Die zum Burda Medienkonzern gehörende BurdaForward GmbH betreibt unter anderem die Seite focus.de, das nach eigenen Angaben größte Nachrichtenportal Deutschlands. Nach Aufrufen der Seite öffnete sich ein sog. Cookie-Banner, mit dem sich das Unternehmen die Einwilligung zur Speicherung von Cookies und zur Auswertung von auf den Endgeräten der Nutzer gespeicherten Daten für Werbe- und Analysezwecke einholen wollten.
Manipulative Gestaltung des Cookie-Banners
Die Startseite des Banners ließ den Nutzern nur die Wahl, durch Klick auf „Akzeptieren“ in die Verarbeitung ihrer Daten und ihres Surfverhaltens durch zahlreiche Drittunternehmen in vollem Umfang einzuwilligen oder durch Anklicken der Schaltfläche „Einstellungen“ eine gesonderte Auswahl zu treffen. In letzterem Fall öffnete sich ein Fenster „Privatsphäre-Einstellungen“, das auf mehr als 140 Bildschirmseiten nach Datennutzung differenzierte Einstellungen für mehr als 100 Drittanbieter enthielt. Die Schaltflächen „Alle akzeptieren“ und „Auswahl speichern“ waren deutlich hervorgehoben. Die Möglichkeit „alle ablehnen“ war dagegen unscheinbar in blasser Schrift in der rechten oberen Ecke des Fensters platziert.
Bestätigung durch das LG München
Das Münchner Landgericht schloss sich mit Urteil vom 29.11.2022 (33 O 14766/19) der Auffassung des vzbv an, dass die durch das eingesetzte Banner eingeholten Einwilligungen unwirksam sind. Der Einwilligungsmechanismus verstoße gegen die gesetzlichen Anforderungen. Diese setzen für eine wirksame Einwilligung eine freiwillige, in informierter Weise und unmissverständlich abgegebene Willensbekundung der Nutzer voraus.
Die auf focus.de eingeholte Einwilligung beruhe aufgrund der Gestaltung des Cookie-Banners bereits nicht auf einer freiwilligen Entscheidung. Die Einwilligung zu verweigern sei mit mehr Aufwand verbunden als das schnelle Akzeptieren der Datenverarbeitung und werde durch die Vielzahl der Einstellungsmöglichkeiten auf der zweiten Ebene des Banners zusätzlich erschwert. Für die unterschiedliche Behandlung der Wahlmöglichkeiten „Einwilligung erteilen“ und „Einwilligung verweigern“ gebe es keine sachliche Rechtfertigung.
Weitergehende Klageanträge abgewiesen
Anträge des vzbv, das Unternehmen auch wegen unzureichender Informationen über die beabsichtige Datennutzung und seine Vereinbarungen mit Drittanbietern zu verurteilen, lehnte das Gericht dagegen ab. Derartige Informationspflichten ergäben sich allein aus der Datenschutzgrundverordnung, der vzbv habe seine Anträge aber ausschließlich auf das Telekommunikation-Telemedien-Datenschutz-Gesetz gestützt.
