- Was ist eine Cookie-Wall?
- EDPB Guidelines: Sind Cookie-Walls legal?
- Wie funktionieren Cookie-Walls?
- und was ist ein alternativer und gültiger Weg zur Einholung der Zustimmung?
Was ist eine Cookie-Wall?
Eine Cookie-Wall ist genau das, wonach es sich anhört: Es ist eine Mauer um eine Website, durch die Benutzer nur durchkommen können, wenn sie Cookies und Tracker auf der Domain akzeptieren, von denen die meisten ihre persönlichen Daten verarbeiten.
Eine Cookie-Wall ist ein “take it or leave it”-Szenario, das eine Website für die Nutzer so einrichtet, um sicherzustellen, dass möglichst alle Cookies und Tracker aktiviert werden und die Website so viele Daten wie möglich erhält, auch wenn es gegen den Wunsch ihrer Besucher geschieht.
Einige Websites verwenden möglicherweise eine Cookie-Wall, weil sie befürchten, dass eine detaillierte Zustimmung ihre Websites zerstören könnte, wenn den Benutzern die Wahl gelassen wird, nur bestimmten Cookies zuzustimmen und anderen nicht. Später in diesem Blogbeitrag werden wir diesen Mythos aufklären.
Wie sieht eine Cookie-Wall aus?
Praktisch ist eine Cookie-Wall eine bestimmte Variation von solchen Cookie-Bannern, mit denen Nutzer im Internet bereits vertraut sind. Jedoch lässt, eine Cookie-Wall dem Benutzer keine reale Möglichkeit, bestimmte Kategorien von Cookies aus- oder abzuwählen, wie Marketing-Cookies, die typischerweise unzählige Daten-Tracker von AdTech-Firmen beherbergen.
Dies bedeutet, dass der Cookie-Banner, der eine interaktive Lösung sein soll, die eine differenzierte Zustimmung des Benutzers ermöglicht, stattdessen zu einer Cookie-Wall wird – und der einzige Weg hindurch ist ein Klick auf OK.
Cookie-Walls gibt es auf unzähligen Seiten im gesamten Web, sogar auf vielen Nachrichtenseiten, auf die sich die Menschen für ihre täglichen Informationen verlassen (und die ironischerweise über Datenschutzfragen berichten).
Stellen Sie sich vor, Sie versuchen, eine Zeitung zu kaufen, aber Sie können sie nur lesen, wenn Sie alle Details über Ihre engsten Beziehungen und Ihre Familie an den Fremden, der sie verkauft, und Dutzende andere Dritte weitergeben.
Oder stellen Sie sich vor, Sie versuchen, einen Supermarkt zu betreten, aber der einzige Weg, wie Sie einkaufen können, ist, Ihre Kleidung auszuziehen, Ihre Brieftasche und Ihre Sozialversicherungsnummer auszuhändigen, bevor Sie eintreten.
Es klingt absurd, aber es ist vergleichbar mit der Situation, in die eine Cookie-Wall einen Endnutzer setzt, wenn sie als Zugangsentgelt verlangt, dass er die Kontrolle über seine eigenen privaten Daten aufgibt und sie an Ad-Tech-Unternehmen weitergibt, die unheimlich detaillierte Profile von Personen erstellen und diese in Echtzeit an die verhaltensorientierten Zukunftsmärkte verkaufen.
Scannen Sie Ihre Website kostenlos, um zu sehen, welche Cookies und Tracker im Einsatz sind
Testen Sie die Cookiebot Consent Management-Plattform (CMP) noch heute kostenlos
Erfahren Sie mehr über DSGVO und Einwilligungen.
EDPB-Guidelines zu gültiger Zustimmung: sind Cookie-Walls legal?
Nein! Cookie-Walls sind ein illegaler Weg, um die Zustimmung von Einzelpersonen innerhalb der EU zu erhalten.
Am 4. Mai 2020 veröffentlichte das European Data Protection Board (EDPB) neue Richtlinien, die die Rechtmäßigkeit von Cookie-Walls und die Frage klären, was eine gültige Einwilligung darstellt.
Das EDPB ist eine unabhängige Kontrollinstanz, die sich aus Vertretern aller nationalen Datenschutzbehörden in der EU zusammensetzt.
Es ist die Aufgabe des EDPB, eine konsistente Anwendung der DSGVO und der ePrivacy-Richtlinie innerhalb der EU zu gewährleisten, indem er Leitlinien verabschiedet und die nationalen Datenschutzbehörden auf eine einheitliche Durchsetzung hinweist.
Die EDPB-Guidelines 05/2020 schließen Cookie Walls effektiv als gültiges Mittel für Websites aus, um von ihren Benutzern die Zustimmung zur Verarbeitung ihrer persönlichen Daten zu erhalten.
Das EDPB erklärt in seinen Richtlinien klar, dass Cookie-Walls illegal sind.
Cookie-Walls funktionieren, indem sie den Zugang zu einem Dienst von der Zustimmung der Benutzer zur Verarbeitung ihrer persönlichen Daten abhängig machen, und das EDPB stellt in seinen Guidelines fest, dass dies keine gültige Zustimmung darstellt.
“Der Zugang zu Diensten und Funktionsweisen darf nicht von der Zustimmung eines Benutzers zur Speicherung von oder zum Zugang zu bereits gespeicherten Informationen im Endgerät eines Benutzers abhängig gemacht werden” (EDPB-Richtlinien 05/2020, Seite 11, eigene Übersetzung)
Diese EDPB-Richtlinien schließen Cookie-Walls aus, da – wie wir erklärt haben – Cookie-Walls funktionieren, indem sie die Zustimmung der Benutzer zur Speicherung von Cookies erzwingen oder auf bereits gespeicherte Cookies im Austausch für den Zugang zu Diensten und Funktionalitäten zugreifen.
Cookie-Walls sind also nicht konform mit der DSGVO, da sie nicht die Voraussetzungen für eine Zustimmung erfüllen, die frei und auf der Grundlage einer echten Wahl erteilt werden muss
DSGVO zu Einverständniserklärung
Die gültige Zustimmung nach der DSGVO besteht aus vier Aspekten:
- Frei gegeben
- Spezifisch
- Informiert
- Eindeutige Angabe der Wünsche des Nutzers
Mit anderen Worten, muss eine gültige Einwilligung ein frei gegebener, spezifischer, informierter und eindeutiger Hinweis darauf sein, dass der Benutzer die Verwendung von Cookies und Trackern Ihrer Website zur Verarbeitung seiner persönlichen Daten akzeptiert. Eine gültige Einverständniserklärung muss eine klare und bejahende Handlung seitens des Benutzers sein.
Die DSGVO schreibt eindeutig fest, dass die Zustimmung frei gegeben werden muss, und die EDPB-Guidelines vom Mai 2020 stellen klar, dass die durch Cookie-Walls erhaltene Zustimmung der Nutzer ungültig ist, eben weil die Zustimmung nicht von vornherein frei gegeben wurde, da sie an den Zugang zur Website geknüpft war.
Wie funktioniert eine Cookie-Wall?
Die meisten Websites der Welt verfügen über First- und Third-Party-Cookies, die in ihren Quellcode eingebettet sind. Sie reichen von notwendigen Cookies, die für den Betrieb einer Website grundlegend sind, bis hin zu Statistik-Cookies, die oft anonymisierte Daten verwenden, um einen Einblick in den Betrieb einer Website zu geben.
Dann gibt es Marketing-Cookies, die von Ad-Tech-Unternehmen ausschließlich zum Zwecke der Erhebung personenbezogener Daten gesetzt werden, um Nutzer in verhaltensorientierten Werbemaßnahmen (und für andere unheilvolle Zwecke) anzusprechen.
Die vielen verschiedenen Arten von Cookies haben viele verschiedene Zwecke – einige sind direkt gegen den Datenschutz verstoßend. Deshalb sind die europäischen Datenschutzgesetze – die Datenschutz-Grundverordnung und die ePrivacy-Richtlinie – vorhanden, um zu kontrollieren und zu regeln, wie diese Cookies und Tracker von Unternehmen, Organisationen und Websites verwendet werden dürfen.
Die DSGVO schreibt vor, dass die Verantwortlichen der Datenverarbeitung die vorherige Einwilligung der Nutzer einholen müssen, bevor eine Verarbeitung ihrer Daten zulässig ist. Einwilligung ist eine von sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten in der EU und die am häufigsten verwendete für Websites und Unternehmen auf der ganzen Welt.
So wurde der Cookie-Banner entwickelt, um die DSGVO- und ePR-Konformität der Datenverantwortlichen zu gewährleisten, indem die Einwilligung der Benutzer zur Datenverarbeitung eingeholt wurde.
Eine Cookie-Wall ist ein hybrider Cookie-Banner, der so etwas wie eine Einwilligung des Benutzers einholt, dem Benutzer aber keine Wahl lässt, seine Einwilligung nur zu bestimmten Arten von Cookies zu erteilen. Es funktioniert durch Sperrung des Zugriffs, es sei denn, ein Benutzer klickt auf “OK” zu allen Cookies und Trackern.
Cookiebot CMP zu Cookie-Walls
Cookiebot CMP bietet granulare Einwilligung, im Gegensatz zu Cookie-Walls. Es ermöglicht dem Benutzer echte DSGVO-konforme Einwilligungsoptionen. Es schafft Vertrauen zwischen den Besuchern und der Website – etwas, das eine Cookie-Wall zu verraten droht.
Was ist granulare Einwilligung?
Granulare Zustimmung bedeutet, dass Ihre Benutzer in der Lage sind, ihre Zustimmung zwischen verschiedenen Kategorien von Cookies zu filtern:
- Notwendige Cookies
- Präferenz-Cookies
- Statistik-Cookies
- Marketing-Cookies
Wenn Benutzer auf Ihrer Website landen, präsentiert die Cookiebot CMP ihnen ein interaktives Cookie-Banner, das es ihnen ermöglicht einzelnen Cookies differenziert zuzustimmen. Nur notwendige Cookies brauchen keine Zustimmung des Benutzers, um aktiviert zu werden.
Der unübertroffene Scanner von Cookiebot CMP erkennt alle Cookies und Tracker und blockiert sie automatisch alle, so dass die persönlichen Daten Ihrer Benutzer erst dann verarbeitet werden, wenn diese ihre Zustimmung gegeben haben.
Cookiebot CMP scannt Ihre Website monatlich und erzeugt eine vollständige Cookie-Erklärung von völliger Transparenz zwischen Ihrer Website und ihren Benutzern.
Durch die detaillierte Zustimmungslösung von Cookiebot CMP können Websites ihren Besuchern echte, frei gegebene Wahlmöglichkeiten bieten, und zwar durch unsere hochgradig anpassbaren Cookie-Banner, die die Zustimmung der Benutzer einholen und die Aktivierung der Cookies auf Ihrer Website DSGVO-konform verwalten.
Granulare Einwilligung ist die Zukunft
Indem die Nutzer selbst entscheiden können, welche Cookies und Tracker sie einer Website erlauben, auf ihren Geräten zu setzen, entspricht eine Website nicht nur der Forderung der DSGVO nach einer Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
Es respektiert auch die Privatsphäre und Autonomie der Personen hinter dem Bildschirm, hinter dem Begriff “Benutzer” oder “Betroffener” – die wirklichen Menschen, deren intimes, privates Leben durch die Datenerfassung durch Drittverfolger schwer verletzt werden kann.
Die Achtung der Würde der Privatsphäre und die aufrichtige Achtung der Autonomie anderer Personen ist schwer gesetzlich zu regeln, sie ist mehr als das Gesetz…. sie ist Kultur.
Cookiebot CMP arbeitet jeden Tag hart daran, dass Websites die Datenschutzgesetze der Welt einhalten, aber wir arbeiten auch jeden Tag hart daran, eine Kultur der Privatsphäre und Autonomie im Internet zu schaffen.
Also, probieren Sie Cookiebot CMP noch heute kostenlos aus, um konform zu werden, aber, wissen Sie… für noch mehr.
Für eine private und freie Zukunft.
Nationale Datenschutzbehörden zu Cookie-Walls
Bevor das EDPB im Mai 2020 Leitlinien zu Cookie-Walls verabschiedete, hatten einige nationale Datenschutzbehörden in der gesamten EU bereits damit begonnen, darüber zu entscheiden, ob Cookie-Walls im Rahmen der DSGVO als legal angesehen werden können.
Hier ist ein Überblick über die nationalen Datenschutzbehörden und ihre Entscheidungen vor den EDPB guidelines 05/2020.
Die niederländische Datenschutzbehörde zu Cookie-Walls
Im Frühling 2019 entschied die niederländische Datenschutzbehörde AP, dass Cookie-Walls gegen die DSGVO verstoßen, gerade weil Besucher einer Website ihre Einwilligung freiwillig erteilen müssen, d.h. nicht durch eine Cookie-Wall gezwungen werden, die einen Preis für den Zugang zur Domain verlangt.
Die niederländische Datenschutzbehörde fasste ihre Entscheidung zusammen, indem sie sagte, dass eine Cookie-Wall eine “take it or leave it”-Situation für die Nutzer schafft, in der sie entweder ihre Einwilligung zu allen Cookies und Trackern auf einer Website geben oder diese verlassen müssen, ohne darauf zugreifen zu können.
Dies stellt nach Ansicht der niederländischen Datenschutzbehörde eine ungültige Form der Einwilligung dar, da die Nutzer keine freie und tatsächliche Wahl haben, bestimmte Cookies gegenüber anderen zu akzeptieren oder abzulehnen. Websites dürfen den Zugriff von Benutzern, die sich entscheiden, Cookies und Trackern nicht zuzustimmen, nicht verweigern.
Die britische Datenschutzbehörde zu Cookie-Walls
Auch die britische Datenschutzbehörde ICO hat am 3. Juli 2019 ihre Richtlinien für die Verwendung von Cookies zur Einhaltung der DSGVO-Richtlinien aktualisiert.
In Anwendung des Standards für die Einwilligung des DSGVO auf die nationalen Umsetzungen der ePrivacy-Richtlinie (in Großbritannien die PECR) entschied das britische ICO, dass keine Cookie-Kategorien, die nicht notwendig sind, vorab angekreuzt werden dürfen.
Das ICO hat auch festgelegt, dass die Verwendung einer Cookie-Wall zur Beschränkung des Zugriffs auf eine Website bis zur Einwilligung des Benutzers nicht DSGVO- (und PECR-)konform ist.
“Es ist unwahrscheinlich, dass die Verwendung eines solchen pauschalen Ansatzes eine gültige Einwilligung darstellt. Aussagen wie “durch die weitere Nutzung dieser Website stimmen Sie den Cookies zu” sind nach dem höheren DSGVO-Standard keine gültige Einwilligung”.
Die französische Datenschutzbehörde zu Cookie-Walls
Auch die französische Datenschutzbehörde CNIL (hat im Sommer 2019 ihre Richtlinien aktualisiert und sich ebenso wie die britische und niederländische Datenschutzbehörde gegen Cookie-Walls ausgesprochen.
Frankreichs höchste Verwaltungsbehörde (der Conseil d’État) entschied jedoch, dass die CNIL ihre Befugnisse überschritten hatte, als sie entschied, dass die Sperrung des Zugriffs auf eine Website für Benutzer, die nicht ihre vollständige Cookie-Zustimmung geben, standardmäßig nicht konform ist.
In seiner Entscheidung stellte der Conseil d’État fest, dass die CNIL Cookie-Walls rechtlich nicht verbieten kann. Er bestätigte jedoch alle anderen Punkte der CNIL-Leitlinien, die angefochten worden waren.
In den neuen Richtlinien vom 17. September 2020 hat die CNIL ihre Hinweise zu Cookie-Walls umformuliert und stellt stattdessen fest, dass Cookie-Walls “in bestimmten Fällen wahrscheinlich die Freiheit der Zustimmung verletzen” (eigene Übersetzung).
Am 18. März 2021 veröffentlichte die CNIL außerdem einen FAQ zu ihren Cookie-Richtlinien (in französischer Sprache), der Details zu ihrer Empfehlung zur Verwendung von Cookie-Walls enthält.
In den FAQs der CNIL heißt es zu diesem Thema, dass die Implementierung von Cookie-Walls “von Fall zu Fall beurteilt werden muss” (eigene Übersetzung).
Hier finden Sie die neuen Richtlinien der CNIL vom 17. September 2020 (auf Französisch).
Die spanische Datenschutzbehörde zu Cookie-Walls
Im Sommer 2020 hat ebenso die spanische Datenschutzbehörde AEPD ihre Richtlinien zu Cookie Walls aktualisiert.
Ähnlich wie das britische ICO und das niederländische AP entschied die spanische AEPD, dass Cookie-Walls, die keine Alternative zur Zustimmung bieten, nicht erlaubt sind.
Mit anderen Worten: Cookie-Walls werden von der spanischen AEPD als nicht konform betrachtet, mit der einzigen Ausnahme, dass eine gleichwertige Alternative zum Zugang ohne Zustimmung des Benutzers geboten wird.
Die AEPD hebt hervor, dass Cookie-Walls besonders problematisch sind, wenn Benutzern der Zugang zu einer Website verweigert wird, wenn sie versuchen, ein gesetzliches Recht auszuüben, z.B. sich von einem Dienst abzumelden.
Websites in Spanien, die keine angemessene und gleichwertige Alternative zum Zugang ohne Zustimmung bieten, verstoßen gegen die Richtlinien der AEPD zu Cookie-Walls.
Die AEPD-Richtlinien legen auch fest, dass das fortgesetzte Scrollen auf Websites keine gültige Zustimmung darstellt, d.h. die Zustimmung muss ein ausdrücklicher und eindeutiger Hinweis auf die Wahl des Benutzers sein.
Die AEPD-Richtlinien wurden im Juli 2020 mit einer dreimonatigen Schonfrist veröffentlicht und treten am 31. Oktober 2020 in Kraft.
Lesen Sie die AEPD-Richtlinien über Einwilligung und Cookie-Walls (auf Spanisch)
Die italienische Datenschutzbehörde zu Cookie-Walls
Am 26. November 2020 veröffentlichte die italienische Datenschutzbehörde Garante Per La Protezione Dei Dati Personali neue Richtlinien zu Cookies und Cookie-Walls (auf Italienisch).
Wie die meisten anderen EU-Datenschutzbehörden urteilen, gelten auch in Italien Cookie-Walls als illegal.
Eine Ausnahme wird gemacht, wenn die Website Zugang zu gleichwertigen Inhalten oder Dienstleistungen bietet, aber dies wird von der italienischen Datenschutzbehörde von Fall zu Fall entschieden.
Die Richtlinien der italienischen Datenschutzbehörde stellen nicht nur klar, dass Cookie-Walls illegal sind, sondern auch, dass Scrollen als Zustimmung nicht ausreicht, was bedeutet, dass die Zustimmung eine aktive, bestätigende, ausdrückliche Handlung des Benutzers sein muss, um gültig zu sein.
Die italienischen Cookie-Richtlinien spezifizieren auch verschiedene Cookies und ihre Eigenschaften, wie man eine konforme Cookie-Richtlinie schreibt und was ein gültiges Zustimmungsbanner ist.
Lesen Sie die Cookie-Richtlinien des italienischen Garante della Privacy hier (auf Italienisch)
FAQ
Was ist eine Cookie-Wall?
Eine Cookie-Wall ist eine Möglichkeit für Websites, Benutzern den Zugriff zu verweigern, wenn sie nicht allen Cookies und Trackern auf der Domain zustimmen. Wenn ein Benutzer auf einer Website mit einer Cookie-Wall landet, wird ihm ein Banner präsentiert, der erklärt, dass die Website über Cookies verfügt und dass der Benutzer diesen zustimmen muss, bevor er Zugang erhält.
Testen Sie Cookiebot’s Consent Management-Plattform 14 Tage lang kostenlos.
Wie funktioniert eine Cookie-Wall?
Websites verfügen über eine Vielzahl von Cookies, die persönliche Daten ihrer Benutzer verarbeiten. Die DSGVO der EU schreibt vor, dass Websites die Zustimmung der Benutzer einholen müssen, bevor sie diese Cookies aktivieren dürfen. Eine Cookie-Wall funktioniert aber so, dass die Benutzer gezwungen werden, alle Cookies zu akzeptieren, um die Website betreten zu können, oder keine Cookies zu akzeptieren und die Website zu verlassen.
Sind Cookie-Walls legal?
Nein, laut dem European Data Protection Board (EDPB) und seinen Richtlinien für eine gültige Zustimmung in der EU sind Cookie-Walls, die die Zustimmung für den Zugang zu einer Website an Bedingungen knüpfen, ein ungesetzlicher Weg, um die Zustimmung zu erhalten. Stattdessen muss die Einwilligung granular und frei gegeben werden. Nutzer müssen zwischen einigen Cookies wählen können und anderen nicht, wenn sie ihre Zustimmung geben.
Was ist eine Alternative zu einer Cookie-Wall?
Die granulare Zustimmung ist der konforme Weg, um gültige Einverständniserklärungen von Benutzern zu erhalten. Die granulare Zustimmung bedeutet, dass die Benutzer ihre Wahl der Zustimmung zwischen verschiedenen Kategorien von Cookies filtern können, sowie die Möglichkeit haben, alle Cookies abzulehnen und trotzdem Zugang zu einer Website und ihren Diensten zu erhalten. Granulare Zustimmung bedeutet eine freie, klare, vorherige und positive Wahl der Zustimmung für Website-Benutzer im Gegensatz zu der erzwungenen Wahl von Cookie-Walls.
Testen Sie hier kostenlos, ob ihre Website DSGVO-konform ist.
Ressourcen
Erfahren Sie mehr zu DSGVO und Zustimmung
Europäischer Datenschutzausschuss
Die niederländische Datenschutzbehörde zu Cookie-Walls (auf Niederländisch)
Leitlinien der CNIL zur Verwendung von Cookies in Frankreich (auf Französisch)
AEPD zur Verwendung von Cookies in Spanien (in Spanisch)
Garante Per La Protezione Dei Dati Personali zur Verwendung von Cookies in Italien (in Italienisch)
Dr. Johnny Ryans formelle Beschwerde gegen das IAB Europe bei der irischen Datenkommission