Das große Cookie-Banner-Debakel: Von Unwirksamen Bannern, "Dark Patterns" und verlorenen Marketingdaten
Wie ist der aktuelle Stand in der Diskussion um das Cookie-Banner?
Bisher hat sich immer etwas getan, wenn es ein wichtiges Gerichtsurteil gab. Die Online-Welt gerät dann in Aufruhr und so ist es kein Wunder, dass das auch dieses Mal wieder der Fall ist. Einen Unterschied gibt es jedoch, denn dieses mal liegt der Teufel im Detail eines weniger öffentlich diskutierten Gerichtsurteils, bei dem die Ausgestaltung des Cookie-Banners von Cookiebot als rechtswidrig beurteilt wurde. Das nahm Dr. Thomas Schwenke – einer der bekanntesten Juristen im Bereich Onlinerecht im deutschsprachigen Raum – zum Anlass in seinem Blogpost (dem ultimativen Cookie-Datenschutz Ratgeber) eine reißerische, aber wahrscheinlich richtige Aussage zu treffen. Seiner Einschätzung nach sind 99 % der Cookie-Banner immer noch nicht rechtskonform! Kleiner Spoiler an dieser Stelle: Wir gehören zu dem übrigen 1 % – anders als große Mitbewerber, deren Service quasi nur aus dem Anbieten eines Cookie-Banners besteht.
Wo genau diese teuflischen Details liegen, das stelle ich im Folgenden genauer da. Die ausführliche Betrachtung kannst du dem sehr verständlich formulierten und ausführlichen Beitrag von Herrn Dr. Schwenke entnehmen.
Disclaimer
Dieser Beitrag beinhaltet die Rechtsansichten die ich (Marius Roth) für korrekt halte. Zwangsweise bestehen zu diesen Themen zahlreiche Ansichten, die durchaus vertretbar sind, aber noch nicht endgültig durch ein vorhandenes Gerichtsurteil bestätigt wurden. Das hier geschriebene richtet sich an Anwender_innen und berücksichtigt die dafür relevanten Rechtsauffassungen.
Eine Grundlage – Cookie-Banner?
Wie man im Internet sagt, ein “tl;dr” (Too long; didn't read) zum Cookie-banner: Das Cookie-Banner dient zur Abfrage des Einverständnis mit der Datenverarbeitung, die ohne Einwilligung nicht gestattet ist. Davon ausgenommen sind technische Cookies, die für den Betrieb der Website nötig sind – zum Beispiel beim Erhebung der Serverprotokolldaten.
Was ist grundsätzlich zu beachten?
Es ist Usus geworden, dass Tracking auf einer Website erst dann betrieben werden darf, wenn dem eindeutig aktiv zugestimmt wurde – dies wurde bei sehr relevanten Urteil gegen Planet 49 entschieden. Dabei müssen Websitebetreibende außerdem eine Auflistung der verwendeten Cookies auf ihrer Seite eingebaut haben. Die Zeit der passiven Banner ist damit Geschichte und folgendes Beispiel wäre rechtswidrig:
Inzwischen ist es üblich, dass Cookie-Banner einem die Möglichkeit geben auszuwählen, welche Kategorien von Cookies aktiviert werden sollen. Erst nachdem die Auswahl getroffen und bestätigt wurde, dürfen die jeweiligen Cookies dann auch aktiv werden. Außerdem müssen weiter Informationen zu den Diensten hinter den Cookies bereitgestellt werden. Diese befinden sich oft in der verlinkten Datenschutzerklärung oder teilweise im Cookie-Banner selbst. Als Beispiel für eine korrekte und rechtskonforme Umsetzung dient unser eigenes Cookie-Banner, in Form eines Overlays:
Nun das Gerichtsurteil gegen Cookiebot – was ändert das?
Das Landesgerichtes Rostock befand kürzlich dieses Cookie Banner vom Anbieter Cookiebot für rechtswidrig:
Das Bild steht aktuell leider in keiner besseren Qualität zur Verfügung.
Als Grund für diese Entscheidung wurden die Ausgestaltung der Buttons und die vorausgewählten Cookie-Kategorien genannt. Schaut man sich diese an, dann fällt auf, dass die Nutzenden durch den Kontrast in der Gestaltung klar in ihrer Entscheidung beeinflusst werden sollen – man spricht hierbei auch von einem “Dark Pattern” Design. In der Welt des UX-Designs (kurz für: User Experience) wird diese Methode schon seid vielen Jahren angewendet und ist durchaus umstritten. Sie wurde also nicht für den Einsatz auf dem Cookie-Banner erfunden, aber eben genau an dieser Stelle untersagt.
Hinweis aus der Design-Abteilung aka Marvin
Die Bezeichnung des “Dark Pattern” sollte mit Vorsicht eingesetzt werden. In dem oben aufgezeigten Beispiel ist sie selbstverständlich zutreffend, aber es besteht weiterführend die Gefahr der Fehlinterpretation. Es ist zum Beispiel grundsätzlich üblich, dass beim Zustimmen/Speichern und Ablehnen/Abbrechen mit den Farben Grün und Rot gearbeitet wird – das dient als Entscheidungshilfe, die unterbewusst wahrgenommen wird und die Nutzung erleichtern soll. Wenn diese Fälle in Zukunft fälschlicherweise als “Dark Pattern” eingestuft werden, dann leidet das UX-Design und letztendlich die Nutzenden darunter.
Wie müssen Cookie-Banner jetzt ausgestaltet sein?
Die Gerichtsentscheidungen schaffen zwar immer mehr Klarheit, sorgen mit beiläufigen, aber eben nicht eindeutig regulierenden Aussagen – wie zum Beispiel über die Informationsmenge im Cookie-Banner – für nicht wenig Spielraum. Wir haben uns daher für eine simple Formulierung, wenig Text und den Verzicht auf unnötige Details entschieden. Mittlerweile sieht man häufig eine Auflistung der Cookies, mit der Möglichkeit diese individuell für jeden Dienst an- und abwählen zu können – den Nutzenden ist m.E. nach aber nicht zuzumuten, all diese Dienste einzeln prüfen zu müssen. Die Entscheidung z.B. den Cookie für Google Analytics gezielt zu deaktivieren, dafür aber einen Facebook Marketing Pixel zu aktivieren, erscheint schlicht absurd. Die logische Konsequenz daraus ist die Aufteilung in Kategorien. In Kombination mit einer ausführlichen Aufschlüsselung der einzelnen Dienste in der im Cookie-Banner verlinken Datenschutzerklärung, halten wir dies für die sinnvollste und einfachste Lösung.
