noyb-Sieg: Belgische Nachrichtenseiten müssen irreführende Cookie-Banner anpassen

• Zusammenfassung der Entscheidung auf GDPRhub
• Pressemitteilung der belgischen Datenschutzbehörde
• Ursprüngliche noyb-Beschwerden

Vergleiche statt Durchsetzung. Im Juli 2023 hatte noyb Beschwerden gegen insgesamt 15 belgische Nachrichtenseiten eingereicht, die irreführende Cookie-Banner verwenden. Genau diese Websites waren schon früher Gegenstand einer Untersuchung, in der festgestellt wurde, dass sie gegen die DSGVO verstoßen hatten. Dennoch musst sie ihre rechtswidrigen Cookie-Banner nicht anpassen. Stattdessen wurde der Fall mit einem fragwürdigen "Vergleich" abgeschlossen, der nach belgischem Recht eigentlich nicht vorgesehen ist. Gemäß den Bedingungen des Vergleichs erklärte sich Mediahuis bereit, €10.000 Euro zu zahlen. Das Unternehmen wurde aber nie dazu aufgefordert, seine Cookie-Banner mit dem EU-Datenschutzrecht in Einklang zu bringen. Die belgische Datenschutzbehörde hat sich nicht einmal die Mühe gemacht, zu erklären, warum die Fälle durch einen Vergleich anstatt einer formellen Anordnung beigelegt wurden.

Durchsetzung des "Vergleichs" erst nach noyb-Beschwerde. Mit ihrer jüngsten Entscheidung hat die belgische Behörde endlich eine Kehrtwende vollzogen: Vier von Mediahuis betriebene Websites, nämlich De Standaard, Het Nieuwsblad, Het Belang van Limburg und Gazet van Antwerpen, müssen nun ihre Cookie-Banner in Einklang mit dem EU-Recht bringen. Insbesondere wurden die Websites angewiesen, einen "Ablehnen"-Button auf der ersten Ebene des Banners einzubauen. Darüber hinaus stellte die Behörde fest, dass die Unternehmen irreführende Farben für die Buttons verwenden, um Nutzer:innen zur Einwilligung zu verleiten. Die Behörde betont außerdem, dass die Verarbeitung persönlicher Daten zu Analysezwecken nicht als "unbedingt notwendig" angesehen werden kann. Die Verwendung von Analyse-Cookies erfordert demnach immer eine Einwilligung.

Maartje de Graaf, Datenschutzjuristin bei noyb: "Wir freuen uns, dass die belgische Datenschutzbehörde Unternehmen nicht länger mit irreführenden Cookie-Bannern davonkommen lässt. Dies sollte eine Warnung an alle Websitebetreiber sein, den "Ablehnen"-Button nicht mehr auf der zweiten Ebene ihres Cookie-Banners zu verstecken - und immer um Einwilligung zu bitten, bevor sie Analyse-Cookies setzen."

Mögliche Strafe in Millionenhöhe. Mediahuis und die oben genannten Nachrichtenseiten haben nun 45 Tage Zeit, um den Anordnungen der Datenschutzbehörde nachzukommen und ihre Cookie-Banner mit der DSGVO in Einklang zu bringen. Bei Nichteinhaltung droht jeder Website ein Bußgeld von €50.000 pro Tag, was sich zu einem täglichen Bußgeld von €200.000 summiert. Die maximale Bußgeldsumme liegt bei €10.000.000.

Die belgische Datenschutzbehörde macht auch Kehrtwende bei absurden Abweisungen. Eine Reihe früherer noyb-Beschwerden wies die belgische Datenschutzbehörde ab. Sie argumentierte, dass noyb in "Musterfällen" keine nahestehenden Personen vertreten könne. Dies war selbst dann der Fall, wenn die Beschwerdeführer:innen ausdrücklich bezeugten, dass sie von noyb vertreten werden wollen. Im jüngsten Fall scheint die belgische Behörde auch diesbezüglich eine Kehrtwende hingelegt zu haben. 

Max Schrems, Vorsitzender von noyb: "Wir freuen uns, dass die belgische Datenschutzbehörde eine Kehrtwende bezüglich ihrer absurden Repräsentationstheorien zu machen scheint. Während sie die erste Reihe von Fällen auf Grundlage erfundener Zulässigkeitsregeln ablehnte, scheint sie ihre Meinung nun geändert zu haben. Wir begrüßen, dass diese sinnlose Diskussion damit beendet ist."

Update: Update: In einem ähnlichen Fall gegen RTL Belgium hat die Datenschutzbehörde noyb ebenfalls Recht gegeben. Das Unternehmen muss einen „Alle ablehnen“-Button auf der ersten Ebene seines Cookie-Banners einfügen und darf keine irreführenden Farben und Kontraste mehr verwenden. Bei Nichteinhaltung droht RTL Belgium eine Strafe von €40.000 pro Tag und von maximal €2 Millionen.