“Möch­ten Sie einen Keks?”

Damit ist es bei der Ein­wil­li­gung zu soge­nann­ten Coo­kies im Inter­net schon lan­ge nicht mehr getan. Seit Jah­ren ran­ken sich um die klei­nen Text­da­tei­en im Netz aller­lei Kon­tro­ver­sen und recht­li­che Pro­ble­me. Dabei hat­te es so harm­los ange­fan­gen: 1994 führ­te der Net­scape-Brow­ser erst­mals Coo­kies ein, um Nut­zern das Leben leich­ter zu machen. Die Idee dahin­ter war, bestimm­te Daten im Hin­ter­grund zu spei­chern. Wer also bei­spiels­wei­se online Ein­käu­fe erle­digt, fin­det alle aus­ge­wähl­ten Pro­duk­te im Waren­korb. Dass sie dort gespei­chert sind, ist den digi­ta­len Kek­sen zu ver­dan­ken. Wer sich auf einer Web­sei­te ein­loggt, bleibt dank Infor­ma­tio­nen im Coo­kie den gan­zen Besuch über ein­ge­loggt. Im Prin­zip sind Coo­kies also extrem nütz­lich.

Ein Keks ver­än­dert die Welt

Lei­der las­sen sich soge­nann­te Track­ing-Coo­kies ein­set­zen, um das Nut­zer­ver­hal­ten über ver­schie­de­ne Web­sei­ten zu ver­fol­gen. Das will sich die Wer­be­indus­trie natür­lich nicht ent­ge­hen las­sen. Schon 2011 fan­den For­scher in den USA her­aus: Wer die damals 100 belieb­tes­ten Web­sei­ten besucht, fängt sich mehr als 5.500 ver­schie­de­ne Coo­kies ein. Das geht über einen Waren­korb oder Log­in weit hin­aus.

Mit dem rasan­ten Wachs­tum des Inter­nets seit 2011 ist auch die Anzahl von Track­ing-Coo­kies zuneh­mend eska­liert. Das hat den Gesetz­ge­ber auf den Plan geru­fen, etwa mit der euro­päi­schen DSGVO von 2018. Erst­mals soll­ten dem wil­den Coo­kie-Dschun­gel kla­re Gren­zen gesetzt wer­den. Ein Kern­ele­ment der neu­en Vor­schrif­ten ist der Con­sent, also die akti­ve Ein­wil­li­gung von Besu­chern einer Web­sei­te. Web­sei­ten soll­ten künf­tig nicht ein­fach Coo­kies set­zen, son­dern sich erst die expli­zi­te Erlaub­nis ihrer Besu­cher holen. Am schnells­ten geht das über Ban­ner, die alle rele­van­ten Coo­kies mit einem “Ein­stel­lun­gen speichern”-Button ver­bin­den und so die Ein­wil­li­gung in eine für bei­de Sei­ten ange­neh­me Form gie­ßen.

Auch in deut­schen Daten­schutz­ge­set­zen hat sich in den ver­gan­ge­nen paar Jah­ren eini­ges getan. Mitt­ler­wei­le haben deut­sche Gerich­te eine kon­kre­te Vor­stel­lung davon, was in Con­sent-Ban­nern geht und was nicht. Eine Fol­ge davon sind zuneh­men­de Abmah­nun­gen an Unter­neh­men wegen ihrer Coo­kie-Pra­xis. Im Jahr 2023 kann sich bei Coo­kies nie­mand mehr auf eine unkla­re Rechts­la­ge beru­fen. Wer die Grund­re­geln nicht ein­hält, ris­kiert teu­re Fol­ge­kos­ten. Wie soll­te ein gutes Con­sent-Ban­ner also aus­se­hen?

Das Aus für “Dark Pat­terns”

Noch vor einer Wei­le war es im Netz nicht unüb­lich, Coo­kie-Ban­ner mög­lichst ver­wir­rend zu gestal­ten. Ein klas­si­sches Bei­spiel sind Ban­ner, in denen die Zustim­mung zu allen Coo­kies vor­ein­ge­stellt ist und sich ledig­lich die But­tons “Akzep­tie­ren” und “Ein­stel­lun­gen” fin­den. Wer dann auf “Ein­stel­lun­gen” klickt, muss manu­ell alle Häk­chen ent­fer­nen oder sich gar durch Unter­me­nüs kli­cken. Die Funk­ti­ons­wei­se sol­cher Ban­ner wird auch als “Dark Pat­terns” bezeich­net, und ein­schlä­gi­ge Recht­spre­chung zeigt, dass sie ille­gal ist. Wer über feh­len­de oder falsch plat­zier­te “Ablehnen”-Buttons Besu­cher zer­mür­ben und zum Akzep­tie­ren zwin­gen will, macht einen mög­li­cher­wei­se sehr teu­ren Feh­ler.

Man­che Web­sei­ten ver­su­chen außer­dem, Besu­cher über die Farb­ge­bung der But­tons auf dem Con­sent-Ban­ner in die Irre zu füh­ren. Die­se Form der Mani­pu­la­ti­on wird auch als “Nud­ging” bezeich­net. Damit bewe­gen sie sich recht­lich auf sehr dün­nem Eis. Wenn das Ableh­nen von Coo­kies mit deut­lich mehr Auf­wand ver­bun­den ist als das Akzep­tie­ren, ver­stößt das Ban­ner wahr­schein­lich gegen gel­ten­des Recht.

Zwar ist das nur ein Über­blick, aller­dings ergibt sich aus der bestehen­den Recht­spre­chung eine ziem­lich ein­deu­ti­ge Ten­denz. Ein sau­be­res Coo­kie-Ban­ner muss trans­pa­rent, infor­ma­tiv und ein­fach zu bedie­nen sein. Falls du sel­ber ein Coo­kie-Ban­ner auf­setzt, stel­le dir bei jedem Schritt die Fra­ge, ob das Ban­ner Nut­zer in die ein oder ande­re Rich­tung mani­pu­lie­ren soll, ob es offen mit allen Infor­ma­tio­nen umgeht und ob das Akzep­tie­ren von Coo­kies genau so ein­fach ist wie das Ableh­nen. Letzt­end­lich ist ein Con­sent-Ban­ner kein Hexen­werk.
Für den Daten­schutz geht es allein dar­um, dass Besu­chern ernst­haft die Wahl gelas­sen wird – trans­pa­rent und ohne Tricks.

So gelingt das Con­sent-Ban­ner

Coo­kie-Ban­ner sind immer dann not­wen­dig, wenn die Coo­kies einer Web­sei­te per­so­nen­be­zo­ge­ne Daten ver­ar­bei­ten. Die Ein­wil­li­gung ist nur dann nötig, wenn die Coo­kies nicht tech­nisch not­wen­dig sind. Für einen Log­in-Coo­kie also müss­test du kei­nen Con­sent erfra­gen. Es reicht, ledig­lich über die Ver­wen­dung von Coo­kies zu infor­mie­ren. Bei Mar­ke­ting-Coo­kies dage­gen ist Con­sent Pflicht.

Wer Ban­ner ein­baut, muss die­se inter­ak­tiv gestal­ten. Ein Hin­weis-Ban­ner nach dem Mot­to “Wir ver­wen­den Mar­ke­ting-Coo­kies” reicht nicht aus. Links und Erklä­run­gen zu allen wich­ti­gen Infor­ma­tio­nen inklu­si­ve Impres­sum und Daten­schutz­er­klä­rung müs­sen sich eben­falls im Ban­ner fin­den. Besu­cher soll­ten min­des­tens die Mög­lich­keit haben, Coo­kies aus­zu­wäh­len und zu akzep­tie­ren, sie abzu­leh­nen (not­wen­di­ge Coo­kies dür­fen trotz­dem gesetzt wer­den) und die Ein­stel­lun­gen zu spei­chern. Damit soll es jeder Besu­cher in der Hand haben, manu­ell die gewünsch­ten Coo­kies aus­zu­wäh­len.

Bei der anwalt­li­chen Bera­tung kön­nen wir Euch lei­der nicht unter­stüt­zen. Bei Anlie­gen zu daten­schutz­kon­for­men Coo­kie-Ban­nern aller­dings schon. Nehmt dazu ein­fach Kon­takt mit uns auf!

Haf­tungs­aus­schluss: Die­ser Inhalt ist nicht als Rechts­be­ra­tung aus­zu­le­gen