Cookies und DSGVO – Österreichisches Bundesverwaltungsgericht, Erkenntnis vom 13.09.24 – W298 2274626-1/8E

Am 13. September 2024 fällte das Bundesverwaltungsgericht (BVwG) in Wien ein bedeutendes Erkenntnis unter dem Aktenzeichen W298 2274626‑1/8E. Im Zentrum des Verfahrens stand die datenschutzrechtliche Zulässigkeit der Nutzung von Google reCAPTCHA auf einer politischen Website – insbesondere die Frage, ob der Einsatz ohne vorherige Einwilligung mit der Datenschutz-Grundverordnung (DSGVO) vereinbar ist.

Ausgangspunkt des Verfahrens war die Beschwerde eines Nutzers, der beim Aufruf einer Website einer politischen Partei ohne vorherige Zustimmung mit einem Google reCAPTCHA-Element konfrontiert wurde. Dabei wurde unter anderem ein Cookie mit der Bezeichnung _GRECAPTCHA gesetzt, und personenbezogene Daten wie IP-Adresse und Browserinformationen an Google übermittelt – ohne transparente Information oder Einwilligung. Der Nutzer wandte sich daraufhin an die Datenschutzbehörde, die in erster Instanz den Einsatz für problematisch hielt.

Das BVwG bestätigte in seinem Erkenntnis, dass es sich bei den übertragenen Daten eindeutig um personenbezogene Daten im Sinne der DSGVO handelt. Die Betreiber der Website seien als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO anzusehen, da sie über Zweck und Mittel der Datenverarbeitung bestimmten. Für diese Datenverarbeitung sei eine eindeutige rechtliche Grundlage notwendig – insbesondere, da es sich nicht um eine für den Betrieb der Website technisch notwendige Maßnahme handle.

Entscheidend war, dass das Gericht keine ausreichende Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. f DSGVO – also ein berechtigtes Interesse – anerkannt hat. Der Einsatz von reCAPTCHA sei zwar hilfreich, aber nicht zwingend notwendig, um die Funktionsfähigkeit oder Sicherheit der Website sicherzustellen. Es fehle daher die Voraussetzung für eine Interessenabwägung zugunsten des Website-Betreibers. Die Datenverarbeitung sei auch nicht durch eine anonymisierte Nutzung gedeckt, da das reCAPTCHA-Cookie personenbezogene Informationen verarbeitet.

Das Bundesverwaltungsgericht kam zu dem Schluss, dass die Einbindung von Google reCAPTCHA in dieser Form nur dann rechtmäßig ist, wenn zuvor eine ausdrückliche Einwilligung der Nutzer eingeholt wird – ein sogenanntes Opt-in. Eine bloße Information im Rahmen eines allgemeinen Cookie-Banners oder das schlichte Weitersurfen reicht hierfür nicht aus. Betreiber von Webseiten sind daher verpflichtet, ein wirksames Consent-Management-System zu implementieren, das den Anforderungen der DSGVO entspricht.

Das Erkenntnis hat weitreichende Bedeutung für alle Betreiber von Webseiten, die Google reCAPTCHA v3 oder ähnliche Dienste verwenden. Es stellt klar, dass selbst nützliche Sicherheitsfunktionen nicht pauschal als „berechtigtes Interesse“ gerechtfertigt werden können. Vielmehr ist eine individuelle Abwägung erforderlich – und im Zweifelsfall die Einwilligung der betroffenen Personen.

In der Praxis bedeutet das: reCAPTCHA darf erst nach Zustimmung durch den Nutzer geladen werden. Der Einsatz muss in der Datenschutzerklärung ausführlich beschrieben werden. Wer auf Nummer sicher gehen möchte, sollte außerdem prüfen, ob alternative Captcha-Lösungen mit lokalem Datenschutz-Fokus – etwa FriendlyCaptcha – verwendet werden können.

Das Erkenntnis des BVwG vom 13. September 2024 ist ein deutliches Signal in Richtung mehr Datenschutz und Nutzersouveränität im Netz. Es verdeutlicht, dass der Schutz personenbezogener Daten Vorrang hat – auch gegenüber Sicherheitsfunktionen, die ohne Zweifel einen Nutzen bieten, aber dennoch nicht auf Kosten der Grundrechte durchgesetzt werden dürfen.