Cookie-Banner – Ablehnung von Cookies

DSGVO: Art 7

Die Datenschutzbehörde hatte der Revisionswerberin gem Art 58 Abs 2 lit d DSGVO von Amts wegen aufgetragen, das datenschutzrechtliche Ersuchen um Einwilligung (den Cookie-Banner) auf ihrer Website derart abzuändern, dass auf der ersten Ebene des Cookie-Banners zusätzlich zur Option „Akzeptieren“ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Abgabe einer Einwilligung schließen zu können. Das VwG wies die Beschwerde der Revisionswerberin gegen diesen Leistungsauftrag ab.

Unter Zugrundelegung der hier maßgeblichen - nicht weiter auslegungsbedürftigen - Anordnung des Art 7 Abs 3 DSGVO, dass der Widerruf so einfach sein müsse wie die Erteilung der Einwilligung zu einer datenschutzrechtlich relevanten Verarbeitung personenbezogener Daten, ist jeweils anhand der Umstände des Einzelfalls zu prüfen, ob dieser rechtlich klaren Anordnung entsprochen wird. Angesichts der detaillierten und nachvollziehbaren Begründung des VwG kann von einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände keine Rede sein:

Das VwG führte ua aus, dass die Figur eines durchschnittlich informierten, aufmerksamen und verständigen Verbrauchers für die Beurteilung heranzuziehen sei, wie das Cookie-Banner und die Interaktionsmöglichkeiten zu verstehen seien. Als Pendant zum Widerruf müsse auch die Nichtabgabe einer Einwilligung so einfach sein, wie die Abgabe der Einwilligung (vgl Art 7 Abs 3 DSGVO). Im vorliegenden Fall sei für die Erteilung der Einwilligung nur ein Klick erforderlich, für die Nichtabgabe einer Einwilligung hingegen zumindest zwei Klicks, womit eine solche Gleichwertigkeit nicht gegeben sei; eine sachliche Rechtfertigung für die unterschiedliche Behandlung der Wahlmöglichkeiten wurde nicht vorgebracht und sei auch nicht ersichtlich. Auch die unterschiedliche optische Gestaltung (grüner Button „Akzeptieren“ – bloßer Link „Zwecke anzeigen“) führe dazu, dass die Wahlmöglichkeiten nicht als gleichwertig wahrnehmbar angesehen werden könnten. Daran ändere der Umstand nichts, dass (nunmehr) im Fließtext des Cookie-Banners auf der ersten Ebene des Cookie-Banners erklärt werde, wie alle Cookies abgelehnt werden könnten. Die Berufung auf einen „branchenüblichen“ Standard bei der Ausgestaltung des Cookie-Banners könne die Rechtswidrigkeit der aktuellen Gestaltung nicht beseitigen. Auch der Europäische Datenschutzausschuss (EDSA) empfehle, dass der Einzelne die Möglichkeit haben solle, alle nicht unbedingt notwendigen Cookies auf der ersten Ebene des Banners abzulehnen, bzw dass – als wesentliches Element für die Gültigkeit der Einwilligung – zu einer Schaltfläche „Akzeptieren“ (oder „Alle akzeptieren“) auf der gleichen Ebene eine Schaltfläche „Ablehnen“ (oder „Alle ablehnen“) angezeigt werde. Dass hier auf der Website von jeder Seite aus – am Seitenende (im „Footer“) und gut sichtbar – der Link „Cookie Einstellungen und Widerruf“ angeklickt werden könne, sei nur eine „nachgelagerte“ Option der Ablehnung und damit keine gleichwertige Option, weil bei Aufruf der Website zunächst nur mit der ersten Ebene des Cookie-Banners interagiert werden könne und eine Auswahl getroffen werden müsse, bevor der Nutzer auf die komplette Website zugreifen könne. Vor diesem Hintergrund sei der Leistungsauftrag der belangten Behörde nicht zu beanstanden.

VwGH 16. 1. 2025, Ra 2024/04/0424