Diese Gestaltungen von Cookie-Bannern beanstanden Europas Aufsichtsbehörden

In diesem Artikel

Ein Einwilligungsbanner ist der einzige Teil der Compliance einer Website, den jeder Besucher sieht, und deshalb zieht es so viele Beschwerden auf sich. Hier treffen Gestaltung und Recht auch am direktesten aufeinander. Ein Banner kann alle richtigen Worte enthalten und trotzdem scheitern, weil die Art, wie es die Wahl präsentiert, eine Antwort viel leichter macht als die andere. Die europäischen Behörden haben in den vergangenen Jahren abgestimmt, wie das in der Praxis aussieht.

01Warum Gestaltung eine Rechtsfrage ist

Für Cookies und ähnliche Technologien verlangt Art. 5 Abs. 3 der ePrivacy-Richtlinie (2002/58/EG) eine Einwilligung, und der Maßstab dafür stammt aus der DSGVO. Nach Art. 4 Nr. 11 DSGVO muss eine Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden, durch eine Erklärung oder eine eindeutige bestätigende Handlung. Erwägungsgrund 32 ergänzt, dass Stillschweigen, vorab angekreuzte Kästchen und Untätigkeit nicht genügen. Art. 7 Abs. 1 legt die Beweislast beim Websitebetreiber ab, und Art. 7 Abs. 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung. In Deutschland gilt dafür § 25 TDDDG.

Jedes dieser Merkmale lässt sich durch Gestaltung aushebeln. Freiwillig ist eine Wahl nicht, wenn Ablehnen fünf Klicks braucht und Akzeptieren einen. Informiert ist sie nicht, wenn die Zwecke hinter einem Link verschwinden, den niemand bemerkt. Unmissverständlich ist sie nicht, wenn das Schließen des Banners als Zustimmung gilt. Deshalb bewerten die Behörden das Banner als Ganzes, nicht nur seinen Text.

02Die gemeinsame Linie: die Cookie Banner Taskforce

2021 reichte die Datenschutzorganisation noyb bei Behörden in ganz Europa Hunderte Beschwerden über Cookie-Banner ein. Um sie einheitlich zu beantworten, richtete der Europäische Datenschutzausschuss eine Cookie Banner Taskforce ein, deren Bericht im Januar 2023 angenommen wurde. Er hält die Positionen fest, auf die sich die beteiligten Behörden als gemeinsamen Nenner für die Bearbeitung von Beschwerden geeinigt haben. Bindendes Recht ist er nicht, und über Einzelfälle entscheiden weiterhin die nationalen Behörden, aber er ist die klarste verfügbare Übersicht darüber, was sie als Problem ansehen.

Der Bericht wiederholt auch einen wichtigen strukturellen Punkt: Das Setzen und Auslesen von Cookies richtet sich nach den nationalen Gesetzen zur Umsetzung der ePrivacy-Richtlinie, und das Verfahren der federführenden Aufsichtsbehörde nach der DSGVO, bei dem ein Unternehmen vor allem mit der Behörde am Ort seiner EU-Hauptniederlassung zu tun hat, gilt dafür nicht. Jede Behörde eines Landes, in dem Ihre Website genutzt wird, kann tätig werden.

03Muster 1: „Akzeptieren“ ohne „Ablehnen“ daneben

Die häufigste Beschwerde. Eine große Mehrheit der Behörden in der Taskforce war der Ansicht, dass ein Banner, das auf einer Ebene eine Zustimmungsschaltfläche anbietet, ohne auf derselben Ebene eine gleichwertige Möglichkeit zur Ablehnung, keine wirksame Einwilligung einholt. Der Lehrbuchfall: Für das Nein muss der Besucher auf eine zweite Einstellungsseite, das Ja liegt einen Klick entfernt.

Auf dieses Muster gehen auch zwei der bekanntesten Bußgelder zurück. Am 31. Dezember 2021 verhängte die französische CNIL gegen Google LLC und Google Ireland Limited insgesamt 150 Mio. € und gegen Facebook Ireland Limited 60 Mio. €, weil das Ablehnen von Cookies auf google.fr, youtube.com und facebook.com mehrere Klicks erforderte, das Akzeptieren nur einen. Die CNIL stützte sich auf das französische Gesetz zur Umsetzung der ePrivacy-Richtlinie und verpflichtete die Unternehmen zudem, eine Ablehnung anzubieten, die so einfach ist wie die Zustimmung.

04Muster 2: vorab angekreuzte Kästchen und Einwilligung durch Scrollen

Ein bereits angekreuztes Kästchen ist keine eindeutige bestätigende Handlung. Das hat der Gerichtshof der EU für Cookies in Planet49 (C-673/17, 2019) entschieden, und der Taskforce-Bericht wiederholt es. Dasselbe gilt für Schalter in einer Einstellungsebene, die bereits auf „an“ stehen.

Die EDSA-Leitlinien 05/2020 zur Einwilligung gehen weiter: Handlungen wie das Scrollen oder Wischen durch eine Seite oder ähnliche Nutzeraktivität erfüllen das Erfordernis einer eindeutigen bestätigenden Handlung nicht. Ein Banner mit dem Satz „Durch die weitere Nutzung stimmen Sie zu“ beruft sich auf etwas, das das Recht nicht als Einwilligung anerkennt.

05Muster 3: versteckte Links, Farben und Kontraste

Die Taskforce untersuchte Gestaltungen, bei denen die Ablehnung zwar existiert, aber schwer zu sehen ist: ein „Ablehnen“-Link mitten im Fließtext, eine Ablehnen-Schaltfläche außerhalb des Banners oder eine Schaltfläche, deren Farbe und Kontrast sie neben einem kräftigen „Akzeptieren“ fast unsichtbar machen.

Die Behörden waren sich einig, dass eine Ablehnung, die nur als Link im Fließtext ohne ausreichende optische Hervorhebung erscheint, nicht zu einer wirksamen Einwilligung führt. Für Farben und Kontraste wollten sie keinen einheitlichen Gestaltungsstandard vorgeben; jedes Banner wird im Einzelfall bewertet. Eine offensichtlich irreführende Gestaltung, etwa eine Ablehnen-Schaltfläche mit kaum lesbarem Text, nannten sie aber als Beispiel für eine Grenzüberschreitung.

Die praktische Regel ist einfach: Geben Sie „Akzeptieren“ und „Ablehnen“ dieselbe Form, Größe und optische Gewichtung, auf derselben Ebene.

06Muster 4: Schalter für „berechtigtes Interesse“ und aufgeblähte „notwendige“ Listen

Manche Banner zeigen eine zweite Reihe von Schaltern für Zwecke, die die Website angeblich auf ein „berechtigtes Interesse“ stützt, bereits eingeschaltet. Für das Speichern oder Auslesen von Informationen auf dem Gerät erlaubt Art. 5 Abs. 3 der ePrivacy-Richtlinie nur zwei Wege: die Einwilligung oder die engen Ausnahmen für unbedingt Erforderliches. Das berechtigte Interesse gehört nicht dazu, und laut Taskforce-Bericht akzeptieren die Behörden es nicht als Ersatz.

Verwandt ist eine Kategorie „unbedingt erforderlich“, die auf Analyse-, A/B-Test- oder Werbewerkzeuge ausgedehnt wird. Die Behörden haben die falsche Einordnung von Cookies als notwendig als eigenes Problem behandelt. Ein Scan-Bericht ist der schnellste Weg zur Kontrolle: Vergleichen Sie, was vor jeder Entscheidung lädt, mit dem, was Ihr Banner notwendig nennt.

Diese Fragen reichen bis zu den Standards der Branche. Im Februar 2022 verhängte die belgische Datenschutzbehörde gegen IAB Europe wegen ihres Transparency and Consent Framework, das viele Consent-Plattformen nutzen, ein Bußgeld von 250.000 €, und im März 2024 bestätigte der Gerichtshof der EU in der Rechtssache C-604/22, dass der vom Framework gespeicherte Einwilligungs-String ein personenbezogenes Datum sein kann.

07Muster 5: Cookie-Walls und „Pay or Okay“

Eine Cookie-Wall sperrt den Zugang zu einer Website, solange der Besucher dem Tracking nicht zustimmt. Nach den EDSA-Leitlinien 05/2020 ist eine so eingeholte Einwilligung nicht freiwillig. Ob eine Website stattdessen eine bezahlte Alternative zur Einwilligung anbieten darf, ist eine neuere und umstrittenere Frage. Im April 2024 nahm der EDSA die Stellungnahme 08/2024 zu „Consent or Pay“-Modellen großer Online-Plattformen an und kam zu dem Ergebnis, dass ein Angebot, das nur zwischen Einwilligung und Bezahlung wählen lässt, die Anforderungen an eine wirksame Einwilligung in den meisten Fällen nicht erfüllt. Die Stellungnahme betrifft ausdrücklich große Plattformen; für gewöhnliche Websites unterscheiden sich die Positionen der nationalen Behörden, und am sichersten ist es, die Leitlinien jeder Behörde zu prüfen, deren Einwohner Sie bedienen.

08Muster 6: leicht erteilt, schwer widerrufen

Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf einer Einwilligung so einfach ist wie ihre Erteilung. Wurde die Einwilligung mit einem Klick im Banner erteilt, darf ihr Widerruf keine E-Mail an den Datenschutzbeauftragten erfordern. Der Taskforce-Bericht befasste sich mit dem Fehlen jeder dauerhaften Möglichkeit, die Einwilligungseinstellungen erneut zu öffnen, etwa über ein kleines Symbol oder einen Link in der Fußzeile; die Behörden waren sich einig, dass ein leicht zugänglicher Weg zum Widerruf bestehen und an seiner Stelle gut sichtbar sein muss.

09Jenseits des Datenschutzrechts

Manipulative Oberflächen werden auch außerhalb der DSGVO geregelt. Art. 25 des Digital Services Act (Verordnung (EU) 2022/2065) verbietet Anbietern von Online-Plattformen, ihre Oberflächen so zu gestalten, dass sie Nutzer täuschen, manipulieren oder in ihrer Fähigkeit zu freien und informierten Entscheidungen wesentlich beeinträchtigen; er gilt nicht für Praktiken, die bereits unter die DSGVO oder die Richtlinie über unlautere Geschäftspraktiken fallen. Diese Richtlinie (2005/29/EG) erfasst allgemein irreführende und aggressive Geschäftspraktiken gegenüber Verbrauchern, und die Leitlinien der Europäischen Kommission dazu aus dem Jahr 2021 enthalten einen Abschnitt zu datengetriebenen Praktiken und Dark Patterns.

10Ein Selbsttest in fünf Minuten

Öffnen Sie Ihre Website in einem privaten Fenster, mit einem Gerät und aus einem Land, das Ihre Kunden nutzen, und prüfen Sie:

1. Gibt es auf der ersten Ebene eine Ablehnung, die so leicht zu finden und zu betätigen ist wie „Akzeptieren“?
2. Sind alle optionalen Zwecke ausgeschaltet, bis der Besucher sie einschaltet?
3. Lädt etwas Nicht-Notwendiges vor Ihrer Entscheidung oder nach Ihrer Ablehnung? (Das beantwortet ein Scan-Bericht; siehe So lesen Sie ihn.)
4. Nennt das Banner die Zwecke und die Unternehmen, die Daten erhalten?
5. Lässt sich die Entscheidung später von jeder Seite aus mit ein oder zwei Klicks erneut öffnen?
6. Funktioniert die Website, wenn Sie ablehnen?

Ein „Nein“ bei einer der ersten fünf Fragen sollten Sie vor allem anderen in Ihrer Compliance-Liste beheben.

11Quellen und weiterführende Literatur

Die oben genannten Rechtstexte und offiziellen Leitlinien. Die Links führen zu den offiziellen Herausgebern.

1. Verordnung (EU) 2016/679 (DSGVO) (eur-lex.europa.eu)
2. Richtlinie 2002/58/EG (ePrivacy-Richtlinie) (eur-lex.europa.eu)
3. § 25 TDDDG (gesetze-im-internet.de)
4. EDSA, Bericht der Cookie Banner Taskforce (Januar 2023) (edpb.europa.eu)
5. EDSA-Leitlinien 05/2020 zur Einwilligung (edpb.europa.eu)
6. EDSA-Stellungnahme 08/2024 zu „Consent or Pay“-Modellen (April 2024) (edpb.europa.eu)
7. Gerichtshof der EU, Rechtssache C-673/17 Planet49 (curia.europa.eu)
8. Gerichtshof der EU, Rechtssache C-604/22 IAB Europe (curia.europa.eu)
9. CNIL: Der Conseil d’État bestätigt die Cookie-Sanktion von 2020 gegen Google (cnil.fr)
10. Verordnung (EU) 2022/2065 (Digital Services Act) (eur-lex.europa.eu)
11. Richtlinie 2005/29/EG (Richtlinie über unlautere Geschäftspraktiken) (eur-lex.europa.eu)