BVwG zu „Consent or Pay“ bei derStandard.at: Eine Einwilligung muss granular sein

Behörde: Bundesverwaltungsgericht (BVwG)
Datum: 13.08.2025
Geschäftszahl: W291 2272970‑1/30E; W291 2272971‑1/32E

Sachverhalt

Auf derStandard.at erschien (zumindest) beim Erstaufruf ein Cookie‑/Consent‑Banner („Mit Werbung weiterlesen“ vs. „PUR – ohne Werbung & Tracking“). Ein Klick auf „EINVERSTANDEN“ führte zu einer Gesamteinwilligung in Webanalyse und digitale/personalisierte Werbemaßnahmen; alternativ konnte ein PUR‑Abo (damals 8 €/Monat) abgeschlossen werden. Gleichzeitig wurden – laut vorgelegter HAR‑Datei – Daten an Dritte (u.a. doubleclick.net, facebook.com) übermittelt; es wurden auch TC‑Strings verwendet.

Die DSB stellte mit Bescheid vom 29.03.2023 fest, dass die Verantwortlichen (STANDARD Verlagsgesellschaft m.b.H., STANDARD Medien AG, velcom GmbH) gegen die Rechtmäßigkeit nach Art. 5 Abs. 1 lit. a DSGVO iVm Art. 6 Abs. 1 DSGVO verstoßen und damit auch das Recht auf Geheimhaltung nach § 1 DSG verletzten; sie erteilte außerdem einen Löschungsauftrag. Den Antrag des Betroffenen (vertreten durch noyb) auf Verarbeitungsverbot wies die DSB zurück.

Im Beschwerdeverfahren entschied das BVwG:

• Bestätigung der Rechtswidrigkeit der Verarbeitung (Spruchpunkt 1) – Beschwerden der Unternehmen abgewiesen.
  
  

• Löschungsauftrag aufgehoben, weil die betroffenen Cookie‑Werte/Browserdaten im Entscheidungszeitpunkt bereits gelöscht waren.
  
  

• Der Zurückweisungsbescheid zum beantragten Verarbeitungsverbot wurde ersatzlos behoben; die DSB muss das Verfahren fortsetzen und inhaltlich prüfen, ob ein Verarbeitungsverbot (Art. 58 Abs. 2 lit. f DSGVO) geeignet/erforderlich/verhältnismäßig ist.

Rechtliche Begründung

1) Einwilligung nur wirksam, wenn granular - dh zweckbezogen

Die Einwilligung war ein einziges Bündel für verschiedene Zwecke (Analyse/Optimierung, personalisierte Werbung, Social‑Plugins). Das widerspricht den Anforderungen aus Art. 6 Abs. 1 lit. a DSGVO und den Erwägungen zur Granularität (Erwägungsgründe 32, 43) sowie den EDSA‑Leitlinien 05/2020: Nutzer:innen müssen pro Zweck eine Wahl haben („purpose‑by‑purpose“).

Die EDSA‑Stellungnahme 08/2024 zu „Consent or Pay“ betont, dass eine Pauschaleinwilligung in diverse Zwecke (z.B. personalisierte Inhalte/Ads, Service‑Verbesserung, Messung) nicht datenschutzkonform ist. Genau das lag hier vor.

Auch aus EuGH „Planet49“ (C‑673/17) folgt, dass die Willensbekundung „für den konkreten Fall“ erfolgen und sich auf die jeweilige Verarbeitung beziehen muss. Das BVwG verwarf daher die „Generaleinwilligung“. Zudem halfen Hinweise auf Marktpräferenzen („Werbekund:innen wollen Personalisierung“) nicht – die DSGVO kennt dafür keinen Rechtsgrund.

Das Medienprivileg (§ 9 DSG) griff nicht: Die Cookie‑Setzung auf der Website erfolgte nicht „ausschließlich zu journalistischen Zwecken“. Für Social‑Plugins bejahte das BVwG im Einklang mit EuGH „Fashion ID“ (C‑40/17) eine Mitverantwortlichkeit; auch dafür hätte es separater Einwilligungen bedurft.

2) Löschungsauftrag – erledigt durch Zeitablauf

Da die konkret benannten Cookie‑Werte/Browserdaten bereits gelöscht waren, hob das BVwG den Spruchpunkt 2 (Löschungsauftrag) auf – der Auftrag sei gegenstandslos geworden.

3) Abhilfemaßnahmen müssen inhaltlich geprüft werden

Zur Frage, ob Betroffene ein subjektives Recht auf eine bestimmte Abhilfemaßnahme haben, verweist das Gericht auf EuGH C‑768/21: Die Aufsichtsbehörde hat Ermessen, muss aber einschreiten, wenn eine Maßnahme geeignet/erforderlich/verhältnismäßig ist. Folglich darf die DSB einen Antrag auf Verarbeitungsverbot nicht bloß formal zurückweisen, sondern muss inhaltlich prüfen und das Ermessen erkennbar ausüben.

Fazit

Das BVwG macht deutlich: „Consent or Pay“ ist kein Freibrief. Eine einzige Zustimmung für mehrere unabhängige Zwecke genügt nicht. Verantwortliche benötigen separate, informierte Einwilligungen pro Zweck (z.B. Werbung, Reichweitenmessung, Website‑Optimierung, Social‑Plugins). Die DSB muss bei Anträgen auf Verarbeitungsverbote künftig substanziell prüfen, ob zusätzliche Maßnahmen (bis hin zum Verbot) geboten sind – ein formales „kein subjektives Recht“ reicht nicht.

Schlussfolgerungen für Verantwortliche

• Banner umbauen: Bieten Sie echte Granularität – separate Opt‑ins je Zweck und ggf. je Drittanbieter. Keine „Alles‑oder‑PUR“-Pauschale. (vgl. Art. 6, Art. 5).
  
  

• Medienprivileg realistisch prüfen: Für Tracking/Ads/Plugins greift § 9 DSG regelmäßig nicht.
  
  

• Social‑Plugins & RTB: Gemeinsame Verantwortlichkeit mit klaren Rollen und eigenen Einwilligungen. 
  
  

• Dokumentation: Zweckkatalog klar trennen; Consent‑Logs je Zweck führen (Nachweis nach Art. 5 Abs. 2 DSGVO).
  
  

• Abhilfemaßnahmen bedenken: Nach Beschwerden kann – je nach Risiko/Wiederholungsgefahr – auch ein Verarbeitungsverbot in Betracht kommen; begründen Sie Alternativen (z.B. Zweckreduktion, Privacy‑by‑Design). (Art. 58 DSGVO).