Was Website-Betreiber aus Cookie-Bußgeldverfahren lernen können

Bei der Durchsetzung der Cookie-Regeln werden immer wieder dieselben wenigen Fehler geahndet: „Ablehnen“ schwerer zu machen als „Akzeptieren“, vorab angekreuzte Kästchen oder Weitersurfen als Einwilligung zu werten und Tracker zu laden, bevor jemand eine Wahl getroffen hat. Die klarsten Lehren liefern das Planet49-Urteil des EuGH und die französischen Bußgelder gegen Google und Facebook aus dem Jahr 2021. Beheben Sie diese Muster und prüfen Sie Ihre Website so, wie es eine Aufsichtsbehörde tun würde.

Was geschah bei den CNIL-Entscheidungen gegen Google und Facebook?

Im Dezember 2021 verhängte die französische Datenschutzbehörde CNIL Bußgelder von 150 Mio. € gegen Google und 60 Mio. € gegen Facebook. Der Kernbefund war einfach: Auf ihren Websites genügte ein einziger Klick, um Cookies zu akzeptieren, während für das Ablehnen mehrere Klicks nötig waren.

Die CNIL argumentierte, dass diese Asymmetrie die Menschen zur Zustimmung lenkte und die eingeholte Einwilligung daher nicht freiwillig war. Niemand wurde zur Zustimmung gezwungen, doch der Weg des geringsten Widerstands führte zum Ja, und das genügte. Die Behörde wies beide Unternehmen außerdem an, eine Möglichkeit zum Ablehnen von Cookies anzubieten, die so einfach ist wie das Akzeptieren.

Die Entscheidungen zeigten auch, dass für Cookie-Regeln ein eigener Durchsetzungsweg gilt. Die CNIL handelte auf Grundlage des französischen Gesetzes zur Umsetzung der ePrivacy-Richtlinie und nicht über das grenzüberschreitende Verfahren der DSGVO. Sie musste den Fall daher nicht an eine federführende Behörde in einem anderen Land abgeben.

Die Lehre: Platzieren Sie eine Ablehnungsoption auf der ersten Ebene, genauso prominent wie die Zustimmung. Unser Leitfaden zu Dark Patterns in Cookie-Bannern behandelt die verwandten Gestaltungstricks, nach denen Aufsichtsbehörden suchen.

Was hat das Planet49-Urteil geklärt?

Im Fall Planet49 (C-673/17, 2019) entschied der Gerichtshof der Europäischen Union (EuGH), dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung in Cookies begründet. Der Besucher muss selbst aktiv werden.

Es ging um ein Online-Gewinnspiel, bei dem ein Kästchen zur Zulassung von Cookies standardmäßig angekreuzt war. Das Gericht stellte fest, dass eine Einwilligung ein aktives Verhalten erfordert und es daher nicht genügt, eine Voreinstellung unverändert zu lassen. Es bestätigte außerdem, dass die Einwilligungspflicht für auf dem Endgerät gespeicherte Informationen unabhängig davon gilt, ob es sich um personenbezogene Daten handelt, und dass Nutzer erfahren müssen, wie lange Cookies aktiv bleiben und ob Dritte darauf zugreifen können.

Die Lehre: Lassen Sie jede nicht notwendige Kategorie zunächst deaktiviert und sorgen Sie dafür, dass Ihr Banner oder Einstellungsfenster die Speicherdauer der Cookies und den Zugriff durch Dritte erklärt.

Welche Fehler finden Aufsichtsbehörden immer wieder?

Dieselben wenigen Probleme tauchen immer wieder auf. Die meisten davon sieht jeder, der die Entwicklertools seines Browsers öffnet.

Häufiger Fehler	Warum er nicht zulässig ist	Was Sie stattdessen tun sollten
Kein Ablehnen-Button auf der ersten Ebene	Ablehnen ist schwerer als Akzeptieren, die Einwilligung ist also nicht freiwillig	Akzeptieren und Ablehnen nebeneinander und gleich prominent anzeigen
Vorab angekreuzte Kästchen oder vorab aktivierte Schalter	Keine aktive, eindeutige Wahl	Jede nicht notwendige Kategorie zunächst deaktiviert lassen
Tracker, die beim Laden der Seite auslösen	Die Einwilligung wird nicht vor dem Zugriff eingeholt	Skripte blockieren, bis die jeweilige Kategorie freigegeben ist
Hinweise wie „Mit der Nutzung dieser Website stimmen Sie zu“	Weitersurfen ist keine bestätigende Handlung	Einen ausdrücklichen Klick zum Akzeptieren verlangen
Cookies werden auch nach einer Ablehnung gesetzt	Die Wahl wird gespeichert, aber nicht durchgesetzt	Den Ablehnungsweg auf jedem Seiten-Template testen
Veraltete Cookie-Listen	Die Einwilligung ist nicht ausreichend informiert	Bei Änderungen an Tags neu scannen und die Richtlinie aktualisieren
Keine einfache Widerrufsmöglichkeit	Der Widerruf muss so einfach sein wie die Einwilligung	Einen dauerhaft verfügbaren Link vorsehen, der die Einstellungen wieder öffnet

Die dritte und die fünfte Zeile verdienen besondere Beachtung. Ein gut gestaltetes Banner schützt Sie nicht, wenn die Skripte dahinter die Antwort ignorieren. Unser Leitfaden dazu, wie Sie Drittanbieter-Skripte bis zur Einwilligung blockieren, behandelt die technische Seite.

Warum gehen nationale Aufsichtsbehörden so häufig gegen Cookie-Verstöße vor?

Cookie-Verstöße lassen sich leicht nachweisen, leicht melden und lokal durchsetzen. Diese Kombination macht sie zu einem häufigen Ziel.

Da die ePrivacy-Vorschriften in nationales Recht umgesetzt sind, kann eine Aufsichtsbehörde in der Regel gegen jede Website vorgehen, die sich an Personen in ihrem Land richtet, ohne die grenzüberschreitende Abstimmung nach der DSGVO. Unser Beitrag ePrivacy-Richtlinie vs. DSGVO erklärt, warum die beiden Regelwerke unterschiedlich durchgesetzt werden.

Viele Verfahren beginnen mit Beschwerden von Nutzern oder Datenschutzorganisationen, von denen einige massenhaft Beschwerden gegen Websites mit nicht konformen Bannern eingereicht haben. Die Aufsichtsbehörden führen außerdem eigene Überprüfungen und Compliance-Kampagnen durch. Beweise sind leicht zu sichern: ein Screenshot des Banners und eine Liste der Anfragen, die vor jeder Auswahl gesendet werden.

Die Sanktionen hängen vom Verfahrensweg ab. Nach Artikel 83 Absatz 5 DSGVO können die schwersten Verstöße mit Geldbußen von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Sanktionen nach nationalen ePrivacy-Gesetzen richten sich nach den Regeln des jeweiligen Landes. In beiden Fällen können die Behörden auch Änderungen anordnen, teils verbunden mit Fristen.

Wie prüfen Sie Ihre Website so, wie es eine Aufsichtsbehörde tun würde?

Laden Sie Ihre Website als Erstbesucher, halten Sie fest, was vor dem ersten Klick passiert, und testen Sie dann jede Option, die das Banner anbietet. Eine grundlegende Prüfung lässt sich an einem Arbeitstag erledigen.

1. Sauber starten. Öffnen Sie ein privates Browserfenster mit den Entwicklertools auf den Tabs „Netzwerk“ und „Anwendung“ (bzw. „Speicher“).
2. Wichtige Seiten ohne Interaktion laden. Prüfen Sie die Startseite, eine Inhaltsseite und eine Checkout- oder Registrierungsseite und notieren Sie jedes Cookie, jeden Local-Storage-Eintrag und jede Drittanbieter-Anfrage.
3. Alles Nicht-Notwendige markieren. Analyse-, Werbe- oder Social-Media-Anfragen sind in diesem Stadium ein Problem.
4. Klicks zählen. Vergleichen Sie den Aufwand, um alles zu akzeptieren, mit dem Aufwand, um alles abzulehnen.
5. Ablehnen und weitersurfen. Lehnen Sie alles ab, navigieren Sie dann weiter und laden Sie Seiten neu. Es sollten keine neuen nicht notwendigen Cookies oder Anfragen auftauchen.
6. Eine Kategorie akzeptieren. Erlauben Sie zum Beispiel nur Analyse und prüfen Sie, dass ausschließlich Analyse-Tags geladen werden.
7. Widerrufen. Öffnen Sie die Einstellungen erneut, widerrufen Sie die Einwilligung und prüfen Sie, dass die betroffenen Tags stoppen.
8. Abgleichen und abrufen. Prüfen Sie, ob Ihre Cookie-Richtlinie mit Ihren Beobachtungen übereinstimmt und ob Sie den Einwilligungsnachweis für Ihren eigenen Testbesuch finden.

Eine vollständige Bestandsaufnahme aller Elemente, die Ihre Website setzt, erhalten Sie mit unserem Leitfaden zum Cookie-Audit.

Fazit

Die bisherige Durchsetzungspraxis ist ungewöhnlich einheitlich: Aufsichtsbehörden ahnden asymmetrische Auswahlmöglichkeiten, standardmäßig aktivierte Einwilligungen und Tracker, die die Antwort des Besuchers ignorieren. Keiner dieser Fehler ist schwer zu entdecken, und genau deshalb tauchen sie immer wieder in Entscheidungen auf. Tools wie Cookiesh können automatisierte Cookie-Scans durchführen und per Hash-Kette gesicherte Einwilligungsprotokolle führen, doch der sinnvollste erste Schritt ist ein manueller Test Ihres eigenen Banners anhand der obigen Checkliste.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.