W171 2303402-1•Bundesverwaltungsgericht W171 2303402-1
W171 2303402-1Tribunal Administrativo Federal23 de abr. de 2026
Cookies Datenschutz Datenschutzbehörde Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Einwilligung Internet personenbezogene Daten Revision zulässig Unionsrecht Verantwortlicher Zuständigkeit
W171 2303402–1/7E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gregor MORAWETZ, MBA. als Vorsitzenden und die fachkundige Laienrichterin Mag.a Huberta MAITZ-STRASSNIG und den fachkundigen Laienrichter MMag. Jakob KALINA über die Beschwerden des XXXX , vertreten durch die Schönherr Rechtsanwälte GmbH, 1010 Wien, gegen Spruchpunkt 2a des Bescheids der Datenschutzbehörde vom 28.10.2024 XXXX in nicht öffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit verfahrenseinleitender Eingabe vom 11.08.2021 wurde eine Datenschutzbeschwerde bei der Datenschutzbehörde (idF „belangte Behörde“ oder „DSB“) eingebracht und zusammengefasst vorgebracht, dass die XXXX auf ihrer Website einen Cookie-Banner verwende, der gegen Datenschutzbestimmungen verstoße. Die belangte Behörde möge den Sachverhalt untersuchen, die Beschwerdeführerin anweisen, die in Rede stehenden Daten zu löschen und die unzulässige Datenverarbeitung einzustellen. Zusätzlich wurde angeregt, eine angemessene Strafe iSd. DSGVO zu verhängen.
2. Nachdem die XXXX mit Schriftsatz vom 10.07.2023 darauf hinwies, dass sie nicht für die Datenverarbeitung verantwortlich sei, richtete sich die Beschwerde gegen die nunmehrige Beschwerdeführerin.
3. Mit Stellungnahme vom 04.09.2023 führte die Beschwerdeführerin aus, dass die Änderung des Beschwerdegegners wegen Präklusion unzulässig sei, keiner der Anträge in der Datenschutzbeschwerde rechtmäßig ausgeführt worden sei und der Sachverhalt nicht präzise ausgeführt worden sei. Die begehrte Überprüfung bestimmter Datensätze – die teilweise mehrere Tausend Zeilen enthielten – sei unzumutbar. Darüber hinaus sei ein Großteil der gesetzten Cookies von einer Domain, mit der sie keine Kooperation hätte.
4. Mit Stellungnahme vom 08.11.2023 widersprach der Erheber der Datenschutzbeschwerde den Ausführungen der Beschwerdeführerin und führte ergänzend aus, dass es hinsichtlich des Cookie-Banners keine Ablehn-Option auf erster Ebene gegeben habe, unklar bleibe, ob die Beschwerdeführerin die in Rede stehenden Daten auf Basis berechtigter Interessen verarbeite und, dass die Einwilligung in die Datenverarbeitung um ein Vielfaches einfacher bzw. komfortabler sei, als das Widerrufen der Einwilligung.
5. Mit Schreiben vom 28.03.2024 nahm die Beschwerdeführerin Stellung und führte zusammengefasst aus, dass online deutlich angeführt werde, wer als Verantwortlicher iSd DSGVO anzusehen sei. In der Datenschutzbeschwerde sei explizit eine andere datenverarbeitende Stelle als Beschwerdegegner genannt und somit eine eindeutige Parteierklärung abgegeben. Dem Löschungsantrag sei mittlerweile entsprochen worden, weshalb sich der dahingehende Antrag erübrigt habe und ein fortgesetzter Rechtsverstoß liege ebenso wenig vor.
6. Mit Stellungnahme vom 17.04.2024 führte der Erheber der Datenschutzbeschwerde im Wesentlichen jene Punkte aus, die er in seinen vorherigen Stellungnahmen darlegte.
7. Mit 02.08.2024 forderte die belangte Behörde die Beschwerdeführerin zur Stellungnahme auf, um näher beschriebene Fragen zur Setzung von Cookies zu beantworten.
8 Mit Stellungnahme der Beschwerdeführerin vom 16.08.2024 verwies diese auf ihre Stellungnahmen vom 04.09.2023 sowie 28.03.2024 und führte bezüglich der Fragen der belangten Behörde aus, dass das gesamte Design der Website in blau-weiß gehalten sei und somit auch der Cookie-Banner samt Schaltfläche zur Zustimmung. Näher bezeichnete Cookies würden aufgrund der gesetzlichen Verpflichtung der Beschwerdeführerin zur Reichweitenmessung verarbeitet und würden daher die Ansprüche des Art. 6 Abs. 1 lit c und e DSGVO erfüllen. Insgesamt habe die Beschwerdeführerin eine Ablehn-Schaltfläche auf erster Ebene des Cookie-Banners integriert, verarbeite keine Cookies auf Basis „berechtigter Interessen“ und sei ein einfacher Widerrufsmechanismus über die Schaltfläche „Datenschutzerklärung“ eingerichtet.
9. Mit 29.08.2024 nahm der Erheber der Datenschutzbeschwerde Stellung, widersprach den Darstellungen der Beschwerdeführerin hinsichtlich der Farbkomposition der Website, führte aus, dass Tracking-Cookies nicht die einzige Möglichkeit seien, um Reichweite feststellen zu können und legte dar, dass die Beschwerdeführerin Daten auch auf Basis berechtigter Interessen verarbeite und, dass der Widerruf einer Einwilligung in die Datenverarbeitung komplizierter sei, als die Einwilligung.
10. Mit verfahrensgegenständlichem Bescheid vom 28.10.2024 wurde die Datenschutzbeschwerde abgewiesen (Spruchpunkt I), der nunmehrigen Beschwerdeführerin amtswegig aufgetragen binnen einer Frist von sechs Wochen das Cookie-Banner derart abzuändern, dass der betroffenen Person auf der ersten Ebene des Cookie Banners eine gleichwertige Wahlmöglichkeit zwischen „Alle Cookies akzeptieren“ und „Nur notwendige Cookies“ geboten werde, wobei die visuelle Gestaltung gleichwertig zu sein hat und aufgetragen, die Website „ XXXX derart abzuändern, sodass die Cookies „ioam2018“, „i00“, „UserID1“ und „autouserid2“ vor der Abgabe einer Einwilligung nicht gesetzt werden (Spruchpunkt II).
Begründend führte die belangte Behörde einleitend aus, dass Datenverarbeitungen sowohl in den Anwendungsbereich der e-Datenschutz-RL bzw. des TKG 2001, als auch in den Anwendungsbereich der DSGVO fallen können. Eine Präklusion sei nicht eingetreten, da der tatsächliche Verantwortliche nicht auf Basis der zur Verfügung stehenden Informationen festgestellt habe werden können. Insofern sei die konkrete Bezeichnung der nunmehrigen Beschwerdeführerin zu einem späteren Zeitpunkt nicht schädlich. Aus der Rechtsprechung der belangten Behörde sowie des Bundesverwaltungsgerichts und nach Ansicht des Europäischen Datenschutzbeauftragen handle es sich bei Cookies um personenbezogene Daten iSd. DSGVO.
Eine zum Entscheidungszeitpunkt anhaltende Verarbeitung personenbezogener Daten (IP-Adresse und Cookie-Werte) habe nicht festgestellt werden können. Ein subjektives Recht auf Feststellung einer verspäteten Löschung sei der DSGVO fremd. Daraus folgend sei auch dem Antrag auf Anordnung, die unrechtmäßige Verarbeitung zu beenden, nicht mehr zu folgen gewesen.
Die Datenschutzbeschwerde sei abzuweisen gewesen, allerdings sei es der belangten Behörde möglich hinsichtlich der aktuell von der Website gesetzten Cookies Leistungsaufträge zu erteilen. Der Begriff der „personenbezogenen Daten“ sei grundsätzlich weit zu verstehen. Für die Beurteilung, wie das Cookie Banner und die Interaktionsmöglichkeiten zu verstehen sind, sei die Figur eines durchschnittlich informierten, aufmerksamen und verständigen Verbrauchers heranzuziehen. Die betroffene Person dürfe bezüglich ihrer Einwilligung weder unmittelbar noch subtil zur Abgabe einer Einwilligung gedrängt werden. Daraus folgend sei das von der Beschwerdeführerin zum Entscheidungszeitpunkt genutzte Cookie-Banner, dessen Schaltfläche „Alle Cookies akzeptieren“ viel prominenter hervorgehoben werde als die restlichen Schaltflächen, als missverständlich anzusehen. Es könne daher von keiner unmissverständlichen Willenserklärung hinsichtlich der Datenverarbeitung ausgegangen werden. Eine derartige Gestaltung der Einwilligung in die Datenverarbeitung entspräche nicht dem Grundsatz von Treu und Glauben iSd. DSGVO. Das Setzen der im Spruch genannten Cookies sei unzulässig, da das Setzen technisch nicht notwendiger Cookies nicht aufgrund einer gesetzlichen Grundlage, sondern lediglich aufgrund einer Einwilligung der betroffenen Person erfolgen könne; die Cookies dienten vielmehr der Erkennung des Nutzers und der Verfolgung seiner Interessen auf der Website der Beschwerdeführerin. Diese Cookies dürften daher vor Abgabe einer Einwilligung nicht zum Einsatz kommen.
11. Mit Schreiben vom 25.11.2024 brachte der Erheber der Datenschutzbeschwerde eine gegen Spruchpunkt 1 des verfahrensgegenständlichen Bescheids gerichtete Bescheidbeschwerde ein.
12. Ebenfalls mit Schreiben vom 25.11.2024 brachte die Beschwerdeführerin eine ausschließlich gegen Spruchpunkt 2a gerichtete Beschwerde ein und führte zusammengefasst aus, dass die Behörde im gegenständlichen Verfahren ihre Zuständigkeit überschritten habe, indem sie eine amtswegige Entscheidung getroffen habe, ohne die Beschwerdeführerin über ihre dahingehende Absicht zu unterrichten. Zudem hätte eine Gegenpartei im amtswegigen Verfahren eben keine Parteistellung und damit auch kein Recht auf Akteneinsicht, etc. und wäre die Waffengleichheit verletzt, da sich der Zweitbeschwerdeführer nun zwei Gegenparteien gegenübersehe – dem Erstbeschwerdeführer und der belangten Behörde. Die Feststellungen der Behörde hinsichtlich der visuellen Ausgestaltung des Cookie-Banners sei der Beschwerdeführerin nie vorgehalten worden und gäbe es diesbezüglich keine zwingenden Vorschriften.
13. Mit Parteiengehör vom 05.03.2026 wurde es der Beschwerdeführerin freigestellt zu den Rechercheergebnissen der belangten Behörde im verwaltungsbehördlichen Verfahren Stellung zu nehmen.
Mit Schriftsatz vom 23.03.2026 führte diese zusammengefasst aus, dass die DSGVO keine zwingenden Vorschriften zur konkreten Gestaltung von Online-Auftritten bzw. Cookie-Bannern vorsehe. Eine solche Interpretation lasse sich auch nicht der Rechtsprechung des EuGH oder den Stellungnahmen des Europäischen Datenschutzausschusses entnehmen. Darüber hinaus sei die Analyse einer Webseite nicht geeignet die Ansichten der belangten Behörde zu untermauern, sondern hätte vielmehr ein Sachverständigenbeweis eingeholt werden müssen.
II. Das Bundesverwaltungsgericht hat erwogen:
1.1. Zum Zeitpunkt der hg. Entscheidung gestaltet sich der Cookie-Banner der Website der Beschwerdeführerin derart, dass sich bei deren Aufruf ein Pop-Up Fenster öffnet, das schwarze Schrift auf hellgrauem Grund zeigt. Folgender Text wird zur Nutzer-Information angezeigt:
„Liebe XXXX -Nutzerin, lieber XXXX -Nutzer!
Wir freuen uns über Ihren Besuch auf XXXX . Ihre Privatsphäre ist uns ein besonderes Anliegen. Deshalb informieren wir Sie über mögliche Datenschutzeinstellungen, die Sie für unser Angebot und unsere 41 Partner nachfolgend treffen können.
Diese Seite verwendet Cookies. Diese dienen dazu, die Funktionalität dieser Website zu gewährleisten und die Nutzung der Website zu analysieren. Weiters speichern unsere Partner und wir Informationen auf einem Gerät oder rufen diese ab, führen Anzeigen- und Inhaltsmessungen durch und verwenden dazu optionale Cookies, Geräteerkennungen und andere Gerätedaten sowie andere personenbezogene Daten (z. B. IP-Adresse), um unsere Werbeaktivität zu unterstützen. Ihre Einwilligung können Sie jederzeit hier widerrufen.
Wir und unsere Partner führen die folgenden Datenverarbeitungsprozesse durch:
Notwendige Cookies, Personalisierte Werbung und Inhalte, Messung von Werbeleistung und der Performance von Inhalten, Zielgruppenforschung sowie Entwicklung und Verbesserung von Angeboten, Speichern von oder Zugriff auf Informationen auf einem Endgerät“
Darunter befinden sich drei Schaltflächen: „Cookie-Präferenzen“, „Nur notwendige Cookies“ und „Alle Cookies akzeptieren“. Während die ersten beiden Schaltflächen eine blaue Schrift auf weißem Grund zeigen, zeigt die Schaltfläche „Alle Cookies akzeptieren“ eine weiße Schrift auf blauem Grund und sticht dadurch farblich hervor. Die Schaltflächen sind alle gleich groß; abgesehen von der farblichen Komponente unterscheiden sich die Flächen nicht. Der Cookie-Banner wurde seit der gegenständlichen verwaltungsbehördlichen Entscheidung nicht geändert.
Es ist Nutzern ohne Auswahl einer der Optionen nicht möglich auf der Website zu navigieren.
Die Feststellungen zum Pop-Up-Fenster, das Besuchern der Website XXXX beim erstmaligen Aufruf angezeigt wird, basiert zum einen auf dem von der belangten Behörde festgestellten Sachverhalt und zum anderen auf einer gerichtlichen Nachschau im Internet. Die belangte Behörde begutachtete im Zuge ihrer Entscheidung sowohl das ursprüngliche Cookie-Banner (Zeitpunkt der Erhebung der Datenschutzbeschwerde) als auch das zwischenzeitlich angepasste (Entscheidungszeitpunkt der Behörde). Seit der Entscheidung durch die belangte Behörde hat sich das Cookie-Banner nicht mehr verändert.
Zu A)
Mittels Cookies lassen sich Informationen sammeln, die von einer Website generiert und über den Browser eines Internetnutzers gespeichert wurden. Es handelt sich um eine kleine Datei- oder Textinformation (in der Regel kleiner als ein Kbyte), die von einer Website über den Browser eines Internetnutzers auf der Festplatte seines Computers oder mobilen Endgeräts platziert wird.
Ein Cookie erlaubt es der Website, sich an die Aktionen oder Vorlieben des Nutzers zu „erinnern“. Die meisten Webbrowser unterstützen Cookies, aber die Nutzer können ihre Browser so einstellen, dass sie die Cookies abweisen. Sie können die Cookies auch jederzeit löschen.
Websites nutzen Cookies, um Nutzer zu identifizieren, sich die Vorlieben ihrer Kunden zu merken und es den Nutzern zu ermöglichen, Aufgaben abzuschließen, ohne Informationen neu eingeben zu müssen, wenn sie zu einer anderen Seite wechseln oder die Website später erneut besuchen.
Cookies können auch genutzt werden, um anhand des Online-Verhaltens Informationen für gezielte Werbung und Vermarktung zu sammeln. Unternehmen verwenden zum Beispiel Software, um das Nutzerverhalten nachzuverfolgen und persönliche Profile zu erstellen, die es ermöglichen, den Nutzern Werbung zu zeigen, die auf ihre zuvor durchgeführten Suchvorgänge zugeschnitten ist. (vgl. Schlussanträge des Generalanwalts Maciej Szpunar vom 21.03.2019 zu EuGH RS C-673/17 [Planet49 GmbH])
Dass es sich bei den verfahrensgegenständlichen Cookies um personenbezogene Daten iSd. DSGVO handelt ist unbestritten; die gegenständlichen Cookies enthalten einzigartige Kennnummern und wurden auf dem Endgerät bzw. im Browser des Erstbeschwerdeführers abgelegt. Mit diesen Kennungen war es möglich, Website-Besucher zu unterscheiden und auch die Information zu erhalten, ob es sich um einen neuen oder um einen wiederkehrenden Website-Besucher handelt. Ohne diese Kennnummern ist eine Unterscheidung von Website-Besuchern nicht möglich. In diesem Zusammenhang ist festzuhalten, dass alle Datensätze, die Identifizierungsmerkmale enthalten, mit denen Nutzern ausgesondert werden können, nach der DSGVO als personenbezogene Daten gelten. Schon aus der Kombination der übermittelten Informationen beim Aufruf einer Website wie z.B. Online-Kennungen, IP-Adresse, Informationen zum Browser, Betriebssystem, Bildschirmauflösung, Sprachauswahl usw., kann ein „digitaler Fußabdruck“ generiert werden, der es erlaubt, das Endgerät und in weiterer Folge Nutzer eindeutig zu individualisieren.
Die DSGVO ist damit anwendbar.
3.1.2. Wenn das Verwaltungsgericht in der Sache selbst entscheidet, hat es seine Entscheidung an der zum Zeitpunkt seiner Entscheidung maßgeblichen Sach- und Rechtslage auszurichten; allfällige Änderungen des maßgeblichen Sachverhalts und der Rechtslage sind also zu berücksichtigen. Mit der Zuständigkeit und der prinzipiellen Verpflichtung zur Entscheidung in der Sache selbst ist eine volle Tatsachenkognition der Verwaltungsgerichte verbunden. (vgl. VwGH 08.10.2025, Ra 2025/02/0167 mwN.)
3.1.3. Die verfahrensgegenständliche Bescheidbeschwerde richtet sich offenkundig nur gegen Spruchpunkt 2a des Bescheids der belangten Behörde. Verfahrensgegenständlich ist sohin nur mehr die Frage, ob die Anordnung der Behörde, das Cookie-Banner nach bestimmten Vorgaben neu zu gestalten, rechtmäßig ist oder nicht.
3.2. Zur Zuständigkeit der belangten Behörde:
3.2.1. Die Beschwerdeführerin führt zusammengefasst aus, dass die belangte Behörde im Zuge der Bescheiderlassung ihre Zuständigkeit überschritten habe. Das Verfahren sei als antragsgebundenes Verfahren aufgrund einer Datenschutzbeschwerde eingeleitet worden, weshalb eine schlussendlich amtswegige Entscheidung unzulässig und überraschend sei. Der Beschwerdeführerin sei keine Gelegenheit zur Stellungnahme eingeräumt worden. Zudem sei das Recht auf Waffengleichheit verletzt worden, da sich die Beschwerdeführerin bei einem antragsgebundenen Verfahren, das in eine amtswegige Entscheidung übergeht gleich zwei Verfahrensgegnern gegenübersähe. Das gegenständliche Vorgehen sei mit der Rolle einer unparteiischen Behörde im kontradiktorischen Verfahren unvereinbar.
3.2.2. Soweit die Beschwerdeführerin darlegt, dass die belangte Behörde mit einem amtswegigen Auftrag zur Anpassung des Cookie-Banners in Anschluss an ein Verfahren, das durch einen Parteiantrag eingeleitet wurde, unzulässig vorgegangen wäre, kann ihr dahingehend nicht gefolgt werden.
Wie sie richtig darlegt, hat das Bundesverwaltungsgericht bereits ausgeführt, dass der DSGVO nicht entnehmbar sei, dass die Befugnisse der belangten Behörde in dieser Hinsicht beschränkt seien. Die belangte Behörde verfügt gem. Art. 58 Abs. 2 lit d DSGVO über die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Art. 58 DSGVO normiert in den Absätzen eins bis drei einen umfassenden Katalog an Untersuchungs-, Abhilfe- sowie Genehmigungs- und Beratungsbefugnissen. Diese Befugnisse ergeben sich unmittelbar aus der DSGVO und mussten daher von den Mitgliedstaaten nicht gesondert umgesetzt werden. Die Aufsichtsbehörde kann aus eigener Initiative, auf Anfrage des Verantwortlichen, Auftragsverarbeiters oder Vertreters, auf Beschwerde eines potenziell Betroffenen oder auf Ersuchen einer anderen (Aufsichts-)Behörde tätig werden. Prinzipiell kann jede Abweichung von der DSGVO Anlass für eine Anweisung sein. Wie die belangte Behörde im angefochtenen Bescheid zutreffend ausgeführt hat, ist es zulässig, dass die belangte Behörde auch in einem Beschwerdeverfahren gemäß Art. 77 DSGVO von ihren in Art. 58 Abs. 2 DSGVO normierten Befugnissen amtswegig Gebrauch macht. (vgl. BVwG 16.11.2022, W274 2237056-1; BVwG 31.07.2024, W108 2284491-1)
Der EuGH unterscheidet in seiner Rechtsprechung zu Art. 58 Abs. 2 DSGVO zwischen solchen Abhilfemaßnahmen die von Amts wegen ergriffen werden können und solchen, die nur auf Antrag der betroffenen Person auf Ausübung ihrer Rechte aus dieser Verordnung hin ergriffen werden können. Insofern ist davon auszugehen, dass die Aufsichtsbehörde eines Mitgliedstaats die Abhilfebefugnisse nach Art. 58 Abs. 2 DSGVO, insbesondere die dort in den Buchst. d und g genannten Befugnisse, von Amts wegen ausüben darf, soweit die Ausübung dieser Befugnisse von Amts wegen erforderlich ist, damit sie ihre Aufgabe erfüllen kann. Ist also diese Behörde am Ende ihrer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen, und zwar unabhängig davon, ob die betroffene Person zuvor einen Antrag auf Ausübung ihrer Rechte nach Art. 17 Abs. 1 DSGVO gestellt hat. (vgl. EuGH 14.03.2024, RS C-46/23, Rz 25 ff)
3.2.3. Die Beschwerdeführerin verweist somit auf Entscheidungen, wonach eine amtswegige Auftragserteilung nach Durchführung eines auf einen Parteiantrag hin erfolgten Verfahrens zulässig sei, führt aber aus, dass das Vorgehen der Behörde im gegenständlichen Sachverhalt dennoch unzulässig gewesen sei. Konkrete Ausführungen, weshalb das Vorgehen der belangten Behörde unzulässig sei bleiben jedoch aus bzw. erschöpfen sich in allgemeinen Ausführungen zum Verfahrensrecht. Am Rande sei erwähnt, dass dem Argument der fehlenden Verfahrensinformation vor dem Hintergrund des gegenständlichen verwaltungsgerichtlichen Verfahrens, in dem der Beschwerdeführerin die Gelegenheit zur Stellungnahme gegeben wurde, nicht gefolgt werden kann.
Soweit die Beschwerdeführerin in ihrer Beschwerde darlegt, dass das Vorgehen der belangten Behörde nicht mit der Rolle einer unparteiischen Behörde in einem kontradiktorischen Verfahren vereinbar sei, erschließt sich dem erkennenden Senat nicht, inwiefern es einen Unterschied machen sollte, wenn die Behörde das kontradiktorische Verfahren beendet und gleichzeitig ein praktisch identes (amtswegiges) Verfahren neu einleitet.
Mit Blick auf das oben zitierte Urteil des EuGH (RS C-46/23) geht es gegenständlich um eine behördliche Anordnung nach Art. 58 Abs. 2 lit. d DSGVO und eben nicht um einen Auftrag, der nur auf Basis eines Parteiverfahrens erteilt werden kann.
3.2.4. Der gegenständliche Sachverhalt unterscheidet sich insbesondere von jenem, der der von der Beschwerdeführerin zitierten Entscheidung des BVwG zu W274 2237056-1 zugrunde lag. In der zitierten Entscheidung wurde jener Spruchpunkt der belangten Behörde, mit dem die Anpassung eines Cookie-Banners aufgetragen wurde ersatzlos behoben. Grund dafür war jedoch nicht der Umstand, dass die Behörde eine amtswegige Entscheidung auf Basis eines Beschwerdeverfahrens nach § 24 DSG traf, sondern der Umstand, dass Ermittlungsergebnisse der betroffenen Partei nicht zur Stellungnahme vorgehalten wurden. Eben dies ist im gegenständlichen Verfahren jedoch passiert. Wie die Beschwerdeführerin in ihrer Bescheidbeschwerde unter der Überschrift „Sachverhalt und Verfahrensgang“ ausführt, wurde sie von der belangten Behörde aufgefordert darzulegen, warum das verwendete Cookie-Banner den Button „Alle Cookies akzeptieren“ visuell kontrastreich hervorhebt. Die Beschwerdeführerin nahm diesbezüglich auch Stellung. Im Rahmen des verfahrensgegenständlichen Bescheids wurde sodann auf die farbliche Gestaltung des Banners eingegangen und auf Basis dessen der gegenständliche Spruch formuliert.
3.2.5. Insgesamt ist sohin nicht erkennbar, inwiefern die Beschwerdeführerin in Verfahrensrechten verletzt worden sein soll. Lediglich am Rande sei mit Blick auf das Argument der Beschwerdeführerin, dass sie sich im Falle einer amtswegigen Entscheidung gleich zwei Verfahrensgegnern gegenüber sähe darauf hingewiesen, dass die ursprüngliche Datenschutzbeschwerde abgewiesen wurde und eine fehlende Unparteilichkeit der Behörde nicht erkannt werden kann.
3.3. Zum Auftrag das Cookie-Banner anzupassen:
3.3.1. Die belangte Behörde trug der Beschwerdeführerin in Spruchpunkt 2a des verfahrensgegenständlichen Bescheids auf, das Ersuchen um Einwilligung in die Datenverarbeitung beim Besuch der Website XXXX derart abzuändern, dass eine gültige Einwilligung für die Verarbeitung personenbezogener Daten eingeholt werde. Hierfür habe die Beschwerdeführerin das Cookie-Banner jedenfalls derart abzuändern, dass der betroffenen Person auf der ersten Ebene des Cookie-Banners eine gleichwertige Wahlmöglichkeit zwischen „Alle Cookies akzeptieren“ und „Nur notwendige Cookies“ geboten werde. Dabei sei sicherzustellen, dass beide Auswahlmöglichkeiten hinsichtlich visueller Gestaltung, einschließlich Farbe, Größe, Kontrast, Platzierung und Hervorhebung, gleichwertig gestaltet sind. Es sei unzulässig, eine der Auswahlmöglichkeiten durch ein übermäßig auffälliges Design, wie eine bevorzugte Farbgebung, eine größere Schriftgröße oder eine prominentere Platzierung, in den Vordergrund zu stellen.
Die Beschwerdeführerin bringt dagegen im Wesentlichen vor, dass sich die Behörde zum einen auf Rechtsgrundlagen stütze, die keine Vorschriften zur Ausgestaltung von Cookie-Bannern enthielten und zum anderen auf Grundlagen, die nicht rechtsverbindlich seien.
Konkret ist daher zu prüfen, ob in Anbetracht des Cookie-Banners eine ordnungsgemäße Einwilligung zur Datenverarbeitung iSd. DSGVO erfolgen kann.
3.3.2. Wie die belangte Behörde zutreffend festhält (und von der Beschwerdeführerin auch nicht in Abrede gestellt wurde), ist für die Beurteilung, wie das Cookie-Banner und die Interaktionsmöglichkeiten zu verstehen sind, die Figur eines durchschnittlich informierten, aufmerksamen und verständigen Verbrauchers heranzuziehen. (vgl. EuGH 16.07.1998, C-210/96 [Gut Springenheide GmbH] Rz 37; BVwG 13.12.2022, W214 2234934-1; Artikel 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung gemäß Verordnung 2016/67, WP259 rev.01, 17/DE, S. 16; Greve in Sydow, Kommentar Art. 12 Rz 11; Illibauer in Knyrim, DatKomm Art. 12 Rz 39; in Bezug auf das DSG 2000 auch Jahnel, Handbuch Rz 7/22 mwN)
3.3.3. Unter „Einwilligung“ iSd. Art. 4 Z 11 DSGVO ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung zu verstehen, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Gem. Art. 6 Abs. 1 lit. a DSGVO ist eine Datenverarbeitung ua. dann zulässig, wenn die betroffene Person ihre Einwilligung zur Datenverarbeitung gegeben hat. Gem. Art 7 Abs 1 DSGVO hat der Verantwortliche bei Datenverarbeitungen, die auf einer Einwilligung beruhen, nachzuweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
Die Einwilligung der betroffenen Person als Rechtsgrund für die zulässige Verarbeitung von personenbezogenen Daten ist Ausdruck der datenschutzrechtlichen privatautonomen Selbstbestimmung der betroffenen Person, die damit über das „ob“ und „wie“ der Datenverarbeitung entscheidet. Die Erteilung der Einwilligung (ausgehend vom Grundrecht auf Datenschutz) ist in Österreich bislang als Ausübung eines höchstpersönlichen (vertretungsfeindlichen) Rechts qualifiziert worden. (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 20 (Stand 1.10.2025, rdb.at))
Die zentralen Wirksamkeitsvoraussetzungen der Einwilligung im Sinne der DSGVO sind Freiwilligkeit, Bestimmtheit, Informiertheit und Einwilligungsbewusstsein. (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 114 (Stand 1.12.2018))
Eine Einwilligung soll durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. (ErwGr 32)
Klar erkennbares und eindeutiges Ziel des Art 7 DSGVO in Zusammenschau mit den dazugehörigen Erwägungsgründen ist, dass eine betroffene Person nicht versehentlich in die Verarbeitung personenbezogener Daten einwilligt. (vgl hier in Bezug auf Art 7 Abs 2 DSGVO: Kastelitz in Knyrim, DatKomm Art 7 DSGVO Rz 17 (Stand 7.5.2020, rdb.at)) Dass dies nicht nur für Fälle des Art 7 Abs 2 DSGVO gilt, zeigt sich allerdings anhand der weiteren vom Verordnungsgeber gewählten Formulierungen bzw. Anforderungen an eine Einwilligung, wonach diese in informierter Weise, unmissverständlich und eindeutig abgegeben werden muss (vgl ErwGr 32 DSGVO), sowie am Transparenzgrundsatz des Art 5 Abs 1 lit a DSGVO, der die Transparenz bereits bei der Erhebung von Daten vorschreibt. (vgl ErwGr 39, Satz 2 DSGVO)
3.3.4. Wie festgestellt, ist das Cookie-Banner samt Einwilligungsersuchen der Beschwerdeführerin derart ausgestaltet, dass der Button „Alle Cookies akzeptieren“ kontrastreich hervorgehoben ist. Der Ablehnungsmöglichkeit ist hingegen in einem geringen Kontrast (weiß auf hellgrauem Hintergrund) gehalten; die Button „Cookie Präferenzen“ und „Nur notwendige Cookies“ stellen sich im Vergleich dazu auffallend in den Hintergrund. Zwar ist der Beschwerdeführerin dahingehend zuzustimmen, dass die Schrift der jeweiligen Button gut zu lesen ist, mit Blick auf das gesamte Cookie-Banner kann jedoch nicht vernünftigerweise behauptet werden, dass der Button „Alle Cookies akzeptieren“ nicht durch seine farbliche Gestaltung hervorstechen würde.
Vielmehr ist anhand der Ausgestaltung des Einwilligungsbuttons anzunehmen, dass Nutzer unbedacht das Cookie-Banner bloß schließen wollen, schließlich ist es ohne Interaktion mit dem Banner nicht möglich auf der Website zu navigieren. Es kann damit nicht mehr mit hinreichender Sicherheit gesagt werden, ob Nutzer tatsächlich in die Erhebung personenbezogener Daten einwilligen oder lediglich den Weg des geringsten Widerstands wählen um die Inhalte der Webseite zu nutzen. Insofern lenkt das von der Beschwerdeführerin konkret verwendete Design Websitebesucher klar in Richtung der Einwilligung (auch „nudging“ genannt). Dadurch ist die von der Beschwerdeführerin behauptete „Einwilligung“ aber nicht mehr unmissverständlich iSd ErwGr 32 DSGVO. Darüber hinaus widerspricht ein Design, welches Nutzer zu einer datenschutzrechtlich invasiveren Option lenkt, dem Grundsatz der Transparenz.
Der Argumentation der Beschwerdeführerin, wonach die einschlägigen datenschutzrechtlichen Normen keine bestimmte Ausgestaltung von Cookie-Bannern vorschreiben würden und das verfahrensgegenständliche Banner daher zulässig sei, kann nicht gefolgt werden. Dass es konkrete Vorschriften zur Gestaltung eines Online-Auftritts gäbe, hat die belangte Behörde auch nie behauptet. Ein solches Verständnis ist aber auch nicht der von der Beschwerdeführerin zitierten EuGH-Rechtsprechung zu RS C-249/21 zu entnehmen. Der EuGH hält diesbezüglich zwar fest, dass die Ausgestaltung von Bestellvorgängen im Internet mangels konkreter Vorgaben den einzelnen Unternehmen überlassen ist. Dennoch sind Unternehmen an bestimmte Grundsätze gebunden. (vgl. EuGH 07.04.2022, RS C-249/21 [Fuhrmann-2-GmbH] Rz 27)
Es wäre lebensfremd, jegliche zulässige oder unzulässige Form einer Einwilligung in Datenverarbeitungen konkret vorzuschreiben. Der belangten Behörde ist daher in ihrer Vorgehensweise – Auslegung der DSGVO durch Rechtsprechung, Heranziehung von Literatur und der Erwägungsgründe und Heranziehung nicht bindender Stellungnahmen der Europäischen Datenschutzkommission – und in ihrem Ergebnis, dass keine gültige Einwilligung vorliegt, zuzustimmen. Die Beschwerdeführerin verkennt, dass es nicht um gesetzliche Vorschriften zum visuellen Online-Auftritt oder dem Cookie-Banner geht, sondern um die Frage, ob die Einwilligung in die Datenverarbeitung vor dem Hintergrund der farblichen Komposition des Cookie-Banners, das eindeutig die Einwilligung in die Datenverarbeitung optisch hervorhebt, noch als „freiwillig“ iSd. DSGVO angesehen werden kann.
Soweit die Beschwerdeführerin vorbringt, dass die farbliche Komposition irrelevant sei und diesbezüglich auch auf eine Stellungnahme des Europäischen Datenschutzausschusses verweist (Report oft he work undertaken by the Cookie Banner Taskforce, 17.01.2023), ist festzuhalten, dass eben dort festgehalten wird, dass die Farbkomposition sehr wohl eine Rolle spielt. Zwar könne Unternehmen keine konkrete Ausgestaltung ihres Online-Auftritts bzw. der Cookie-Banner vorgeschrieben werden, es sei allerdings davon auszugehen, dass Button zur Einwilligung oder Ablehnung von Datenverarbeitungen unzulässig sind, wenn die Schrift aufgrund mangelnder Kontraste praktisch unleserlich sind. Insofern ist die visuelle Gestaltung auch ohne konkreter Vorschriften relevant bei der Beurteilung, ob eine unbeeinflusste Einwilligung vorliegt.
Der Leistungsauftrag der belangten Behörde wurde mit Blick auf die ihr durch Art. 58 DSGVO eingeräumten Befugnisse zu Recht erteilt. Dass die Behörde eine solche Befugnis nicht habe, wurde darüber hinaus nicht behauptet.
3.3.5. Soweit die Beschwerdeführerin vorbringt, dass ihr die Ergebnisse der belangten Behörde zur farblichen Gestaltung des Cookie-Banners und der damit einhergehenden Kontrast-Werte nicht zur Stellungnahme vorgehalten worden wären, ist zum einen darauf hinzuweisen, dass es sich dabei lediglich um eine in Zahlen gegossene Beschreibung des Problems handelt – einer Methode, der sich die Beschwerdeführerin im Zuge ihrer Stellungnahme vom 23.03.2026 im Übrigen selbst bedient. Zum anderen wurde der Beschwerdeführerin durchaus die Gelegenheit gegeben dazu Stellung zu nehmen, warum der Button „Alle Cookies akzeptieren“ farblich anders gestaltet ist. Zudem wurde ihr im Rahmen des verwaltungsgerichtlichen Verfahrens Gelegenheit zur Stellungnahme gegeben und wurden dadurch allfällige Mängel im verwaltungsbehördlichen Verfahren saniert. (vgl. VwGH 20.12.2017, Ra 2017/03/0069; VwGH 27.02.2003, 2000/18/0040)
3.4. Es war daher spruchgemäß zu entscheiden.
3.5. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Gemäß der Rechtsprechung des EGMR zu Art. 6 EMRK, dessen Garantien nach Art. 47 Abs. 2 GRC auch im vorliegenden Fall Anwendung finden, kann eine mündliche Verhandlung unter bestimmten Voraussetzungen unterbleiben, etwa wenn der Fall auf der Grundlage der Akten und der schriftlichen Äußerungen der Parteien angemessen entschieden werden kann (EGMR 12.11.2002, 28.394/95, Döry vs. Schweden; 8.2.2005, 55.853/00, Miller vs. Schweden).
Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Aus der Aktenlage ergaben sich klar sämtliche zugrunde zu legenden Fakten, die für eine rechtliche Beurteilung der Rechtssache erforderliche gewesen sind. Das Bundesverwaltungsgericht hatte zudem ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; oder etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war daher gemäß § 24 Abs. 1 und Abs. 4 VwGVG abzusehen.
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage von grundsätzlicher Bedeutung abhängt. Es liegt bislang keine Rechtsprechung des VwGH vor, ob eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung iSd Art 7 DSGVO vorliegt, wenn der Verantwortliche einer Webseite im Cookie-Banner die Einwilligungsoption zur Verarbeitung von personenbezogenen Daten durch ihre Platzierung, farbliche Hervorhebung, ihr Kontrastverhältnis zum Hintergrund und die Wahl der Schriftgröße prominenter darstellt, als die Option zur Verweigerung dieser Einwilligung.
Soweit die Revision zugelassen wird, aber dennoch keine mündliche Verhandlung durchgeführt wurde ist festzuhalten, dass der Sachverhalt hinreichend geklärt und unstrittig ist. Die von den Parteien vorgebrachten rechtlichen Argumente wurden vom erkennenden Senat vor dem Hintergrund der bestehenden Rechtsprechung durch EuGH und VwGH umfassend gewürdigt und wäre in diesem Zusammenhang auch im Rahmen eines Rechtsgesprächs keine weitere Klärung zu erwarten gewesen.
Conecte o Omnilex para pesquisar o corpus jurídico pelo seu assistente de IA.