Die Gestaltung des Cookie-Banners, dass auf erster Ebene auf der Link „Zwecke anzeigen“ und dort im zweiten Schritt die Schaltfläche „Alle ablehnen“ ausgewählt werden muss, missachtet das Recht, die Einwilligung zu verweigern.
Österreich. Bundesverwaltungsgericht. Durch die Gestaltung eines Cookie-Banners soll gegen die EU-DSGVO verstoßen worden sein. So behauptete die betroffene Person, dass die Ablehnungs-Option im Cookie-Banner nur schwer auffindbar sei, weil diese erst auf einer zweiten Ebene zugänglich ist und erst nach mehreren Klicks erreicht werden kann. Dadurch würde die Verantwortliche die Nutzer bewusst zur Zustimmung drängen. Das wiederum verstoße gegen die Anforderungen an eine freie und informierte Einwilligung.
Die Aufsichtsbehörde schloss sich dieser Rechtansicht an. Sie stellte fest, dass die „Ablehnen“-Option genauso leicht zugänglich und prominent platziert sein müsse wie die „Akzeptieren“-Option, um eine informierte und freiwillige Entscheidung der Nutzer zu gewährleisten. Die Entscheidung basierte auf der Erkenntnis, dass die Einwilligung der Nutzer in die Verarbeitung ihrer Daten nur dann als frei und unmissverständlich gelten könne, wenn sie nicht durch die Gestaltung des Banners in eine bestimmte Richtung gelenkt werde.
Der Betreiber der Website erhob gegen diese Entscheidung Beschwerde. Er argumentierte, dass der Cookie-Banner den gesetzlichen Anforderungen genüge und dass die Nutzer hinreichend informiert seien. Nutzer würden durch die Gestaltung des Banners nicht benachteiligt, weil die Ablehnung der Cookies immer noch möglich sei. Das Platzieren der Ablehnen-Option auf einer zweiten Ebene stelle keinen erheblichen Eingriff in die Entscheidungsfreiheit der Nutzer dar, sondern stelle lediglich eine Frage der Benutzerfreundlichkeit dar, die keine datenschutzrechtlichen Auswirkungen habe.
Das Bundesverwaltungsgericht wies die Beschwerde des Website-Betreibers ab und bestätigte damit die Entscheidung der Aufsichtsbehörde. Die Gestaltung des Cookie-Banners in der vorliegenden Form verstoße tatsächlich gegen die gesetzlichen Anforderungen, weil die „Ablehnen“-Option nicht gleichwertig und nicht ebenso leicht zugänglich war wie die „Akzeptieren“-Option. Dadurch sei die Entscheidungsfreiheit der Nutzer beeinträchtigt. Dementsprechend liege auch keine gültige Einwilligung zur Datenverarbeitung vor.
Die wichtigsten Aussagen des Bundesverwaltungsgerichts zur richten Gestaltung eines Cookie-Banners:
- Für die Beurteilung, wie ein Cookie-Banner und die Interaktionsmöglichkeiten zu verstehen sind, ist die Figur eines durchschnittlich informierten, aufmerksamen und verständigen Verbrauchers heranzuziehen.
- Die Nichtabgabe einer Einwilligung als Pendant zum Widerruf muss so einfach sein, wie die Abgabe der Einwilligung.
- Für die Nichtabgabe einer Einwilligung bzw das Schließen des Cookie-Banners ohne Abgabe einer Einwilligung dürfen nicht mehr Interaktionen mit dem Cookie-Banner notwendig sein, als für die Abgabe der Einwilligung.
- Die Möglichkeit der Nichtabgabe der Einwilligung dergestalt, dass auf der ersten Ebene des „Cookie-Banners“ der Link „Zwecke anzeigen“ und im zweiten Schritt (auf der zweiten Ebene) die Schaltfläche „Alle ablehnen“ ausgewählt werden muss, widerspricht Art 7 EU-DSGVO.
- Auch die unterschiedliche optische Gestaltung mit grünem Button „Akzeptieren“ und bloßem Link „Zwecke anzeigen“ führt dazu, dass die Wahlmöglichkeiten nicht als gleichwertig wahrnehmbar angesehen werden können.
- Keine Berufung auf einen branchenüblichen Standard bei der Ausgestaltung des Cookie-Banners für die Beseitigung der Rechtswidrigkeit.