Zur zulässigen Gestaltung eines Cookie-Banners

Das Landgericht Rostock entschied am 15.09.2019, dass eine freiwillige Einwilligung in die Datenverarbeitung durch Trackingtools wie Google Analytics bei einem bereits vorausgefüllten Cookie-Banner nicht vorliege.

Wann wird eine wirksame Einwilligung für die Cookie-Setzung gegeben?

Kläger war der Dachverband der deutschen Verbraucherzentralen; Beklagte die Betreiberin der Internetplattform www.advocado.de. Die Beklagte verwendete auf ihrer Internetseite diverse Cookies wie z.B. Google Analytics. Bei Aufruf der Webseite erschien ein Cookie-Banner. Im unteren Teil befanden sich vier bereits vorausgewählte Ankreuzkästchen. Durch die Betätigung des „OK“-Button konnten die Nutzer der Verwendung der Cookies zustimmen. Über „Details anzeigen“ bestand die Möglichkeit, eine Liste der verwendeten Cookies und deren Zuordnung zu den einzelnen Kategorien „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“ einzusehen. Eine gesonderte Aus- oder Abwahlmöglichkeit bestand nicht. Der Kläger forderte die Beklagte zur Unterlassung auf, welches diese zurückwies. Sie änderte jedoch das Cookie-Banner und integrierte einen grau unterlegten Button „Nur notwendige Cookies verwenden“ sowie einen grünen „Cookie Zulassen“-Button einschließlich eines Reiters „Details zeigen“.

DSGVO als Grundlage für die Datenverarbeitung

Das Landgericht Rostock entschied, dem Kläger stehe ein Unterlassungsanspruch zu. Denn es liege keine informierte und freiwillige Einwilligung für die dadurch erfolgende Datenverarbeitung vor. Zwar seien die DSGVO-Regeln aufgrund der nach Art. 95 DSGVO bestehenden Sperrwirkung von Art. 5 Abs. 3 ePrivacy-RL nicht direkt anwendbar. Allerdings ergebe sich der Inhalt der Informations- und Aufklärungspflichten gleichwohl aus den Regelungen der DSGVO. Denn Art. 5 Abs. 3 ePrivacy-RI verweise auf die Datenschutzrichtlinie (RL 95/46/EG), die ihrerseits gemäß Art. 94 Abs. 2 DSGVO als Rechtsfolgenverweisung auf die DSGVO zu verstehen sei. Daher seien vorliegend DSGVO-Normen heranzuziehen.

Datenverarbeitung durch Cookies von Drittanbietern

Die Beklagte habe ohne wirksame Einwilligung unberechtigt personenbezogene Daten durch Übermittlung an Dritte verarbeitet, so das Gericht weiter. Denn sie nutze Drittanbieter-Cookies, welche auf den Endgeräten ablegt werden. Dadurch erfolge eine webseitenübergreifende Übertragung personengebundener Daten, wie z.B. der IP-Adresse. Auch in ihrer Datenschutzerklärung habe die Beklagte beschrieben, dass die Cookies zur Verfolgung des Nutzers über mehrere Webseiten und auch zur Identifikation über Besuche und Geräte hinweg dienen.

Opt out nicht gesetzeskonform

Das Landgericht war der Ansicht, eine wirksame Einwilligung in die Cookie-Verwendung habe über das verwendete Cookie-Banner nicht wirksam erteilt werden können. Die Einwilligung müsse sich nach § 15 Abs. 3 TMG richten. Diese Norm sei gem. Art. 5 Abs. 3 Satz 1 der E-Privacy-Richtlinie richtlinienkonform auszulegen. Danach dürften Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers eingesetzt werden. Das verwendete Cookie-Banner allerdings habe bereits eine Vorauswahl (sog. Opt-Out) getroffen. Dies entspreche nach der BGH-Entscheidung vom 28.05.2020 (vgl. BGH GRUR 2020, 891 – Cookie-Einwilligung II) aber nicht den gesetzlichen Anforderungen.

Späteres detaillierte Auswahl reicht nicht

Aufgrund des Rechtsverstoßes bestehe die Vermutung einer Wiederholungsgefahr, so das Gericht. Dies sei auch nicht durch die erfolgte Abänderung des Banners widerlegt. Auch das mittlerweile von der Beklagten verwendete Cookie-Banner erfülle nicht die Einwilligungs-Voraussetzungen. Eine Einwilligung habe freiwillig zu erfolgen, und zwar durch eine eindeutige bestätigende Handlung. Dafür müsse Inhalt, Zweck und Tragweite der Erklärung hinreichend konkretisiert sein. Dies sei mit dem verwendeten Cookie-Banner aber nicht möglich. Zwar habe der Verbraucher die Möglichkeit, sich Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich werde der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen. Resultat sei, dass er den Button ohne vorherige Information über die Details betätigen werde. Damit wisse der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung habe.

Grauer Button nicht ausreichend

Dass der Nutzer beim veränderten Cookie-Banner die Möglichkeit habe, seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändere an der Beurteilung nichts, so das Gericht weiter. Denn dieser Button sei gar nicht als anklickbare Schaltfläche zu erkennen. Zudem trete er neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen“-Button in den Hintergrund. Diese Möglichkeit werde von vielen Verbrauchern deshalb gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen. Daran ändere auch der Einleitungstext nichts. Denn dieser kläre nicht darüber auf, welche Cookies wie vorbelegt sind und damit, durch welchen Button welche Cookies „aktiviert“ werden.

Landgericht Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19