Abmahnung wegen Cookie-Banner: Risiken und Behörden

Cookie-Banner sind in den letzten Jahren ein aktives Feld für datenschutzrechtliche Durchsetzungsmaßnahmen geworden. Datenschutzbehörden in ganz Europa haben Verfahren eingeleitet, Bußgelder verhängt und öffentliche Leitlinien veröffentlicht. Für Website-Betreiber ist es wichtig zu verstehen, welche konkreten Risiken ein fehlerhafter Cookie-Banner mit sich bringt und welche Stellen diese Risiken durchsetzen.

Wer kann tätig werden?

Datenschutzbehörden: Die zuständigen Landesdatenschutzbehörden in Deutschland können auf Beschwerde oder von Amts wegen tätig werden. Sie können Verwarnungen aussprechen, Anordnungen zur Anpassung erteilen und Bußgelder verhängen. Beschwerden können von jedem Nutzer eingereicht werden, der meint, dass ein Cookie-Banner seine Rechte verletzt.

Verbraucherschutzverbände: Nach dem Unterlassungsklagengesetz (UKlaG) können qualifizierte Einrichtungen wie Verbraucherzentralen Klagen gegen Datenschutzverstöße erheben. Der Verbraucherzentrale Bundesverband (vzbv) hat mehrere Verfahren gegen große Unternehmen wegen fehlerhafter Cookie-Banner geführt.

Mitbewerber: Die wettbewerbsrechtliche Abmahnung durch Mitbewerber ist ein umstrittenes Gebiet. Einige Gerichte haben zugelassen, dass DSGVO-Verstöße gleichzeitig als unlautere Wettbewerbshandlung abgemahnt werden können. Das Risiko ist real, auch wenn die Rechtsprechung nicht einheitlich ist.

Häufige Verstöße bei Cookie-Bannern

Voreingestellte Zustimmung: Wenn Checkboxen für nicht-notwendige Cookies im Banner bereits angekreuzt sind, ist das keine gültige Einwilligung. Das hat der Europäische Gerichtshof im Planet49-Urteil klargestellt. Dieser Fehler gehört zu den häufigsten Beanstandungen.

Kein gleichwertiger Ablehnungsbutton: Wenn Ablehnen deutlich schwerer erreichbar ist als Zustimmen, etwa weil der Ablehnungs-Link auf einer zweiten Ebene versteckt ist oder deutlich kleiner dargestellt wird, ist die Einwilligung nicht freiwillig im Sinne der DSGVO.

Fehlende Widerrufsmöglichkeit: Nutzer müssen ihre Einwilligung jederzeit widerrufen können. Wenn kein dauerhaft zugänglicher Weg zur Änderung der Cookie-Einstellungen existiert, ist das ein Verstoß.

Cookies werden gesetzt, bevor die Einwilligung erteilt wird: Das ist ein technischer Fehler, der in der Praxis häufig vorkommt. Tracking-Skripte werden geladen, bevor der Nutzer überhaupt auf den Banner reagiert hat. Das ist nach TDDDG § 25 und DSGVO Art. 6 unzulässig.

Unvollständige Informationen im Banner: Wenn der Banner nicht ausreichend über die Zwecke der Cookie-Nutzung informiert, fehlt die Grundlage für eine informierte Einwilligung.

Bußgeldpraxis in Deutschland und Europa

Die deutschen Datenschutzbehörden haben in der Vergangenheit Bußgelder wegen fehlerhafter Cookie-Banner verhängt. Die Höhe variiert stark nach Schwere des Verstoßes und wirtschaftlicher Leistungsfähigkeit des Unternehmens. Für mittelgroße Websites lagen verhängte Bußgelder im unteren fünfstelligen Bereich.

In anderen EU-Ländern sind die Verfahren teils aggressiver. Die französische CNIL hat mehrere große Unternehmen mit Millionen-Bußgeldern belegt, unter anderem weil Ablehnen im Banner schwerer war als Zustimmen. Die irische DPC und die niederländische AP führen ebenfalls aktive Durchsetzungsverfahren zu Cookie-Themen.

Abmahngefahr durch Vereine und Verbände

Neben behördlichen Verfahren gibt es in Deutschland eine Reihe von Vereinen, die systematisch Abmahnungen wegen Datenschutzverstößen versenden. Die Seriosität dieser Abmahnungen und ihre Erfolgsaussichten vor Gericht sind unterschiedlich. Gleichwohl verursachen auch unbegründete Abmahnungen Kosten und Aufwand.

Wer sich gegen Abmahnungen wappnen möchte, sollte darauf achten, dass sein Cookie-Banner die grundlegenden Anforderungen erfüllt: keine voreingestellten Zustimmungen, gleichwertige Ablehnungsoption, korrekte Informationen, kein vorzeitiges Setzen von Cookies.

Präventive Maßnahmen

Der einfachste Weg, rechtliche Risiken zu minimieren, ist ein von Anfang an korrekt konfigurierter Cookie-Banner. Mit dem Generator auf dieser Website lässt sich ein Banner erstellen, der die grundlegenden rechtlichen Anforderungen technisch umsetzt und viele der häufigsten Fehler vermeidet.

Wichtig ist außerdem, den Banner und die eingesetzten Dienste regelmäßig zu überprüfen. Neue Dienste, die ohne Banneranpassung eingebunden werden, oder veraltete Einwilligungstexte, die nicht mehr zu den tatsächlichen Verarbeitungen passen, können trotz eines grundsätzlich korrekten Banners zu Verstößen führen.

Fazit

Ein fehlerhafter Cookie-Banner ist kein theoretisches Risiko. Behördenverfahren, Verbandsklagen und in bestimmten Konstellationen auch Mitbewerber-Abmahnungen sind reale Szenarien. Die häufigsten Fehler sind vermeidbar: voreingestellte Zustimmungen, fehlende Ablehnungsoptionen, zu früh gesetzte Cookies und unvollständige Informationen. Wer diese Grundregeln einhält und seinen Banner regelmäßig prüft, minimiert das Risiko deutlich. Bei konkreten rechtlichen Fragen ist ein Fachanwalt für Datenschutzrecht die richtige Anlaufstelle.