EuGH: Cookies für Tracking und Marketing nur mit echter Einwilligung

Mit Urteil vom 01.10.2019 (Rechtssache C‑673/17, Planet 49) hat der EuGH in Sachen „Cookie-Nutzung“ ein Machtwort gesprochen, das noch eine Weile nachhallen wird. Für sämtliche Cookies, die für das Angebot einer Website nicht technisch erforderlich sind, also insbesondere Tracking- und Werbecookies, gilt eine strenge Einwilligungspflicht. Widerspruchslösungen oder Cookie-Banner mit Hinweisen auf ein Einverständnis bei Nutzung der Website gehören damit jedenfalls für die Bereiche Tracking und Werbung unter Verwendung von Cookies bzw. Geräteinformationen der Nutzer rechtlich der Vergangenheit an. Die Auswirkungen der Entscheidung sind durchaus erheblich.

Hintergrund

Anlass für das EuGH-Verfahren bildete ein im Jahr 2013 durch das Unternehmen Planet49 veranstaltetes Gewinnspiel, bei dem teilnahmewillige Nutzer bei der Angabe ihrer Daten zwei Ankreuzkästchen vorfanden, von denen eines mit einem voreingestellten Häkchen versehen war. Durch dieses sollte die Setzung von Cookies zu Analyse- und Werbezwecken erlaubt werden. Dagegen klagte der Verbraucherzentrale Bundesverband (vzbv). Der Bundesgerichtshof legte die Sache letztlich dem EuGH im Wege eines Vorabentscheidungsverfahrens vor.

Entscheidung

Der EuGH stellte zunächst fest, dass nach dem Wortlaut von Art. 5 Abs. 3 der Richtlinie 2002/58/EG (ePrivacy-RL) eine Einwilligung „gegeben“ werden muss, was ein Tätigwerden des Nutzers nahelege. Weiterhin nimmt die ePrivacy-RL Bezug auf den Einwilligungsbegriff der Richtlinie 95/46/EG (alte Datenschutzrichtlinie) und konstatiert, dass beide Begriffe dieselbe Bedeutung haben sollen. Der Wortlaut der DSRL deute mit dem Begriff „Willensbekundung“ klar auf ein aktives und nicht passives Verhalten hin; voreingestellte Ankreuzkästchen reichen insoweit wohl nicht. Auch das Erfordernis der Einwilligung „ohne jeden Zweifel“ aus Art. 7 Buchst. a der DSRL mache es praktisch unmöglich, eine Einwilligung allein dadurch anzunehmen, dass ein Nutzer ein voreingestelltes Kästchen nicht abwähle. Da eine Einwilligung „für den konkreten Fall“ erfolgen muss und daher nicht aus einer Willensbekundung mit einem anderen Gegenstand abgeleitet werden kann, könne auch aus der – im vorliegenden Fall relevanten – Teilnahme am Gewinnspiel an sich nicht auf eine Einwilligung in die Speicherung von Cookies ausgegangen werden.

Auch im Lichte der DS-GVO sei diese Auslegung geboten, da dort das Einwilligungserfordernis noch enger gefasst sei als unter der DSRL. Insbesondere legt Erwägungsgrund 32 ausdrücklich fest, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ keine Einwilligung darstellen.

Diese Auslegung falle auch nicht unterschiedlich aus, je nachdem, ob es sich bei den betroffenen Informationen um personenbezogene Daten handelt oder nicht. Denn Art. 5 Abs. 3 der ePrivacy-RL schütze den Nutzer vor jedem Eingriff in seine Privatsphäre, unabhängig davon, ob personenbezogene oder andere Daten betroffen seien.

Aus der Formulierung „klare und umfassende Informationen“ des Art. 5 Abs. 3 der ePrivacy-RL folge, dass es einem Nutzer ermöglicht werden müsse, die Funktionsweise der verwendeten Cookies zu verstehen. Die in Bezug genommene DSRL zählt in Art. 10 zu den zu gebenden Informationen die Empfänger oder Kategorien der Empfänger der Daten. Da diese Aufzählung nicht abschließend sei, müssten gemäß dem dort aufgestellten Erfordernis einer Verarbeitung nach Treu und Glauben Informationen über die Funktionsdauer von Cookies dazu zählen. Dies werde durch Art. 13 Abs. 2 Buchst. a der DS-GVO gestützt, wonach ausdrücklich Informationen über die Speicherdauer personenbezogener Daten gegeben werden müssen.

Auswirkungen der Entscheidung

Die Entscheidung hat weitreichende Konsequenzen für den Internetalltag. Die verbreiteten Opt-Out-Lösungen und die (konkludente) Einwilligung durch bloße Nutzung der Website haben in zentralen Bereichen endgültig ausgedient. Insbesondere die Berufung auf § 15 Abs. 3 TMG, welcher Widerspruchslösungen im Kontext einer Online-Datenverarbeitung partiell erlaubt(e), wird spätestens nach dem Urteil des EuGH nicht mehr haltbar sein.

Eine Einwilligung in Cookies zu Marketing- und Analysezwecken wird künftig zwingend per ausdrücklichem Opt-In eingeholt werden müssen. Eine Einwilligungspflicht gilt nach Art. 5 Abs. 3 der ePrivay-RL hingegen nicht für technisch erforderliche Cookies. Welche dies sind, insbesondere, welche Cookies aufgrund berechtigter Interessen gemäß Art. 6 Abs. 1 Satz 1 Buchst. f DS-GVO gerechtfertigt sein können, lässt sich dem Urteil dagegen nicht entnehmen. Die Entscheidung zielt aber ersichtlich auf rein technisch-bedingte Cookies für die Sicherstellung von Website-Funktionalitäten, wie etwa das Angebot eines Warenkorbs in einem Online-Shop, ab.

Einer künftigen ePrivacy-Verordnung und dortigen Regelungen kam der EuGH mit seinem Urteil nunmehr zunächst zuvor. Da in der ePrivacy-Verordnung nach aktuellem Stand weiterhin konstatiert werden wird, dass sowohl personenbezogene als auch anonyme „Cookies“ einer Einwilligung bedürfen, wird sich mit einem (zurzeit schwer absehbaren) Inkrafttreten einer ePrivacy-VO vermutlich nicht viel ändern.

Offen ließ der EuGH sowohl die Frage, inwieweit eine Einwilligung „freiwillig“ bzw. „ohne Zwang“ erfolgt, wenn eine Website nur nach einer solchen nutzbar ist (Kopplungsverbot), als auch die Möglichkeit der Einwilligung in Cookie-Gruppen im Gegensatz zur Einwilligung für jeden einzelnen Anbieter.

Die Konsequenzen sind auch für den Website-Nutzer nicht unerheblich. Wer sich bislang bereits von Alibi-Cookie-Bannern gestört fühlte, wird sich auf die künftigen Einwilligungs-Banner, die einem dann in der Tat eine echte Entscheidung abverlangen werden, freuen. Im Übrigen wird insbesondere die Werbewirtschaft Sturm laufen und sicherlich alle Hebel in Bewegung setzen, um doch noch eine großzügigere Regelung unter der geplanten ePrivacy-Verordnung durchzusetzen. Eine Auswirkung ist nämlich klar: Wenn Nutzer tatsächlich im Wege einer echten und klaren Einwilligung nach ihrem Einverständnis für Tracking und Werbung gefragt werden, geht die Bereitschaft hierzu gegen Null. Getreu dem Motto: Also wenn man mich fragt: Nein!

Zurück
Dr. Sascha Vander, LL.M.

Dr. Sascha Vander, LL.M.

Mail: s.vander@cbh.de
Fon: +49 221 95190-60
ZUM PROFIL