AEPD bestraft Werbenetzwerk wegen unwirksamer Cookie-Einwilligung
Die spanische Datenschutzbehörde AEPD hat ein Werbenetzwerk sanktioniert. Der Grund: Cookies wurden zu Werbezwecken gesetzt, ohne dass eine wirksame Einwilligung vorlag. Die Behörde macht in ihrer Entscheidung deutlich, dass ein Fehler bei der Cookie-Einwilligung nicht auf die technische Ebene beschränkt bleibt. Er wirkt sich auch auf die spätere Verarbeitung der Daten aus. Das Bußgeld lag zunächst bei 120.000 Euro. Nach Anerkennung der Verantwortlichkeit und freiwilliger Zahlung reduzierte es sich auf 72.000 Euro.
Betroffen war ein Unternehmen, das zwischen Publishern und Werbetreibenden vermittelte. Über seine Plattform liefen Anzeigen auf Webseiten Dritter. Dabei verarbeitete das Unternehmen technische Informationen, IP-Adressen, Geräte- und Browserdaten, URLs, Referrer-Informationen und Interaktionsdaten wie Klicks und Impressionen.
Für die Verarbeitung stützte sich das Unternehmen auf berechtigte Interessen nach Art. 6 DS-GVO. Dazu zählten die Auslieferung von Werbung, die Messung der Werbeleistung, die Betrugsprävention und die Verbesserung der eigenen Dienste. Das Unternehmen argumentierte zudem, nicht es selbst, sondern die Publisher seien für die Cookie-Einwilligung auf den jeweiligen Webseiten zuständig.
Die AEPD folgte dem nicht. Aus ihrer Sicht fehlte bereits die wirksame vorherige Einwilligung für das Speichern und Auslesen der Cookies auf den Endgeräten der Nutzer. Weil die spätere Verarbeitung auf diesen rechtswidrig gewonnenen Daten beruhte, ließ sie sich auch nicht nachträglich über berechtigte Interessen rechtfertigen.
Für Cookies gilt zunächst das ePrivacy-Recht, in Spanien umgesetzt über Art. 22.2 LSSI. Danach braucht es für nicht technisch notwendige Cookies eine vorherige, informierte und aktive Einwilligung. Das entspricht auch der Linie des EuGH in der Planet49-Entscheidung. Eine wirksame Cookie-Einwilligung darf nicht fingiert werden und setzt eine eindeutige aktive Handlung voraus. Bei Werbe-, Tracking- oder Analyse-Cookies reicht ein pauschaler Verweis auf berechtigte Interessen deshalb nicht aus.
Der Kern der Entscheidung liegt in der Verbindung zwischen ePrivacy-Recht und DSGVO. Die AEPD trennt formal zwischen dem Zugriff auf das Endgerät und der späteren Verarbeitung personenbezogener Daten. Sie stellt aber klar: Fehlt die erforderliche Cookie-Einwilligung schon bei der Erhebung, fehlt auch der späteren Verarbeitung die tragfähige Grundlage.
Das Unternehmen konnte sich deshalb nicht erfolgreich auf Art. 6 Abs. 1 lit. f DS-GVO berufen. Nach Auffassung der AEPD durften Nutzer nicht damit rechnen, dass ihre Daten ohne klare vorherige Zustimmung durch ein Dritt-Werbenetzwerk zu Werbezwecken verarbeitet werden. Der vorgelagerte Verstoß gegen die Cookie-Vorgaben belastete die Interessenabwägung erheblich. Diese Argumentation deckt sich mit der Linie der EDSA-Cookie-Banner-Taskforce. Danach kann eine nachgelagerte Verarbeitung in der Regel nicht DSGVO-konform sein, wenn schon das Speichern oder Auslesen der Cookies gegen Art. 5 Abs. 3 der ePrivacy-Richtlinie oder die jeweilige nationale Umsetzung verstößt.
Für Werbenetzwerke, Publisher und andere AdTech-Akteure ist das relevant. Die Verantwortung für eine wirksame Cookie-Einwilligung lässt sich nicht einfach vertraglich auf andere Beteiligte abwälzen. Wer personenbezogene Daten aus Cookie-basierten Prozessen verarbeitet, muss prüfen, ob die vorgelagerte Einwilligung tatsächlich trägt. Sonst kann nicht nur das Setzen der Cookies rechtswidrig sein, sondern die gesamte darauf aufbauende Verarbeitung.
Unsere Empfehlungen
Unternehmen/KMU
Wer als Werbenetzwerk oder AdTech-Anbieter zwischen Publishern und Werbetreibenden vermittelt, sollte technisch prüfen, ob vor dem Setzen von Werbe-Cookies tatsächlich eine gültige Einwilligung vorliegt. Ein Verweis in der Publisher-Vereinbarung reicht dafür nicht aus.
- Consent-Signale von Publishern technisch verifizieren, etwa über ein etabliertes Consent-Management-Framework, statt sich allein auf vertragliche Zusicherungen zu verlassen
- Berechtigtes Interesse nicht als Ersatz für fehlende Cookie-Einwilligung nutzen. Beides sind getrennte Rechtsgrundlagen auf unterschiedlichen Ebenen
- Verträge mit Publishern und Werbepartnern auf klare Verantwortlichkeiten beim Cookie-Consent prüfen und nachschärfen
Kanzleien/Freiberufler
Auch kleinere Webseitenbetreiber, die Werbenetzwerke oder Analyse-Tools einbinden, tragen Verantwortung für die Cookie-Einwilligung auf ihrer eigenen Seite. Ein Consent-Banner allein reicht nicht, wenn Cookies technisch schon vor der Zustimmung gesetzt werden.
- Cookie-Banner regelmäßig technisch testen und prüfen, ob vor der Einwilligung tatsächlich keine Cookies gesetzt werden
- Eingebundene Drittanbieter-Skripte und Werbenetzwerke dokumentieren und auf ihre Consent-Anforderungen prüfen
Quelle: Agencia Española de Protección de Datos (AEPD)
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks