken darf. Niemand wird gezwungen eine Seite aufzurufen, demnach erscheint es schon logisch, dass man Nutzer von einer Seite entfernt die sich nicht tracken lassen wollen. Auf welcher Grundlage sind Seitenbetreiber nun gezwungen Nutzer Zugang gewähren zu müssen?
3. Juni 2020 um 22:49 Uhr
Auf Grundlage des Art. 7 Abs. 4 DSGVO, den es so für Gastronomen nicht gibt:
Hallo Herr Dr. Schwenke (Thomas),
meines Erachtens nach gelten alle Informationen und Aussagen auf auch sinngemäß für APPs; auch wenn dort ggf. andere Techniken (also gerade eben keine Cookies) zum Einsatz kommen, gleichwohl jedoch Daten auf dem Endgerät des Nutzer gespeichert und/oder ausgelesen werden um bspw. Tracking und ähnliches auszuführen. Stimmen Sie dieser Aussage grundsätzlich zu oder haben wir hier eine andere Betrachtung zu wählen?
Ja, dem stimme ich zu, die Regelungen zu Opt-In-Pflichten gelten auch für Apps.
Maka Abshilava sagt:
Vielen Dank für die ausführlichen Erläuterungen, Dr. Schwenke!
Haben Sie zufällig auch einen spontanen Hinweis zur Einbindung von Google Maps und Openstreetmap? Kann diese als essenziell betrachtet werden? Wahrscheinlich kommt es darauf an 🙂
Ich erlaube es mir, das etwas umfangreicher zu beantworten:
Wenn dabei Cookies gesetzt werden und die Daten in Nutzerprofilen verarbeitet werden (bei Google Maps ist das m.W. der Fall, bei Openstreetmap weiß ich es nicht) und statt der Map eine Adressangabe ausreichen würde (hier wird es auf die Art des Dienstes und die Nutzererwartung ankommen), dann ist ein Opt-In erforderlich.
Vielen Dank für den super Artikel!!
Angeblich werden bei GoogleMaps keine Cookies mehr gesetzt. Ich bin mir aber ziemlich sicher, dass trotzdem Daten an Google weitergegeben werden. Ist das Opt-In dennoch erforderlich bzw. kann man sicher die Aussage treffen, dass das Opt-In bei GoogleMaps benötigt wird?
Die Antwort hängt davon ab, ob die Aussage betreffend Google Maps zutrifft. Da mir der Verzicht auf die Cookies neu ist, kann ich leider nicht mehr dazu sagen. Gibt es hier eine Quelle?
4. Juni 2020 um 11:14 Uhr
Auch von mir vielen Dank für den ausführlichen Beitrag. Sehr hilfreich!
Hinsichtlich der Google Fonts und Ihrem Eintrag/Kommentar weiter oben vom 28. Mai 2020 um 18:11 Uhr habe ich noch eine Anmerkung. Ja, es stimmt, dass jeder Klick auf einen Link/URL u.a. die IP-Adresse des Aufrufers übermittelt. Die meisten InternetnutzerInnen wissen das auch.
Was aber kein Aufrufer vor dem Klick auf einen solchen Link wissen kann, ist, dass unter der Decke sozusagen das Google-Font-API aufgerufen wird und deshalb gleichzeitig Informationen wie z.B. Spracheinstellungen, IP-Adresse, Version des Browsers, Bildschirmauflösung des Browsers und Name des Browsers automatisch an die Google-Server übertragen werden. Inwieweit diese Daten von Google genutzt oder gespeichert werden, entzieht sich meiner Kenntnis.
Grundsätzlich kann Google aber mit der übermittelten IP-Adresse und der anderen Daten Nutzerprofile erstellen oder ergänzen. Hierüber sollte ein Nutzer informiert werden, bevor er auf einen solchen Link klickt, und damit eine Wahl haben.
Insofern denke ich, dass es empfehlenswert ist, die Google Fonts von dem Server abzurufen, von dem auch die Website kommt, und nicht über das Google-Font-API.
4. Juni 2020 um 12:40 Uhr
Zustimmung, jede Maßnahme, die das Datenschutzrisiko durch Dritte senkt, ist empfehlenswert. Allerdings halte ich die übermittelten Daten und das abstrakte Risiko des Missbrauchs (das praktisch immer und überall besteht), nicht für so gravierend, als dass es das Interesse an dem Abruf der Schriftarten überwiegt. Andere Ansicht ist jedoch vertretbar.
Hallo Hr. Dr. Schwenke,
könnten Sie vielleicht einmal einen Blick auf meine Frage weiter oben werfen (hier: https://datenschutz-generator.de/bgh-cookies-opt-in-faq-checkliste/#comment-9820 ),
bevor sie gänzlich untergeht?
Mir würde es auch helfen, wenn Sie dazu keine Einschätzung abgeben können/wollen.
5. Juni 2020 um 13:06 Uhr
Matomo hat heute eine Version 3.13.6 veröffentlicht, bei der die Cookie-lose Webanalyse (also Fingerprinting) einer Anonymisierung unterzogen wird, bei der sich alle 24h der Fingerprint eines Nutzers durch einen Zufallsfaktor verändert.
Unter https://matomo.org/faq/new-to-piwik/how-do-i-use-matomo-analytics-without-consent-or-cookie-banner/ beschreibt Matomo, wie die Einwilligung in die Webanalyse zu vermeiden sei. Auf welcher juristischen Grundlage diese Aussage erfolgt, erschließt sich mir jedoch nicht.
11. Juni 2020 um 07:36 Uhr
Die Cookie-lose Webanalyse von Matomo scheint nach dem gleichen Prinzip wie bei Etracker (https://www.etracker.com/) zu funktionieren. Dort gibt’s auch keine Opt-In Pflicht mit nervigen Cookie-Tools.
Das Verfahren ist von Datenschutzexperten geprüft und zertifiziert. So dürfte Matomo erst recht grünes Licht haben. Wenn du es selber hostest, ist sogar auch die theoretische Möglichkeit einer Datenzusammenführung unterbunden.
Danke für diesen Artikel! Danke vor allem für die ausführliche und hilfreiche Beantwortung der Fragen!
Ich habe – nach dem Studium etlicher anderer Seiten zum aktuellen Urteil – etliche Stunden damit zugebracht, ein Cookie Opt In Tool zu suchen und mich fast für eins entschieden.
Muss ich wohl gar nicht. Meine Webseiten setzen keinerlei Cookies. Ich habe keine Einbindung von Social Media Button, keine Youtube Videos, kein Google Analytics … Das einzige, was ich habe sind Google Fonts.
Dann müssten Sie nur die Google-Fonts lokal hosten (das ist möglich!), denn sonst triggert der Abruf bei Google ein Tracking.
18. Juni 2020 um 17:59 Uhr
Dass der Abruf von Google Fonts ein Trackingverfahren auslöst, wäre für mich eine neue Information. Könnten Sie mir die Quelle mitteilen?
Sascha E. sagt:
7. Juni 2020 um 11:17 Uhr
ich habe eine Webseite bei Jimdo. Diese habe ich da über den Baukasten erstellt. Auf der Seite werden ja Cookies verwendet. Ich habe nun am Ende jeder Seite ein Link zu den Cookie-Einstellungen und zu den Cookie-Richtlinien hinzugefügt.
Und ich habe die Cookie Richtlinien auf nochmal oben auf der Seite verlinkt. Und auch über die Cookie-Richtlinien kommt man zu den Cookie Einstellungen.
Jetzt meine Frage. Ist das so ausreichend oder muss ich da noch was verändern??
Die Cookie-Richtlinen und Cookie-Einstellungen waren beim bauen der Webseite schon dabei so das ich sie nur noch verlinken musste.
10. Juni 2020 um 08:28 Uhr
Lieber Herr Schwenke
Letztlich geht es aber doch nicht um Cookies alleine, sondern um Tracking. Von daher stellt sich mir die Frage, wann z.B. eine Einbindung von Google Analytics zustimmungspflichtig ist und wann nicht und ob eine cookielose Einbindung von GA den Sacherverhalt ändern würde.
Auch die hier noch offene Frage der Affiliate-Links finde ich spannend.
Zudem würde mich noch interessieren, wie Sie die Aussage von spiegel.de bewerten, dass auf AMP-Seite technisch bedingt keine individuellen Cookie-Einstellungen möglich sind und sich der Bereich damit der Diskussion entzöge.
12. Juni 2020 um 10:57 Uhr
Genau die Frage stellt sich mir sich mir auch: Was unterscheidet denn technisch den Abruf der Google-Fonts von einem Drittserver z.B. vom VG-Wort-Zählpixel?
Am Pixel wird noch eine eindeutige ID von Anbieter und Artikel dranhängen, damit die Abrechnung möglich ist, aber das sind ja Daten des Betreibers. Die übertragenen Daten des Aufrufers müssten doch die gleichen sein.
22. Juni 2020 um 20:43 Uhr
Ich würde das Zählpixel auch als notwendig und genauso wie Google Fonts als nicht einwilligungspflichtig betrachten.
15. Juni 2020 um 06:33 Uhr
herzlichen Dank für den ausführlichen Artikel! Ich habe zwei ergänzende Fragen:
1. Habe ich es richtig verstanden, dass notwendige Cookies bereits mit Aufruf der Seite gesetzt werden dürfen, also bevor ein entsprechendes Hinweisbanner erscheint?
2. Wie bewerten Sie Cookies von Formularplugins und Popup-Plugins, z.Bsp. zur Werbung für Newsletter Optins. Bedürfen diese einer Zustimmung?
15. Juni 2020 um 10:34 Uhr
1. Ja, das ist zutreffend, die Cookies dürfen bereits ohne das Banner gesetzt werden.
2. Dazu müsste ich wissen, welche Funktion die Cookies haben. Wenn sie nur eine technische Funktion im Sinne eines Zwischenspeichers haben, sehe ich hier wenig Schwierigkeiten.
15. Juni 2020 um 12:51 Uhr
Zu 2. Die Cookies steuern z.Bsp., ob und wann das Pop up wieder angezeigt wird, wenn es vom Nutzer geschlossen wurde.
Thomas Borowski sagt:
Der Cookie-Banner von Borlabs, den Sie hier einsetzen, kann doch so eigentlich nicht wirklich rechtskonform sein. Soweit ich es verstehe, müssen Besucher explizit jeglichen nicht-essenziellen Cookies zustimmen, bevor diese gesetzt werden dürfen. Ein pauschaler Klick auf einen Button, mit dem die bereits vorausgewählten Cookies bestätigt werden, reicht ja wohl eben gerade nicht aus.
Beim Borlabs-Banner (und vielen anderen Tools) ist es aber doch de facto genau so: Wenn ich den “Standard-Button” (den grünen) klicke, bestätige ich die Verwendung der voreingestellten Cookies, inkl. der Cookies für Marketing. Die Verwendung von grün sowohl für den Button als auch für die Cookie-Kategorie “Marketing” und die optische Herabsetzung des Buttons, der nur die essenziellen Cookies akzeptiert, kann doch wohl ohne Übertreibung als Dark Pattern bezeichnet werden. Hier wird dem Besucher durch die Farbwahl suggeriert, dass er die für ihn vorteilhafte Auswahl trifft, was aber gerade nicht der Fall ist, denn die weit überwiegende Mehrheit (alle?) Besucher wollen ja eigentlich gerade *nicht* getrackt werden. Zudem baut dieser Ansatz darauf, dass Besucher wie bisher die Cookie-Banner einfach “wegklicken”.
Selbst wenn eine solche Lösung juristisch nicht anfechtbar sein sollte, so haben solche Banner doch zumindest ein “Gschmäckle”. Denn hier wird doch versucht, den Besucher zu einem Klick zu bewegen, den er eigentlich gar nicht tätigen will.
18. Juni 2020 um 18:09 Uhr
Die Ansicht ist selbstverständlich vertretbar, aber was die Bündelung mehrerer Dienste in eine Gruppe (z. B. Marketing), verweise ich auf die aktuelle Leitlinie zu Voraussetzungen einer Einwilligung des Europäischen Datenschutzausschuss, nach der die Einwilligung zwar in einzelne Zwecke aufgespalten werden muss, aber die Zusammenfassung mehrerer Anbieter zulässig ist:
65. With regard to item (i) and (iii), the EDPB notes that in a case where the consent sought is to be relied upon by multiple (joint) controllers or if the data is to be transferred to or processed by other controllers who wish to rely on the original consent, these organisations should all be named.
David Neumann sagt:
Genau zu der letzten Frage würde mich interessieren: Sie haben ja Google Analytics unter die Kategorie “Marketing” gefasst. Müsste der Dienst nicht korrekterweise einer eigene Kategorie “Statistik” zugeordnet werden?
M.E. ist es ausreichend GA unter “Marketing” einzuordnen. Eine zusätzliche Einordnung unter Statistik ist nicht erforderlich. Die Begriffe sind m.E. ehr schwammig, so dass ich ohnehin erkläre, die eingesetzten Tools in der Datenschutzerklärung zu erläutern (was der EuGH im Hinblick auf die Funktionsweise auch verlangt).