Möchte man also den sicheren Weg beschreiten, scheint das Cookie-Banner die Lösung zu sein, um eine wirksame Einwilligung einzuholen, bevor die Tracking-Cookies oder ähnliche Techniken gesetzt werden. In der Orientierungshilfe der Aufsichtsbehörden für Anbieterinnen und Anbieter von Telemedien finden sich diverse Anforderungen an die Ausgestaltung:
- Das Banner muss eine Übersicht aller einwilligungsbedürftigen Verarbeitungsvorgänge enthalten sowie eine Möglichkeit, diese zu aktivieren (= nicht vorangekreuzte Checkbox).
- Der Zugriff auf Impressum und Datenschutzerklärung darf der Cookie-Banner nicht verhindern.
- Erst wenn die Nutzerin bzw. der Nutzer informiert und freiwillig in die Datenverarbeitung eingewilligt hat, dürfen die Tracking-Maßnahmen ausgeführt werden.
Viele Cookie-Banner, denen man beim Surfen begegnet, werden diesen Anforderungen nicht gerecht. Cookies werden gesetzt, sobald man die Seite betritt und eine Ablehnung einzelner Tracking-Maßnahmen ist häufig nicht möglich.
Auch Formulierungen wie „Durch weitersurfen stimmen Sie zu, dass…“ stellen keine Einwilligung dar.
Informationen innerhalb der Datenschutzerklärung oder innerhalb des Cookie-Banners können somit schnell widersprüchlich zu den tatsächlichen technischen Cookie-Einstellungen auf der Webseite sein.
Liegt keine transparente Datenverarbeitung vor oder fehlt gar eine zugrundeliegende Rechtsgrundlage in der DSGVO, kann das empfindliche Konsequenzen haben.
Die Landesdatenschutzbehörden haben sich auf eine gemeinsame Positionierung gegen den Einsatz von Drittanbieter-Tools wie Google Analytics verständigt, sofern diese ohne die aktive Zustimmung der Nutzerin oder des Nutzers auf den Webseiten eingesetzt werden.
So kam es bereits in der Vergangenheit zu entsprechenden Untersagungsverfügungen und Gerichtsverfahren. Vor dem Verwaltungsgericht Mainz konnte ein Webseitenbetreiber sich nicht erfolgreich gegen die Anweisung der Aufsichtsbehörde (LfDI) wehren. Das Gericht stufte ein überwiegendes Interesse des Nutzes als „grundsätzlich überzeugend“ ein.
Webseitenbetreiberinnen und -betreiber können sich daher beim Einsatz von Tracking-Tools nicht auf die Rechtsgrundlage des berechtigten Interesses stützen (Art. 6 Abs. 1 lit. f DSGVO).
Eine nicht rechtmäßige Datenverarbeitung (z. B. die fehlende Rechtsgrundlage für die Durchführung von Tracking-Techniken) kann ein empfindliches Bußgeld für die Webseitenbetreiberin oder den Webseitenbetreiber bedeuten. Nach Art. 83 Abs. 5 DSGVO sind Geldbußen von bis zu 20.000.000 Euro oder von bis zu 4% des weltweit erzielten Vorjahresumsatzes möglich. Folgt man den aufgestellten Kriterien zur Bußgeldbemessung der Aufsichtsbehörden, so ist bei einem Vorjahresumsatz eines Unternehmens von 30.000 Euro ein Bußgeld von mehr als 10.000 Euro möglich.
Daneben sind auch wettbewerbsrechtliche Abmahnungen von Wettbewerbsverbänden möglich. Nach Ansicht des OLG Naumburg, des OLG Hamburg und des OLG Stuttgart können einzelne Normen der DSGVO als Marktverhaltensnormen eingestuft werden und ermöglichen somit ein wettbewerbsrechtliches Vorgehen gegen vermeintliche Datenschutzverstöße.
Auch Schadensersatzansprüche der betroffenen Personen sind möglich, sofern ihnen wegen eines Verstoßes gegen datenschutzrechtliche Vorgaben ein materieller oder immaterieller Schaden entstanden ist. Zwar ist das Vorliegen eines immateriellen Schadens bei einer fehlenden oder fehlerhaften Cookie-Einwilligung auf einer Webseite als eher fragwürdig einzustufen. Jedoch sind Schadensersatzansprüche lästig und kosten Sie aufgrund der Bearbeitung wertvolle Zeit, die Ihnen im täglichen Business dann fehlt.
