LG Rostock: Vorauswahl von Tracking-Cookies im Cookie-Banner unzulässig

Für das Setzen von Werbe- und Marketing-Cookies ist die Einwilligung des Nutzers erforderlich. Das haben sowohl der EuGH als auch der BGH bereits entschieden. Diese Vorgaben setzte nun das LG Rostock (Urt. v. 15.9.2020 – 3 O 762/19) um. Ein Cookie-Banner, in dem Tracking- und Drittanbieter-Cookies bereits vorausgewählt sind, genügt nicht, um eine wirksame Einwilligung einzuholen.

Auf der Internetplattform advocado wird ein Cookie-Banner angezeigt, bei dem die Ankreuzhäkchen für die Kategorien „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“ bereits vorausgewählt waren. Durch die Betätigung des „OK“-Buttons sollten die Nutzer der Verwendung von Cookies zustimmen. Über „Details anzeigen“ bestand die Möglichkeit, eine Liste der verwendeten Cookies und u.a. deren Zuordnung zu den einzelnen Kategorien einzusehen. Eine gesonderte Aus- oder Abwahlmöglichkeit bestand an dieser Stelle nicht. Unter den auf der Seite verwendeten Cookies befanden sich auch Tracking- und Analysetools wie z.B. Google-Analytics. Der Bundesverband der Verbraucherzentralen (vzbv) mahnte den Betreiber der Plattform wegen dieser Darstellung ab und verlangte Unterlassung. Advocado wies die Abmahnung zurück und änderte das angezeigte Cookie-Banner. Das geänderte Banner sah eine grün hinterlegte Schaltfläche „Cookies zulassen“ und eine hell grau hinterlegte Schaltfläche „Nur notwendige Cookies zulassen vor“. Daneben war ein Link „Details anzeigen“ vorhanden. In diesem waren ebenfalls wieder alle Cookies vorausgewählt. Diese Änderung genügte nach Ansicht des vzbv jedoch noch immer nicht.

Das LG Rostock entschied, dass die Vorauswahl im Cookie-Banner nicht zur Einholung einer wirksamen Einwilligung geeignet war. Eine Opt-out-Möglichkeit genügt nicht. Gleichzeitig stellte das Gericht klar, dass im Cookie-Banner selbst keine Informationen zu Widerrufs- und Widerspruchsrechten der betroffenen Person erforderlich sind. Ein weiterer Punkt betraf den Einsatz von Google Analytics – dessen Einsatz begründe eine gemeinsame Verantwortlichkeit.

Einwilligung war erforderlich

Das Gericht stellte klar, dass die Beklagte personenbezogene Daten unberechtigt verarbeitet habe, da sie keine wirksame Einwilligung der Nutzer eingeholt habe. Sie setze auf ihrer Seite unstreitig Drittanbieter-Cookies ein, deren Verwendung einwilligungsbedürftig seien.

Die Notwendigkeit der Einwilligung ergibt sich aus § 15 Abs. 3 TMG, der angesichts der Regelung in Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG (E-Privacy-Richtlinie) dahin richtlinienkonform auszulegen ist, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen darf (vgl. BGH GRUR 2020, 891 - Cookie-Einwilligung II).

Cookie-Banner war nicht zur Einwilligung geeignet

Das Gericht stellte fest, dass das verwendete Cookie-Banner nicht dazu geeignet war, eine wirksame Einwilligung der Nutzer einzuholen.

Eine wirksame Einwilligung in die hier konkret beanstandete Datenverarbeitung konnten die Nutzer mit dem durch die Beklagte zur Verfügung gestellten Cookie-Banner (Anlage K6) aufgrund der gewählten Vorbelegung - alle Cookies ausgewählt (sog. Opt-Out) - nicht erteilen. Mit der Entscheidung des BGH vom 28.05.2020 zur Notwendigkeit und zur Ausgestaltung der wirksamen Einwilligung bei der Verwendung von Cookies (vgl. BGH GRUR 2020, 891 - Cookie-Einwilligung II) steht fest, dass die durch die Beklagte gewählte Opt-Out-Variante dazu nicht geeignet ist.

Anforderungen an die Einwilligung

Das LG Rostock nannte auch noch einmal die Anforderungen, die an die Einwilligung nach Art. 4 Nr. 11 DSGVO zu stellen sind. Die Einwilligung ist jede freiwillig für den bestimmten Fall in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Das Gericht verwies hierzu noch einmal auf die Entscheidung des BGH.

Nach Art. 4 Nr. 11 der Verordnung (EU) 2016/679 ist Einwilligung jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Nach Erwägungsgrund 32 der Verordnung (EU) 2016/679 sollte die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Für den bestimmten Fall ist eine Einwilligung abgegeben, wenn Inhalt, Zweck und Tragweite der Erklärung hinreichend konkretisiert sind (vgl. BeckOK.DatenschutzR/Schild, 31. Edition [Stand 1. Februar 2020], Art. 4 DS-GVO Rn. 125; Buchner/Kühling in Kühling/Buchner, DS-GVO BDSG, 2. Aufl., Art. 4 DS-GVO Rn. 8).

Änderungen reichten nicht aus

Den bestehenden Verstoß habe die Beklagte mit der Änderung des Banners nicht beseitigt. Das geänderte Banner sah eine grün hinterlegte Schaltfläche „Cookies zulassen“ und eine hell grau hinterlegte Schaltfläche „Nur notwendige Cookies zulassen vor“. Daneben war ein Link „Details anzeigen“ vorhanden. In diesem waren ebenfalls wieder alle Cookies vorausgewählt. Die Voraussetzungen zur Einholung einer wirksamen Einwilligung der Nutzer würden damit noch immer nicht erfüllt. Auch bei dieser Gestaltung seien sämtliche Cookies vorausgewählt und würden durch Betätigung des grün unterlegten „Cookie zulassen“-Buttons aktiviert. Damit entspreche die Gestaltung des Cookie-Banners grundsätzlich der Gestaltung in dem durch den BGH entschiedenen Fall.

Zwar hat der Verbraucher die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich wird der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens scheuen und deshalb den Button ohne vorherige Information über die Details betätigen. Damit weiß der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung hat.

„Nur notwendige Cookies verwenden“ nicht erkennbar

Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hatte, über den Bereich „Nur notwendige Cookies verwenden" seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändere an der Beurteilung nichts. Dieser Button sei gar nicht als anklickbare Schaltfläche und damit als gleichwertige Einwilligungsmöglichkeit zu erkennen.

Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen"-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden. Daran ändert auch der Einleitungstext nichts, da dieser bereits nicht darüber aufklärt, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden.

Information zu Widerrufs- und Widerspruchsrechten im Cookie-Banner nicht erforderlich

Der vzbv vertrat zudem die Ansicht, dass die Nutzer zu Beginn des Nutzungsvorgangs über ihre Widerrufs- und Widerspruchsrechte zu belehren seien und diese Informationen bereits im Cookie-Banner erfolgen müssten. Dieser Ansicht erteilte das Gericht jedoch eine Absage. Die Beklagte hielt die entsprechenden Informationen in ihrer Datenschutzerklärung vor. Dieser Hinweis sei ausreichend. Eine andere Darstellung sei zudem im Hinblick auf den Umfang nicht praktikabel.

Nach Art. 7 Abs. 3 S. 3 DSGVO muss über die Möglichkeit des Widerrufs einer Einwilligung zur Datenverarbeitung informiert werden. Die Datenschutzerklärung der Beklagten enthält in Ziffer 7. diese Information. Soweit der Kläger einwendet, die Information habe im Cookie-Banner selbst erfolgen müssen, so dass ein Verstoß gegen Art. 13 Abs. 2 lit. c) DSGVO vorliege, teilt die Kammer diese Ansicht nicht. Eine solche Verknüpfung ist zur Wahrung der Nutzerrechte nicht notwendig und im Übrigen angesichts des Gesamtumfangs der zu gebenden Informationen auch nicht praktikabel. Zudem erwartet der Nutzer nicht, alle Informationen zum Datenschutz in einem ersten Anzeigefenster zu erhalten, sondern diese übersichtlich zusammengestellt auf einer gesonderten Seite aufrufen zu können. Insofern ist der Hinweis in der Datenschutzerklärung ausreichend.

Google-Analytics begründet gemeinsame Verantwortlichkeit

Zudem entschied das Gericht, dass es sich bei dem Einsatz von Google Analytics um eine gemeinsame Verantwortlichkeit nach Art. 26 Abs. 1 DSGVO handle und nicht um eine Auftragsdatenvereinbarung nach Art. 28 DSGVO. Google verarbeite die übermittelten Daten nicht nur nach den Vorgaben des Websitebetreibers. Hierzu verwies das Gericht sowohl auf die Planet-49-Entscheidung des EuGH als auch auf das Facebook-Fanpage-Urteil und die entsprechende Einschätzung der Datenschutzkonferenz.

Denn Google verarbeitet die Daten nicht allein zum Zwecke der Nutzung durch den Betreiber der Website. Vielmehr behält sich Google, ebenso wie andere Drittanbieter, ausdrücklich die Verarbeitung auch zu eigenen Zwecken vor.

Entsprechend haben die Datenschutzbehörden des Bundes und der Länder inzwischen auch eine entsprechende Einschätzung abgegeben. Es ist insoweit auch auf den Beschluss der Daten-schutzkonferenz vom 12.05.2020 zu verweisen (vgl. www.datenschutzkonferenz-online.de/media/dskb/20200526_beschluss_hinweise_zum_einsatz_von_google_analytics.pdf).

Die Entscheidung des LG Rostock ist noch nicht rechtskräftig.

Fazit

Das Urteil des LG Rostock ist keine Überraschung – es setzt die Rechtsprechung des EuGH und des BGH zur Einwilligung für Cookies zu Werbezwecken und zur Marktforschung um. Die Einwilligungshandlung muss eindeutig erfolgen, bereits vorangekreuzte Kästchen reichen hierfür nicht aus. Diese Anforderung gilt natürlich auch für das Cookie-Banner. Es muss eine Übersicht aller einwilligungsbedürftigen Verarbeitungsvorgänge enthalten sowie eine Möglichkeit, diese zu aktivieren. Eine Opt-out-Möglichkeit stellt keine Einwilligung dar.

Unser Tipp: Eine Lösung, um die Einwilligung in das Setzen von Cookies wirksam einzuholen, bietet der Trusted Shops Consent-Manager.

BCFC/Shutterstock.com