Oft stolpern Webseite-Besucher als erstes über die Cookies – weil sich ein breiter Banner über den oberen oder unteren Bildschirmrand ausbreitet und auf ihre Anwendung hinweist. Ebenso oft werden die Cookies meist ohne Weiteres durch die Besucher akzeptiert. Und wenn ein Besucher das nicht tut, dann bekommt er eben auch keinen Zugriff auf die Seite.
Wer sich nun wundert, tut das Zurecht: Selbst wenn ein Besucher Cookies ablehnt, darf er nicht am Besuch der Seite gehindert werden – sogenannte Cookie-Walls stünden nicht im Einklang mit den gesetzlichen Bestimmungen, so äußerte sich nun auch die niederländische Datenschutzbehörde laut Informationen von t3n.
Update
Sie interessieren sich für dieses Thema? Werfen Sie gern einen Blick in unseren aktuelleren Artikel zu Cookie-Walls.
Online-Händler haben es in der Frage, was die Gesetze im Hinblick auf Cookies verlangen, nicht leicht. Datenschutzgrundverordnung, Telemediengesetz, E-Privacy-Verordnung, EU-Cookie-Richtlinie – diverse Vorgaben kommen infrage und spielen eine mögliche Rolle.
Warum Nutzer, die der Verwendung von Tracking-Cookies und Co. nicht einfach von der Nutzung der Webseite ausgeschlossen werden können, ergibt sich aus der DSGVO.
Mit den meisten Cookies geht die Verwendung personenbezogener Daten einher. Diese ist nach der DSGVO aber grundsätzlich verboten – nur eine Erlaubnis entsprechend der gesetzlichen Vorgaben kann abhelfen. Dazu braucht es zum Beispiel das „berechtigte Interesse“ des Verantwortlichen, also desjenigen, der die fremden Daten verwendet. Oder aber der Betroffene erklärt, dass der mit der Verwendung seiner Daten im Hinblick auf einen bestimmten Zweck einverstanden ist; er gibt also seine Einwilligung ab.
Mit vielen Cookie-Bannern soll genau diese Einwilligung über ein Opt-In abgeholt werden, indem ein Website-Besucher der Verwendung der verschiedenen Cookie-Arten also aktiv durch eine Handlung zustimmt. Das Problem der Cookie-Walls liegt dabei im Wesen der Einwilligung begründet: Laut der DSGVO liegt eine wirksame Einwilligung nur vor, wenn sie bestimmte Voraussetzungen erfüllt. Dazu gehört auch, dass der Betroffene sie freiwillig erteilt hat. Das führt zu der Frage, ob die Einwilligung in die Verwendung von bestimmten Cookies freiwillig ist, wenn die zugehörige Webseite bei einer Ablehnung gar nicht genutzt werden kann.
Dazu ein Beispiel:
Stellen Sie sich vor, Sie möchten einen beliebten Film im Kino sehen. Nach dem Ticketkauf werden Sie an der Tür des Kinosaals zu einer Taschenkontrolle aufgefordert – schließlich möchte der Betreiber sicherstellen, dass Sie Snacks und Getränke vor Ort kaufen und nicht beim Discounter um die Ecke. Verweigern Sie die Taschenkontrolle, wird Ihnen der Zutritt in den Kinosaal verwehrt.
Halten Sie Ihre Entscheidung, ob Sie die Taschenkontrolle über sich ergehen lassen, an dieser Stelle für freiwillig?
Im Bereich der DSGVO gilt eine Einwilligung als freiwillig erteilt, wenn die Person „eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden“, wie es im 42. Erwägungsgrund der DSGVO heißt. Ist die Webseite ohne eine aktive Cookie-Zustimmung nicht nutzbar, stellt das einen Nachteil für den Besucher dar. Eine Einwilligung, die so zustande kommt, ist also womöglich gar nicht rechtsverbindlich – was sich im Fall der Fälle zulasten des Verantwortlichen auswirkt.
Besuchern der Webseite sollte der Zugang also auch dann ermöglicht werden, wenn diese nicht mit der Verwendung von zum Beispiel Tracking-Cookies einverstanden sind.
Auch wenn Cookie-Banner auf vielen Webseiten auftauchen – gesetzlich notwendig sind sie in Deutschland zum jetzigen Zeitpunkt nicht grundsätzlich. Zu Änderungen wird es erst mit der neuen E-Privacy-Richtlinie kommen, zu deren Einführung es aber nicht vor 2020 kommen soll. Auch ist eine aktive Einwilligung durch Betroffene bei Cookies oft nicht notwendig: In vielen Fällen bilden die berechtigten Interessen des Verantwortlichen bereits eine ausreichende gesetzliche Grundlage. Wie so oft kann es hier aber auf den Einzelfall ankommen – die deutschen Aufsichtsbehörden sind zudem restriktiver und halten eine Einwilligung entsprechend öfter für notwendig.
Wichtig ist aber auf jeden Fall, dass Betroffene in der Datenschutzerklärung nach den Vorgaben der DSGVO aufgeklärt werden. Das umfasst auch, welche Daten unter welchen Umständen erhoben werden, und dass Betroffene der Verwendung von Cookies widersprechen können. Weitere Informationen gibt es in unserem DSGVO-Leitfaden.
(Update 08.06.2020)
Auch der Europäische Datenschutzausschuss vertritt in seinen Guidelines nun die Auffassung, dass mit Cookie-Walls keine wirksame Einwilligung eingeholt werden kann. Ausnahmen soll es für den Einsatz im Zusammenhang mit bezahlten Diensten geben. Die Guidelines sind hier in englischer Sprache abrufbar. Bitte beachten Sie außerdem, dass Aspekte zur generellen Notwendigkeit einer Einwilligung insbesondere wegen der Rechtsprechung von EuGH und BGH nicht mehr dem aktuellen Stand entsprechen müssen.