Cookie-Banner: „Alles ablehnen“ muss so einfach sein wie „Alle akzeptieren“
Cookie-Banner gehören für viele Internetnutzer inzwischen zum Alltag. Ein Urteil des Verwaltungsgerichts Hannover macht deutlich: Webseitenbetreiber dürfen Nutzer nicht gezielt dazu drängen, Cookies zu akzeptieren. Wird eine Schaltfläche „Alle akzeptieren“ angeboten, muss grundsätzlich auch eine gleichwertige Möglichkeit zum Ablehnen vorhanden sein.
„Alle akzeptieren“? Dann auch „Alles ablehnen“
Das Verwaltungsgericht Hannover hat sich mit der Gestaltung eines Cookie-Banners eines Medienunternehmens beschäftigt. Der niedersächsische Datenschutzbeauftragte hatte beanstandet, dass das Ablehnen von Cookies deutlich umständlicher war als das Akzeptieren.
Das Gericht bestätigte wesentliche Kritikpunkte der Datenschutzbehörde. Besonders wichtig für Webseitenbetreiber ist dabei: Wird auf der ersten Ebene des Cookie-Banners eine gut sichtbare Schaltfläche „Alle akzeptieren“ angeboten, muss dort grundsätzlich auch eine entsprechend gut erkennbare Möglichkeit zum „Alles ablehnen“ vorhanden sein.
Es reicht daher nicht aus, das Akzeptieren mit einem Klick zu ermöglichen, während Nutzer für eine Ablehnung zunächst „Einstellungen“ öffnen und sich durch weitere Menüs bewegen müssen.
Warum ist das rechtlich wichtig?
Eine Einwilligung in nicht notwendige Cookies muss nach den datenschutzrechtlichen Vorgaben insbesondere freiwillig, informiert und eindeutig erfolgen.
Wird die Gestaltung eines Cookie-Banners gezielt so gewählt, dass Nutzer leichter zustimmen als ablehnen können, kann die Freiwilligkeit der Einwilligung infrage stehen.
Die Entscheidung für oder gegen Cookies darf nicht durch die Gestaltung des Banners in eine bestimmte Richtung gelenkt werden.
Was war an dem Cookie-Banner problematisch?
Das Gericht betrachtete nicht nur einzelne Schaltflächen, sondern die Gestaltung des Banners insgesamt.
Das Ablehnen von Cookies war deutlich aufwendiger als das Akzeptieren. Hinzu kamen wiederholte Aufforderungen zur Zustimmung sowie Formulierungen, die nach Auffassung des Gerichts missverständlich waren.
Auch wichtige Informationen waren nicht sofort ausreichend erkennbar. Dazu gehörten unter anderem Angaben zu eingebundenen Partnern und Drittdiensten, möglichen Datenübermittlungen in Drittstaaten sowie zum Widerruf einer Einwilligung.
Insgesamt sah das Gericht deshalb keine ausreichend informierte, freiwillige und eindeutige Einwilligung.
Was bedeutet das für eine normale Webseite?
Wichtig ist zunächst: Nicht jede Webseite benötigt automatisch einen Cookie-Banner.
Werden ausschließlich technisch notwendige Cookies oder vergleichbare Technologien eingesetzt, für die keine Einwilligung erforderlich ist, muss hierfür grundsätzlich keine Einwilligung abgefragt werden.
Relevant wird der Cookie-Banner insbesondere dann, wenn Analyse-, Marketing-, Tracking- oder sonstige nicht notwendige Dienste eingesetzt werden, die eine vorherige Einwilligung erfordern.
In diesem Fall sollte der Nutzer bereits auf der ersten Ebene eine echte Wahlmöglichkeit erhalten.
Akzeptieren und Ablehnen sollten gleich einfach erreichbar sein. Gestaltung, Farbe oder zusätzliche Klicks dürfen Nutzer nicht einseitig zur Zustimmung drängen.
Gleichzeitig will die EU weniger Cookie-Banner
Auf den ersten Blick wirkt das Urteil strenger, während die Europäische Union gleichzeitig darüber diskutiert, die Zahl der Cookie-Abfragen zu reduzieren.
Tatsächlich widersprechen sich beide Entwicklungen nicht.
Das Urteil beschäftigt sich vor allem mit der Frage: Wie muss eine Einwilligung gestaltet sein, wenn eine Einwilligung überhaupt erforderlich ist?
Die europäischen Reformbestrebungen setzen dagegen früher an: Sie beschäftigen sich unter anderem mit der Frage, wie unnötige und ständig wiederkehrende Cookie-Abfragen künftig reduziert werden können.
Das gemeinsame Ziel: weniger Klicks, aber echte Wahlfreiheit
Beide Entwicklungen verfolgen letztlich ein ähnliches Ziel: Nutzer sollen nicht ständig mit unnötigen Cookie-Bannern konfrontiert werden. Wenn eine Entscheidung aber erforderlich ist, muss sie tatsächlich freiwillig getroffen werden können.
Für Webseitenbetreiber bedeutet das: Es sollte nicht darum gehen, möglichst viele Einwilligungen einzusammeln. Sinnvoller ist es zunächst zu prüfen, welche Cookies, Analysewerkzeuge und externen Dienste überhaupt erforderlich sind.
Je weniger einwilligungspflichtige Technologien eingesetzt werden, desto einfacher kann auch die Gestaltung der Webseite werden.
Was sollten Webseitenbetreiber jetzt beachten?
Wer einen Cookie-Banner verwendet, sollte insbesondere überprüfen, ob die Ablehnung genauso einfach möglich ist wie die Zustimmung.
Darüber hinaus sollten die verwendeten Dienste transparent dargestellt werden. Nutzer müssen verstehen können, worin sie einwilligen, zu welchen Zwecken Daten verarbeitet werden und wie eine erteilte Einwilligung später widerrufen werden kann.
Fazit
Das Urteil des Verwaltungsgerichts Hannover setzt ein deutliches Zeichen gegen manipulative Cookie-Banner.
Wer Nutzern prominent „Alle akzeptieren“ anbietet, darf die gegenteilige Entscheidung nicht hinter mehreren Menüs verstecken.
Gleichzeitig arbeitet die Europäische Union daran, die Vielzahl wiederkehrender Cookie-Abfragen langfristig zu reduzieren.
Für Webseitenbetreiber gilt deshalb derzeit: Erst prüfen, welche Cookies und Dienste tatsächlich benötigt werden. Ist eine Einwilligung erforderlich, muss die Entscheidung des Nutzers einfach, transparent und freiwillig sein.