Nach Klage der VerbraucherzentraleCookie-Banner von Focus Online illegal

Das Cookie-Banner von Focus Online verstößt gegen das Datenschutzrecht, hat das Landgericht München entschieden. Geklagt hatte der Verbraucherzentrale Bundesverband gegen fünf große deutsche Verlage – musste aber zunächst herausfinden, ob er überhaupt klagen darf.

Im Hintergrund die Focus Zentrale, davor das Logo der Verbraucherzentrale, sowie Kekse und ein Verbotszeichen
Der Bundesverband Verbraucherzentrale war erfolgreich: Das Cookie-Banner von Focus Online ist rechtswidrig. – Alle Rechte vorbehalten Focus Zentrale: Imago; Logo Verbraucherzentrale Bundesverband: Verbraucherzentrale Bundesverband; Verbotssymbol: Imago / Panthermedia; Kekse: Imago / Shotshop; Montage: netzpolitik.org

Der Burda-Verlag und Focus Online dürfen Nutzer:innen nicht ohne eine freiwillige Einwilligung domainübergreifend tracken. Das entschied Ende November das Landgericht München nach einer Klage des Verbraucherzentrale Bundesverbandes (VZBV) (Aktenzeichen 33 O14776/19). Demnach verstößt das Cookie-Banner auf Focus Online in seiner bisherigen Form gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), wie zuerst heise online berichtete. Das noch unveröffentlichte Urteil liegt netzpolitik.org vor.

Das Urteil des Landgerichts wird nicht das Einzige in dem Streit um Cookie-Banner bleiben. Denn der VZBV hatte 2019 Klage gegen fünf große Verlage eingereicht. Das Gericht folgte der Argumentation des Verbandes nun zwar nicht in allen Punkten, allerdings stuft es die bisherige Cookie-Praxis von BurdaForward – ein Tochterunternehmen des Burda-Verlags und die Betreiberin von Focus Online – als rechtswidrig ein.

Einwilligung kann nicht als freiwillig angesehen werden

Als Rechtsgrundlage für Online-Tracking bedarf es einer freiwilligen, informierten und damit rechtskräftigen Einwilligung. Dies sei bei Focus Online nicht gegeben: „Als freiwillig kann die Einwilligung nur dann betrachtet werden, wenn die betroffene Person tatsächlich eine Wahlmöglichkeit hat, das heißt auch ohne Nachteile auf die Erteilung der Einwilligung verzichten kann“, stellt das Gericht in seiner Begründung klar.

Der VZBV warf Burda darüberhinaus vor, personenbezogene Daten selbst dann zu sammeln, wenn Nutzer:innen die Einwilligung in die Datenverarbeitung auf der ersten Ebene des Cookie-Banners verweigern würden. Der Burda Verlag rechtfertigt dies mit seinem „berechtigten Interesse“, Nutzer:innendaten zu verarbeiten. Zudem argumentiert der Verlag, dass dieses „zweistufige“ Vorgehen bei Cookie-Bannern zum einen marktüblich und gesetzeskonform sowie zum anderen hinlänglich bekannt sei.

Das Gericht sieht das anders: Für durchschnittliche Verbraucher:innen sei der Aufwand, die Einwilligung unter Berücksichtigung der im Internet üblichen Geschwindigkeit zu verweigern, angesichts ellenlanger Cookie-Banner schlicht zu hoch. Daher könne man hier nicht von Freiwilligkeit reden. Zudem kritisieren die Richter:innen den Einsatz sogenannter Dark Patterns: Bei dem eingesetzten Cookie-Banner sei „die Schaltfläche ‚Akzeptieren‘ nochmals durch die blaue Markierung besonders in den Vordergrund gerückt, so dass für den Nutzer offensichtlich ist, dass deren Betätigung die schnellste Möglichkeit darstellt, die Webseite zu nutzen.“

Burda beruft sich auf das Transparency and Consent Framework TCF der Werbeorganisation IAB Europe. Damit wird die Zustimmung von Nutzer:innen, die nur durch einen einzigen Klick in einem vorgeschalteten Cookie-Banner erfolgte, als Grundlage genutzt, die gesammelten Daten an teilweise Hunderte von Drittparteien weiterzugeben. Dieser Geschäftsrahmen wurde in diesem Februar von der zuständigen belgischen Datenschutzbehörde bereits für unzulässig erklärt, die Entscheidung ist aufgrund einer Klage von IAB Europe jedoch noch nicht rechtskräftig.

Burda legt Rechtsmittel ein

Das Landgericht widerspricht auch hier dem Burda-Verlag. Nach Auffassung der Richter:innen stelle der Datentransfer im Rahmen des TCF die Übermittlung von personenbezogenen Informationen dar – mit denen die Verbraucher:innen identifiziert werden könnten, weil für diesen Transfer auch die Übermittlung der IP-Adresse notwendig sei. Für diese übermittelten Daten an Drittparteien sei der Verlag selbst verantwortlich, denn es bestehe offenkundig keine Pflicht, Cookie-Banner auf Basis des TCF zu verwenden.

Das Gericht ging noch weiter: Es arbeitet in seinem Urteil nämlich heraus, dass auch das angebliche „berechtigte Interesse“ eines Verlages nicht als Rechtfertigung für eine Datenverarbeitung genüge. Entsprechend zufrieden äußert sich Rosemarie Rodden, Referentin beim VZBV, bei heise online: „Das Gericht hat bestätigt, dass Cookies, die der domainübergreifenden Nachverfolgung zu Analyse- und Marketingzwecken dienen, für den Betrieb eines Nachrichtenportals nicht technisch unbedingt erforderlich sind“. Man wolle nun prüfen, inwiefern man die parallel laufenden Klagen dahingehend anpassen könne.

Bei Burda ist man wenig begeistert über das Urteil. Der Verlag äußert gegenüber heise online, dass das fragliche Cookie-Banner bei Focus Online „sowohl den geltenden Gesetzen als auch zu jeder Zeit den gängigen Marktstandards“ entspreche. Ferner behandle das inzwischen gefällte Urteil einige „höchstrichterlich ungeklärte[…] und kontrovers diskutierte[…] Rechtsfragen“. Daher hat der Verlag Rechtsmittel gegen das Urteil eingelegt.

Streit um Klagebefugnis des VZBV

Tatsächlich ist das Vorgehen des Gerichts bemerkenswert. Denn dass in diesem Fall der VZBV beschwerdeführend auftritt, ist neu. Eigentlich sind es die Datenschutzbeauftragten der Länder, die dafür zuständig sind, Unternehmen in Deutschland bei der Datenverarbeitung auf die Finger zu schauen. Diese hatten 2020 eine Prüfung von Verlags-Websites angestoßen. Die Überprüfung blieb bislang ohne erkennbare Konsequenzen.

Weil die zuständigen Richter:innen sich selbst nicht sicher waren, ob der VZBV überhaupt klageberechtigt ist, reichten sie das Verfahren weiter bis zum Bundesgerichtshof (BGH). Nachdem dieser sich beim Europäischen Gerichtshof (EuGH) rückversichert hatte, schien eigentlich im April dieses Jahres alles geklärt: Verbraucher:innenverbände sind klagebefugt.

Doch im November rief der BGH den EUGH erneut an. Darauf wollte das Landgericht München nun wohl nicht länger warten und verkündete Ende November das Urteil.

Update: Wir haben den Text nach Veröffentlichung geringfügig aktualisiert.

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

6 Ergänzungen

  1. Immer wieder erstaunlich wie sich solche Medienunternehmen auf „Marktstandards“ berufen und daraus dann im Brustton der Überzeugung legales Handeln ableiten. Dass auch „etablierte Standards“ rechtswidrig sein könnten will man wohl nicht wahr haben.
    Es war leider von Anfang an klar, dass die Ausnahmen „legitimes Interesse“ und „technisch notwendig“ die Mauselöcher sein würden, durch die sich jeder noch so dicke Kater versuchen würde sich durchzuzwängen, um weiter ungehemmt und ungestört der Datensammelwut nachzugehen.

  2. „Ferner habe das Landgericht seine Kompetenzen überschritten, indem es ein Urteil gefällt habe, zu dem es noch überhaupt keine höchstrichterliche Entscheidung gebe.“ Das stellt aber eine sehr eigenwillige Rechtsauffassung dar. Gerade solange es noch keine herreschende Rechtsmeinung gibt ist es an den Gerichten frei zu entscheiden, bis ein Fall beim OLG oder BGH landet.

    1. Hi JLoyd, da hast Du recht – da habe ich mich unsauber ausgedrückt. Danke für Deinen Hinweis, ich habe das entsprechend aktualisiert.

  3. Schade, dass das keiner Aufsichtsbehörde aufgefallen ist.

    Vielleicht sollten der Staat diese offenbar sehr effektiven Google-Fonts-Abmahnanwälte auf die helle Seite der Macht holen?

  4. Das Chaos ist selbstverständlich politisch gewollt.
    Durch Einflussnahme und Lobbyarbeit haben die Datenkraken die gesetzlichen Vorgaben so weit verwässert wie nur möglich.
    Was sehr erfolgreich dazu führt, dass es erst höchstrichterlichen Klarstellungen bedarf – die natürlich erst in Ewigkeiten durchgeklagt sein werden.

    Und so lange lassen es sich die Datensammler mit unseren Verhaltens- und Surfprofilen gut gehen.

    Zudem ja auch keinerlei Strafen drohen.

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.