Nutzer sollen nicht nur zustimmen, weil sie genervt sind

Eine wirksame Einwilligung liegt nach Einschätzung der Datenschützer daher nicht vor, wenn Nutzern zwei Handlungsmöglichkeiten zur Auswahl gestellt werden, die nicht gleich schnell zu dem Ziel führen. "Hierbei wird ihnen einerseits eine Schaltfläche zum 'Alles Akzeptieren' angezeigt, andererseits eine Schaltfläche mit Bezeichnungen wie 'Einstellungen', 'Weitere Informationen' oder 'Details'", heißt es.

Zur Begründung schreibt die DSK: "Wenn Nutzende in dieser Konstellation die einzig vorhandene Schaltfläche wählen, mit der unmittelbar eine - den Entscheidungsprozess beendende - Willenserklärung abgeben werden kann, so kann dieser Handlung auch der Wille innewohnen, sich mit der Angelegenheit einfach nicht mehr beschäftigen zu müssen. Dies gilt umso mehr, wenn aufgrund der konkreten Beschriftung der Schaltflächen nicht einmal eindeutig zu erkennen ist, wie viel Mehraufwand erforderlich ist, um eine Ablehnung mitzuteilen."

Mehrschichtige Banner grundsätzlich möglich

Die DSK hält in ihrer Orientierungshilfe zudem eine Generaleinwilligung oder Blankoeinwilligung für den generellen Einsatz bestimmter Techniken wie Cookies für unzulässig. "Bevor eine Einwilligung abgefragt wird, muss ein eindeutiger und legitimer Zweck für die beabsichtigten Prozesse festgelegt werden, um die Endnutzer sodann ausreichend hierüber informieren zu können", heißt es zur Begründung.

Für die Gestaltung der Cookie-Banner bedeutet dies: "Grundsätzlich ist es möglich, Einwilligungsbannner mehrschichtig zu gestalten, also detailliertere Informationen erst auf einer zweiten Ebene des Banners mitzuteilen, zu der die Nutzenden über einen Button oder Link gelangen." Wenn jedoch bereits auf der ersten Ebene des Banners ein Button existiere, mit dem eine Einwilligung für verschiedene Zwecke erteilt werden könne, "müssen auch auf dieser ersten Ebene konkrete Informationen zu allen einzelnen Zwecken enthalten sein".

Messbarer Mehraufwand beeinflusst Entscheidung

Die Freiwilligkeit der Zustimmung wird nach Ansicht der Datenschützer "spürbar beeinflusst", wenn die Ablehnung aller einwilligungsbedürftigen Zugriffe einen messbaren Mehraufwand bedeute, beispielsweise durch zusätzliche Klicks auf einer zweiten Banner-Ebene. Dieser Mehraufwand durch zusätzliche Auswahloptionen lasse sich nicht sachlich begründen, sondern werde "künstlich konstruiert". Das könne auch daraus geschlossen werden, dass Nutzern "mittlerweile auf einer Vielzahl an Webseiten durchaus eine gleich einfache Ablehnungsmöglichkeit zur Auswahl gestellt wird".

Ebenfalls fordert die DSK, "dass der Widerruf einer Einwilligung ebenso einfach möglich sein muss wie die Erteilung". Falls die Einwilligung unmittelbar bei der Nutzung einer Webseite erteilt werde, müsse auch deren Widerruf auf diesem Weg möglich sein. "Wurde eine Einwilligung mittels Banner oder Ähnlichem abgefragt, ist es daher auch unzulässig, wenn zunächst eine Datenschutzerklärung aufgerufen und dann in dieser zu der richtigen Stelle gescrollt werden muss, um zu einer Widerrufsmöglichkeit zu gelangen", heißt es weiter.

Allerdings sind laut TTDSG nicht alle Cookies zustimmungspflichtig.