-3-
lokale Speicherobjekte gesetzt und Nutzerdaten über das für die Nutzung der Webseite erforderliche Maß
verarbeitet werden. Es wurden zu diesem Zeitpunkt 7 First-Party-Cookies, 15 Third-Party-Cookies, 16 Objekte
im lokalen Speicher des Browsers, 28 Hosts von Drittdienstleistern und 17 Web-Beacons festgestellt.
Die datenschutzrechtliche Prüfung der Webseite www.heise.de am 14.7.2021 hat darüber hinaus zu dem
Ergebnis geführt, dass bei einem als Pur-Abonnent angemeldeten Nutzer mindestens
• 10 First Party Cookies
• 13 Third Party Cookies
• 10 Drittdienste
• 8 Local Storage-Objekte
und höchstens
• 10 First Party Cookies
• 15 Third Party Cookies
• 29 Drittdienstleister
• 16 Local storage Objekte
• 17 Web-Beacon (Zählpixel)
auf der Webseite eingebunden waren bzw. von der Webseite ausgeliefert worden sind.
Sofern ein Nicht-Abonnent auf die Schaltfläche „Akzeptieren“ geklickt hat, um die Webseite ohne Pur-Abon-
nement lesen zu können, sind
• 7 First Party Cookies
• 73 Third Party Cookies
• 78 Drittdienste und
• 12 Local Storage-Objekte
auf der Webseite eingebunden bzw. von der Webseite ausgeliefert worden, wodurch es zu einer Verarbei-
tung von Nutzerdaten gekommen ist.
Die Anmeldung als Heise Pur-Abonnent erfolgte über die Schaltfläche „Anmelden“ im Header der Webseite
oder über den Link „Jetzt anmelden“ im Einwilligungsbanner.
Die Auswertung des Einwilligungsbanners am 14.7.2021 führte zu folgenden Aussagen in Bezug auf die An-
zahl der auf der Webseite eingesetzten Drittdienste sowohl bei der Nutzung mit Werbung als auch bei der
Nutzung über das Pur-Abo:
-5-
Auf dieser fanden sich weitere Informationen. Die als Aufklappmenü aufgeführten Zwecke entsprachen der
Terminologie des Transparency and Consent Framework (TCF) 2.0 des Branchenverbandes IAB Europe. We-
der auf der zweiten Ebene des Einwilligungsbanners noch innerhalb der Aufklappmenüs konnte der Nutzer
individuelle Einstellungen vornehmen. Es gab nur die Möglichkeit, eine der beiden Schaltflächen mit der Be-
zeichnung „Schließen“ zu klicken, woraufhin sich der Privacy-Manager schloss, aber die Beiträge auf der
Webseite für den Nutzer weiterhin nicht lesbar waren.
Der Verwarnung wurden die Ergebnisse der technischen Prüfung und der Inaugenscheinnahme vom
14.7.2021 zugrunde gelegt. Die Ergebnisse der technischen Prüfung entsprechen weitgehend mit den Fest-
stellungen des Beschwerdeführers beim Besuch der Webseite am 27.7.2021 überein. Der Einwilligungsban-
ner entsprach zu diesem Zeitpunkt demjenigen zum Zeitpunkt der nachfolgenden Beschwerden, insbeson-
dere der Beschwerde vom 13.8.2021. Der Einwilligungsbanner wurde erst im Januar 2023 wesentlich geän-
dert, so dass er heute nicht mehr demjenigen Einwilligungsbanner entspricht, auf den sich die Beschwerden
beziehen.
II. Rechtliche Würdigung
Als Aufsichtsbehörde für den Datenschutz überwacht die Landesbeauftragte für den Datenschutz Nieder-
sachsen (LfD Niedersachsen) die Anwendung der Vorschriften der Datenschutz-Grundverordnung (DS-GVO),
des Bundesdatenschutzgesetzes, des Niedersächsischen Datenschutzgesetzes sowie anderer Vorschriften
über den Datenschutz durch die nicht-öffentlichen Stellen sowie die öffentlichen Stellen in Niedersachsen.
-6-
Die Verwarnung beruht auf Art. 58 Abs. 2 lit. b DS-GVO. Danach bin ich befugt, Verantwortliche zu verwar-
nen, wenn sie mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen haben. Mit
der Verwarnung wird der Datenschutzverstoß verbindlich festgestellt.
Aufgrund der hohen Anzahl der festgestellten lokalen Speicherobjekte, Tracking-Techniken und Drittdienste,
die zum Prüfzeitpunkt auf der Webseite eingebunden waren, erfolgt diesbezüglich keine rechtliche Bewer-
tung jedes einzelnen Objekts. Die datenschutzrechtliche Prüfung wurde zudem auf den vom Betroffenen im
Verfahren 4.2 05475-02-0301/21 gerügten Beschwerdegegenstand der fehlenden Rechtmäßigkeit der Ver-
arbeitung personenbezogener Daten durch „für Webanalyse und personalisierte Werbung (Tracking)“. Im
Kern richten sich alle eingelegten Beschwerden gegen das im Einwilligungsbanner integrierte Pur-Abo-Mo-
dell, durch das Personen, die keine Pur-Abonnement abschließen und die Inhalte der Webseite www.heise
zur Kenntnis nehmen wollten, in die „Verwendung von Cookies zur Webanalyse und personalisierte Werbung
(Tracking)“ zustimmen mussten.
Zu 1.: Verstoß gegen Art. 6 Abs. 1 DS-GVO
Die auf dem Einsatz von Cookies, lokalen Speicherobjekten, anderen Tracking-Techniken und die Einbindung
von Drittdiensten basierende Verarbeitung personenbezogener Daten von Nutzern der Webseite
www.heise.de hat am 14.7.2021 und während des gesamten Zeitraums, indem die Webseite und insbeson-
dere das Einwilligungsbanner dem Zustand Prüfungstag entsprach, gegen Art. 6 Abs. 1 DS-GVO verstoßen, da
die Voraussetzungen einer wirksamen Einwilligung gemäß Art. 6 Abs. 1 lit. a DS-GVO nicht erfüllt waren .
Verarbeitung personenbezogener Daten gemäß Art. 4 Nr. 1 DS-GVO
Die technische Überprüfung der Webseite www.heise.de am 14.7.2021 hat ergeben, dass bereits beim erst-
maligen Aufruf im Browser und bevor der Nutzer irgendwelche Aktionen auf der Webseite ausgeführt hatte,
insbesondere bevor im Einwilligungsbanner verfügbare Schaltflächen angeklickt worden sind, Cookies sowie
lokale Speicherobjekte gesetzt und personenbezogene Nutzerdaten, IP-Adressen und Browser-Informatio-
nen, über das für die Nutzung der Webseite erforderliche Maß verarbeitet wurden. Es wurden zu diesem
Zeitpunkt 7 First-Party-Cookies, 15 Third-Party-Cookies, 16 Objekte im lokalen Speicher des Browsers, 28
Hosts von Drittdienstleistern und 17 Web-Beacons festgestellt.
Diese Vorgänge führten teils unmittelbar zu einer Verarbeitung personenbezogener Daten. Beim Aufruf der
Webseite www.heise.de wurden die IP-Adresse und Browserdaten der Nutzer an zahlreiche Server von Dritt-
dienstleistern übermittelt. Gleiches galt für die Objekte, die in den lokalen Speichern abgelegt wurden sowie
für Web-Beacons. Die IP-Adresse ist entsprechend der ständigen Rechtsprechung des EuGH unabhängig da-
von, ob sie dynamisch oder statisch ist, ein personenbezogenes Datum.
Unabhängig davon führten alle diese Objekte spätestens in dem Zeitpunkt, in dem sie bei einem erneuten
Aufruf der Webseite insbesondere von den Drittdienstleistern ausgelesen wurden, zu einer Verarbeitung
personenbezogener Daten. Es wurden die einzigartigen, in Cookies enthaltenen Nutzer-Identifikationsnum-
mern an unterschiedlichste Server von zahlreichen Unternehmen übermittelt. Aus der Bezeichnung des Coo-
kies „cid“, der dem Dienst Adform zugeordnet werden konnte, ergibt sich z.B., dass dieser Dienst eine ID im
Cookie abgelegt. Auf der am 14.7.2021 auf der Webseite www.heise.de abrufbaren Datenschutzerklärung
wurde ebenfalls darauf hingewiesen, dass die auf der Webseite eingesetzten Cookies regelmäßig eine ID ent-
halten:
-7-
In dem auf der Webseite www.heise.de am 14.7.2021 verfügbaren Einwilligungsbanner und insbesondere
auf der zweiten Ebene „Privacy-Manager“ war keine eindeutige Differenzierung dahingehend erkennbar,
welche Datenverarbeitungen, die im Zusammenhang mit der Einbindung von Drittdiensten erfolgten, auf
eine Einwilligung gestützt werden und welche nicht. Sowohl auf der ersten Seite des Einwilligungsbanners
als auch im Privacy-Manager wurde auf die Zustimmung des Nutzers abgestellt. Gleichwohl wurden auf der
zweiten Ebene „Privacy-Manager“, der sich nach dem Klick auf den entsprechenden Link öffnete, die folgen-
den acht Anbieter unter der Rubrik „Funktionale Verwendungszwecke“ und der Unterkategorie „Wesentlich“
aufgeführt und ihr Einsatz als erforderlich bezeichnet:
-8-
Die Darstellung wird dahingehend gedeutet, dass diese Dienste auf eine andere Rechtsgrundlage gemäß
Art. 6 Abs. 1 DS-GVO als die Einwilligung gemäß Art. 6 Abs. 1 lit. a DS-GVO gestützt wurden. Dienste, die auf
der Webseite eingesetzt waren und keiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DS-GVO bedürften, sind
nicht Gegenstand dieser Entscheidung.
Die Auflistung im Privacy Manager stimmte nicht vollständig mit den Ergebnissen der technischen Prüfung
beim Erstaufruf der Webseite www.heise.de am 14.7.2021 überein, bei der Verbindungen zu den folgenden
Servern von Drittdienstleistern festgestellt worden sind:
• cdn.thenewsbox.net
• fonts.gstatic.com
• i.ytimg.com
• securepubads.g.doubleclick.net
• www.google.com
• www.googletagmanager.com
• www.gstatic.com
• www.youtube-nocookie.com
• yt3.ggpht.com.
Es wird vermutet, dass diese Serveraufrufe auf die Einbindung der Drittdienste The News Box, Google Fonts,
Google Tag Manager, Doubleclick und Youtube zurückzuführen waren.
Unabhängig von dieser Intransparenz bezüglich der Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1
lit. a DS-GVO eine vorherige Zustimmung. Sie ist einzuholen, bevor der Verantwortliche mit der Verarbeitung
der personenbezogenen Daten beginnt, für die die Einwilligung benötigt wird (EDSA, Leitlinien 05/2020 zur
Einwilligung gemäß Verordnung 2016/679, Version 1.1, angenommen am 4. Mai 2020, Rn. 90). Aufgrund der
technischen Ausgestaltung der Webseite ist diese Anforderung für die genannten Cookies, lokalen Spei-
cherobjekte und Übermittlungen von Nutzerdaten an Drittdienste im Zeitpunkt des Aufrufs der Webseite im
Browser ohne bisherige Nutzeraktionen nicht erfüllt.
Unwirksamkeit der Einwilligungen gemäß Art. 6 Abs. 1 lit. a i.V.M. Art. 4 Nr. 11 und Art. 7 DS-GVO
Auf der Webseite www.heise.de wurde die Verarbeitung personenbezogener Nutzerdaten von Personen, die
nicht als Pur-Abonnent auf der Webseite angemeldet waren, im Zusammenhang mit den umfangreichen Ein-
satz von Cookies, anderen Tracking-Techniken sowie die Einbindung von Drittdiensten auf eine Einwilligung
gemäß Art. 6 Abs. 1 lit. a DS-GVO gestützt. Die Voraussetzungen für eine wirksame Einwilligung gemäß Art. 4
Nr. 11 und Art. 7 DS-GVO lagen nicht vor.
Wie bereits dargelegt, bot die Webseite www.heise.de zwei Möglichkeiten der Nutzung – entweder „Mit
Werbung und Cookies“, wenn der Nutzer durch den Klick auf die Schaltfläche „Akzeptieren“ eine umfassende
Einwilligung abgegeben hat, oder „Im Pur-Abo“. Von den Pur-Abonnenten wurde über den Einwilligungsban-
ner keine datenschutzrechtliche Einwilligung eingeholt, sondern nur von den Nicht-Abonnenten. Diese Ein-
willigung erfüllte die Anforderungen der Datenschutz-Grundverordnung nicht und war daher unwirksam.
Die Anforderungen an datenschutzkonforme Einwilligungen werden in Art. 4 Nr. 11, Art. 7 und – ergänzend
in Bezug auf die Einwilligung von Minderjährigen – Art. 8 DS-GVO festgelegt. Gemäß Art. 4 Nr. 11 DS-GVO ist
eine Einwilligung der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und
unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen
bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der
-9-
sie betreffenden personenbezogenen Daten einverstanden ist. Art. 7 DS-GVO stellt weitere Bedingungen für
eine wirksame Einwilligung auf. Art. 8 DS-GVO regelt darüber hinaus ergänzende Bedingungen für den Fall,
dass die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft eingeholt werden soll.
Aus diesen rechtlichen Vorgaben ergeben sich im Wesentlichen die folgenden Prüfungspunkte für die Beur-
teilung der Wirksamkeit der Einwilligung:
• Zeitpunkt der Einwilligung,
• Informiertheit der Einwilligung,
• für den bestimmten Fall,
• eindeutige bestätigende Handlung,
• freiwillige Einwilligung, insb. keine unzulässige Einflussnahme auf die Nutzerentscheidung (sog.
Nudging),
• Widerruf der Einwilligung,
• Einwilligungen für Datenverarbeitungen von Minderjährigen.
Einwilligungen, die über das Einwilligungsbanner auf der Webseite www.heise.de in der Ausgestaltung, wie
sie am 14.7.2021 vorlag, vom Nutzer der Webseite abgegeben worden sind, erfüllten insbesondere die An-
forderungen der Informiertheit und Freiwilligkeit nicht.
Nach dem Aufruf der Webseite www.heise.de erschien das folgende Einwilligungsbanner:
- 10 -
Die vorab erteilten Informationen genügten den Anforderungen an eine informierte Einwilligung gemäß
Art. 4 Nr. 11 und Art. 7 Abs. 3 Satz 3 DS-GVO nicht. Beim Einsatz eines Einwilligungsbanners müssen auf erster
Ebene zwar nicht alle Informationen umfassend angezeigt werden. Dem Betroffenen sind aber auf erster
Ebene, ohne dass er weitere Fenster öffnen muss, die folgenden Informationen zu geben:
• konkrete Zwecke der Verarbeitung,
• sofern zutreffend, dass individuelle Profile angelegt und mit Daten von anderen Webseiten zu um-
fassenden Nutzungsprofilen angereichert werden,
• sofern zutreffend, dass Daten auch außerhalb des EWR verarbeitet werden und
• an wie viele Verantwortliche die Daten offengelegt werden.
Aus Art. 7 Abs. 3 S. 3 DS-GVO ergibt sich zusätzlich die Pflicht des Betreibers der Webseite, Betroffene vor
der Abgabe der Einwilligung auf ihr Widerrufsrecht hinzuweisen.
Dem Nutzer wurden auf der ersten Ebene des Einwilligungsbanners auf der Webseite www.heise.de nur die
im zuvor eingefügten Screenshot rot umrandeten Informationen gegeben. Unterhalb dieses kurzen Textes
fand sich bereits die Schaltfläche mit der Bezeichnung „Akzeptieren“. Über den Klick auf diese Schaltfläche
sollte der Nutzer bereits seine Einwilligung erteilen. Es gab auf keiner anderen Ebene des Einwilligungsban-
ners eine weitere Schaltfläche, durch die Nutzer ihre Einwilligung hätten abgeben können. Über Klicks auf
die Links „Privacy Manager“ und „Datenschutzerklärung“ erhielt der Nutzer weitere Informationen,
- 11 -
allerdings erst auf der zweiten Ebene des Einwilligungsbanners bzw. aus der auf der Webseite gesondert
verfügbaren Datenschutzerklärung.
In dem Text oberhalb der Schaltfläche „Akzeptieren“ fand sich kein Hinweis, dass der Nutzer der Webseite
einen datenschutzrechtliche Einwilligung abgeben sollte. Es wurde nicht im Ansatz über eine Verarbeitung
personenbezogener Daten informiert, sondern lediglich auf die Verwendung von Cookies. Es wurden keine
konkreten Zwecke der Verarbeitung aufgeführt, sondern lediglich als Zwecke „Webanalyse und personali-
sierte Werbung (Tracking)“ angegeben. Diese Zweckbestimmung genügte der Anforderung der Benennung
konkreter Zwecke nicht. Es fehlten insbesondere die Informationen darüber, dass überhaupt personenbezo-
genen Daten verarbeitet werden, individuelle Profile angelegt und mit Daten von anderen Webseiten zu um-
fassenden Nutzungsprofilen angereichert werden, Daten in sehr großen Umfang an andere Verantwortliche
übermittelt werden – es ist eine konkrete Anzahl der Empfänger von Daten anzugeben.
Schließlich fand sich zwar unterhalb der Schaltfläche „Akzeptieren“ der Hinweis, dass die Zustimmung jeder-
zeit widerrufen werden könnte. Dieser erfolgte allerdings erst nachdem der Nutzer bereits die Einwilligung
abgegeben haben sollte.
Gleiches galt für die nachfolgenden weiteren Informationen:
Hier wurde zwar auf „Partner“ und Third-Party-Cookies hingewiesen, allerdings wurde die konkrete Anzahl
der Partner nicht genannt und es wurden auch keine alternativen Tracking-Techniken aufgeführt, die auf der
Webseite eingesetzt werden.
Ebenfalls deutlich unterhalb der Schaltfläche „Akzeptieren“ wurden ergänzend die Verarbeitungszwecke „In-
formationen auf einem Gerät speichern und/oder abrufen“ und „Personalisierte Anzeigen und Inhalte, An-
zeigen und Inhaltsmessungen, Erkenntnisse über Zielgruppen und Produktentwicklungen“ jeweils mit zu öff-
nenden weiteren Informationen benannt. Es handelte sich dabei um vordefinierte Zwecke des TCF 2.0. Bei
dem zweiten Zweck wurden mehrere Purposes – vermutlich die Nummern 2 bis 10 – zusammengefasst.
Der Einwilligungsbanner war in der oberen Hälfte vertikal in zwei Spalten aufgeteilt – links die Nutzungsvari-
ante „Mit Werbung und Cookies“ und rechts „Im Pur-Abo“. Die nachfolgenden Informationen erstreckten
sich allerdings über die gesamte Breite des Einwilligungsbanners und bezogen sich daher grundsätzlich auf
beide Nutzungsvarianten. Der erste Absatz war lediglich ausschließlich der Nutzungsvariante „Mit Werbung
und Cookies“ zugeordnet, weil er mit „Für die Nutzung mit Werbung und Cookies“ eingeleitet wurde. Bei den
weiteren in einem neuen Absatz aufgeführten Verarbeitungszwecken fehlte dieser Zusatz. Hier blieb unklar,
ob er sich ebenfalls nur auf die Nutzungsvarianten „Mit Werbung und Cookies“ beziehen sollte.
In dem kurzen, vorangestellten Informationstext und dem Hinweis auf das Widerrufsrecht unterhalb der
Schaltfläche wurde der Begriff „zustimmen“ bzw. „Zustimmung“ verwendet. Das Datenschutzrecht kennt nur
die Einwilligung. Durch die Bezeichnung der Schaltfläche mit „Akzeptieren“ wurde für den Nutzer nicht deut-
lich, dass er mit dem Klick auf die Schaltfläche eine rechtsverbindliche Erklärung in Form einer datenschutz-
rechtlichen Einwilligung abgab. Die Bezeichnung „Akzeptieren“ kann allgemein auch in die Richtung
- 12 -
verstanden werden, dass etwas „hingenommen“ oder „gebilligt“ wird – der Akzeptierende also keine wirkli-
che Wahlmöglichkeit sieht.
Die Einwilligung wurde nicht „für den bestimmten Fall“ eingeholt. Dies ergibt sich unmittelbar aus den unzu-
reichenden Informationen sowie der aufgrund der hohen Anzahl von Daten und Beteiligten sehr hohen Kom-
plexität der Verarbeitungen personenbezogener Daten, die durch die Einwilligung abgedeckt werden sollten.
Für den bestimmten Fall ist eine Einwilligung nur dann abgegeben, wenn Inhalt, Zweck und Tragweite der
Erklärung hinreichend konkretisiert sind. (BGH, Urt. v. 28. 5. 2020 – I ZR 7/16, NJW 2020, 2540, 2544 m.w.N.
– Cookie-Einwilligung II.). Somit sind gemäß Art. 4 Nr. 11 DS-GVO Pauschal- oder Blankoeinwilligungen grund-
sätzlich unwirksam (s. Arning/Rothkegel, in: Taeger/Gabel, DSGVO - BDSG – TTDSG, 2022, Art. 4 DS-GVO, Rn.
329). Eine solche Pauschaleinwilligung wurde durch das Einwilligungsbanner auf der Webseite www.heise.de
abgefragt.
Die Nutzer haben die Einwilligungen nicht freiwillig gemäß Art. 4 Nr. 11 DS-GVO erteilt. Die Anforderung der
Freiwilligkeit war aus mehreren Gründen nicht gegeben. Eine Willensbekundung erfolgt nur dann freiwillig,
wenn kein Druck oder Zwang ausgeübt werden, um die betroffene Person zu einer Einwilligung zu bewegen.
In Erwägungsgrund 42 DS-GVO wird erläutert, dass davon ausgegangen werden sollte, dass die betroffene
Person dann „ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in
der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden“.
In den EDSA Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 wird in den Randnummern 13
und 14 zur Freiwilligkeit ausgeführt:
„[13] Das Element „frei“ impliziert, dass die betroffenen Personen eine echte Wahl und die Kontrolle
haben. Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die be-
troffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswir-
kungen erdulden muss, wenn sie nicht einwilligt. […] Entsprechend wird eine Einwilligung nicht als
freiwillig angesehen, wenn die betroffene Person die Einwilligung nicht verweigern oder zurückziehen
kann, ohne Nachteile zu erleiden. In der DSGVO wird auch das Konzept des „Ungleichgewichts“ zwi-
schen dem Verantwortlichen und der betroffenen Person berücksichtigt.
[14] […]. Grundsätzlich wird eine Einwilligung durch jede Form des unangemessenen Drucks oder der
Einflussnahme (die sich auf viele verschiedene Weisen manifestieren können) auf die betroffene Per-
son, die diese von der Ausübung ihres freien Willens abhalten, unwirksam.“
Aufgrund der konkreten Ausgestaltung des Einwilligungsbanners auf der Webseite www.heise.de am
14.7.2021 wurde eine Wahlmöglichkeit zunächst dadurch gewährleistet, dass dem Nutzer auf der ersten
Ebene des Einwilligungsbanners die Alternative zum Abschluss eines Pur-Abonnements gegeben wurde. Die
Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat die Bewertungsmaßstäbe für
die sog. Pur-Abo-Modelle in dem Beschluss „Bewertung von Pur-Abo-Modellen auf Websites“ vom 22.3.2023
dargelegt. Nr. 2 des Beschluss betrifft die Frage, ob die Bezahlmöglichkeit eine gleichwertige Alternative ge-
genüber der Einwilligung darstellt und lautet wie folgt:
„Ob die Bezahlmöglichkeit – also z. B. ein Monats-Abo – als eine gleichwertige Alternative zur Einwil-
ligung in das Tracking zu betrachten ist, hängt insbesondere davon ab, ob den Nutzenden gegen ein
marktübliches Entgelt ein gleichwertiger Zugang zu derselben Leistung eröffnet wird. Ein gleichwerti-
ger Zugang liegt in der Regel vor, wenn die Angebote zumindest dem Grunde nach die gleiche Leistung
umfassen.“
- 13 -
Grundsätzlich erhalten die Pur-Abonnenten und Nutzer der Webseite, die eine Einwilligung erteilen, die glei-
chen Inhalte auf der Webseite angezeigt. Die Gleichwertigkeit der Leistung ist damit grundsätzlich gegeben.
Keine Gleichwertigkeit ist allerdings insofern anzunehmen, als die Einwilligung deutlich umfassender ist, als
es dem Nutzer auf der ersten Ebene des Einwilligungsbanner dargestellt wird.
Auf der ersten Ebene des Einwilligungsbanners wurde den Nutzern suggeriert, dass das Pur-Abonnement das
werbefreie Lesen von www.heise.de umfasste („ohne Tracking, externe Banner- und Videowerbung“) und
die Alternative für das Lesen von www.heise.de mit Einwilligung in Werbung und Tracking darstellte. Den-
noch musste die Pauschaleinwilligung in zahlreiche Zwecke erteilt werden, die keinen unmittelbaren Zusam-
menhang zu Werbung und Tracking aufwiesen.
Auf der ersten Ebene des Einwilligungsbanners wurden die folgenden Zwecke für die „Nutzung mit Werbung
und Cookies“ aufgeführt:
Aus diesen Angaben ergab sich, dass die Einwilligung nicht nur Tracking und personalisierte Werbung er-
fasste, sondern Zwecke, die keinen unmittelbaren Zusammenhang zur Werbung aufweisen, wie z.B. Informa-
tionen auf einem Gerät speichern und/der abrufen, personalisierte Inhalte, Inhaltsmessungen und Produkt-
entwicklungen. Auf der zweiten Ebene wurden zusätzlich die Zwecke „Funktionell“, „Funktionale Verwen-
dungszwecke“ und „Zusatzfunktionen“ aufgeführt, die schon ihrer Bezeichnung nach im Gegensatz zur Wer-
bung stehen.
Im TCF 2.0 werden personalisierte Anzeigen (Werbung) und personalisierte Inhalte klar voneinander diffe-
renziert. Mit Inhalten sind Artikel auf der Medienseite gemeint und gerade keine Anzeigen (Werbung). Für
Inhalte gibt es die TCF 2.0 Zwecke „Ein personalisiertes Inhaltsprofil erstellen“, „Personalisierte Inhalte aus-
wählen“ und „Inhalte-Leistung“ messen. Für Werbung gibt es entsprechend die TCF 2.0 Zwecke „Ein perso-
nalisiertes Anzeigenprofil erstellen“, „Personalisierte Anzeigen auswählen“ und „Anzeigen-Leistung messen“.
Diese Zwecke werden in den Einwilligungsbannern zusammengefasst.
Neben der gleichwertigen Alternative erfordert die Freiwilligkeit der Einwilligung der Nicht-Abonnenten, dass
eine granulare Einwilligung erteilt werden kann. Hierzu vertritt der EDSA die folgende Rechtsansicht (vgl.
EDSA, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, Rn. 43 f):
„In Erwägungsgrund 43 wird klargestellt, dass eine Einwilligung nicht als freiwillig erteilt gilt, wenn
der Prozess/das Verfahren für das Einholen der Einwilligung es betroffenen Personen nicht ermöglicht,
zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten gesondert eine Einwilli-
gung zu erteilen (d. h. nur für einige Verarbeitungsvorgänge und für andere nicht), obwohl dies in
dem entsprechenden Fall angemessen wäre. In Erwägungsgrund 32 heißt es: ‚Die Einwilligung sollte
sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge
beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke
eine Einwilligung gegeben werden‘.
Wenn der Verantwortliche verschiedene Zwecke für die Verarbeitung zusammengefasst hat und nicht
versucht, gesonderte Einwilligungen für jeden Zweck einzuholen, fehlt die Freiheit. Diese Granularität
- 14 -
ist eng verwandt mit dem Erfordernis, dass die Einwilligung für den konkreten Fall zu erteilen ist. Dies
wird nachfolgend in Abschnitt 3.2 diskutiert. Werden mit der Datenverarbeitung mehrere Zwecke ver-
folgt, liegt die Lösung für die Einhaltung der Bedingungen für eine gültige Einwilligung in der Granula-
rität, d. h. in der Trennung dieser Zwecke und dem Einholen der Einwilligung für jeden Zweck.“
In Nr. 4 des genannten Beschlusses der DSK wird entsprechend den Ausführungen des EDSA die Anforderung
der Granularität der Einwilligung hervorgehoben.
Über den Klick auf die Schaltfläche „Akzeptieren“ auf der ersten Ebene des Einwilligungsbanners – also eine
Handlung des Nutzers – sollten zahlreiche Einwilligungen für zahlreiche Verarbeitungsprozesse durch zahl-
reiche unterschiedliche Dienstleister eingeholt werden. Diese „gebündelte“ Einwilligung wird im Kontext von
Webseiten zwar nicht grundsätzlich als Verstoß gegen die Vorgaben der Datenschutz-Grundverordnung ge-
wertet. Allerdings ist ein Bündeln von Einzeleinwilligungen, wie vom EDSA ausgeführt, nicht uneingeschränkt
zulässig.
Unterstellt, dass die Ausdifferenzierung der durch TCF 2.0 definierten Zwecke als ausreichend betrachtet
werden würde, wäre demnach eine Einwilligung pro Zweck einzuholen gewesen. Nutzern der Webseite hätte
mindestens die Möglichkeit gegeben werden müssen, bezüglich jedes einzelnen der siebzehn Zwecke zu ent-
scheiden, ob er einwilligt oder nicht. In dem Einwilligungsbannern auf der Webseite www.heise.de wurden
dem Nutzer keinerlei Auswahlmöglichkeiten – weder in Bezug auf die verschiedenen Zwecke, noch in Bezug
auf die unzähligen Anbieter – gewährt. Es gab nur die Möglichkeit, in alles uneingeschränkt einzuwilligen
oder die Webseite mit dem Pur-Abo zu nutzen. Darüber hinaus wurde auf der zweiten Ebene verschleiert,
für wie viele Einzelzwecke eine Einwilligung eingeholt werden sollte. Statt auf der zweiten Ebene unmittelbar
alle 17 Zwecke des TCF 2.0 aufzulisten, wurden nur fünf Zwecke als quasi übergeordnete Zwecke aufgeführt
und die weiteren Zwecke erst auf tieferen Ebenen im Rahmen von Aufklappmenüs genannt. Ein Vorgehen,
bei dem nicht einmal versucht wird, die oben angeführten Vorgaben hinsichtlich der Granularität einzuhal-
ten, und bei dem eine „Pauschaleinwilligung“ einer Abonnement-Variante gegenübergestellt wird, kann kein
angemessener Ausgleich zwischen dem Grundrecht auf Datenschutz nach Art. 8 EU-GRC und Art. 16 EU-GRC
sein.
Die Einwilligung ist auch dann nicht freiwillig, wenn die betroffene Person die Einwilligung nicht verweigern
oder zurückziehen kann, ohne Nachteile zu erleiden. In der Datenschutz-Grundverordnung wird auch das
Konzept des „Ungleichgewichts“ zwischen dem Verantwortlichen und der betroffenen Person berücksichtigt.
Selbst wenn der Nutzer sich bemüht hatte, alle erforderlichen Informationen vor der Abgabe der Einwilligung
zur Kenntnis zu nehmen, indem er sich sowohl die Informationen im Privacy-Manager als auch in der Daten-
schutzerklärung angeschaut hat, wurde ihm dies deutlich erschwert. Durch die Gestaltung des Einwilligungs-
banners auf der zweiten Ebene musste der Nutzer erst mehrere Unterfenster mit mehreren Klicks öffnen,
bevor er nur ein ungefähreres Bild vom Umfang der Verarbeitung und – vor allem – der enormen Anzahl der
eingebundenen Anbieter erhielt. Insbesondere bei der Anbieterübersicht hätte der Nutzer einen erheblichen
Zeitaufwand betreiben müssen, um diese Liste nur einmal durch zu scrollen, ohne sie wirklich zu lesen.
Der Nutzer musste demnach einen erheblichen Mehraufwand betreiben, wenn er sich selbst im angemesse-
nen Umfang vor der Einwilligung informieren wollte. Der Mehraufwand wurde durch die Gestaltung des Ein-
willigungsbanners künstlich konstruiert. Der Nutzer musste die weiteren Informationen, mit denen er auf der
zweiten und weiteren Ebenen des Einwilligungsdialoges konfrontiert wurde, lesen und nachvollziehen. Die-
ser Mehraufwand war nicht marginal, sondern ein spürbarer Nachteil für die Betroffenen gegenüber Abon-
nenten. Letztlich erhielt der Nutzer durch den sog. Privacy-Manager zwar weitere Informationen, aber keine
- 15 -
Möglichkeit, die Einbindung der Cookies und Drittdienste in irgendeiner Art und Weise individuell zu konfi-
gurieren – also zu „managen“.
Die Gesamtgestaltung des Einwilligungsbanners auf den Webseiten www.heise.de war durch viele einzelne
Gestaltungsmerkmale auf ein unzulässiges Nudging ausgerichtet. Dabei handelt es sich um ein methodisches
Vorgehen, um das Verhalten von Nutzern im eigenen Interesse gezielt zu beeinflussen. Dem Nutzer wurde
als einzige Alternative zur umfassenden Einwilligung die Möglichkeit gegeben, das Pur-Abonnement abzu-
schließen. Die Schaltflächen für die Abgabe der Einwilligung „Akzeptieren“ auf der ersten Ebene des Einwilli-
gungsbanners waren in leuchtend blau mit weißer Schrift dargestellt. Die Schaltfläche für den Abschluss des
Pur-Abonnements war weiß mit schwarzer Schrift, wodurch sich die Schaltfläche nur durch die durch
schwarze Umrandung von dem ebenfalls weißen Hintergrund des Einwilligungsbanners abhob. Die Schaltflä-
chen für die Einwilligung war deutlich auffälliger gestaltet, obwohl Heise Medien bei Abschluss eines Pur-
Abonnements eine unmittelbare monetäre Gegenleistung für die auf der Webeseite www.heise.de präsen-
tierten journalistischen Inhalte erhalten hätte.
Art. 7 Abs. 3 S. 4 DS-GVO fordert zudem, dass der Widerruf der Einwilligung so einfach wie die Erteilung der
Einwilligung sein muss. Da die Einwilligungen unmittelbar bei der Nutzung der Webseite www.heise.de erteilt
wurden, hätte auch deren Widerruf auf diesem Weg möglich sein müssen. War die Webseite www.heise.de
ohne Einwilligungsbanner nutzbar, gab es ganz am Ende der Webseite – es ist ein längeres Herunterscrollen
erforderlich – einen Link mit der Bezeichnung „Cookies & Tracking“:
Klickte der Nutzer auf diesen, öffnet sich der „Privacy-Manger:
- 16 -
Dieser enthielt allerdings wider Erwarten keine Möglichkeit für den Nutzer der Webseite, seine zuvor abge-
gebene „Einwilligung“ zu widerrufen. Links neben dem angesprochenen Link gab es den Link mit der Bezeich-
nung „Datenschutz“, über den der Nutzer auf die „Datenschutzerklärung der Heise Medien GmbH & Co. KG“
(https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html) gelangte. In
dieser fand sich in dem Abschnitt „7.3 Zugriff auf Ihre Consent-Einstellungen“ der Hinweis auf das Widerrufs-
recht sowie eine auffällige rote Schaltfläche mit der weißen Beschriftung „Zustimmung widerrufen“. Ein Klick
auf diese Schaltfläche führte dazu, dass dem Nutzer beim nächsten Aufruf der Webseite www.heise.de wie-
der der Einwilligungsbanner angezeigt wurde und die Inhalte der Webseite nicht wahrgenommen werden
konnten. Der Nutzer hatte erneut die Wahl, die Einwilligung zu erteilen oder ein Pur-Abo abzuschließen.
Damit der Widerruf für den Nutzer genauso einfach wie die Einwilligung ist, muss er ebenso wie die Einwilli-
gung im Einwilligungsbanner erklärt werden können. Auf der Suche nach der Widerrufsmöglichkeit hätte ein
Nutzer zuerst auf den Link „Cookies & Tracking“ geklickt. Da sich dort keine Schaltfläche „Zustimmung wider-
rufen“ fand, wurde ihm das Auffinden der Widerrufsmöglichkeit erschwert und es besteht die Vermutung,
dass viele Nutzer die Suche bereits zu diesem Zeitpunkt aufgeben haben. In dem Einwilligungsbanner fand
sich zwar unter der Schaltfläche „Akzeptieren“ der Hinweis, dass die „Zustimmung“ jederzeit über den Link
„Datenschutz" am Ende jeder Seite widerrufbar sei. Sofern der Nutzer seine „Zustimmung“ nach dem erst-
maligen Aufruf der Webseite erteilt hatte, wird er diesen Hinweis aber vermutlich nicht gelesen haben und
selbst wenn, bis zum Zeitpunkt, indem er sich zum Widerruf entschlossen hat, wieder vergessen haben. Es
gibt keine Möglichkeit, das Einwilligungsbanner auf der ersten Ebene direkt wieder zu öffnen. Unabhängig
davon, in welchem Umfang der Nutzer zuvor (vermeintlich) eingewilligt hat, kann er zwar durch einen Klick
- 17 -
alle Einwilligungen widerrufen, allerdings ist die Schaltfläche nicht leicht zu finden. Die Widerrufsmöglichkeit
auf der Webseite entspricht somit nicht der Anforderung von Art. 7 Abs. 3 S. 4 DS-GVO.
Zu 2:
Die Kosten des Anordnungsverfahrens sind von der Heise Medien GmbH & Co. KG zu tragen. Sie haben durch
den oben genannten Verstoß Anlass zu meiner Verwaltungshandlung gegeben. Die Höhe dieser Kosten ent-
nehmen Sie bitte dem beigefügten Kostenfestsetzungsbescheid, der seine Rechtsgrundlage in §§ 1, 3 und 5
des Niedersächsischen Verwaltungskostengesetzes in Verbindung mit Die Kostenentscheidung beruht auf
§§ 1, 3 und 5 Niedersächsisches Verwaltungskostengesetz (NVwKostG) vom 25.04.2007 (Niedersächsisches
Gesetz- und Verordnungsblatt (Nds. GVBl. S. 172), in Verbindung mit Nr. 1.11, Nr. 23 des Kostentarifs zu § 1
der Verordnung über die Gebühren und Auslagen für Amtshandlungen und Leistungen (Allgemeine Gebüh-
renordnung (AllGO) vom 05.06.1997 (Nds. GVBl. S. 171), in der jeweils gültigen Fassung findet.
Hinweise
Der dieser Verwarnung zugrunde liegende Verstoß kann im Hinblick auf die Sanktionierung eines etwaigen
künftigen Verstoßes gegen die DS-GVO im Rahmen der Entscheidung über die Verhängung einer Geldbuße
und über deren Zumessung im Einzelfall berücksichtigt werden (Artikel 83 Absatz 2 Satz 2 Buchstabe e DS-
GVO).
Rechtsbehelfsbelehrung
Gegen diesen Bescheid kann innerhalb eines Monats nach Bekanntgabe Klage beim Verwaltungsgericht Han-
nover, Leonhardtstraße 15, 30175 Hannover, erhoben werden.
Mit freundlichen Grüßen
Im Auftrage