Cookie Banner

Die für den Nutzer angenehmste Form der Cookie-Einwilligung ist ein Cookie-Banner, das unten oder mittig über der Website eingeblendet wird. Pop-Up-Lösungen könnten durch entsprechende Blocker nicht angezeigt werden, so dass die Website insgesamt nicht richtig dargestellt wird. Eine vorgeschaltete vollflächige Seite irritiert die Nutzer und kann dazu führen, dass sie den Besuch der Seite vorzeitig beenden.

Wenn eine Einwilligung des Nutzers erforderlich ist, muss er bei seinem ersten Webseitenbesuch über ein informatives Cookie-Banner darüber in Kenntnis gesetzt werden, dass die Website durch Cookies personenbezogene Daten erheben will, wozu sie dienen und wohin die Daten übermittelt werden, bevor diese Cookies zum Einsatz kommen.

Er muss der Cookie-Nutzung ausdrücklich und ohne Zwang bzw. Funktionseinschränkungen zustimmen können, und zwar durch eine nicht vorausgefüllte Einwilligungs- bzw. Widerspruchserklärung im Cookie-Banner. Hierfür müssen im Cookie-Banner alle einwilligungsbedürftigen Verarbeitungsvorgänge, deren Funktion bzw. Zweck und alle daran beteiligten Akteure aufgelistet und erklärt werden.

Für jeden Verarbeitungsvorgang personenbezogener Daten und jeden eingebundenen Akteur muss eine gesonderte Einwilligung erteilt werden können.

Cookie-Banner, die nur eine Zustimmung zulassen, die weitere Nutzung der Seite als Zustimmung werten oder vorausgefüllt sind, sind nicht rechtskonform. Auch eine Widerspruchslösung, die erst nach dem Setzen der Cookies greift, entspricht nicht den Vorgaben.

Generell ist die Verwendung jeglicher Cookies in der Datenschutzerklärung der jeweiligen Website aufzuführen. Darüber hinaus muss für das Setzen technisch nicht notwendiger Cookies die Einwilligung der Nutzer eingeholt werden. Schalten Sie einen Cookie-Hinweis und geben Sie dem Website-Benutzer mithilfe eines Cookie-Banners die Möglichkeit, den verwendeten Cookies zuzustimmen oder diese abzulehnen.

Diese Einwilligung ist nach Ansicht der Datenschutzkonferenz (DSK), die sich auf die Informationspflichten gemäß Art.13 DSGVO bezieht, nur wirksam, wenn der Nutzer vorab über alle Datenverarbeitungsvorgänge und sämtliche Empfänger seiner Daten ausführlich informiert wurde sowie die Möglichkeit zum Widerspruch gegen alle oder bestimmte Cookies erhält.

Damit sind viele der derzeit kursierenden Cookie Banner, die nur einen einfachen „Okay-Button“ oder die Möglichkeit des Zuklickens enthalten, nicht ausreichend, weil der Nutzer dem Setzen solcher Cookies nicht widersprechen kann. Außerdem können nur jene Websitebetreiber sämtliche Empfänger der Daten offenlegen, die die Nutzerdaten ausschließlich auf ihrer eigenen Website verarbeiten.

Sobald ein Analysetool genutzt wird, das die Daten extern auswertet, ist es dem Websitebetreiber nicht mehr möglich, nachzuvollziehen und zu dokumentieren, wohin die Daten seiner Besucher übermittelt werden (siehe Nutzung von Analysetools von Drittanbietern).

Besonders kritisch müssen Websitebetreiber künftig externe Analysetools und statistische Hilfsmittel von Dritten betrachten. Bei diesen Verfahren werden die Auswertungen nicht lokal auf dem Server des Betreibers durchgeführt, sondern die etwa durch Cookies erhobenen Daten gehen ohne Einflussmöglichkeiten des Betreibers zur Auswertung an Server des Toolanbieters, oft auch im Ausland.

Durch den Transfer kann der Websitebetreiber nicht mehr einsehen und offenlegen, wer Einsicht in die Daten hat und inwiefern sie Websiteübergreifend zu Nutzerprofilen zusammengeführt werden, und auch der Nutzer erhält keine Möglichkeit, der Weitergabe zu widersprechen. Die Nutzung solcher Tools wie beispielsweise Google Adsense, Google Ad Manager, Google Analytics, DoubleClick oder Facebook Custom Audience dürfte also unzulässig sein, weil es mildere Mittel gibt.

Websitebetreiber sind aufgefordert, datensparsam arbeitende lokal arbeitende Analysetools auf dem eigenen Server zu installieren und Logfiles zu analysieren, um den Datenschutz zu gewährleisten bzw. die unkontrollierbare Datenweitergabe in Länder außerhalb der EU zu unterlassen.

Unternehmen mit Sitz in der EU / EEA müssen DSGVO-konform sein und die oben beschriebenen Regeln für die Verwendung von Cookies und ähnlichen Technologien einhalten.

Allerdings müssen nach Art. 3 (2b) DSGVO im Allgemeinen alle Websites weltweit die DSGVO einhalten, wenn Tracking oder Profiling Technologien auf EU-Nutzer angewendet werden. Alle Unternehmen weltweit, die solche Technologien einsetzen, benötigen eine Lösung für das Einwilligungsmanagement – entweder um die DSGVO-Richtlinien einzuhalten oder um EU/EWR-Nutzer zu blockieren und sich von der DSGVO fernzuhalten.

Die Überprüfung möglicher CMP-Anbieter und die Umsetzung einer solchen Lösung wird auch im Hinblick auf die ePrivacy-Verordnung der richtige Schritt sein.

Achten Sie bei der Verwendung von Cookie-Management-Lösungen durch Content-Management-Systeme (CMS) wie WordPress, Joomla, Drupal oder TYPO3 darauf, dass Sie Ihr Cookie-Banner wirklich konform zu den Datenschutzverordnungen und Gesetzen implementieren. Dies erfordert ständige Auditierung, da die Rechtslage komplex ist und sich ständig verändert.

Wenn Ihre Website keine Opt-In Möglichkeiten für den User beinhalten, können Ihnen folgende Konsequenzen drohen: Untersagungsverfügungen der Behörden.

Bußgelder (die von Ihrem Umsatz abhängen und zumindest in Deutschland nach einem einheitlichen Verfahren abhängig vom Umsatz berechnet werden sollen und zumindest einen Tagesumsatz betragen sollen).

Abmahnungen (mit Unterlassungsforderungen samt Vertragsstrafen von ca. 2.500 – 5.000 Euro bei Wiederholung) und Schadensersatzforderungen der Nutzer (bisher waren diese eher selten, könnten jedoch nach dem Urteil zunehmen).

Abmahnungen durch klagebefugter Organisationen (z. B. Verbraucherzentralle, Wettbewerbszentrale, etc).

Abmahnungen durch von Mitbewerbern (derzeit ist es noch unklar, ob Mitbewerber Datenschutzverstöße abmahnen können, aber die Tendenz zeigt in diese Richtung).

Um ein Cookie Banner sicher und rechtskonform auf einer Website zu implementieren, muss der Websitebetreiber dieses Cookie Banner auch in seiner Datenschutzerklärung aufführen.

Die Datenschutzerklärung dient dann dazu, dem Nutzer detailliert aufzuzeigen, was nach der Speicherung mit den Daten passieren wird. Auch muss dem Websitebesucher hier aufgezeigt werden, wer auf die erhobenen Daten Zugriff hat und für welche Zwecke die Daten verwendet werden.

Daraus folgt: ein alleinstehendes Cookie Banner ohne dazugehörige Datenschutzerklärung hat keinen rechtlichen Wert. Somit ist es nicht DSGVO-konform.

Oft sind Cookie Banner am oberen oder unteren Bildschirmrand angelegt. So sollen sie die Performance der Landingpage nicht beeinträchtigen. Bei der Platzierung eines Cookie Banners sollte der Websitebesucher jedoch zu jedem Zeitpunkt die Möglichkeit haben, auf das Impressum und die Datenschutzerklärung zuzugreifen.

Hinweis: Dies gilt auch dann, wenn der Websitebesucher der Verwendung von Cookies zugestimmt hat.

Wählen Sie eine klare Überschrift, etwa „Weitergabe Ihrer Nutzerdaten an Dritte“.

Erfragen Sie, ob der Nutzer überhaupt in die Nutzung von technisch nicht erforderlichen Cookies einwilligt.

Beantworten Sie für alle einwilligungsbedürftigen Cookies die folgenden Fragen

1. Welche Daten werden weitergegeben?
2. Weshalb ist die Erhebung notwendig?
3. Wohin und an wen konkret werden die Daten übermittelt?
4. Zu welchem Zweck werden sie übermittelt?
5. Wer hat Zugriff auf die Daten?
6. Wie lange werden die Daten gespeichert?
7. Werden die Daten mit weiteren Daten verknüpft?

• Sie können die Antworten diese Fragen in aufklappbaren Textbausteinen übersichtlich gestalten, Links zu bedienen ist dem Nutzer an dieser Stelle aber nicht zuzumuten.
• Bieten Sie dem Nutzer für jedes einwilligungsbedürftige Cookie ein unausgefülltes Feld an, damit er eine freie Entscheidung treffen kann.
• Stellen Sie technisch sicher, dass keinerlei Daten übermittelt werden, bevor der Nutzer seine Wahl getroffen hat.
• Stellen Sie die Freiwilligkeit der Einwilligung klar und weisen Sie auf das Recht zum jederzeitigen Widerruf hin. Stellen Sie auch klar, wie dieser Widerruf erfolgen kann.
• Impressum und Datenschutzerklärung müssen schon während dieses Auswahlprozesses erreichbar sein, optimalerweise direkt auf dem Banner.
• Eröffnen Sie eine Widerrufsmöglichkeit, die ebenso einfach zu finden und zu bedienen ist wie die Einwilligung – etwa über die dauerhafte Einblendung eines „Fingerprints“, in dem jedes einzelne Cookie jederzeit an- und abgewählt werden kann.

Aufgrund der ungeklärten rechtlichen Lage, die sich erst in den kommenden Jahren durch Gerichtsurteile und die neuen gesetzlichen Vorgaben konkretisieren wird, empfiehlt es sich, in jedem Fall sowohl auf Websites wie auch in Apps ein detaillierter Cookie-Hinweis einzublenden. Denn wird durch ein Gericht ein Verstoß gegen die DSGVO festgestellt, liegen die Strafen bei bis zu 500.000 Euro bzw. vier Prozent des Jahresumsatzes, je nachdem, was höher ist.

 Bei den hier aufgelisteten Services handelt es sich um informationspflichtige Services. Das bedeutet, dass sie keiner Einwilligung bedürfen. Nichtsdestotrotz müssen WebsitebetreiberInnen über die Existenz und den Zweck dieser Services informieren. Der dafür vorgesehene Ort ist die Datenschutzerklärung der Website.

1. Freiwillig: Der Nutzer muss die Möglichkeit haben, die Datenverarbeitung abzulehnen und die Website trotzdem zu benutzen. Dann erfolgt die Einwilligung freiwillig.
2. Informiert: Die betroffene Person muss über die Gegebenheiten und Zusammenhänge der Datenverarbeitung und über das Recht zum Widerruf aufgeklärt werden. Dann kann eine Einwilligung informiert erfolgen.
3. Explizit: Der Nutzer muss aktiv der Technologien zustimmen bevor diese beim Besuch der Website geladen werden.
4. Granular: Der User muss bei der Einwilligung granular wissen, für welche Daten und für welchen Drittanbieter er seine Einwilligung abgibt oder entzieht. Es wird also eine detaillierte Beschreibung benötigt. Ein allgemeiner Hinweis ist nicht ausreichend.

5. Vorab: Es muss eine technische Verknüpfung zwischen dem Cookie-Banner und der Technologien auf der Seite bestehen. Ansonsten liegt ein Verstoß nach Art. 83 Abs. 5 lit. a) DSGVO vor, da Daten ohne gültige Rechtsgrundlage verarbeitet werden. Wenn der Unser nicht einwilligt, dürfen auch keine Daten erhoben oder weitergegeben werden. Erst wenn eine Einwilligung vorliegt, dürfen Cookies ausgespielt. werden.

6. Widerrufbar: Der User hat das Recht, die Einwilligung jederzeit und ohne Begründung zu widerrufen. Der Widerruf der Einwilligung muss genauso einfach sein, wie die Erteilung. Also mit wenigen Klicks muss es möglich sein, einzelne Technologien zu widerrufen und die jeweilige Opt-Out Option zu finden.

   Eine Kombination von OK-Bannern und Opt-Out-Hinweis in der Datenschutzerklärung ist nicht ausreichend. Nach dem Widerruf darf die Technologie nicht mehr ausgelöst werden.

7. Dokumentiert: Aufgrund der Beweispflicht von Website-Betreibern muss im Falle einer Abmahnung oder eines Audits die Einwilligungshistorie vollständig der Datenschutzbehörde vorgelegt werden können. Sämtliche Einwilligungen müssen dokumentiert werden, um nachweisen zu können, dass keine Cookies ausgespielt wurden, bevor die Einwilligung vorlag.