Im Streit haben Verbraucherschützer einen Erfolg gegen den Burda-Verlag errungen. Das ist aber nur der Beginn eines Grundsatzstreits.
Im ersten einer Reihe von Verfahren des Verbraucherzentrale Bundesverband (VZBV) gegen die heute üblichen Cookie-Banner hat BurdaForward, eine Tochter von Hubert Burda Media, eine Niederlage erlitten: Das Landgericht München I hat Ende November entschieden, dass der Cookie-Banner auf Focus Online gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) verstößt. Die Richter gaben den Verbraucherschützern allerdings nicht in allen Punkten recht.
Mit dem Verfahren selbst hat der Dachverband der Verbraucherzentralen juristisches Neuland betreten. Eigentlich sind die Datenschutzbeauftragten der Länder dafür zuständig, die Rechtmäßigkeit der Datenverarbeitung deutscher Unternehmen zu überwachen. Mehrere der Behörden hatten 2020 bereits eine Prüfung von Verlags-Websites initiiert. Öffentliche bekannte Sanktionen oder andere spürbare Auswirkungen hatte dies jedoch nicht zufolge.
Klagen an den Aufsichtsbehörden vorbei
Die Verbraucherschützer wollen eine härtere Gangart einschlagen: Sie reichten deshalb Klage gegen insgesamt fünf große deutsche Verlage ein. Ob der VZBV bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) überhaupt klageberechtigt ist, war bereits umstritten: Gerichte legten die Frage beim Bundesgerichtshof (BGH) vor, der sich wiederum beim Europäischen Gerichtshof zurück versicherte. Als dieser im April grünes Licht für Klagen gab, schien die Frage geklärt, doch im November stellte der BGH überraschend eine zweite Anfrage an das Luxemburger Gericht, um die genauen Konditionen solcher Verfahren zu definieren.
Doch das Landgericht München wollte nicht mehr auf die Klärung warten und hat bereits Ende November eine Entscheidung (Aktenzeichen 33 O14776/19) getroffen: Demnach darf der Verlag keine "domainübergreifende Aufzeichnung des Nutzerverhaltens zu Analyse- und Marketingzwecke" vornehmen, wenn die Zustimmung dazu nicht deutlich anders gestaltet werde. Die Entscheidung ist allerdings noch nicht rechtskräftig.
Über 140 Seiten Cookie-Banner
Das Gericht sieht die bisherige Praxis auf Focus Online nicht als geeignet dafür, eine "informierte und freiwillige Einwilligung" der Nutzer zu erlangen. Alleine die Screenshots der zum Klagezeitpunkt 2019 auf Focus Online eingesetzten Cookie-Banner umfassen in der heise online vorliegenden Entscheidung 141 Seiten – viel zu viel Information, um vom durchschnittlichen Verbraucher hinreichend gewürdigt zu werden.
Selbst wer scheinbar die Einwilligung auf erster Ebene verweigerte, ließ laut Klage immer noch viele Cookies zu, bei denen sich BurdaForward auf das "berechtigte Interesse" berief, Nutzerdaten zu verarbeiten und weiterzugeben. Neben dem Einsatz von Cookies bemängelten die Verbraucherschützer auch andere Formen des Trackings: Etwa das Browser-Fingerprinting, die Einbindung von Skripten, iFrames und die Erfassung von IP-Adressen.
Streitfrage: Wissen Nutzer, worauf sie klicken?
Der beklagte Verlag hingegen verwies darauf, dass die Gestaltung des Cookie-Banners auf Focus Online marktüblich sei und Leser gar nicht alle Seiten des Cookie-Banners zur Kenntnis nehmen müssten. Die Nutzer hätten die "Zweistufigkeit" solcher Dialoge mittlerweile gelernt. Auch sehe das Gesetz nicht vor, dass die Nutzer auf der ersten Ebene eines Cookie-Banners mit einem Klick alle Datenverarbeitungen ablehnen können sollten.
Bei seinem Cookie-Banner stützt sich der Verlag wesentlich auf das Transparency and Consent Framework TCF der Werbeorganisation IAB Europe, mit dessen Hilfe die Zustimmung von Nutzern per einzelnem Klick an oft über hundert Drittparteien weitergegeben werden kann. Die zuständige belgische Datenschutzbehörde hatte das Verfahren bereits im Februar für unzulässig erklärt. Die Aufsichtsentscheidung wird vom IAB Europe jedoch derzeit noch vor Gericht bekämpft.
Nicht sehr intim, aber intim genug.
Der Burda-Verlag stellte sich auf den Standpunkt, dass der TCF und der übermittelte "Consent String" den gesetzlichen Vorgaben genüge und keine Informationen darüber enthalte, welche Apps oder Websites ein Nutzer besucht habe. Alles in allem biete die Übermittlung des Einverständnisses alleine "keine sehr intimen Einsichten".
Das Landgericht wollte dieser Argumentation nicht folgen. Für die Richter ist der TC-String eindeutig eine personenbezogene Information, da ja gerade die individuelle Zustimmung übermittelt werden soll. Da mit dem TC String auch notwendigerweise eine IP-Adresse übertragen werde, sei ein Abgleich mit anderen Daten und damit eine Identifizierung möglich. Ebenso lehnte das Gericht die Argumentation ab, dass Dritte Cookies abspeichern, für die der Website-Betreiber selbst nicht verantwortlich sei. Ob der Verlag Cookie-Banner auf Basis des TCF einsetze, sei dessen eigene Entscheidung.
Nicht freiwillig zugestimmt
Dass die Nutzer für die Verarbeitung ein gültiges Einverständnis erteilt hätten, glaubt das Gericht nicht. "Als freiwillig kann die Einwilligung nur dann betrachtet werden, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit hat, das heißt auch ohne Nachteile auf die Erteilung der Einwilligung verzichten kann." Der Aufwand, die Einwilligung zu verweigern, sei angesichts der im Internet üblichen Schnelligkeit zu hoch.
Auch das berechtigte Interesse könne nicht als Rechtfertigung für die Datenverarbeitung herhalten. Zwar beklagen Verlage, dass ohne solche Datenverarbeitung die Refinanzierung journalistischer Inhalte kaum möglich sei. "Es handelt sich dabei lediglich um subjektive Interessen der Beklagten", erklärten die Richter. Weitergehende Anträge der Verbraucherschützer lehnten sie aber ab, da sich die Klage nur auf das deutsche TTDSG und nicht auf die DSGVO direkt bezog.
Verbraucherschützer zufrieden
Gegenüber heise online zeigte sich Rosemarie Rodden, Referentin beim VZBV, mit dem Urteil zufrieden. "Sehr erfreulich ist, dass sich das Gericht unserer Ansicht angeschlossen und festgestellt hat, dass die mit dem Cookie-Banner eingeholte Einwilligung nicht auf einer freiwilligen Entscheidung der Nutzer beruht." Dabei habe das Gericht auch wichtige Details gewürdigt: "Das Gericht hat bestätigt, dass Cookies, die der domainübergreifenden Nachverfolgung zu Analyse- und Marketingzwecken dienen, für den Betrieb eines Nachrichtenportals nicht technisch unbedingt erforderlich sind", erklärte Rodden. Der Verband wolle nun prüfen, inwieweit man die Klagen in den parallel laufenden Verfahren weiter anpassen kann.
Aufseiten des Verlags sieht man dies naturgemäß anders. Burda erklärt gegenüber heise online in einem Statement, dass das Einwilligungsmanagement bei Focus Online "sowohl den geltenden Gesetzen als auch zu jeder Zeit den gängigen Marktstandards" entspreche. Das Landgericht habe sich mit dem Urteil zu einigen "höchstrichterlich ungeklärten und kontrovers diskutierten Rechtsfragen" positioniert. Deshalb habe der Verlag entschieden, Rechtsmittel gegen das Urteil einzulegen.
Quelle; heise
Du musst Regestriert sein, um das angehängte Bild zusehen.
Im ersten einer Reihe von Verfahren des Verbraucherzentrale Bundesverband (VZBV) gegen die heute üblichen Cookie-Banner hat BurdaForward, eine Tochter von Hubert Burda Media, eine Niederlage erlitten: Das Landgericht München I hat Ende November entschieden, dass der Cookie-Banner auf Focus Online gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) verstößt. Die Richter gaben den Verbraucherschützern allerdings nicht in allen Punkten recht.
Mit dem Verfahren selbst hat der Dachverband der Verbraucherzentralen juristisches Neuland betreten. Eigentlich sind die Datenschutzbeauftragten der Länder dafür zuständig, die Rechtmäßigkeit der Datenverarbeitung deutscher Unternehmen zu überwachen. Mehrere der Behörden hatten 2020 bereits eine Prüfung von Verlags-Websites initiiert. Öffentliche bekannte Sanktionen oder andere spürbare Auswirkungen hatte dies jedoch nicht zufolge.
Klagen an den Aufsichtsbehörden vorbei
Die Verbraucherschützer wollen eine härtere Gangart einschlagen: Sie reichten deshalb Klage gegen insgesamt fünf große deutsche Verlage ein. Ob der VZBV bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) überhaupt klageberechtigt ist, war bereits umstritten: Gerichte legten die Frage beim Bundesgerichtshof (BGH) vor, der sich wiederum beim Europäischen Gerichtshof zurück versicherte. Als dieser im April grünes Licht für Klagen gab, schien die Frage geklärt, doch im November stellte der BGH überraschend eine zweite Anfrage an das Luxemburger Gericht, um die genauen Konditionen solcher Verfahren zu definieren.
Doch das Landgericht München wollte nicht mehr auf die Klärung warten und hat bereits Ende November eine Entscheidung (Aktenzeichen 33 O14776/19) getroffen: Demnach darf der Verlag keine "domainübergreifende Aufzeichnung des Nutzerverhaltens zu Analyse- und Marketingzwecke" vornehmen, wenn die Zustimmung dazu nicht deutlich anders gestaltet werde. Die Entscheidung ist allerdings noch nicht rechtskräftig.
Über 140 Seiten Cookie-Banner
Das Gericht sieht die bisherige Praxis auf Focus Online nicht als geeignet dafür, eine "informierte und freiwillige Einwilligung" der Nutzer zu erlangen. Alleine die Screenshots der zum Klagezeitpunkt 2019 auf Focus Online eingesetzten Cookie-Banner umfassen in der heise online vorliegenden Entscheidung 141 Seiten – viel zu viel Information, um vom durchschnittlichen Verbraucher hinreichend gewürdigt zu werden.
Selbst wer scheinbar die Einwilligung auf erster Ebene verweigerte, ließ laut Klage immer noch viele Cookies zu, bei denen sich BurdaForward auf das "berechtigte Interesse" berief, Nutzerdaten zu verarbeiten und weiterzugeben. Neben dem Einsatz von Cookies bemängelten die Verbraucherschützer auch andere Formen des Trackings: Etwa das Browser-Fingerprinting, die Einbindung von Skripten, iFrames und die Erfassung von IP-Adressen.
Streitfrage: Wissen Nutzer, worauf sie klicken?
Der beklagte Verlag hingegen verwies darauf, dass die Gestaltung des Cookie-Banners auf Focus Online marktüblich sei und Leser gar nicht alle Seiten des Cookie-Banners zur Kenntnis nehmen müssten. Die Nutzer hätten die "Zweistufigkeit" solcher Dialoge mittlerweile gelernt. Auch sehe das Gesetz nicht vor, dass die Nutzer auf der ersten Ebene eines Cookie-Banners mit einem Klick alle Datenverarbeitungen ablehnen können sollten.
Bei seinem Cookie-Banner stützt sich der Verlag wesentlich auf das Transparency and Consent Framework TCF der Werbeorganisation IAB Europe, mit dessen Hilfe die Zustimmung von Nutzern per einzelnem Klick an oft über hundert Drittparteien weitergegeben werden kann. Die zuständige belgische Datenschutzbehörde hatte das Verfahren bereits im Februar für unzulässig erklärt. Die Aufsichtsentscheidung wird vom IAB Europe jedoch derzeit noch vor Gericht bekämpft.
Nicht sehr intim, aber intim genug.
Der Burda-Verlag stellte sich auf den Standpunkt, dass der TCF und der übermittelte "Consent String" den gesetzlichen Vorgaben genüge und keine Informationen darüber enthalte, welche Apps oder Websites ein Nutzer besucht habe. Alles in allem biete die Übermittlung des Einverständnisses alleine "keine sehr intimen Einsichten".
Das Landgericht wollte dieser Argumentation nicht folgen. Für die Richter ist der TC-String eindeutig eine personenbezogene Information, da ja gerade die individuelle Zustimmung übermittelt werden soll. Da mit dem TC String auch notwendigerweise eine IP-Adresse übertragen werde, sei ein Abgleich mit anderen Daten und damit eine Identifizierung möglich. Ebenso lehnte das Gericht die Argumentation ab, dass Dritte Cookies abspeichern, für die der Website-Betreiber selbst nicht verantwortlich sei. Ob der Verlag Cookie-Banner auf Basis des TCF einsetze, sei dessen eigene Entscheidung.
Nicht freiwillig zugestimmt
Dass die Nutzer für die Verarbeitung ein gültiges Einverständnis erteilt hätten, glaubt das Gericht nicht. "Als freiwillig kann die Einwilligung nur dann betrachtet werden, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit hat, das heißt auch ohne Nachteile auf die Erteilung der Einwilligung verzichten kann." Der Aufwand, die Einwilligung zu verweigern, sei angesichts der im Internet üblichen Schnelligkeit zu hoch.
Auch das berechtigte Interesse könne nicht als Rechtfertigung für die Datenverarbeitung herhalten. Zwar beklagen Verlage, dass ohne solche Datenverarbeitung die Refinanzierung journalistischer Inhalte kaum möglich sei. "Es handelt sich dabei lediglich um subjektive Interessen der Beklagten", erklärten die Richter. Weitergehende Anträge der Verbraucherschützer lehnten sie aber ab, da sich die Klage nur auf das deutsche TTDSG und nicht auf die DSGVO direkt bezog.
Verbraucherschützer zufrieden
Gegenüber heise online zeigte sich Rosemarie Rodden, Referentin beim VZBV, mit dem Urteil zufrieden. "Sehr erfreulich ist, dass sich das Gericht unserer Ansicht angeschlossen und festgestellt hat, dass die mit dem Cookie-Banner eingeholte Einwilligung nicht auf einer freiwilligen Entscheidung der Nutzer beruht." Dabei habe das Gericht auch wichtige Details gewürdigt: "Das Gericht hat bestätigt, dass Cookies, die der domainübergreifenden Nachverfolgung zu Analyse- und Marketingzwecken dienen, für den Betrieb eines Nachrichtenportals nicht technisch unbedingt erforderlich sind", erklärte Rodden. Der Verband wolle nun prüfen, inwieweit man die Klagen in den parallel laufenden Verfahren weiter anpassen kann.
Aufseiten des Verlags sieht man dies naturgemäß anders. Burda erklärt gegenüber heise online in einem Statement, dass das Einwilligungsmanagement bei Focus Online "sowohl den geltenden Gesetzen als auch zu jeder Zeit den gängigen Marktstandards" entspreche. Das Landgericht habe sich mit dem Urteil zu einigen "höchstrichterlich ungeklärten und kontrovers diskutierten Rechtsfragen" positioniert. Deshalb habe der Verlag entschieden, Rechtsmittel gegen das Urteil einzulegen.
Quelle; heise
