Unzulässige Cookie Banner: darum wurden jetzt 5 Unternehmen abgemahnt

Ob ein Cookie-Banner nun DSGVO-konform ist oder nicht, ist schon lange nicht mehr Auslegungssache. Im Gegenteil: Spätestens seit der BGH über den Fall Planet49 entschied, gibt es klare Ansagen seitens der Gerichte. Die Verbraucherzentrale Rheinland Pfalz überprüfte nun die Cookie-Banner von 50 Webseiten – und mahnte fünf Unternehmen aus unterschiedlichen Gründen ab.

Das Setzen von Cookies, die nicht notwendig oder funktionell sind, ist nur mit Einwilligung der Nutzer erlaubt. Denn wer Daten zu Marketingzwecken erheben möchte, muss seine Nutzer vorab um Erlaubnis fragen (BGH Urteil vom 28. Mai 2020). Und zwar nicht irgendwie, sondern nach ganz bestimmten Kriterien.

Mehr dazu unter “7 Kriterien einer DSGVO-konformen Einwilligung”.

⚠ Chefkoch.de

Grund der Abmahnung: Hier verdeckte das Cookie-Banner Impressum und Datenschutzerklärung. Zudem wurde Nutzern suggerierte, sie hätten lediglich die Möglichkeit, Cookies zuzustimmen. 

Konsequenz: Das Unternehmen reagierte prompt und sagte in einer außergerichtlichen Einigung bereits eine Änderung zu. Mittlerweile wurde das Banner verbraucherfreundlicher gestaltet.

⚠ Deichmann

Grund der Abmahnung: Auf der Deichmann-Webseite fand sich lediglich ein non-funktionaler Cookie-Hinweis, den Nutzer mit einem Klick auf einen „OK“-Button ausblenden konnten. Zudem gab es weder ein entsprechenden Ablehn-Button, noch granulare Auswahlmöglichkeiten. 

Konsequenz: Nach Erhalt der Abmahnung gestaltete Deichmann den Hinweis entsprechend um.

⚠ Finanztreff & Doodle

Grund der Abmahnung: Beide Webseiten verwendeten auf ihrem Cookie Banner bereits voreingestellte Checkboxen bzw. Schieberegler. Nutzer mussten diese also erst deaktivieren, damit ihre Daten nicht zu Werbezwecken an Dritte weitergegeben werden.  

Konsequenz: Sowohl Finanztreff als auch Doodle gaben die geforderte Unterlassungserklärung ab und gestalteten ihre Cookie Banner entsprechend um.

⚠ Tripadvisor

Grund der Abmahnung: Tripadvisor hatte ein non-funktionales Cookie Banner im Einsatz und deutete die pure Nutzung der Seite als Einwilligung für das Setzen technisch nicht notwendiger Cookies. Weiterscrollen oder das Betätigen einer Schaltfläche bewertete Tripadvisor also als Zustimmung. Bemängelt wurde auch das zu kleine Format des Cookie-Banners, das einige Nutzer möglicherweise ganz darüber hinweg sehen lies.

Konsequenz: Nach einer Abmahnung durch die Verbraucherzentrale gestaltete Tripadvisor sein Cookie-Banner komplett neu.

1. Kein Ablehnen-Button im First Layer

⇨ Die DSGVO fordert, dass die Nutzer Einwilligung freiwillig gegeben werden muss. Das bedeutet, dass der Nutzer immer auch die Möglichkeit muss, über einen Ablehnen-Button der Verwendung seiner Daten zu widersprechen.
Wichtig hierbei: Der Opt-out muss genauso leicht möglich und erreichbar sein, wie der Opt-in. Und: Durch einen Opt-out darf dem Nutzer kein Nachteil entstehen, die Seite muss also nach wie vor genauso für ihn nutzbar sein.

2. Vorab auf Opt-in gesetzte Schieberegler oder Kästchen

⇨ Laut DSGVO gilt: Der Nutzer muss der Verwendung von Marketing Cookies und ähnlichen Technologien aktiv zustimmen. Hier gilt also die Opt-in Pflicht.

Vorab angekreuzte Kästchen, aus denen erst wieder ausgeoptet werden muss, sind also nicht DSGVO-konform und führen nicht zu einer wirksamen Einwilligung. Das bestätigte der BGH im Mai 2020 auch in aller Deutlichkeit in seinem Planet49 Urteil.

3. Keine granulare Auswahlmöglichkeit

⇨ Der Nutzer muss seine Opt-in Entscheidung informiert und granular treffen können. Er muss also die Möglichkeit haben, sämtliche verwendete Cookies und Technologien im Detail einzusehen und granular – also einzeln – auswählen können, wo er zustimmt und wo nicht. Die einfachste Option, dem Nutzer ein derartiges DSGVO-konformes Cookie Banner anzubieten, ist über eine Consent Management Platform (CMP).

4. Implizite Einwilligung durch Weitersurfen

⇨ Non-funktionale Cookie Banner, also Banner bei denen standardmäßig Cookies gesetzt werden und nur eine “Pseudo Consent Abfrage” stattfindet, entsprechen in keinster Weise den Vorgaben der DSGVO für eine gültige Einwilligung. Wird nur ein “OK”-Button angezeigt, widerspricht dies zudem u.a. dem Gebot der Freiwilligkeit, weil keine Auswahlmöglichkeit gegeben wird.

5. Verdecktes Impressum bzw. Datenschutzerklärung

⇨ Egal ob das Cookie Banner in Form einer Wall (auf der Seitenmitte) oder als Banner am unteren Rand dargestellt wird, das Impressum und die Datenschutzerklärung der Webseite dürfen in keinem Fall verdeckt sein. Um auf der sicheren Seite zu sein, bietet es sich an, einen Link zu Impressum und Datenschutzerklärung direkt auf dem Cookie Banner zu platzieren.

Weitere Infos, wie Sie Ihr Cookie Banner korrekt aufsetzen, finden Sie unter: “Best Practice: So implementieren Sie Ihre CMP DSGVO-konform” .

Welche Tricks sie dabei lieber unterlassen sollten, erklären wir hier: “Nutzer Einwilligung einholen: diese 5 Tricks sind nicht DSGVO-konform”