Bei der Einholung der Einwilligung des Nutzers werden perneut angekreuzte Kontrollkästchen gemäß der Datenschutz-Grundverordnung (DSGVO) nicht zulässig.
Gemäß der DSGVO ist es Organisationen untersagt, Opt-out-Verfahren oder implizite Einwilligungsmethoden anzuwenden, darunter Schweigen, Untätigkeit und vorab angekreuzte Kästchen.
Erfahren Sie mehr darüber, warum vorab angekreuzte DSGVO für die Einholung der Einwilligung zur Verwendung von Cookies grundsätzlich nicht zulässig sind, in welchen Fällen sie zulässig sind und wie Sie eine DSGVO Cookie-Richtlinie erstellen können.
Wichtigste Erkenntnisse
- Voreingestellte Kontrollkästchen, Schweigen oder Untätigkeit gelten gemäß der DSGVO nicht als gültige Einwilligung.
- Die DSGVO verlangt, dass die Zustimmung frei, spezifisch, informiert und eindeutig erteilt werden muss.
- Nur unbedingt notwendige Cookies sind von der Zustimmungspflicht ausgenommen.
- Bevor nicht wesentliche Cookies auf dem Gerät eines Nutzers platziert werden, muss die Zustimmung aktiv erteilt werden.
- Mit der Consent Management Platform (CMP) vonTermly können Sie sicherstellen, dass Sie sich an die Datenschutzgesetze halten.
- Warum sind vorab angekreuzte Kontrollkästchen gemäß der DSGVO nicht zulässig?
- Wann sind vorausgekreuzte Kästchen in Ordnung?
- Was passiert, wenn Sie angekreuzte Kontrollkästchen für Cookies verwenden?
- Was sind die Anforderungen DSGVO ?
- Ist für alle Cookies gemäß der DSGVO die Einwilligung des Nutzers erforderlich?
Warum sind vorab angekreuzte Kontrollkästchen gemäß der DSGVO nicht zulässig?
Einfach ausgedrückt: Vorab angekreuzte DSGVO sind nicht zulässig, da sie keine gültige Einwilligung darstellen.
Diese Frage wurde vom Gerichtshof der Europäischen Union (EuGH) in der Rechtssache Planet49 aus dem Jahr 2019 eingehend untersucht.
Um es kurz zu machen: Planet49 veranstaltete auf seiner Website ein Gewinnspiel, und um daran teilzunehmen, mussten die Nutzer ein Kästchen ankreuzen, in dem sie dem Erhalt von Werbung von Dritten zustimmten. Die Nutzer konnten auch ein bereits angekreuztes Kästchen mit der Zustimmung zu Cookies deaktivieren.
In seinem Urteil stellte der EuGH fest, dass Websites eine gültige Zustimmung der Nutzer zur Speicherung von Cookies auf ihren Geräten einholen müssen. Insbesondere müssen Websites den Nutzern die Möglichkeit geben, aktiv ihre Zustimmung zu geben , bevor sie Cookies auf ihren Computern speichern.
Eine aktive Einwilligung bedeutet, dass der Nutzer etwas tun muss, um seine Einwilligung zu bekunden.
Da bei vorab angekreuzten DSGVO der Nutzer keine aktive Handlung vornehmen muss, um seine Einwilligung zu erteilen, gelten sie nicht als gültige Einwilligung.
Anstatt den Nutzer dazu aufzufordern, ein Kästchen anzukreuzen, um seine Einwilligung zu erteilen, erfordern vorab angekreuzte Kontrollkästchen keinerlei Handlung seitens des Nutzers – lediglich Schweigen und Passivität.
Der EuGH stellte außerdem fest, dass:
- Die Einwilligung muss „eindeutig“ erteilt werden, und nur ein aktives, zustimmendes Verhalten des Nutzers kann diese Anforderung erfüllen.
- Es lässt sich nicht objektiv feststellen, ob ein Nutzer seine informierte Einwilligung erteilt hat, indem er ein vorab angekreuztes Kontrollkästchen nicht ausgewählt hat. Der Grund dafür ist, dass der Nutzer die Informationen neben dem vorab angekreuzten Kontrollkästchen möglicherweise nicht gelesen oder das Kontrollkästchen ganz übersehen hat.
- Mit derselben Anfrage kann keine gültige Einwilligung für mehrere Zwecke eingeholt werden. So ist es beispielsweise nicht möglich, eine gültige Einwilligung von einem Nutzer zu erhalten, wenn dieser ein Kontrollkästchen anklickt, um die Weitergabe von Informationen an Sponsoren zuzustimmenund die Verwendung von Cookies zuzulassen.
Der Nutzer sollte in der Lage sein, aktiv das Kästchen anzukreuzen, für das er seine Zustimmung geben möchte, wenn seine Zustimmung als eindeutig gelten soll.
Andere Erwägungen bei der Festlegung der Zustimmung
Gemäß den Leitlinien des Europäischen Datenschutzausschusses (EDPD) vom Mai 2020 zu DSGVO müssen Unternehmen auch die nach der vorherigen Rechtslage erteilten Einwilligungen erneuern.
Die Datenschutzrichtlinie für elektronische Kommunikation ( DSGVO) erlaubte beispielsweise das Ankreuzen von Kontrollkästchen, sofern diese zur Einholung der Zustimmung verwendet wurden.
Das bedeutet, dass Sie, wenn Sie vor dem Inkrafttreten von DSGVO ein bereits angekreuztes Kontrollkästchen verwendet haben, die Zustimmung erneut auf eine gültige Weise einholen müssen.
Wann sind vorausgekreuzte Kästchen in Ordnung?
Kurz gesagt: Vorgekreuzte Kästchen sind für nicht wesentliche Cookies nicht OK, da sie nicht den Anforderungen der DSGVOentsprechen, aber Sie können sie für wesentliche Cookies anzeigen.
Sind angekreuzte Kontrollkästchen für essentielle Cookies in Ordnung?
Für "wesentliche" Cookies, die keine Zustimmung erfordern, müssen keine Kontrollkästchen angeklickt werden. Da sie keine Zustimmung des Nutzers erfordern, ist es nicht notwendig, den Nutzern die Möglichkeit zu geben, wesentliche Cookies abzulehnen.
Wenn Sie möchten, können Sie jedoch ein Kontrollkästchen für wichtige Cookies einfügen, das bereits angekreuzt ist. Die Verwendung eines voraktivierten Kontrollkästchens für wesentliche Cookies kann dem Publikum helfen, den Unterschied zwischen wesentlichen und nicht-wesentlichen Cookies zu verstehen und dass sie die Möglichkeit haben, sich für nicht-wesentliche Cookies zu entscheiden.
Sind vorausgefüllte Kontrollkästchen für andere Cookies in Ordnung?
Nein, vorausgefüllte Kontrollkästchen sind für nicht wesentliche Cookies nicht zulässig. Wie bereits erwähnt, erfordern nicht wesentliche Cookies eine gültige Zustimmung. Das bedeutet, dass Sie ein angekreuztes Kästchen nicht verwenden können, um diese Zustimmung zu erhalten.
Was passiert, wenn Sie angekreuzte Kontrollkästchen für Cookies verwenden?
Die EU ist stets auf der Suche nach Unternehmen, die gegen die strengen Normen der DSGVO und der Datenschutzrichtlinie für elektronische Kommunikation verstoßen. Hier sind zwei aktuelle Beispiele, die zeigen, was passieren kann, wenn Sie die EU-Bestimmungen zu Cookies nicht befolgen.
Googles 121 Millionen Dollar Strafe für Cookies
Am 10. Dezember 2020 verhängte die französische Datenschutzbehörde Commission Nationale de l'Informatique et des Libertés (CNIL) eine Geldstrafe in Höhe von 121 Millionen Dollar (100 Millionen Euro) gegen Google, weil das Unternehmen es versäumt hatte, eine vorherige Zustimmung einzuholen, bevor es nicht benötigte Cookies in den Browsern der Nutzer platzierte.
Die CNIL entdeckte, dass bei jedem Besuch von Google.fr automatisch Werbe-Cookies in den Browsern der Nutzer platziert wurden, ohne dass diese etwas unternehmen mussten. Google benutzte kein vorgefertigtes Kästchen, aber es gab den Nutzern auch keine Möglichkeit, sich dagegen zu entscheiden.
Google.fr hatte nur ein Informationsbanner am unteren Rand der Seite, das einen Datenschutzhinweis von Google und zwei Schaltflächen enthielt: "Jetzt zugreifen" und "Später erinnern".
Es gab auch keine Informationen über die nicht-essentiellen Werbe-Cookies, die bereits auf den Computern der Nutzer platziert waren, als sie auf Google.fr kamen.
Amazons 42 Millionen Dollar Strafe für Cookies
Am selben Tag, an dem Google zu einer Geldstrafe verurteilt wurde, verhängte die CNIL auch gegen Amazon eine Geldstrafe in Höhe von 35 Millionen Euro (42 Millionen Dollar).
Wie Google.fr platzierte auch Amazon.fr automatisch Cookies auf den Computern der Nutzer, ohne dass diese ihr Einverständnis geben mussten. Auch die Informationen über die Cookies waren "weder klar noch vollständig".
Wie bei Google.fr bot das cookie banner von Amazon den Nutzern keine Möglichkeit, sich für die Cookies zu entscheiden, und die Website platzierte Cookies auf den Geräten der Nutzer, bevor diese die Möglichkeit hatten, die Cookie-Richtlinie von Amazon zu lesen oder sich dagegen zu entscheiden. Stattdessen hieß es, dass die Nutzer durch die Nutzung der Website die Verwendung von Cookies durch die Website akzeptiert hätten.
Diese Fälle machen deutlich, dass das Verlassen auf eine stillschweigende Zustimmung oder angekreuzte Kästchen Ihr Unternehmen dem Risiko erheblicher Strafen aussetzt. Nach der DSGVO und der Datenschutzrichtlinie für elektronische Kommunikation muss die Einwilligung ausdrücklich und in Kenntnis der Sachlage erfolgen und auf einer eindeutigen Handlung des Nutzers beruhen, nicht auf Annahmen.
Was sind die Anforderungen DSGVO ?
Die DSGVO inArtikel 7 eine enge Definition des Begriffs „Einwilligung“ und legt fest, dass es Organisationen untersagt ist, stillschweigende Einwilligungen oder Opt-out-Einwilligungen zu verwenden.
Stattdessen muss die Zustimmung erfolgen:
- Eine eindeutige Bejahung
- Freigegeben
- Spezifische
- Informiert
- Unzweideutig
Darüber hinaus müssen Unternehmen den Nutzern eine einfache Möglichkeit bieten,ihre Einwilligung wieder zuwiderrufen, nachdem sie diese erteilt haben.
Ist für alle Cookies gemäß der DSGVO die Einwilligung des Nutzers erforderlich?
Gemäß der DSGVO sinddie einzigen Arten von Internet-Cookies, für die keine Einwilligung des Nutzers erforderlich ist, diejenigen, die für das ordnungsgemäße Funktionieren von Websites unerlässlich sind und als „unbedingt notwendige“ oder „wesentliche“ Cookies bezeichnet werden.
Die DSGVO Cookies auf ihren 88 Seiten nur ein einziges Mal. Dies liegt daran, dass weitere Leitlinien in dem dazugehörigen Rechtsakt, der E-Privacy-Richtlinie, die auch als EU-Cookie-Gesetzgenannt wird.
Bei einer Auslegung der DSGVO Verbindung mit der ePrivacy-Richtlinie bedarf die Verwendung von Internet-Cookies grundsätzlich der Einwilligung des Nutzers, es sei denn, sie sind unbedingt erforderlich.
Der Grund dafür ist, dass die ePrivacy-Richtlinie darauf abzielt, die Nutzer vor Eingriffen in ihr Privatleben zu schützen. Dazu gehören neben den personenbezogenen Daten der Nutzer auch die Risiken, die mit versteckten Identifikatoren und ähnlichen Dateien verbunden sind, die ohne deren Wissen auf den Geräten der Nutzer abgelegt werden.
Was sind unbedingt erforderliche/unverzichtbare Cookies?
Gemäß der DSGVO benötigen Sie in der Regel keine Einwilligung der Nutzer, wenn Sie unbedingt erforderliche Cookies verwenden.
Dies sind Cookies, die vorhanden sein müssen, damit die Website wesentliche Funktionen bereitstellen kann. Dazu gehören:
- Cookies, die es Ihrem Online-Shop ermöglichen, die Artikel eines Kunden in seinem Warenkorb zu speichern
- Authentifizierungs-Cookies
- Benutzerzentrierte Sicherheits-Cookies
- Social-Media-Plugins für die Weitergabe von Inhalten, sofern sie nicht zur Nachverfolgung von Nutzern verwendet werden
- Cookies zur UI-Anpassung
Was sind Load-Balancing-Cookies?
Es gibt außerdem Cookies, die ausschließlich für die Kommunikation über ein elektronisches Kommunikationsnetz verwendet werden; diese werden als „Load-Balancing-Cookies“ bezeichnet.
Diese gelten in der Regel ebenfalls als unbedingt notwendige Cookies und erfordern keine Einwilligung des Nutzers, solange sie nur für die Dauer der Sitzung auf dem Gerät des Nutzers gespeichert werden.
Beispiele hierfür sind Cookies, die:
- Daten in der vorgesehenen Reihenfolge austauschen
- Informationen über ein Netzwerk senden
- Erkennen von Datenverlusten oder Übertragungsfehlern
Alle anderen Cookies, insbesondere solche im Zusammenhang mit Analysen und Werbung, erfordern eine Einwilligung, da sie auf den Nutzen des Unternehmens und nicht auf den Nutzen seiner Nutzer ausgerichtet sind.
Mit unserem kostenlosen Tool zum Scannen von Cookies können Sie ganz einfach herausfinden, welche Cookies auf Ihrer Website verwendet werden.
Um sicherzustellen, dass Ihre Cookie-Praktiken den gesetzlichen Anforderungen entsprechen, können Sie auch eine Lösung wie Consent Management PlatformTermly nutzen, die Ihnen dabei hilft, gültige Einwilligungen einzuholen, Einstellungen zu verwalten und ordnungsgemäße Aufzeichnungen auf Ihrer gesamten Website zu führen.
Geschrieben von Natasha Piirainen
Natasha Piirainen ist Autorin zum Thema Datenschutz. Sie hat einen Bachelor-Abschluss in Englisch und Philosophie vom Wheaton College und verfügt über mehr als 10 Jahre Berufserfahrung in der forschungsorientierten Entwicklung von Inhalten.
Alle Beiträge von Natasha Piirainen lesen
Überprüft von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic ist Rechtsberaterin und Director of Global Privacy Termly. Sie hat einen Abschluss in Rechtswissenschaften der Universität Belgrad. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzbestimmungen (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD) durch Unternehmen.
Alle Beiträge lesen, die von Masha Komnenic CIPP/E, CIPM, CIPT, FIP geprüft wurden
