Nach Ansicht des Generalanwalts beim EuGH Maciej Szpunar kann nur dann von einer wirksamen Einwilligung in das Setzen bzw. Auslesen von Cookies auf dem Endgerät des Nutzers ausgegangen werden, wenn der Nutzer im Vorhinein mittels des sog. Opt-In-Verfahrens und zudem informiert und gesondert hierin eingewilligt hat (Schlussanträge v. 21. März 2019 – Az.: C-673/17).
Nach Ansicht des Generalanwalts beim EuGH Maciej Szpunar kann nur dann von einer wirksamen Einwilligung in das Setzen bzw. Auslesen von Cookies auf dem Endgerät des Nutzers ausgegangen werden, wenn der Nutzer im Vorhinein mittels des sog. Opt-In-Verfahrens und zudem informiert und gesondert hierin eingewilligt hat (Schlussanträge v. 21. März 2019 – Az.: C-673/17). Sofern der EuGH sich dieser unverbindlichen Ansicht anschließen sollte, hätte dies weitreichende Konsequenzen für die praktische Gestaltung fast jeder Webseite.
Hintergrund des Verfahrens
Ausgangspunkt ist ein Revisionsverfahren des BGH, in dem der Verbraucherzentrale Bundesverband e.V. den Online-Gewinnspielveranstalter Planet49 wegen der Verwendung verschiedener Klauseln abgemahnt hatte (Az.: I ZR 7/16).
Eine der hierbei angegriffenen Klauseln lautete
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die Planet49 GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
und war mit einem voreingestellten Häkchen versehen. Beim Anklicken des Wortes „hier“ wurden dem Nutzer weitere Informationen über die eingesetzten Cookies zur Verfügung gestellt. Entfernte der Nutzer das voreingestellte Häkchen nicht, wurden Cookies auf dem jeweiligen Endgerät gesetzt bzw. bereits gespeicherte ausgelesen.
Während das LG Frankfurt a. M. noch von einer Unzulässigkeit der Klausel ausging, da die vorliegende Opt-Out-Möglichkeit nicht ausreiche (vgl. LG Frankfurt a. M., Urt. v. 10.12.2014, Az.: 2-6 O 30/14), verneinte das OLG Frankfurt a. M. in zweiter Instanz eine Rechtsverletzung mit der Begründung, dass das anzuwendende Datenschutzrecht kein Opt-In-Erfordernis beinhalte (vgl. OLG Frankfurt a. M., Urt. v. 17.12.2015, Az.: 6 U 30/15).
Im Rahmen des folgenden Revisionsverfahrens hat der BGH dem EuGH mehrere Fragen zur Vorabentscheidung vorgelegt, so u. a.
- ob eine wirksame Einwilligung im Sinne der ePrivacy-Richtlinie (RL 2002/58/EG) i. V. m. der Datenschutzrichtlinie (RL 95/46) vorliege, wenn – wie im vorliegenden Fall – ein Ankreuzkästchen voreingestellt aktiviert ist und der Nutzer zur Verweigerung seiner Einwilligung dieses deaktivieren muss und
- ob unter dem Regime der Datenschutzgrundverordnung (DSGVO, (EU) 2016/679) etwas anderes gelte sowie
- welche Informationen dem Nutzer in diesem Zusammenhang zu erteilen seien, insbesondere, ob auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten, genannt werden müssten (vgl. BGH, Beschl. 05.10.2017, Az.: I ZR 7/16).
Vorschlag des Generalanwalts
Nach einer Einleitung, die sich mit dem technischen Hintergrund von Cookies und den einschlägigen Normen befasst, kommt der Generalanwalt schließlich zu dem Ergebnis, dass vorliegend nicht von einer wirksamen Einwilligung auszugehen sei. Dies sei sowohl hinsichtlich der mittlerweile nicht mehr geltenden Datenschutzrichtlinie als auch hinsichtlich der nunmehr geltenden DSGVO – die insofern sogar noch strengere Vorgaben habe – der Fall. Ausweislich der jeweiligen Gesetzeswortlaute sei davon auszugehen, dass der Nutzer eine aktive Handlung vornehmen müsse, die bei einem voreingestellten Kästchen nicht möglich sei. Hierfür sprächen auch die jeweiligen Erwägungsgründe. Eine solche aktive Handlung könne letztlich auch nicht in der Teilnahme des Gewinnspiels selbst gesehen werden, da die Willensbekundung, an dem Gewinnspiel teilzunehmen, nicht auch die datenschutzrechtliche Einwilligung enthalten könne. Vielmehr sei letztere gesondert zu erteilen. Zudem sei der Nutzer vor der etwaigen Abgabe der Einwilligung hinreichend zu informieren. Diesbezüglich kam der Generalanwalt zu dem Ergebnis, dass zu den „klaren und umfassenden Informationen“ auch die Funktionsdauer der Cookies gehöre sowie die Angabe, ob Dritte – und wenn ja, wer – Zugriff auf die Informationen haben.
Anmerkung
Die vorstehende Thematik bildet einen der wesentlichen Streitpunkte innerhalb der Gesetzgebung der immer noch ausstehenden ePrivacy-Verordnung. Diese sollte als inhaltliche Ergänzung zur DSGVO am 25.05.2018 in Kraft treten und die ePrivacy-Richtlinie ablösen. Da jedoch u. a. in vorstehender Streitfrage noch keine abschließende Einigkeit erzielt werden konnte, ist derzeit unklar, wann und mit welchem genauen Inhalt die ePrivacy-Verordnung kommen wird, wobei eine Geltungserlangung vor dem Jahre 2022 als unwahrscheinlich gelten dürfte.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hatte bereits im vergangenen Jahr in einem rechtlich nicht bindenden, teils heftig kritisierten Positionspapier vertreten, dass die bisherigen Regelungen des Telemediengesetzes (TMG) nicht mehr anwendbar seien und sich somit im Ergebnis auf denselben Standpunkt wie der Generalanwalt gestellt, dass für den Einsatz von Cookies auf Webseiten daher ein Opt-In nach Maßstäben der DSGVO erforderlich sei (vgl. DSK, Positionspapier v. 26. April 2018).
Die ausstehende Entscheidung des EuGH hat enorme und weitreichende Praxisrelevanz. Sollte der EuGH den unverbindlichen Schlussanträgen des Generalanwalts folgen, wäre der Einsatz von Cookies auf Webseiten faktisch jedenfalls in der derzeitigen Form nur noch äußert schwer bzw. gar nicht mehr möglich. Grund hierfür sind die strengen Voraussetzungen, die – insbesondere mit Blick auf die hinreichende Informationsgabe – an die Wirksamkeit einer Einwilligung geknüpft sind, welche sich im Rahmen der mittlerweile bekannten und verbreiteten Cookie-Pop-Ups wohl nicht umsetzen ließen.
Wie der EuGH sich entscheiden wird, dürfte derweil noch offen sein. Denn auch wenn der EuGH in den meisten Fällen den Vorschlägen des Generalanwalts gefolgt sein mag, hat er jüngst in seiner viel beachteten Entscheidung „Cordoba/Renckhoff“ bewiesen, dass dies nicht immer der Fall ist (vgl. Schlussanträge des Generalanwalts Manuel C. Sánchez-Bordona v. 25.04.2018 sowie das Urt. v. 07.08.2018, Az.: C-161/17).
Quelle: Schlussanträge des Generalanwalts Maciej Szpunar v. 21. März 2019, Az.: C – 673/17
