Artikelinhalt
Tracking mit Einwilligung – das klingt einfach, ist es aber oft nicht. Besonders dann, wenn Cookie-Banner so gestaltet sind, dass die „Zustimmen“-Schaltfläche groß, bunt und auffällig erscheint – während „Ablehnen“ oder „Nur notwendige Cookies“ fast unsichtbar bleiben. Die Datenschutzbehörde hat im Fall der Website des ORF eine klare Ansage gemacht: So geht’s nicht.
1. Ungleiches Design = keine gültige Einwilligung
- Optische Täuschung ist unzulässig: Die „Alle akzeptieren“-Schaltfläche war auf ORF.at deutlich kontrastreicher gestaltet als die Option, nur notwendige Cookies zuzulassen. Das lenkt die Aufmerksamkeit – und beeinflusst die Entscheidung.
- Einwilligung muss freiwillig sein: Wenn Nutzer:innen durch Designmanipulation zum Klicken gedrängt werden, fehlt die Freiwilligkeit – die Einwilligung ist dann ungültig (Art. 7 DSGVO).
2. Cookies ohne Zustimmung? Klare Regelverletzung
- Technisch nicht notwendige Cookies: Noch bevor die Nutzer:innen überhaupt eine Auswahl treffen konnten, wurden Cookies gesetzt, die aus DSGVO-Sicht zustimmungspflichtig sind.
- Keine Ausnahme durch Rundfunkrecht: Der ORF kann sich nicht auf das ORF-Gesetz berufen, wenn es um Cookies geht, die über das technisch Notwendige hinausgehen.
3. Amtswegiger Leistungsauftrag der Behörde
- Nicht nur abgewiesen, sondern angepasst: Obwohl die konkrete Beschwerde als erledigt galt (weil die Cookies bereits gelöscht waren), ordnete die Behörde von Amts wegen Änderungen an der Website an.
- Gleichwertigkeit herstellen: Die Schaltflächen müssen optisch gleichwertig sein, und nicht-technisch notwendige Cookies dürfen erst nach Zustimmung gesetzt werden.
Fazit
Ein Cookie-Banner ist kein Design-Experiment. Wer Einwilligungen einholt, muss das transparent, fair und technisch korrekt tun. Wenn „Ablehnen“ hinter einem grauen Button verschwindet, ist das keine gültige Entscheidung – sondern ein Verstoß gegen das Datenschutzrecht. Der ORF musste nachbessern. Andere sollten es besser gleich richtig machen.
Links zum Artikel
Entscheidungen der Datenschutzbehörde – dsb.gv.at
DSK-Kurzinformation zu Cookies und Tracking – Datenschutzkonferenz
Was europäische Datenschutzbehörden zu Cookies sagen – Beispiel CNIL Frankreich – cnil.fr