Der EuGH hat in seinem Urteil vom 01.10.2019 festgestellt, dass Cookies zu Zwecken der Werbung oder des Trackings nur noch mit aktiver Einwilligung der Nutzer eingesetzt werden dürfen. Mit dem Urteil schafft der EuGH Klarheit in einer lang diskutierten Frage.
“Das Urteil des EuGH dürfte vor allem für die Werbebranche im Internet in höchstem Maße relevant sein und enorme Auswirkungen sowohl auf Website-Betreiber als auch auf Anbieter von Trackingdiensten haben.” – Eileen Binder
Konkret äußern sich die Richter in ihrem Urteil (hier geht es zum Text des Urteils auf der Seite des Gerichtshofs der Europäischen Union) dazu, ob ein vorausgewähltes Ankreuzkästchen einer Einwilligung gleichsteht, ob es einen Unterschied hinsichtlich der Verarbeitung personenbezogener Daten sowie dem Setzen von und dem Zugriff auf Cookies gibt und welche Informationen dem Nutzer einer Website beim Einsatz von Cookies zu erteilen sind.
Voreingestellte Einwilligung ist unzulässig
Die wohl interessanteste Entscheidung fiel hinsichtlich der Frage, ob eine Einwilligung wirksam erteilt sei, wenn das Ankreuzkästchen vorausgewählt ist. Um die Einwilligung abzulehnen, muss der Nutzer aktiv werden und das Häkchen selbstständig abwählen.
Der EuGH entschied nun, dass vorausgewählte Ankreuzkästchen nicht zulässig sind, um eine wirksame Einwilligung einzuholen. Es müsse vielmehr eine aktive Handlung des Nutzers vorausgehen, um in eine Datenverarbeitung einzuwilligen.
Die Entscheidung trifft vor allem Cookie-Banner. Die überwiegende Zahl an Website-Betreibern weist in einem Cookie-Banner darauf hin, dass Cookies eingesetzt werden. Meist können die Banner über einen einfachen Klick auf „OK“ oder „Verstanden“ vom Nutzer weggeklickt werden. Diese Cookie-Banner sind nach Meinung des EuGH ungenügend und erfüllen nicht die Anforderunegn an die Einholung einer wirksamen Einwilligung.
Das Urteil beendet den deutschen Sonderweg über das TMG
Mit den Entscheidungen hat der EuGH den von Deutschland bisher gegangenen Sonderweg gekippt. Das Europarecht kennt die aktive Einwilligung über ein bewusstes Opt-In als Voraussetzung für den Einsatz von Cookies schon länger (Cookie-Richtlinie 2002/58/EG in der Fassung 2009/136/EG) und auch Erwägungsgrund 32 zur DSGVO geht von einer aktiven Handlung des Nutzers als Voraussetzung aus. Viele deutsche Website-Betreiber orientierten sich dagegen bislang am Telemediengesetz (TMG), welches gerade im Gegenteil eine Opt-Out-Lösung (Widerspruchslösung) zulässt. Hintergrund hierfür ist, dass in Deutschland die europäische Cookie-Richtlinie nie umgesetzt wurde, da die Rechtsauffassung vertreten wird, durch das TMG sei bereits eine entsprechende Umsetzung erfolgt. In der Konsequenz wird der BGH wohl das TMG für nicht anwendbar erklären.
Anforderungen an die Konkretheit der Einwilligung bleibt offen
Unklar bleibt indes weiterhin, ob die Einwilligung für jeden Cookie-Anbieter eingeholt werden muss. Alternativ kommt eine Einwilligung in die derzeit vielfach umgesetzte Zusammenfassung von Cookie-Gruppen in Betracht („Statistik“, „Marketing“, „Performance“, etc.). Klar dürfte nach dem Urteil jedoch sein, dass auch Gruppen von Cookies nicht vorangekreuzt sein dürfen.
Unterschied hinsichtlich der Verarbeitung
Eine weitere vom BGH vorgelegte Frage lautete, ob es einen Unterschied mache, ob durch den Einsatz eines Cookies personenbezogene Daten verarbeitet werden oder (ausschließlich) anonyme Daten. Die Richter verneinten einen Unterschied. Die derzeit geltenden Regelwerke zum Schutze personenbezogener Daten (Cookie-Richtlinie, altes Datenschutzgesetz und DSGVO) seien alle einheitlich auszulegen. Danach stehe der Schutz der Privatsphäre des einzelnen Nutzers im Mittelpunkt. Für diesen Schutz komme es jedoch gerade nicht darauf an, welcher Art die verarbeiteten Daten seien. Mit dieser Entscheidung wollten die Richter wohl das Missbrauchsrisiko eindämmen, dass Webetreibende anonyme / pseudonyme Daten so verknüpfen, dass später doch ein Personenbezug herstellbar ist.
Erfüllung der Informationspflichten
Im Zuge des Urteils sind Websitebetreiber nun nochmals angehalten auch ihren Informationspflichten nach Art. 13 DSGVO korrekt nachzukommen. Wurde in der Datenschutzerklärung bisher nur oberflächlich festgestellt, dass Cookies auf der Website zum Einsatz kommen, muss die Erklärung nun um Angaben zur Funktionsdauer der Cookies und um Zugriffskompetenzen Dritter auf die Cookies ergänzt werden.
Ausnahme werbefreie Cookies
Bei aller kaum zu überschätzender Auswirkung des Urteils dürfen Website-Betreiber im Vorteil sein, die lediglich technisch notwendige Cookies wie Consent-Cookies oder Warenkorb-Cookies auf ihrer Website einsetzen. Auf diese Cookies ist das Urteil nicht anwendbar, als Rechtsgrundlage kommt hier weiterhin das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht.
Fazit
Das Urteil des EuGH dürfte vor allem für die Werbebranche im Internet in höchstem Maße relevant sein und enorme Auswirkungen sowohl auf Website-Betreiber als auch auf Anbieter von Trackingdiensten haben. Verantwortliche Stellen, die über den Einsatz von Cookies individualisierte Werbung schalten oder über ein Tracking die Nutzungen verfolgen, sind angehalten kurzfristig mit der Anpassung ihrer Website auf die Ergebnisse des Urteils zu beginnen. Hier gilt es nun rasch praxistaugliche Lösungen zu finden. Neben der Anpassung des Cookie-Banners und der Einholung einer Einwilligung der Nutzer, muss auch die Datenschutzerklärung geprüft und möglicherweise angepasst werden.
Artikel zum selben Thema:
Löschkonzept nach DSGVO: Warum Daten wegkönnen, ja sogar müssen!
Einleitung: Digitale „Aufheberitis“ in Unternehmen Wir alle kennen diesen einen Kollegen, der E‑Mails aus dem Jahr 2005 aufbewahrt, “weil […]
Das Berechtigte Interesse – Worauf bei der Heranziehung als Rechtsgrundlage für die Datenverarbeitung zu achten ist
Möchte man personenbezogene Daten verarbeiten, kommt man nicht umhin, sich mit der dafür erforderlichen Rechtsgrundlage zu beschäftigen. Gerne wird […]
Neues Jahr – neue Themen…
Ein neues Jahr bringt auch eine neue Datenschutz-Agenda mit sich – Zeit um sich diejenigen Themen anzusehen, die das […]