Dauerbrenner Cookie-Banner: Das Verwaltungsgericht Hannover hat sich mit dem zweistufigen Banner der Neuen Osnabrücker Zeitung (NOZ) befasst – bis zu einem gewissen Punkt. Dazu gleich mehr.
Auf der ersten Ebene des Cookie-Banners der NOZ konnte man wählen zwischen „Alle akzeptieren“, „Akzeptieren & schließen“ und „Einstellungen“. Die zweite Ebene enthält bei Klick auf „Einstellungen“ neben fünf (!) Drop-Down-Menüs die Buttons „Alle akzeptieren“ und „Auswahl speichern“. Letzteres ist die versteckte Ablehnen-Option. Wählt man diese, erscheint das Cookie-Banner beim Aufruf der Website aber immer wieder. An diesem Design störte sich die niedersächsische Aufsichtsbehörde, denn es lenke die User gezielt zur Abgabe der Einwilligung, welche somit nicht freiwillig im Sinne von § 25 Abs. 1 TDDDG und Art. 4 Nr. 11 DSGVO und auch nicht (ausreichend) informiert erfolgt. Zudem fehle die Möglichkeit, Cookies ohne Mehraufwand direkt auf der ersten Ebene (und dauerhaft) abzulehnen.
Das sah das Verwaltungsgericht Hannover in seinem Urteil im März 2025 im Prinzip auch so – die Zeitung hat aber Berufung eingelegt, das Urteil ist also nicht rechtskräftig. So oder so, ist es eine Einzelfallentscheidung – dennoch behauptet die Pressemitteilung des Datenschutzbeauftragten schon jetzt recht reißerisch: „,Alles ablehnen‘-Schaltfläche ist ein Muss“. Das Gericht hat aber gerade nicht entschieden, dass es zwingend (und stets) eine Pflicht gäbe, eine solche Schaltfläche anbieten zu müssen. Das hatte die Aufsichtsbehörde in Ihrem streitgegenständlichen Bescheid auch gar nicht gefordert. Im Urteil steht: „Ob aus diesen Vorschriften herzuleiten ist, dass die Möglichkeit zur Ablehnung von Cookies in gleicher Weise wie die Einwilligung in das Setzen von Cookies gestaltet sein muss, ist durch die Rechtsprechung noch keiner abschließenden Klärung zugeführt worden (…). Jedenfalls darf aber das Cookie-Banner nicht so gestaltet sein, dass es den Nutzer gezielt zur Abgabe der Einwilligung hinlenkt und von der Ablehnung der Cookies abhält.“ Wie gesagt, lassen sich aus dem Urteil also keine allgemeinen Gebote ableiten.
Im nahegelegenen Bremen ging es derweil darum, ob die Methode eines Energieversorgers rechtens ist, zur Kundenrückgewinnung gezielt Haustürwerbung einzusetzen, basierend auf den Vertragsdaten der (ehemaligen) Kunden. Diese wurden bis zu 24 Monate nach Vertragsende genutzt, unter Berufung auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Der Energieversorger argumentierte, dass Werbung erst viele Monate nach der Kündigung wieder sinnvoll sei, wenn ein Ende der Mindestvertragslaufzeit beim neuen Stromanbieter absehbar ist und der Kunde sich langsam wieder auf die Suche nach einem neuen Anbieter macht. Die Datenschutzaufsicht hatte diese Speicherdauer untersagt und eine Beschränkung der Datenspeicherung auf sechs Monate verfügt.
Das Bremer Verwaltungsgericht erklärte die behördliche Anordnung jedoch für rechtswidrig und ließ sowohl die Werbung als zulässige Zweckänderung als auch die lange Speicherdauer angesichts marktüblicher Vertragslaufzeiten von 12 bis 24 Monaten zu. Auch wenn die Information über den konkreten Werbekanal (Haustürwerbung, während der ursprüngliche Vertrag nur postalische Werbung abdeckte) unzureichend war, sei die Verarbeitung zulässig, da mildere Mittel nicht gleich geeignet oder datenschutzrechtlich problematisch seien. Eine bloße Kündigung durch den Kunden reiche nicht aus, um weitere Werbung als unerwünscht anzusehen; ein ausdrücklicher Widerspruch sei erforderlich. Zudem sei keine unverhältnismäßige Beeinträchtigung der Rechte der betroffenen Personen erkennbar, da kein sensibler Datenumfang betroffen sei, Haustürbesuche höchstens wenige Minuten stören würden und außerdem ein Widerspruchsrecht nach Art. 21 DSGVO bestünde.
Das Urteil erweitert den Spielraum für datenschutzkonforme Werbung ohne Einwilligung, besonders bei langfristigen Vertragsverhältnissen, und zeigt, dass eine Interessenabwägung zugunsten von Unternehmen möglich ist – vorausgesetzt, Transparenz, Verhältnismäßigkeit und Vorhersehbarkeit sind gewahrt. Es lohnt sich daher für Unternehmen, zu prüfen, ob sie in ihren Datenschutzhinweisen korrekt über mögliche Werbemaßnahmen – insbesondere nach § 7 Abs. 3 UWG – unterrichten. Denn die korrekte Information kann Werbemaßnahmen erleichtern, da dann eine Einwilligung nicht mehr eingeholt werden muss.
In diesem Zusammenhang gibt es auch einen neuen Beschluss der Datenschutzkonferenz bezüglich der Meldung von Mieterdaten an Grundversorger.
Zwei Bußgelder gegen Vodafone in Höhe von insgesamt 45 Millionen Euro hat die Bundesdatenschutzbeauftragte verhängt, und Vodafone zudem wegen technischer Schwachstellen im Vertriebssystem verwarnt. 30 Millionen Euro entfallen auf Schwachstellen im Authentifizierungsverfahren bei der kombinierten Nutzung des Onlineportals „MeinVodafone“ und der Hotline. Unbefugte konnten unter anderem auf eSIM-Profile zugreifen und so die Telefonnummer der Betroffenen kapern. Da viele Online-Dienste auf Telefonnummern zur Verifizierung setzen, könnte das zu weitergehenden Betrugsfällen geführt haben. Die übrigen 15 Millionen Euro wurden wegen Datenschutzverstößen bei einigen Vertriebspartnern verhängt. Einige Mitarbeiter dort hatten Verträge aufgesetzt, denen die betroffenen Kunden zuvor nicht zugestimmt hatten. Laut BfDI hat das Unternehmen umfassend kooperiert, seine Systeme und Prozesse überarbeitet und sich von problematischen Partnern getrennt.
Ab dem 12. September 2025 sieht der Data Act der EU vor, dass smarten Geräten gesendete Daten auch mit Dritten teilen können müssen. Der Hamburger Datenschutzbeauftragte weist nun auf potenzielle Konflikte mit dem Datenschutzrecht hin. Denn Unternehmen und Behörden müssen sich nun der herausfordernden Aufgabe stellen, den Zugang zu Daten zu gewähren und dabei die Datenschutzbestimmungen einzuhalten. Unternehmen, die vom Data Act betroffen sind, sollten sich frühzeitig mit den neuen Zugangsrechten und Schutzmaßnahmen für personenbezogene Daten und Geschäftsgeheimnisse befassen - bzw. sich gern fachkundig bei uns beraten lassen. :-)