Der Österreichische Rundfunk (ORF) muss seinen Cookie-Banner auf ORF.at anpassen und in Einklang mit der DSGVO bringen. Das hat das Bundesverwaltungsgericht (BVwG) nun entschieden, und damit eine Entscheidung der österreichischen Datenschutzbehörde von 2024 bestätigt. Konkret muss der ORF die Buttons zum „Akzeptieren“ oder „Ablehnen“ von Tracking-Cookies gleichwertig gestalten, damit Besucher:innen diese wirklich nur dann akzeptieren, wenn sie das wollen. Derzeit ist die „Akzeptieren“-Option irreführenderweise farblich hervorgehoben, was zu ungewollten Einwilligungen führen kann.
Hintergrund. Im August 2021 hatte noyb 422 DSGVO-Beschwerden gegen Webseiten eingereicht, die irreführende und rechtswidrige Cookie-Banner verwendeten. Darunter befand sich auch der ORF, dessen damaliges Cookie-Banner auf der ersten Ebene gar keine Option zum „Ablehnen“ der Tracking-Cookies anbot. In ihrer Entscheidung vom Oktober 2024 stimmte die österreichische Datenschutzbehörde noyb’s Beschwerde inhaltlich zu und ordnete dem ORF an, gleichwertig gestaltete „Ablehnen“- und „Akzeptieren“-Buttons auf seinem Cookie-Banner zu platzieren. Zu diesem Zeitpunkt hatte der ORF zwar bereits einen „Ablehnen“-Button hinzugefügt, diesen aber farblich unauffälliger gestaltet als die „Akzeptieren“-Option. Daraufhin legte der ORF Beschwerde beim Bundesverwaltungsgericht (BVwG) ein.
Max Schrems, Vorsitzender von noyb: „Die Datenschutzbehörde und nun auch die Gerichte haben klar bestätigt, dass Cookie-Banner eine gleichwertige 'Ja'- und 'Nein'-Option anbieten müssen - und zwar ohne Dark Patterns. Dass sogar der öffentlich-rechtliche ORF ganze 8 Jahre nach Einführung der DSGVO hier eine gerichtliche Extraeinladung braucht, ist empörend.“
Bundesverwaltungsgericht bestätigt DSGVO-Verstöße des ORF. Mit seiner Entscheidung hat das BVwG nun bestätigt, was bereits 2024 klar war: Das Cookie-Banner des ORF steht nicht im Einklang mit der DSGVO, da die farbliche Hervorhebung des „Akzeptieren“-Buttons irreführend für Nutzer:innen ist – und zu ungewollten Einwilligungen verleiten kann. Damit ist die Einwilligung nicht mehr unmissverständlich und widerspricht außerdem dem Grundsatz der Transparenz, schreibt das BVwG in seiner Begründung. Der ORF hat also keine gültige Einwilligung eingeholt und muss seinen Cookie-Banner umgestalten.
Mögliche Auswirkungen. Die Entscheidung des BVwG dürfte aufgrund ihrer Eindeutigkeit Auswirkungen auf unzählige weitere Unternehmen haben. Das Gericht stellt klar, dass die Implementierung eines farblich weniger auffälligen „Ablehnen“-Buttons nicht ausreicht, sondern beide Optionen gleichwertig sein müssen. Demnach ist der ORF bei weitem nicht das einzige Unternehemen, dessen Cookie-Banner gegen die DSGVO verstößt.
