Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) führte eine anlasslose, teils automatisierte Überprüfung von Webseiten (und deren Cookie-Banner) bei rund 350 bayerischen Webseitenbetreibern und 15 Apps durch.
Auch Zugriffe, die im Rahmend er Nutzung von Apps stattfinden unterliegen dem Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) und der Datenschutzgrundverordnung (DS-GVO). Für diese Prüfung hat das BayLDA eigens ein Tool zur automatisierten Prüfung von Cookie-Bannern entwickelt.
Was war Ziel der Prüfung der Cookie-Banner?
Ziel dieser Prüfung war es, Webseiten und Apps auf die Einhaltung der datenschutzrechtlichen Anforderungen zu prüfen. Hierbei wurde geprüft, ob der jeweilige Cookie-Banner neben der Option „Alle Akzeptieren“ auch die Möglichkeit beinhaltete in den Gebrauch von externen Technologien wie z.B. Tracking-Cookies einzuwilligen. Zudem musste es auch möglich sein, den Cookie-Banner zu schließen, wenn keine Einwilligung durch den Nutzer erfolgte.
Bereits im Dezember 2021 wurde durch die Datenschutzbehörden des Bundes und der Länder (DSK) für das Gesetz zum Datenschutz in der Telekommunikation und bei Telemedien (TTDSG) und die Datenschutz-Grundverordnung (DSGVO) eine Orientierungshilfe für Webseitenbetreiber herausgegeben. Darin heißt es, dass Cookie-Banner, die nur die Option „Alles Akzeptieren“, „Einstellungen“ oder „Weitere Hinweise“ vorsehen, sind als nicht rechtskonform einzustufen sind.
Die gesamte Orientierungshilfe können sie direkt über die Website der datenschutzkonferenz-online.de herunterladen.
Die deutschen Datenschutzaufsichtsbehörden vertreten die Auffassung, dass die Option, keine Einwilligung zu erteilen dem Nutzer zwingend auf erster Ebene von Cookie-Bannern angeboten werden muss, heißt also bei Betreten der Webseite. Dies gelte laut DSK zumindest dann, sofern die Webseite nicht ohne Interaktion mit dem Einwilligungs-Banner beeinträchtigungsfrei vom Nutzer genutzt werden könne.
Bei fast allen geprüften Apps und Webseiten wurden einwilligungspflichtige Vorgänge festgestellt, ohne dass jedoch die Einwilligung des Nutzers eingeholt wurde. Betreiber der auffällig gewordenen Apps und Webseiten haben derzeit die Möglichkeit erhalten, sich zu den datenschutzrechtlichen Mängeln zu äußern und die entsprechenden Anpassungen vorzunehmen.
Anforderungen an die Einwilligung des Nutzers bei einem Cookie-Banner
Die Anforderungen die an eine Einwilligung zur Informationsverarbeitung gemäß § 25 TTDSG geknüpft sind, beschreibt die Datenschutzkonferenz (DSK) wie folgt: “Einwilligung der Endnutzer:innen des Endgeräts, Zeitpunkt der Einwilligung, Informiertheit der Einwilligung, unmissverständliche und eindeutig bestätigende Handlung, bezogen auf den bestimmten Fall, Freiwilligkeit der Willensbekundung, Möglichkeit zum Widerruf der Einwilligung, die ebenso einfach sein muss wie die Erteilung“.
Der Nutzer muss also aktiv Handeln und auswählen können, welche Option er wählen möchte.
Daher müssen dem Nutzer weitere Optionen zur Verfügung gestellt werden, wie „Alles Akzeptieren“, „Alles Ablehnen“ und „Weitere Informationen“. Auch muss der Nutzer die einmal getroffenen Einstellungen jederzeit leicht wieder ändern können. Zudem ist das Wegklicken des Cookie-Banners nicht als stillschweigendes Einverständnis zu werten.
Weitere Informationen
Den Status der Prüfung können sie unter https://www.lda.bayern.de/de/kontrollen_stabsstelle.html) einsehen. Die offizielle Pressemitteilung des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) finden sie hier:
Was ist zu tun?
Nutzen sie externe Technologien auf ihrer Webseite, sollten sie umgehend überprüfen, ob ihr Cookie-Banner seine Funktion erfüllt und die Einwilligung des Nutzers rechtskonform einholt. Ist das nicht der Fall, sollten sie die nötigen Anpassungen vornehmen.
Gerne sind wir ihnen dabei behilflich ihre Webseite hin auf Datenschutzkonformität zu überprüfen. Kontaktieren Sie uns direkt per Telefon, E-Mail oder über unser Kontaktformular: