Zur zulässigen Gestaltung eines Cookie-Banners

Das Landgericht Rostock entschied am 15.09.2019, dass keine freiwillige Einwilligung in die Datenverarbeitung durch Tracking- und Drittanbieter-Cookies bei einem bereits vorausgefüllten Cookie-Banner vorliege. Hinsichtlich der Verwendung von Drittanbieter-Cookies liege eine gemeinsame Verantwortung für die Datenverarbeitung i.S.d. Art. 26 DSGVO vor.

Wann wird eine wirksame Einwilligung für die Cookie-Setzung gegeben?
Kläger war der Dachverband der deutschen Verbraucherzentralen; Beklagte die Betreiberin eines Anwaltssuchdienstes. Die Beklagte verwendete auf ihrer Internetseite diverse Cookies wie z.B. Google Analytics. Bei Aufruf der Webseite erschien ein Cookie-Banner mit vier bereits vorangekreuzte Kästchen. Durch die Betätigung des „OK“-Buttons konnten die Nutzer der Verwendung von Cookies zustimmen. Über „Details anzeigen“ bestand die Möglichkeit, eine Liste der verwendeten Cookies und deren Zuordnung zu den einzelnen Kategorien „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“ einzusehen. Die Cookies konnten aber nicht gesondert aus- oder abgewählt werden. Der Kläger forderte die Beklagte zur Unterlassung auf, welches diese zurückwies. Sie änderte jedoch das Cookie-Banner und integrierte einen grau unterlegten Button „Nur notwendige Cookies verwenden“ sowie einen grünen „Cookie zulassen“-Button einschließlich eines Reiters „Details zeigen“.

Darlegungs- und Beweislast für Datenverarbeitung
Das Landgericht Rostock entschied, die Beklagte habe die Daten der Nutzer unberechtigt verarbeitet. Denn sie habe personenbezogene Daten wie z.B. die IP-Adresse webseitenübergreifend übertragen. Dies habe die Beklagte zwar bestritten. Allerdings treffe sie die Darlegungs- und Beweislast dafür, dass die Gestaltung der Website datenschutzrechtskonform ist. Dies ergebe sich aus Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO. Dem sei die Beklagte aber nicht ausreichend nachgekommen. Außerdem habe sie selbst in ihrer Datenschutzerklärung beschrieben, dass Cookies zur Verfolgung des Nutzers über mehrere Webseiten und auch zur Identifikation über Besuche und Geräte hinweg dienen.

Opt out nicht gesetzeskonform
Das Landgericht war der Ansicht, eine wirksame Einwilligung sei durch das verwendete Cookie-Banner nicht wirksam erteilt worden. Denn es habe bereits eine Vorauswahl der verwendenden Cookies (sog. Opt-Out) vorgelegen. Dies entspreche aber nach der BGH-Entscheidung vom 28.05.2020 (Cookie-Einwilligung II) nicht den gesetzlichen Anforderungen. Denn danach bemesse sich die Notwendigkeit der Einwilligung nach § 15 Abs. 3 TMG. Diese Regelung sei nach ePrivacy-Richtlinie dahingehend richtlinienkonform auszulegen, dass Werbe- und Marketingcookies nur mit Einwilligung der Nutzer eingesetzt werden dürfen. Dafür bedürfe es einer klaren und umfassenden Information.

Widerholungsgefahr trotz abgeändertem Cookie-Banner
Aufgrund des Rechtsverstoßes bestehe die Vermutung einer Wiederholungsgefahr, so das Gericht. Diese sei auch nicht durch die mittlerweile erfolgte Abänderung des Banners widerlegt. Denn auch das jetzige Cookie-Banner erfülle nicht die Einwilligungsvoraussetzungen. Die Einwilligung habe nach der Cookie II-Entscheidung des BGH durch eine eindeutige bestätigende Handlung zu erfolgen. Mit dieser müsse freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet werden, dass der Nutzer mit der Verarbeitung seiner personenbezogenen Daten einverstanden ist. Dafür müsse Inhalt, Zweck und Tragweite der Erklärung hinreichend konkretisiert sein. Dies sei mit dem verwendeten Cookie-Banner aber nicht möglich. Zwar habe der Nutzer die Chance, sich Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich werde der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen. Resultat sei, dass er den Button ohne vorherige Information über die Details betätigt. Damit wisse der Nutzer aber gerade nicht, welche Tragweite seine Erklärung habe.

Grauer Button nicht ausreichend
Dass der Nutzer beim veränderten Cookie-Banner die Möglichkeit habe, seine Einwilligung auf technisch notwendige Cookies zu beschränken, änderte an der gerichtlichen Beurteilung nichts. Denn dieser Button sei gar nicht als anklickbare Schaltfläche zu erkennen. Zudem trete er neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen“-Button in den Hintergrund. Diese Möglichkeit werde von vielen Nutzern deshalb gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen. Daran ändere auch der Einleitungstext nichts. Denn dieser kläre nicht darüber auf, welche Cookies wie vorbelegt sind und damit, durch welchen Button welche Cookies „aktiviert“ werden.

Gemeinsame Verantwortung mit Google Analytics
Auch habe die Beklagte nicht die wesentliche Vereinbarung mit Google Analytics hinsichtlich einer gemeinsamen Verantwortung für die Datenverarbeitung zur Verfügung gestellt. Durch die Einbindung der Cookies von Google Analytics habe Google die Daten (auch) für eigene Zwecke verarbeitet. Denn der Inhaber der Webseite könne über diese Datenverarbeitung nicht selbst bestimmen. Vielmehr behalte sich Google, ebenso wie andere Drittanbieter, ausdrücklich die Verarbeitung auch zu eigenen Zwecken vor. Google gebe Zwecke und Mittel der Datenverarbeitung zum Teil ausschließlich selbst vor. Damit sei auch Google selbst verantwortlich. Aufgrund dessen liege eine gemeinsame Verantwortung für eine Datenverarbeitung i.S.d. Art. 26 DSGVO vor.

Landgericht Rostock, Urteil vom 15.09.2020, Az. 3 O 762/19