Informationsfreiheitsgesetz und DSGVO: Wie zwei Grundrechte im Gleichgewicht bleiben

Mit dem Inkrafttreten des Informationsfreiheitsgesetzes (IFG) ist das tradierte Amtsgeheimnis einem grundrechtlich verankerten Zugang zu amtlichen Informationen gewichen – ein Paradigmenwechsel, der datenschutzrechtlich sorgfältig gestaltet werden muss. Aus fachlicher Sicht stehen damit zwei Grundrechte in einem strukturierten Spannungsverhältnis: das Recht auf Zugang zu Informationen einerseits und das Recht auf Schutz personenbezogener Daten andererseits, die im Einzelfall in eine nachvollziehbare Interessenabwägung gebracht werden müssen. Das neue Zugangsrecht und die proaktive Informationspflicht öffentlicher Stellen entfalten ihre Wirkung nur dann rechtssicher, wenn klar definiert ist, wann Informationen personenbezogene Daten enthalten, wer datenschutzrechtlich verantwortlich ist und welche Geheimhaltungsgründe – einschließlich besonderer Kategorien von Daten – einer Offenlegung (teilweise) entgegenstehen können.

Neues Zugangsrecht und proaktive Informationspflicht

Mit dem Informationsfreiheitsgesetz (IFG) ist das jahrzehntelang prägende Amtsgeheimnis in Österreich einem verfassungsrechtlich verankerten Recht auf Zugang zu Informationen gewichen. Seit 1. September 2025 besteht nicht mehr bloß ein Auskunftsrecht nach den bisherigen Auskunftspflichtgesetzen, sondern ein moderner Anspruch auf Informationszugang, der durch eine proaktive Veröffentlichungspflicht vieler Behörden ergänzt wird, etwa über Websites oder Open-Data-Plattformen. Kern des IFG ist das Recht jeder Person, Zugang zu Informationen von informationspflichtigen Stellen zu erhalten, ohne ein besonderes rechtliches Interesse darlegen zu müssen. Damit verschiebt sich der Schwerpunkt von der punktuellen Aktenauskunft hin zu einer strukturierten, planbaren Informationsordnung, die Transparenz als Regelfall und Geheimhaltung als begründete Ausnahme versteht. Diese neue Transparenzordnung wirft unweigerlich die Frage auf, wie sie mit dem Grundrecht auf Datenschutz zusammenspielt – insbesondere dann, wenn angefragte oder proaktiv veröffentlichte Inhalte personenbezogene Daten enthalten.

Personenbezogene Daten als Prüfstein

Nicht jede Informationserteilung oder Veröffentlichung ist datenschutzrechtlich relevant – entscheidend ist, ob personenbezogene Daten betroffen sind. Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen und diese identifizierbar machen, also etwa Namen, Kontakt- und Identifikationsdaten, aber auch Kombinationen von Umständen, die Rückschlüsse auf eine Person zulassen. Erst wenn solche Daten verarbeitet werden, greifen die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und es stellt sich die Frage, ob und in welchem Umfang eine Offenlegung zulässig ist.

Wer ist datenschutzrechtlich verantwortlich?

Datenschutzrechtlich verantwortlich ist jene Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. In der Praxis wird das meist jene Behörde oder sonstige öffentliche Stelle sein, die nach dem IFG informationspflichtig ist, also etwa ein Ministerium, eine Gemeinde oder eine andere Verwaltungseinheit. Im Einzelfall können diese Rollen auseinanderfallen – etwa wenn mehrere Stellen gemeinsam über Datenverarbeitungen entscheiden oder ausgelagerte Einheiten technisch-organisatorische Aufgaben übernehmen.

Kein automatischer Vorrang des Datenschutzes

Enthält eine Information personenbezogene Daten, ist sie nicht allein deshalb vom Zugang ausgeschlossen. Das Recht auf Schutz personenbezogener Daten ist „bloß“ ein Geheimhaltungsgrund im Sinne des IFG, der der Herausgabe entgegenstehen kann, aber nicht zwingend entgegenstehen muss. Sowohl das Recht auf Informationszugang als auch das Recht auf Datenschutz sind verfassungsrechtlich geschützte Grundrechte, zwischen denen eine Interessenabwägung im Einzelfall vorzunehmen ist. Es gibt keinen pauschalen Vorrang des einen Grundrechts vor dem anderen; vielmehr sind Kontext, Sensibilität der Daten, Intensität des Eingriffs und Gewicht des Informationsinteresses zu berücksichtigen.

Weitere Geheimhaltungsgründe

Der Schutz personenbezogener Daten ist nur einer von mehreren möglichen Geheimhaltungsgründen. Weitere Gründe finden sich auf verfassungsrechtlicher Ebene in Art. 22a Abs. 2 S 2 B-VG und sind einfachgesetzlich in § 6 IFG näher konkretisiert. Dazu zählen etwa der Schutz der nationalen Sicherheit, die unbeeinträchtigte Vorbereitung von Entscheidungen oder die Wahrung von Rechten am geistigen Eigentum. Auch diese Gründe können einer Informationsgewährung entgegenstehen, müssen aber stets im Lichte des Transparenzgebots und des öffentlichen Interesses an Information interpretiert werden.

„Public watchdogs“ und gesteigertes Informationsinteresse

Ein besonderes Gewicht kommt dem Informationsinteresse sogenannter „public bzw. social watchdogs“ zu, wozu etwa Journalistinnen und Journalisten zählen. Personenbezogene Daten sind jedoch nicht allein deshalb offenzulegen sind, weil ein Medium sie anfragt; auch hier ist eine einzelfallbezogene Abwägung erforderlich. Dem Informationsinteresse bei Themen von öffentlichem Interesse kommt zwar eine erhöhte Bedeutung zu, doch bleibt der Schutz betroffener Personen ein relevanter Gegenpol. Damit wird vermieden, dass der Hinweis auf Medienanfragen pauschal jede datenschutzrechtliche Zurückhaltung verdrängt.

Schwärzung als datenschutzrechtliches Instrument

Ein zentrales praktisches Werkzeug zur Wahrung des Datenschutzes ist die Schwärzung personenbezogener Daten. Eine fehlerfrei durchgeführte Schwärzung kann eine geeignete technische Sicherheitsmaßnahme im Sinne von Art. 32 DSGVO sein. Entscheidend ist, dass geschwärzte Informationen vom Empfänger nicht wiederhergestellt werden können – etwa durch digitale Bearbeitung oder Vergleich mit anderen Quellen. Durch gezielte Schwärzung kann eine Behörde also den Informationsgehalt eines Dokuments weitgehend erhalten und zugleich einzelne schutzwürdige Daten unkenntlich machen.

Rechtsschutz bei unrechtmäßiger Offenlegung

Betroffene Personen sind nicht schutzlos gestellt, wenn sie die Offenlegung ihrer personenbezogenen Daten für rechtswidrig halten. Das IFG ändert nichts daran, dass bei behaupteter unrechtmäßiger Offenlegung eine Beschwerde an die zuständige Aufsichtsbehörde erhoben werden kann. Dieser Rechtsschutz ergänzt die gerichtlichen Wege, die sich gegen die Nichtgewährung von Informationen richten, und trägt dazu bei, das Spannungsverhältnis zwischen Transparenz und Datenschutz ausgewogen zu steuern.

Keine eigene Informationsfreiheitsbehörde

In Österreich existiert keine eigenständige Informationsfreiheitsbehörde, die über die Gewährung oder Verweigerung von Informationen entscheidet. Primär entscheidet die informationspflichtige Stelle selbst, ob sie eine Information zugänglich macht oder unter Berufung auf Geheimhaltungsgründe verweigert. Im Fall der Nichtgewährung steht den Informationswerberinnen und -werbern der Weg zu den zuständigen Verwaltungsgerichten offen. Das System setzt damit auf eine Kombination aus Eigenverantwortung der Verwaltung und nachgelagerter gerichtlicher Kontrolle.

In Summe zeigt sich das IFG als Versuch, Transparenz und Datenschutz in ein neues, strukturiertes Gleichgewicht zu bringen. Informationsfreiheit darf nicht als schrankenloses Offenbarungsgebot verstanden werden darf, sondern als grundrechtlich gerahmtes Zugangsrecht, das in jedem Einzelfall mit Geheimhaltungsinteressen – allen voran dem Schutz personenbezogener und sensibler Daten – abgewogen werden muss.

Pressemitteilung

Im Sommer 2022 erregte das Vorgehen eines Rechtsanwalts aus Niederösterreich Aufsehen, der im Namen seiner Mandantin zehntausende Abmahnungen aufgrund einer behaupteten rechtswidrigen Einbindung der Schriftart Google Fonts versendet hatte.

In weiterer Folge gab dieser Rechtsanwalt auf einem eigens dafür eingerichteten – nun nicht mehr aufrufbaren – Online-Auftritt die Information bekannt, er habe diesbezüglich bereits 3 Klagen eingebracht. Er veröffentlichte auch die zugehörigen Klagen in anonymisierter Form. Darin wurde sowohl die Unterlassung, als auch die Zahlung eines Schadenersatzbetrages in Höhe von EUR 100,00 begehrt.

Eine dieser Klagen wurde gegen eine Mandantschaft unserer Kanzlei erhoben.

Das Ergebnis: Das Landesgericht für Zivilrechtssachen Wien wies diese Klage in allen Punkten ab. Die durch diesen Rechtsanwalt eingebrachte Berufung gegen dieses Urteil wurde durch das Oberlandesgericht Wien als Berufungsgericht ebenso abgewiesen. Inzwischen ist die Rechtsmittelfrist gegen das Berufungsurteil abgelaufen und somit Rechtskraft eingetreten.

Damit wurde nicht nur ein klarer und umfassender Erfolg für unsere Mandantschaft erzielt – die klagende Partei ist mit ihren Forderungen somit in sämtlichen Instanzen gescheitert.

EU-Produktsicherheitsverordnung

Für Unternehmen kann die Einhaltung der neuen Produktsicherheitsverordnung (EU) 2023/988, welche bis 13.12.2024 von Unternehmen umzusetzen ist, umfangreiche Anpassungen in ihren Abläufen bedeuten. Die Pflichten reichen von der Durchführung von Risikoanalysen und der Erstellung technischer Dokumentationen, der Bereitstellung leicht verständlicher Informationen in Webshops etc. zur sicheren Verwendung des Produkts, bis hin zur Sicherstellung der Rückverfolgbarkeit und gegebenenfalls der Rücknahme oder des Rückrufs von Produkten.

Diese Maßnahmen erfordern nicht nur organisatorische Veränderungen, sondern auch eine enge Zusammenarbeit mit den Marktüberwachungsbehörden. Obwohl die Verordnung viele Vorgaben klar definiert, bleiben viele praktische Fragen ungeklärt. Unternehmen sollten sich bewusst sein, dass dieser Artikel keine individuelle rechtliche Beratung ersetzt und es ratsam ist, sich an den in dieser Rechtsmaterie erfahrenen Rechtsanwalt ihres Vertrauens zu wenden, um sicherzustellen, dass alle spezifischen Anforderungen und Umstände berücksichtigt werden.

Die Verordnung definiert den Anwendungsbereich, um die Sicherheit von Produkten zu gewährleisten, die auf dem Markt der EU bereitgestellt werden. Sie umfasst eine Vielzahl von Produkten, die für Verbraucher bestimmt sind (Art 3 Z 1).

Bestimmte Produkte sind von dieser Verordnung ausgenommen. Dazu gehören Produkte, die unter spezifische sektorale Rechtsvorschriften fallen, wie z.B. Medizinprodukte oder Lebensmittel (vgl Art 2 Abs 2). Diese Vorschriften haben Vorrang, sofern sie Sicherheitsaspekte detailliert regeln.

Zusätzlich legt die Verordnung fest, dass sie auf alle Wirtschaftsakteure zutrifft, die in der Lieferkette tätig sind, einschließlich Hersteller, Importeure und Händler. Jeder dieser Akteure hat spezifische Pflichten, die darauf abzielen, die Produktsicherheit und den Verbraucherschutz zu gewährleisten.

Diese umfassende Regelung stellt sicher, dass die Produktsicherheit in der EU auf hohem Niveau gewährleistet wird und dass alle Akteure in der Lieferkette ihre Verantwortung zur Sicherstellung der Konformität und Sicherheit der Produkte wahrnehmen.

Pflichten der Hersteller

  • Hersteller tragen die Hauptverantwortung für die Sicherheit ihrer Produkte. Sie müssen sicherstellen, dass ihre Produkte den geltenden Sicherheitsanforderungen entsprechen, bevor sie auf den Markt gebracht werden (Art 9 Abs 1). Dies umfasst die Durchführung von Risikoanalysen und die Bereitstellung notwendiger technischer Dokumentationen (Art 9 Abs 2).
  • Zudem müssen Hersteller sicherstellen, dass ihre Produkte eindeutige Identifikationsmerkmale wie Typen-, Chargen- oder Seriennummern tragen (Art 9 Abs 5). Sie sind verpflichtet, beispielsweise ihren Namen, eingetragene Handelsmarke und Kontaktadresse auf dem Produkt oder dessen Verpackung anzugeben (Art 9 Abs 6).
  • Wenn Hersteller feststellen, dass ein von ihnen in Verkehr gebrachtes Produkt nicht konform ist, müssen sie sofort Korrekturmaßnahmen ergreifen, um die Konformität herzustellen, oder das Produkt gegebenenfalls zurückrufen oder zurücknehmen (Art 9 Abs 8 lit b iVm Art 36).
  • Sie müssen zudem die Marktüberwachungsbehörden über jegliche Risiken informieren, die von einem Produkt ausgehen, das sie in Verkehr gebracht haben (Art 9 Abs 8 lit c).

Pflichten der Importeure

  • Importeure spielen eine wichtige Rolle dabei, sicherzustellen, dass nur konforme Produkte auf den EU-Markt gelangen. Bevor sie ein Produkt in Verkehr bringen, müssen sie sicherstellen, dass der Hersteller die erforderlichen Konformitätsbewertungen durchgeführt hat und die technische Dokumentation erstellt wurde (Art 11 Abs 1).
  • Zudem müssen Importeure überprüfen, dass die erforderlichen Begleitunterlagen vorhanden sind (Art 11 Abs 4).
  • Importeure müssen beispielsweise ihren Namen, ihre eingetragene Handelsmarke und ihre Kontaktadresse auf dem Produkt oder dessen Verpackung angeben (Art 11 Abs 3).
  • Sie sind verpflichtet, bei nicht konformen Produkten Korrekturmaßnahmen zu ergreifen, um sicherzustellen, dass das Produkt konform wird oder vom Markt genommen wird (Art 11 Abs 8).
  • Zudem müssen Importeure die Marktüberwachungsbehörden über jegliche Risiken informieren, die von einem Produkt ausgehen, das sie in Verkehr gebracht haben (Art 11 Abs 8 lit d).

Pflichten der Händler

  • Händler, einschließlich Webshop-Betreiber, müssen überprüfen, dass die von ihnen verkauften Produkte die Anforderungen der Verordnung erfüllen und von der erforderlichen Dokumentation begleitet werden (Art 12 Abs 1 und Abs 3).
  • Händler sind verpflichtet sicherzustellen, dass der Hersteller und der Importeur ihre Kontaktinformationen auf dem Produkt oder der Verpackung angegeben haben (Art 12 Abs 1 und Abs 3).
  • Händler dürfen kein Produkt auf dem Markt bereitstellen, wenn sie wissen oder Grund zu der Annahme haben, dass es den Anforderungen der Verordnung nicht entspricht (Art 12 Abs 3).
  • Falls ein Produkt nicht konform ist, müssen sie die notwendigen Korrekturmaßnahmen ergreifen, einschließlich der Rücknahme oder des Rückrufs des Produkts (Art 12 Abs 4).
  • Zudem sind Händler verpflichtet, die Marktüberwachungsbehörden über alle Risiken zu informieren, die von einem Produkt ausgehen, das sie in Verkehr gebracht haben (Art 12 Abs 4 lit c).
  • Händler müssen sicherstellen, dass Verbraucher leicht verständliche Informationen zur sicheren Verwendung des Produkts erhalten. Dies umfasst Anweisungen und Sicherheitsinformationen, die in einer Sprache verfasst sind, die die Verbraucher leicht verstehen können (Art 12 Abs 1 und Abs 3).

Die Konformitätsbewertung ist ein zentrales Element der Produktsicherheitsverordnung und dient dazu sicherzustellen, dass Produkte den festgelegten Sicherheitsanforderungen entsprechen. Hersteller müssen geeignete Verfahren zur Bewertung der Konformität durchführen und die erforderliche technische Dokumentation erstellen (Art 9 Abs 4). Diese Dokumentation muss alle relevanten Informationen enthalten, um die Konformität des Produkts nachzuweisen. Marktüberwachungsbehörden haben die Befugnis, Produkte zu überprüfen, Tests durchzuführen und erforderliche Maßnahmen zu ergreifen, wenn Produkte nicht den Anforderungen entsprechen (vgl Art 15). Dies schließt Maßnahmen wie Rückrufe und Warnungen ein, um die Sicherheit der Verbraucher zu gewährleisten.

Zusammenfassend hat die Verordnung somit direkte praktische Auswirkungen auf Unternehmen. Sie müssen sicherstellen, dass Produkte den Sicherheitsanforderungen entsprechen, bevor sie auf den Markt gebracht werden. Dies beinhaltet die Durchführung von Risikoanalysen und die Bereitstellung technischer Dokumentationen. Hersteller und Importeure müssen ihren Namen und Kontaktinformationen auf dem Produkt oder der Verpackung angeben. Außerdem müssen sie Maßnahmen zur Rückverfolgbarkeit und gegebenenfalls zur Rücknahme oder zum Rückruf von Produkten ergreifen.

Der European Accessibility Act – Barrierefreiheit im digitalen Raum

Die Herausforderungen für Menschen mit Beeinträchtigungen im digitalen Umfeld

In einer zunehmend digitalisierten Welt, in der Technologie einen zentralen Platz einnimmt, stehen Menschen mit Beeinträchtigungen noch immer vor erheblichen Herausforderungen und Barrieren. Die digitalen Fortschritte haben zweifellos viele Aspekte des täglichen Lebens erleichtert, aber für Menschen mit Beeinträchtigungen können sie auch neue Hindernisse schaffen. In vielen Bereichen des digitalen Umfelds werden solche Menschen nach wie vor mit Zugangsproblemen konfrontiert, die ihre Lebensqualität beeinträchtigen und ihre volle Teilhabe an der Gesellschaft behindern.

Sei es beim Zugang zu Informationen im Internet, bei der Nutzung von digitalen Dienstleistungen oder beim Einsatz von Technologien im Arbeitsumfeld – Menschen mit Beeinträchtigungen stoßen auf digitale Barrieren, die ihre Selbstständigkeit und Chancengleichheit beeinträchtigen. Dies betrifft nicht nur den privaten Sektor, sondern auch öffentliche Dienstleistungen und Infrastrukturen.

Der European Accessibility Act (im Folgenden kurz „EAA“) der Europäischen Union zielt nun darauf ab, diese Hindernisse zu beseitigen und eine inklusive digitale Umgebung zu schaffen. So sollen alle Menschen, unabhängig von einer eventuellen Beeinträchtigung, die Vorteile einer digitalisierten Welt nutzen können.

Hierbei handelt es sich um eine Richtlinie. Das heißt, der EAA ist grundsätzlich nicht unmittelbar anwendbar, sondern ist von den Mitgliedstaaten in nationales Recht umzusetzen, das in diesem Fall ab dem 28. Juni 2025 anwendbar ist.

In der Europäischen Union bereits existierende, unterschiedliche Barrierefreiheitsanforderungen erschweren es Unternehmen, barrierefreie Produkte und Dienstleistungen in der gesamten Europäischen Union zu vertreiben, da durch die Anpassung an unterschiedliche Normen einzelner Mitgliedsstaaten zusätzliche Kosten verursacht werden. Somit zielt diese Richtlinie auch darauf ab, den Wettbewerb innerhalb der Europäischen Union zu fördern.

Beispiele verpflichteter Unternehmer

Während der Abbau digitaler Barrieren zweifellos ein Fortschritt in Richtung einer inklusiven Gesellschaft darstellt, stehen Unternehmen vor neuen Herausforderungen, die mit dieser Entwicklung einhergehen. Die Beseitigung von Zugangsbarrieren bringt für Unternehmen Pflichten. Zunächst soll anhand ausgewählter Beispiele skizziert werden, welche Unternehmer von diesen neuen Pflichten betroffen sein werden.

Der EAA betrifft eine Vielzahl von Produkten und Dienstleistungen, darunter:

  • Computer und Betriebssysteme
  • Geldautomaten, Fahrkartenautomaten und Check-in-Maschinen
  • Smartphones
  • TV-Geräte im Zusammenhang mit digitalen Fernsehdiensten
  • Telekommunikationsdienste und zugehörige Ausrüstung
  • Zugang zu audiovisuellen Mediendiensten wie Fernsehübertragungen und zugehöriger Verbraucherausrüstung
  • Transport-Dienstleistungen
  • Bankdienstleistungen
  • E-Books
  • E-Commerce

Bedeutend ist v.a. der Punkt „E-Commerce“. Gerade in den letzten Jahren haben viele Unternehmen investiert, um ihre Produkte und Dienstleistungen auch online zu vertreiben. Ein Teil dieser Unternehmen hat nun dafür zu sorgen, dass die angebotenen E-Commerce-Dienstleistungen barrierefrei gestaltet sind.

Wesentlich ist, dass die Europäische Union die besondere Stellung von Kleinstunternehmen anerkennt. Diese sind, wie in Erwägungsgrund 70 des EAA ausgeführt wird, Unternehmen, die über beschränkte Personalressourcen und finanzielle Mittel verfügen. Daher sind Kleinstunternehmen von der Erfüllung bestimmter Pflichten ausgenommen.

Beispiele für mögliche Verpflichtungen

Welche Pflichten kommen auf Unternehmen zu? Dies ist eine Frage, die nur dann vollständig beantwortet werden kann, wenn sowohl die vom Unternehmen angebotenen Produkte und Dienstleistungen, als auch die hierfür verwendeten Kanäle analysiert werden. Hier soll daher nur kurz illustriert werden, welche Möglichkeiten in Erwägung gezogen werden können, um die neuen Pflichten an Barrierefreiheit zu erfüllen.

Zunächst ist es wichtig, elektronische Dateien bereitzustellen, die von Screenreadern gelesen werden können. Dies ermöglicht blinden Menschen den Zugang zu den Inhalten der Website.

Des Weiteren sollten Schaubilder durch klare Textbeschreibungen ergänzt werden, die die wesentlichen Elemente und zentralen Abläufe erläutern. Diese Maßnahme ist besonders bedeutend, um Menschen mit Sehbehinderungen oder Blindheit eine umfassende Information zu bieten.

Ein weiterer wichtiger Aspekt ist die konsistente Verwendung von Begriffen. Eine klare und logische Benutzeroberfläche, die durch die konsequente Verwendung von Begriffen geschaffen wird, erleichtert Menschen mit geistigen Beeinträchtigungen das Verständnis und die Navigation durch die Website.

Abschließende Bemerkungen

Dieser Artikel kann nur einen ersten Eindruck vermitteln, um für das Thema der Barrierefreiheit in der digitalen Welt zu sensibilisieren. Um jedoch zu prüfen, ob und gegebenenfalls inwieweit Handlungsbedarf besteht, ist eine eingehende Prüfung erforderlich. Egal ob Sie eine Agentur sind, die Webauftritte gestaltet, oder ob der Online-Auftritt Ihres Unternehmens geprüft werden soll, gerne beraten wir Sie und helfen Ihnen dabei, sowohl die Anforderungen des EAA, als auch andere rechtlichen Anforderungen an Online-Auftritte, zu erfüllen.

Wie ist ein Cookie-Banner zu gestalten?

Aus einem aktuellen Bericht der Cookie-Banner-Taskforce der EU ergeben sich folgende Anforderungen für die Erstellung von Cookie-Bannern:

  • Auf der ersten Ebene des Banners ist eine Ablehnungsoption anzubieten, anstatt in einer Unterebene zu verstecken.
  • Der Websitebesucher muss aktiv zustimmen, anstatt vorab angekreuzte Kästchen vorzufinden.
  • Das Verweigern der Zustimmung muss auch anders als bloß über winzige Links in einem anderen Text oder Links außerhalb des Cookie-Banners möglich sein.
  • Man hat die Zustimmung einzuholen anstatt die Geltendmachung eines berechtigten Interesses für die Nutzung nicht wesentlicher Cookies zu behaupten.
  • Der Verantwortliche hat eine dauerhafte Möglichkeit zum Widerruf der Einwilligung anzubieten.

Den gesamten Bericht finden Sie auf: https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf

Während des Surfens im Internet entdeckt man eine Vielzahl unterschiedlicher Cookie-Banner. Diese informieren über die auf der Seite eingesetzten Cookies und lassen eine Auswahl darüber zu, welche Cookies aktiviert werden sollen. Diese Auswahl soll eine wirksame Einwilligung zum Verarbeitungsvorgang personenbezogener Daten iSd DSGVO darstellen, die unter gewissen Umständen erforderlich sein kann, falls personenbezogene Daten verarbeitet werden. Es existieren unzählige verschiedene Meinungen darüber, wie diese Banner zu gestalten sind, um die Anforderungen einer wirksamen Einwilligung zur Datenverarbeitung zu erfüllen.

Um zu prüfen, ob ein Teil der in der Praxis genutzten Cookie-Banner die Anforderungen einer wirksamen Einwilligung iSd DSGVO als auch die Anforderungen der als ePrivacy-Richtline bekannten RL 2002/58/EG erfüllen, wurde die „Cookie Banner Taskforce“ des European Data Protection Bords damit beauftragt, diese Fragen zu prüfen. Diese Taskforce veröffentlichte einen Entwurf eines Berichts über die bisherige Arbeit.

In diesem Bericht wurde auf einige häufig angetroffene Praktiken eingegangen, die entdeckt wurden.

So wurde die Praktik kritisiert, wonach Cookie-Banner zumindest in der ersten Ebene über keine Schaltfläche verfügen würden, mit deren Hilfe man das Setzen von Cookies verhindern konnte. Ebenso wurde das Vorgehen beanstandet, wonach Checkboxen für die Auswahl von Cookies bereits vorausgewählt waren. Beide Praktiken führten dazu, dass Website-Besucher hierdurch keine positive, aktive, informierte und freie Handlung setzten, um in die Setzung von Cookies einzuwilligen. Somit lag keine wirksame Einwilligung vor und war damit die gesamte Datenverarbeitung rechtswidrig.

Ebenso wurde aus diesem Grund die Praktik beanstandet, wonach man nur über einen Link anstatt eines Buttons zu setzende Cookies abwählen konnte. Dies geschah entweder über einen direkten Link oder auf einer verlinkten Seite. Besonders hervorgehoben wurde hierbei, dass es sich um Links handelte, die im Text eines Cookie-Banners eingebunden und so designed waren, dass sie nicht die Aufmerksamkeit eines durchschnittlichen Nutzers auf sich zogen.

Differenzierter wurde die Praktik irreführender Button-Farben und Button-Kontraste beurteilt. Dies musste von Fall zu Fall beurteilt werden; es konnten hierfür keine generell verbindlichen Regeln formuliert werden. Lediglich ein Vorgehen wurde deutlich kritisiert: Dabei handelte es sich um Banner, über die man entweder in das Setzen von Cookies einwilligen konnte oder alternativ andere Buttons angeboten wurden. Die Farben der Buttons der Alternativen wiesen jedoch einen so geringen Kontrast zu den Farben ihrer Beschriftungen auf, dass sie unlesbar waren.

Der Bericht ging auch auf die Problematik ein, wonach Cookies als essenziell klassifiziert wurden, obwohl es sich um keine essenziellen Cookies handelte.

Abschließend wurde erwähnt, dass viele Websites keine Möglichkeit anbieten würden, eine einmal über den Cookie-Banner erteilte Einwilligung zu widerrufen. Selbst von jenen Websitebetreibern, die eine derartige Möglichkeit anbieten würden, wurde dies nicht derart umgesetzt, dass diese Widerrufsmöglichkeit einfach zugänglich war.

Zusammengefasst liegt in allen diesen Fällen keine wirksame Einwilligung und somit keine ausreichende Rechtsgrundlage für die Verarbeitung von Daten vor. Sofern personenbezogene Daten verarbeitet werden, ist dies daher rechtswidrig. Gerne beraten wir Sie individuell hierzu.