Cookie-Walls: Nähern wir uns einer rechtssicheren Handhabung?

Hintergrund

Das Thema Cookies und Einwilligung polarisiert in der Debatte um den Datenschutz im Internet. Viele Internetnutzer:innen sehnen sich zurück nach Zeiten, in denen das Internet im Wesentlichen frei von versteckten Kosten oder allgegenwärtigen Cookie-Bannern war. Gleichzeitig suchen Websitebetreiber nach Möglichkeiten, ihr Online-Angebot möglichst profitabel zu gestalten. Gerade auf Websites mit journalistischen Inhalten werden oftmals Zugriffsschranken eingesetzt, um eine irgendwie geartete Gegenleistung für den Arbeitsaufwand der jeweiligen Publikation zu erhalten – gängig sind sogenannte Cookie-Walls oder Pay-Walls. Die Frage, ob Cookie-Walls Grundlage einer wirksamen Einwilligung sein können, wird von europäischen Datenschutzbehörden stark hinterfragt – in der Regel sogar verneint. Eine höchstrichterliche Entscheidung zu dem Thema steht noch aus. Woran können sich Unternehmen und Websitebetreiber bis dahin orientieren, um möglichst rechtssicher auf einer Gegenleistung für oftmals arbeitsaufwendige Inhalte zu bestehen?

Cookie-Walls versus Cookie-Banner – wo ist der Unterschied?

Cookie-Walls dienen dazu, den Zugriff auf eine Internetseite zu verhindern, sofern die Nutzer:innen nicht in alle Cookies und Tracker der Internetseite einwilligen. Der Einsatz solcher Cookie-Walls erfolgt, indem sich bei jedem Aufruf einer Internetseite zunächst ein Pop-up-Fenster zu den Cookie-Einstellungen öffnet und die Inhalte der Seite verbirgt. Die Nutzer:innen haben dann die Möglichkeit, über den „O.K.-Button“ (o.Ä.) einzuwilligen oder die Seite zu verlassen. Wie der Name schon sagt: Es entsteht eine Mauer um die gewünschte Internetseite. Dadurch erhalten die personenbezogenen Daten der Nutzer:innen den Charakter eines Zugangsentgelts.

Cookie-Banner sehen grundsätzlich auf den ersten Blick ähnlich aus, bieten den Nutzer:innen jedoch die Möglichkeit, verschiedene Kategorien von Cookies aus- oder abzuwählen. Durch diese interaktiven Möglichkeiten mit differenzierten Einwilligungserklärungen entsteht eine DSGVO-konforme Einbeziehung von Cookies und Trackern. Die Nutzer:innen haben also ein Mitspracherecht, wie viele Informationen sie beim Surfen preisgeben möchten.

Was gilt rechtlich in Sachen Cookie-Wall?

Technisch gesehen sind Cookie-Walls eine gleichsam restriktivere Unterkategorie von Cookie-Bannern. Es gelten folglich im Grundsatz die für Cookie-Banner bereits feststehenden Anforderungen an eine wirksame Einwilligung nach Art. 7 DSGVO.

Der Europäische Gerichtshof (EuGH) fordert, dass eine Einwilligung freiwillig, informiert und bestimmt erteilt wird. In einem Urteil aus dem Jahr 2019 befand das Gericht daher für Cookie-Banner, dass sogenannte Opt-out-Verfahren (standardmäßig sind alle Cookies vorausgewählt; die Nutzer:innen müssen unerwünschte Cookies aktiv abwählen) für eine wirksame Einwilligung unzulässig sind. Wirksam ist nur eine Einwilligung im sogenannten Opt-in-Verfahren, bei dem (optionale) Cookies nicht vorausgewählt sind, sondern nur nach expliziter, aktiver Zustimmung für jeden Cookie – beispielsweise durch Setzen eines Häkchens – eingesetzt werden.

Zur Übertragung dieser Grundsätze auf Cookie-Walls positionierte sich im Mai 2020 der Europäische Datenschutzausschuss (EDSA). Cookie-Walls seien nur dann zulässig, wenn den Nutzer:innen eine Alternative zur Einwilligung angeboten wird, mit denen sie die Website ohne Tracking bzw. Cookies nutzen können. Dieser Position schlossen sich der Bundesdatenschutzbeauftragte und die Datenschutzbehörden anderer EU-Mitgliedstaaten an.

Eine solche Alternative können z.B. Pay-Wall-Modelle sein, bei denen Nutzer:innen durch ein (monatliches oder einmaliges) Entgelt den trackingfreien Zugang zur Seite erkaufen. Das ist insbesondere auf Seiten mit journalistischen Inhalten ein gängiges Modell, um eine Gegenleistung der Nutzer:innen (entweder Daten oder Geld) für den arbeitsintensiv erstellten Content zu erhalten.

Wie können Unternehmen einen rechtssicheren Umgang mit Cookie-Walls erreichen?

Absolute Rechtssicherheit kann derzeit nicht versprochen werden. Auch wenn sich durch die übereinstimmende Positionierung verschiedener Datenschutzbehörden ein deutlicher Trend abzeichnet, bleiben die Details hinsichtlich der angemessenen Gegenleistung – gegebenenfalls im Einzelfall – zu klären. Außerdem sind Gerichte an diese Stellungnahmen nicht gebunden.

Zur besseren Orientierung könnte sich ein Blick in unser Nachbarland Frankreich lohnen: Die dortige Datenschutzbehörde „Commission Nationale de l’Informatique et des Libertés“ (CNIL) hatte in einer Leitlinie aus dem Jahr 2019 kategorisch alle Formen der Cookie-Wall als DSGVO-widrig eingestuft. Hier griff im Jahr 2020 der französische Staatsrat (Conseil d’Etat – in der Funktion als oberstes Verwaltungsgericht) ein und erklärte dieses allgemeine Verbot von Cookie-Walls mangels Rechtssetzungskompetenz der CNIL für nichtig. Im Mai dieses Jahres stellte die CNIL neue Bewertungskriterien für die Zulässigkeit von Cookie-Walls auf, die eine differenzierte Einzelfallprüfung – insbesondere mit Blick auf eine zahlungspflichtige Alternative ohne Website-Tracking zu einem angemessenen Preis („tarif raisonnable“) – erlauben. Wann der Preis angemessen ist, sei jedoch nur im Einzelfall feststellbar. Der o.g. Trend, den der EDSA 2020 mit seiner Position begründet hat, setzt sich also fort.

Für Unternehmen und andere Websitebetreiber ist festzuhalten, dass eine wirksame Einwilligung nur erreicht werden kann, wenn die Nutzer:innen die Möglichkeit haben, eine aktive und freiwillige Wahl zu treffen, ob sie Cookies und andere Tracker zulassen möchten oder nicht. Freiwillig kann diese Wahl im Einzelfall auch sein, wenn für die Cookiefreiheit ein angemessenes Nutzungsentgelt erhoben wird. Es stellt sich also die Grundsatzfrage: Liegt der wirtschaftliche Wert der Website allein in dem arbeitsintensiven Content (z.B. rein journalistische Angebote) oder rentiert sich der Betrieb der Website selbst ohne Tracking- und Analyse-Tools auf anderem Weg?

Wenn Sie Beratung zu allen Fragen in Sachen Cookies – ob zur Auswahl des richtigen Instruments, ob Cookie-Banner/zahlungspflichtige Cookie-Wall etc. – oder zur konkreten Ausgestaltung im Einzelfall haben, sprechen Sie gerne unsere Expert:innen aus dem Bereich IT und Datenschutz an.