Focus Medienrecht
Focus Medienrecht

EuGH-Cookie-Urteil: Tracking-Cookies dürfen nur nach Einwilligung des Nutzers eingesetzt werden

Cookies nur mit aktiver Einwilligung

Photo by Mae Mu on Unsplash

Mit Urteil v. 01.10.2019, Az. C-673/17 kommt nun vom EuGH eine klare Absage an die bisherige deutsche Handhabung der europäischen datenschutzrechtlichen Richtlinien und wird klargestellt: Webseiten dürfen Cookies grundsätzlich als Datensammler auf dem Nutzer-PC einsetzen, wenn diese hierin zuvor ausdrücklich eingewilligt haben.

Eine aktive Einwilligung liegt nicht schon dann vor, wenn die Häkchen bei den jeweiligen Cookies in der Voreinstellung gesetzt sind (Opt-Out), vielmehr müssen die Nutzer aktiv zustimmen (Opt-In). Der Nutzer solle vor jedem Eingriff in seine Privatsphäre geschützt werden: Ein voreingestelltes Ankreuzkästchen genügt nicht.

Unerheblich ist, ob es sich bei den gesammelten Informationen um personenbezogene Daten handelt oder nicht. Der Diensteanbieter muss gegenüber dem Nutzer hinsichtlich der Cookies Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter machen.

Ab jetzt werden Larifari-Maßnahmen wie Pop-ups und Cookie-Banner nicht mehr reichen

Die bisherige deutsche Praxis, die mit dem Telemediengesetz den europäischen Vorgaben nachzukommen versuchte – oder ihre Passivität vertuschte – ist nicht mehr akzeptabel. Schon 2009 hätte der deutsche Gesetzgeber die Cookie-Richtlinie umsetzen müssen. Dies hat er unterlassen und sich stattdessen auf den § 15 TMG berufen, der allerdings gerade keine aktive Einwilligung der Nutzer sichert.

Auch haben sich Konservative und Wirtschaftsvertreter in Deutschland mehrfach gegen die 2017 vom EU-Parlament verabschiedete e-privacy-Verordnung ausgesprochen mit der Begründung, man könne mit den USA im Digitalen nicht mehr mithalten. Die e-privacy-Verordnung, die die DSGVO flankierend eine ausgeprägte Regulierung des online-Datenschutzes sichern will, sollte eigentlich ab Mai 2018 in Kraft getreten sein. Dies ist bisher dennoch nicht erfolgt.

Der Sachverhalt

Es liegt schon sechs Jahre zurück, als Planet49 GmbH ein Gewinnspiel zu Werbezwecken veranstaltete.

Zur Teilnahme am Spiel hatten die Internetnutzer ihre Postleitzahl einzugeben. Hatten sie das getan, mussten sie zusätzlich dazu Namen und Adresse eingeben. Dafür gab es entsprechende Eingabefelder. Unter dem Eingabefeld zur Nutzeradresse erschienen zwei Hinweistexte mit Ankreuzkästchen. Das eine Kästchen war bereits mit einem Haken versehen. Nun konnten die Nutzer nur dann ihre Teilnahme sichern, wenn sie zumindest einen Haken beim nicht voreingestellten Hinweistext setzten.

Der voreingestellte Hinweistext: „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Klickte man auf die Verlinkung, bekam man einen ziemlich langen Erörterungstext zur Funktion der Cookies und dazu, dass der Nutzer diese über den eigenen Browser löschen konnte. Der letzte Absatz lautete: „Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E‑Mail an unseren Kundenservice [E‑Mail-Adresse].“

Daraufhin klagte der deutsche Bundesverband der Verbrauchverbände. Klagegegenstand war die Einverständniserklärung der Planet49.

Das Vorabentscheidungsverfahren

Als das Verfahren vor dem Bundesgerichtshof stand, hatte dieser Zweifel an der Reichweite des Unionsrechts und ersuchte die Auslegung des EuGH in einem Vorabentscheidungsverfahren. Wie kann Deutschland die effektive Umsetzung des Unionsrechts über den Schutz der Privatsphäre in der elektronischen Kommunikation verwirklichen?

Entscheidend waren folgende beide Fragen:

  1. Handelt es sich um eine wirksame Einwilligung, wenn der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?
  2. Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?

Zu beidem lautete die Antwort „Nein“, s.o.

Welche Folgen hat das EuGH-Urteil für Website-Betreiber?

Website-Betreiber dürfen fortan die Daten der Nutzer – jedenfalls nicht, was Tracking-Cookies angeht – nicht mehr auf der Grundlage von einem berechtigten Interesse i. S. d. Art. 6 Abs. 1 f DSGVO verarbeiten, sondern ausschließlich, weil letztere ihre Einwilligung aktiv erteilt haben. Dies heißt für die Dienstleistenden: Aktive Umgestaltung ihrer Datenschutzerklärungen auf der Website. Einzig und allein taugliche Rechtsgrundlage für die Datenverarbeitung ist der Art. 6 Abs. 1 a) DSGVO. Weiter ohne Einwilligung erlaubt sind so genannte Cookies, die für eine Webseite erforderlich sind (so genannte essentielle Cookies).

Zweitens müssen Website-Betreiber dafür sorgen, dass sie eine echte Einwilligung des Nutzers eingeholt haben, bevor sie Tracking-Cookies einsetzen. Maßgeblich ist eben das Zeitmoment. Cookies dürfen nur im Nachgang einer aktiven Einwilligungserklärung eingesetzt werden. Dies geschieht durch Einwilligungsbanner, nämlich Pop-ups, oder Banner, die den Nutzer beim ersten Aufruf der Website zur Erteilung seiner Einwilligung auffordern.

Drittens muss die Website ausführliche Informationen über Art, Zweck und Funktionsdauer der Tracking-Cookies, sowie über Zugriffsmöglichkeiten Dritter auf die erhobenen Nutzerdaten enthalten.

Fazit

Das Fazit ist kurz und knackig: Ein Opt-in Verfahren ist bei der Einsetzung von Tracking-Cookies obligatorisch. Ab jetzt kann sich niemand mehr herausreden.

Gefällt Ihnen der Artikel? Bewerten Sie jetzt:
( 10 Bewertungen, Durchschnitt: 4,20 von 5 )

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Ihr Kommentar erscheint erst nach einer automatischen Spam-Prüfung anhand Ihrer E-Mail-Adresse sowie einer weiteren manuellen Überprüfung durch unseren Administrator. Bitte beachten Sie unsere Datenschutzerklärung.

* Pflichtfelder

Eine Antwort auf „EuGH-Cookie-Urteil: Tracking-Cookies dürfen nur nach Einwilligung des Nutzers eingesetzt werden“

  1. Stefan sagt:

    Sie wissen schon, dass Ihre Seite zwei Cookies setzt, ohne dass man vorher einwilligen müsste oder die Cookies für die Nutzung der Seite technisch erforderlich sind?

Focus Medienrecht Focus Medienrecht

Sie benötigen weitere Informationen oder möchten mehr über unsere Rechtsgebiete erfahren?

Kontaktieren Sie uns