Cookie-Banner von Focus Online rechtswidrig
Die Nachrichtenseite Focus Online darf ohne informierte und freiwillige Einwilligung von Nutzerinnen und Nutzern keine Tracking-Cookies einsetzen. Das bisher von der Seite verwendete Cookie-Banner erfüllt die gesetzlichen Anforderungen für eine solche Einwilligung aber bislang nicht. Das hat das Landgericht München I in einem jetzt veröffentlichten Urteil entschieden und damit einer Klage des Verbraucherzentrale Bundesverbands (vzbv) teilweise stattgegeben.
Der vzbv hatte im Jahr 2019 gegen BurdaForward geklagt, eine Tochter des Verlags Hubert Burda Media und Betreiber von Focus Online. Die Klage richtete sich gegen das von Focus Online eingesetzte Cookie-Banner, mit dem die Einwilligung zur “domainübergreifenden Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken” eingeholt werden soll. Die Verbraucherschützer hatten ihre Klage zunächst auf die Datenschutzgrundverordnung gestützt und später auf das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), das am 1. Dezember 2021 in Kraft getreten ist.
140 Seiten Einstellungen
Die Verbraucherschützer monierten, der auf der Seite eingeblendete Dialog lasse Nutzerinnen und Nutzern nur die Wahl, mit einem Klick auf “Akzeptieren” in die Verarbeitung ihrer Daten durch Drittanbieter in vollem Umfang einzuwilligen. Alternativ könne über die Schaltfläche “Einstellungen” eine gesonderte Auswahl getroffen werden. Bei einem Klick auf diese Schaltfläche gelangten die Nutzer zu einem neuen Dialog, der auf mehr als 140 Bildschirmseiten Einstellungen zur Datennutzung durch mehr als 100 Drittunternehmen enthielt.
In diesem Dialog seien die Schaltflächen “Alles akzeptieren” und “Auswahl speichern” deutlich hervorgehoben. Die Option, alle Cookies abzulehnen sei hingegen unscheinbar in der rechten oberen Ecke platziert.
Der Verlag hatte argumentiert, Nutzerinnen und Nutzer hätten die uneingeschränkte Möglichkeit, ihre Einwilligung zu verweigern. Die “Zweistufigkeit” des eingesetzten Cookie-Wahldialogs sei Internetnutzern inzwischen bekannt. Es sei zudem nicht gesetzlich vorgeschrieben, dass Nutzer auf der ersten Ebene eines Cookie-Banners mit einem Klick die Datenverarbeitung ablehnen können.
Keine freiwillige Einwilligung
Das Landgericht München folgte in seiner Entscheidung der Ansicht der Verbraucherschützer, dass die Zustimmung bei Focus Online nicht freiwillig erfolgt – und damit unwirksam ist.
Denn als freiwillig könne die Einwilligung nur betrachtet werden, wenn tatsächlich eine Wahlmöglichkeit bestehe – Nutzer also ohne Nachteile auf ihre Einwilligung verzichten können. Das sei angesichts des Aufbaus des von Focus Online verwendeten Cookie-Dialogs aber nicht der Fall. Dieser sei so gestaltet, dass für Nutzerinnen und Nutzer offensichtlich ist, dass ein Klick auf “Akzeptieren” die schnellste Möglichkeit darstelle, um die Seite zu nutzen. Der Umstand, dass die Seite nicht ohne weitere Interaktion mit dem Auswahldialog genutzt werden kann, spreche gegen eine freiwillige Entscheidung.
Die Richter bemängeln darüber hinaus auch, dass auf der ersten Ebene des Dialogs nur aus dem Fließtext ersichtlich war, dass die Einwilligung abgelehnt werden kann. Der Aufwand zur Ablehnung sei höher, als die Datenverarbeitung zu akzeptieren. Angesichts “der im Internet gerade üblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzer” sei dieser Mehraufwand “nicht unerheblich”. Auch auf der zweiten Ebene des Dialogs werde die Ablehnung der Cookies durch die Gestaltung des Dialogs erschwert.
Der Verlag stützt sich bei seinem Cookie-Banner auf das “Transparency & Consent Framework” (TCF) der Werbeorganisation IAB Europe. Dieses übermittelt Cookie-Einwilligungen an Drittanbieter. Die belgische Datenschutzbehörde hatte es im vergangenen Jahr für unzulässig erklärt und ein Bußgeld von 250.000 Euro gegen die Werbeorganisation verhängt. Aufgrund einer Klage ist die Entscheidung noch nicht rechtskräftig.
Burda hatte im Verfahren die Ansicht vertreten, der vom TCF übermittelte “Consent String” genüge den gesetzlichen Vorgaben und enthalte keine Informationen über von Nutzern verwendete Apps oder Internetseiten. Die Richter stellten hingegen fest, es werde eine personenbezogene Information als Cookie gespeichert, die der domainübergreifenden Nachverfolgung von Nutzern diene. Da auch die IP-Adresse übermittelt werde, sei die die Identifizierung von Nutzerinnen und Nutzern möglich. Burda hatte weiter erklärt, hinsichtlich des TCF keine Gestaltungsmöglichkeiten zu haben. Auch dem folgte das Gericht nicht: Der Verlag sei selbst dafür verantwortlich, eine freiwillige und wirksame Einwilligung einzuholen.
Das Urteil ist noch nicht rechtskräftig. Gegenüber der IT-Nachrichtenseite heise online erklärte Burda, Rechtsmittel einlegen zu wollen.
Die Verbraucherschützer hatten außerdem beantragt, das Unternehmen auch wegen unzureichender Informationen über die beabsichtige Datennutzung und seine Vereinbarungen mit Drittanbietern zu verurteilen. Das Gericht lehnte dies jedoch ab, weil sich derartige Informationspflichten nur aus der Datenschutzgrundverordnung ergeben würden – die Anträge des vzbv sich aber nur auf das Telekommunikation-Telemedien-Datenschutz-Gesetz gestützt hatten. (js)