Mehrere Website-Betreiber haben laut Berichten ein Schreiben der Österreichischen Datenschutzbehörde erhalten, in dem ihre Cookie-Umsetzung als möglicherweise problematisch bezeichnet wird. Für kleine und mittlere Unternehmen mit eigener Website ist das ein konkreter Anlass, den eigenen Cookie-Banner und die dazugehörige Datenschutzerklärung zu überprüfen.
Was die Behörde angekündigt hat
Laut Informationen der DSGVO-zt GmbH haben Unternehmen ein Schreiben der Datenschutzbehörde erhalten, das sich auf Art. 57 Abs. 1 lit. d DSGVO stützt. Darin verweist die Behörde auf ihre Zuständigkeit gemäß § 18 DSG, die Einhaltung des Datenschutzes zu überwachen, sowie auf ihre Aufgabe, Verantwortliche gemäß Art. 57 Abs. 1 lit. d DSGVO zu sensibilisieren und gemäß Art. 58 Abs. 1 lit. d DSGVO auf vermeintliche Verstöße hinzuweisen.
In dem Schreiben wird laut dieser Quelle ausgeführt, der Behörde sei zur Kenntnis gebracht worden, dass die jeweilige Website Cookies und vergleichbare Technologien einsetze, ohne dass hierfür eine gültige Rechtsgrundlage bestehe. Die Datenschutzbehörde habe die Behauptungen nach einer Grobprüfung für plausibel gehalten, nehme aber vorerst davon Abstand, ein förmliches Prüfverfahren einzuleiten. Stattdessen erhalten die Betreiber laut dem Schreiben Gelegenheit, ihre Website und insbesondere den Cookie-Banner nochmals zu überprüfen.
Das Schreiben nennt laut der Quelle folgende Punkte: Für technisch nicht notwendige Cookies, etwa Werbe- oder Trackingcookies, sei eine gültige Einwilligung der Nutzer erforderlich. Diese Einwilligung müsse vor dem Setzen oder Auslesen der Cookies eingeholt werden. Nach Angaben des Schreibens verweise die Behörde auf eigene Judikatur, wonach auf der ersten Ebene des Cookie-Banners eine Möglichkeit zum Schließen bestehen müsse, etwa über „Cookies ablehnen“. Zudem dürfe die Ablehnungsmöglichkeit optisch nicht derart gestaltet sein, dass Nutzer sie übersehen könnten — etwa wenn „Cookies akzeptieren“ groß und gut sichtbar erscheine, während „Cookies ablehnen“ kaum wahrnehmbar sei. Schließlich müssten Nutzer über das Setzen und Auslesen technisch nicht notwendiger Cookies informiert werden, etwa in einer Datenschutzerklärung.
Warum das für österreichische KMU relevant ist
Übertragen auf ein KMU mit eigener Website heißt das: Ein Cookie-Banner, der Werbe- oder Analysecookies bereits beim Laden der Seite setzt, bevor eine Entscheidung der Nutzer vorliegt, entspricht nicht dem, was im beschriebenen Schreiben als Maßstab genannt wird. Gleiches gilt für Banner, bei denen die Ablehnungsoption optisch versteckt oder erst über mehrere Klicks erreichbar ist.
In der Praxis betrifft das typischerweise eingebundene Tools von Drittanbietern — etwa für Webanalyse, Retargeting oder Social-Media-Plugins — die beim Seitenaufruf automatisch Skripte laden. Wird dort nicht technisch zwischen notwendigen und nicht notwendigen Cookies unterschieden, entsteht genau die Konstellation, die im Schreiben angesprochen wird. Für ein KMU bedeutet das nicht automatisch eine bevorstehende Prüfung durch die Behörde, aber es zeigt, welche Kriterien die Behörde bei einer Bewertung anlegt.
Was Sie jetzt prüfen sollten
- Öffnen Sie Ihre eigene Website im Inkognito-Modus und prüfen Sie mit den Entwicklertools des Browsers, welche Cookies vor einer Nutzerentscheidung gesetzt werden.
- Kontrollieren Sie, ob Ihr Cookie-Banner auf der ersten Ebene eine gleichwertig sichtbare Ablehnungsmöglichkeit neben der Zustimmungsoption anbietet.
- Vergleichen Sie die im Banner genannten Kategorien mit den tatsächlich eingebundenen Diensten, insbesondere bei Analyse- und Marketing-Tools von Drittanbietern.
- Prüfen Sie, ob Ihre Datenschutzerklärung das Setzen und Auslesen technisch nicht notwendiger Cookies konkret beschreibt und aktuell ist.
- Dokumentieren Sie das Ergebnis dieser Überprüfung, damit Sie im Fall einer Anfrage der Datenschutzbehörde nachvollziehbar reagieren können.