Ein Urteil des österreichischen Bundesverwaltungsgerichts (BVwG) vom 13. August 2025 läutet eine neue Runde im langjährigen Streit um die Zulässigkeit sogenannter „Pay or Okay“- oder „Pur-Modelle“ beim DSGVO-konformen Einwilligungsmanagement auf Websites und in Apps ein.
Das Gericht erklärte die konkrete Umsetzung des Cookie-Banners der Tageszeitung Der Standard für rechtswidrig, da die pauschale Einwilligungsoption es den Webseitenbesuchern entgegen den Anforderungen aus der DSGVO an die Freiwilligkeit nicht ermögliche, in granularer Weise in verschiedene Verarbeitungszwecke (Werbung, Profiling, Analyse) einzuwilligen oder die Einwilligung zu verweigern.
Wichtig zu betonen ist, dass das BVwG nur die mangelnde Granularität in Bezug auf die Einwilligung bemängelte, jedoch nicht die verbreitete Praxis an sich für unvereinbar mit dem Freiwilligkeitserfordernis erklärte, bei welcher der kostenfreie Webseitenzugang von einer Einwilligung jedenfalls in das Setzen von Werbecookies abhängig gemacht wird. Diese auch als „Cookie Wall“ bezeichneten Lösungen findet man in Deutschland zum Beispiel auf spiegel.de.
Zur fehlenden Granularität der Einwilligung
Besucher der Webseite von Der Standard wurden vor die Wahl gestellt, entweder ein kostenpflichtiges Abonnement abzuschließen („Pay“) oder durch Klick auf einen „einverstanden“-Button der Datenverarbeitung für Werbe-, Profiling- und Analysezwecke gebündelt zuzustimmen („Okay“). Eine differenzierte Auswahl, welchen der verschiedenen Verarbeitungszwecken – für Webanalyse, personalisierte Werbung oder Social-Media-Plug-ins – man zustimmen möchte, gab es nicht.
Gegen diese Gestaltung des Cookie-Banners ging die vom Datenschutzaktivisten Max Schrems mitgegründete Datenschutz-Organisation NOYB vor.
Laut der Entscheidung des BVwG fehle es an der nötigen Granularität für eine wirksame Einwilligung. Dieses Erfordernis ergebe sich zum einen direkt aus dem Wortlaut der DSGVO, wonach die Einwilligung „für einen oder mehrere bestimmte Zwecke“ erteilt werden muss. Zudem sehe Erwägungsgrund 32 der DSGVO vor, dass bei mehreren Verarbeitungszwecken grundsätzlich einzelne Einwilligungen erforderlich sind. Nach Erwägungsgrund 43 liege keine freiwillige Einwilligung vor, wenn diese nur gebündelt abgefragt wird, obwohl eine gesonderte Abfrage „angebracht“ wäre.
Nach Ansicht des BVwG wären gesonderte Einwilligungen hier „angebracht“ gewesen, da laut Datenschutzerklärung unterschiedliche Zwecke (funktionale, Analyse- und Werbe-Cookies) verfolgt wurden. Diese Einschätzung entspreche auch den EDSA-Leitlinien zur Einwilligung und der EDSA-Stellungnahme 08/2024 zu „Consent or Pay“-Modellen, die eine freiwillige Einwilligung bei einer Bündelung verschiedener Zwecke ohne separate Auswahlmöglichkeit verneinen. Auch die deutsche Datenschutzkonferenz fordere für Pur-Abo-Modelle bei Zweckbündelung einen „sehr engen Zusammenhang“ der Zwecke. Dieser Zusammenhang habe vorliegend nicht in ausreichendem Maße bestanden.
Eine Pauschaleinwilligung als Gegenstück zu einem Bezahl-Abo stellt laut Gericht zudem keinen angemessenen Ausgleich der betroffenen Grundrechte dar (Datenschutz und unternehmerische Freiheit); insbesondere könne ein rein wirtschaftliches Interesse es nicht rechtfertigen, auf gesonderte Einwilligungen zu verzichten.
Medienprivileg der DSGVO greift nicht
Im Verfahren argumentierte Der Standard auch mit dem Medienprivileg der DSGVO, wonach die grundrechtlich geschützte journalistische Arbeit eine Abweichung von DSGVO-Regeln, etwa zur Einwilligung, erforderlich machen kann.
Das Gericht verneinte aber die Anwendbarkeit des Medienprivilegs, da mit dem Setzen etwa von Werbecookies oder solchen zur Einbindung von Social-Media-Plugins keine journalistischen Zwecke verfolgt würden, sondern vielmehr Werbeeinnahmen generiert bzw. personenbezogene Daten an Google oder Facebook übertragen werden sollten.
Ausblick und praktische Implikationen
Die Entscheidung ist noch nicht rechtskräftig; die Revision wurde zugelassen. NOYB hält es für wahrscheinlich, dass die nächste Instanz Fragen rund um die Wirksamkeit einer Einwilligung bei „Pay or Okay“-Modellen dem EuGH vorlegen würde.
Der Standard hat inzwischen angekündigt, die vom Gericht aufgestellten Anforderungen an die Granularität der Einwilligung umzusetzen, aber noch offengelassen, ob Rechtsmittel gegen das Urteil eingelegt werden.
Vor dem Hintergrund des österreichischen Urteils, des EDSAs sowie der deutschen Datenschutzkonferenz lässt sich Folgendes festhalten: Für die Zulässigkeit von „Pay or Okay“- bzw. Pur-Modellen, die eine kostenfreie Nutzung des Angebots von der Einwilligung in das Setzen von Werbecookies abhängig machen, ist es jedenfalls erforderlich, dass der Nutzer die Datenverarbeitung zu anderen Zwecken (etwa Profiling- und Analysezwecke) granular steuern und – ohne Nachteile bzgl. des Seitenzugangs – auch ablehnen kann.
Als Positivbeispiel wird im Urteil auf das Cookie-Banner von krone.at verwiesen, bei dem eine gesonderte Einwilligung bezüglich „Werbung (Zustimmung nötig)“ einerseits, „Webanalyse und Websiten-Optimierung“ sowie „Laden externer Resourcen (u.a. social embeds)“ möglich sei. Eine ähnliche Gestaltung findet sich bei Der Spiegel. Grundsätzlich sollte also eine Umsetzung des Urteils möglich sein, ohne die Finanzierung des Online-Angebots durch den Einsatz von nutzerspezifischer Werbung zu gefährden. Nach wie vor bleibt das Pur-Modell jedoch nur für Websites mit journalistischen Inhalten interessant.
(Dr. Lukas Mezger, UNVERZAGT Rechtsanwälte)