Der EDSA – Europäischer Datenschutzausschuss – hat in seiner neuen Leitlinie von Anfang Mai die Voraussetzungen der Einwilligung nach der DSGVO noch einmal zusammengefasst. Die Leitlinie erläutert dabei welche Anforderungen eine Einwilligung erfüllen muss, damit sie einer Überprüfung durch die Datenschutzbehörden standhält. Neu sind dabei nur die Ausführungen zur Freiwilligkeit und Eindeutigkeit einer Einwilligung im Hinblick auf Cookie-Walls und Scrollen bei Cookie-Bannern. Aber auch ansonsten bietet die Leitlinie hilfreiche Hinweise.

Keine neuen Leitlinien

Die Leitlinie wiederholt zunächst die bekannten Grundsätze und Voraussetzungen für eine Einwilligung nach Art. 4 Nr. 11 DSGVO. Dies ist nicht überraschend. Der EDSA hat nämlich die Aufgaben von der Artikel 29 Datenschutzgruppe übernommen. Diese hatte zur Aufgabe Empfehlungen und Stellungsnahmen zu allen Fragen, die sich aus der (alten) Datenschutz-Richtlinie 95/46/EG und der Verarbeitung von personenbezogenen Daten ergeben, zu erlassen. Durch die Einführung der DSGVO wurde die Richtlinie 95/46/EG aufgehoben und die Aufgaben der Art. 29 Datenschutzgruppe hinfällig. Sie wurde daher von dem EDSA abgelöst, deren Aufgabe es nun ist, mit Empfehlungen die Auslegung und Anwendung der DSGVO zu erleichtern.

Die von dem EDSA herausgegebene Leitlinie ist deswegen strenggenommen keine neue Leitlinie. Ursprünglich wurde sie am 28. November 2017 (überarbeitet am 10. April 2018) als „Guideline on Consent“ von der Art. 29 Datenschutzgruppe herausgegeben. Der EDSA hat nun diese Guideline übernommen und überarbeitet. Die Überarbeitungen führen aber nicht zu einer neuen Bewertung der Rechtslage. Vielmehr hat der EDSA die Richtlinien aktualisiert und größtenteils in der alten Form übernommen. Die Änderungen betreffen ausschließlich Feststellungen bezüglich der Einwilligung bei Cookie-Walls und der Einwilligung durch „weiter-Scrollen“. Hier hat der EDSA ergänzt unter welchen Umständen eine Einwilligung noch als freiwillig und eindeutig gesehen werden kann. Gänzlich neu sind diese Überlegungen jedoch nicht, sondern spiegeln den geltenden Standard in der Branche wieder.

Neue Freiwilligkeit der Einwilligung

Schon in der Vorgängerversion der Richtlinie der Datenschutzgruppe wurde festgestellt, dass eine Einwilligung nicht als freiwillig gilt, wenn der Betroffene seine Einwilligung nicht ohne Nachteile verweigern kann. Dies ist zum Beispiel der Fall, wenn die Einwilligung des Betroffenen davon abhängt, ob ein Vertrag mit ihm geschlossen oder eine Dienstleistung erbracht wird (so Art. 7 Abs. 4 DSGVO). In diesen Fällen liegt keine Freiwilligkeit vor, da der Betroffene keine Wahl hat. Die Einwilligung ist hier eine ungeeignete Rechtsgrundlage der Datenverarbeitung. Sie kann nur herangezogen werden, wenn der Betroffene sich auch für die Dienstleistung entscheiden kann, ohne seine Einwilligung in die Datenverarbeitung zu geben.

Bis hierher entspricht die Richtlinie des EDSA der alten Richtlinie der Datenschutzgruppe. Der EDSA stellt nun klar, dass eine Wahl ebenfalls nicht gegeben ist, wenn der Betroffene stattdessen auf einen vergleichbaren Service eines Konkurrenten zurückgreifen könnte. Es ist also unerheblich, ob die selbe Dienstleistung von der Konkurrenz ohne Einwilligungserfordernis angeboten wird. Bei der Beurteilung der Freiwilligkeit kommt es nur darauf an, ob der Betroffene den konkreten Service auch ohne seine Einwilligung nutzen kann.

Diese Änderung ist aber nicht überraschend. Nur wenige Dienste haben versucht über diese Argumentation die Freiwilligkeit der Einwilligung zu rechtfertigen. Es erscheint überaus fernliegend, dass Nutzer, wenn eine Alternative ohne Datenverarbeitung angeboten wird, überhaupt noch den eigentlichen Dienst nutzen werden. Die Klarstellung des EDSA wird diesbezüglich keine weitreichenden Folgen haben.

Auch Cookie-Walls, bei denen ohne Einwilligung der Dienst entgeltlich angeboten wird, bleiben weiterhin möglich. Die Cookie-Walls, die etwa Online-Zeitungen wie Spiegel-Online oder Zeit-Online nutzen, bleiben damit zulässig. Zeit und Spiegel ermöglichen nämlich die Nutzung des Service auch ohne die Einwilligung in die Datenverarbeitung. Wenn ein Nutzer der Datenverarbeitung widerspricht, kann er den Service gegen ein Entgelt nutzen. Die Tatsache, dass ohne die Datenverarbeitung der Service nur entgeltlich angeboten wird, beeinflusst nicht die Freiwilligkeit der Einwilligung selbst und stellt daher kein Nachteil dar. Dem Nutzer wird immer noch eine Wahlmöglichkeit angeboten.

Scrollen ist nicht Eindeutig

Der EDSA hat mittels eines Beispiels ausdrücklich festgehalten, dass im „weiter-surfen“ oder im „Weg-Scrollen“ des Cookie-Banners keine Einwilligung gesehen werden kann. Soweit ein Besucher auf eine Website gelangt und das Cookie-Banner ignoriert, hat er damit nicht in die Nutzung von Cookies eingewilligt. Für eine Einwilligung ist vielmehr notwendig, dass der Nutzer aktiv tätig wird. In der passiven Hinnahme von Hinweisen kann keine Willensbekundung gesehen werden. Die Formulier „mit weiter-surfen stimmen Sie der Nutzung von Cookies zu“ stellt keine Einwilligung.

Auch diese Feststellung schafft keine neuen Tatsachen. Die meisten Cookie-Banner stellen zurzeit Cookie-Management-Tools dar, die eine aktive Handlung der Nutzer fordern. Mehr zu der Frage wie Cookie-Management-Tools ausgestaltet werden müssen, um die Anforderungen des EuGHs und BGHs zu erfüllen, finden Sie auch hier.

Abstufung im Cookie-Banner ist möglich

Die Leitlinie des EDSA ist auch, wenn sie keine großen Änderungen bringt, dennoch wert noch einmal genauer gelesen zu werden. So ist schon in der Version, welche die Art. 29 Datenschutzgruppe vorgelegt hat, die Möglichkeit beschrieben, Einwilligungen zu fragmentieren. Diese Problematik ist durch die Nutzung von Cookie-Management-Tools noch einmal aktuell geworden.

Cookie-Manager übernehmen unter anderem für Website-Betreiber die Organisation von Einwilligungen. Die meisten Manager fragen dabei nicht die Einwilligung für einzelne Cookies-Dienste oder Cookies ab, sondern Kategorisieren Dienstanbieter nach Verarbeitungszwecke. Ein Besucher einer Website kann so entscheiden, ob er in die Verarbeitung seiner persönlichen Daten durch Cookies für Analysezwecke, Werbezwecke oder andere Zwecke zustimmt. Eine Einwilligung für Analysezwecke umfasst im Zweifel mehrere Analyse-Tools wie etwa Google oder Matomo. Dies ist nach der Leitlinie ausdrücklich möglich. Schon die Art. 29 Datenschutzgruppe hat die Möglich als Zulässig erachtet, Einwilligung für gleiche Zwecke zusammenzufassen.

Fazit

Die Veröffentlichung der Leitlinie sollte wenig Handlungsbedarf bei Unternehmen auslösen. Die Leitlinie wiederholt größtenteils Inhalte, die schon die Art. 29 Datenschutzgruppe veröffentlicht hatte. Auch die Aktualisierungen bezüglich Cookie-Walls und Scrollen als Einwilligung sind wenig überraschend. Websitebetreiber, die jedoch noch mit „weiter-Surfen“ eine Einwilligung einholen, sollten dies überarbeiten.