EuGH-Urteil: keine Cookies ohne Einwilligung

Der EuGH beendet eine jahrelange Rechtsunsicherheit und stellt klar, dass Webseiten Cookies nur einsetzen dürfen, wenn die Seitenbesucher vorher zugestimmt haben. Der deutsche Sonderweg ist damit am Ende. Von der Einwilligung nicht betroffen sind Cookies, die technisch notwendig sind um den Dienst anzubieten.

Mit Urteil (C-637/17) vom 01.10.2019 hat der EuGH einen Schlussstrich um die ewig währende Frage nach der rechtlich korrekten Verwendung von Cookies gezogen.

Hintergrund

Kaum eine Webseite kommt ohne Cookies aus. Cookies werden z.B. bei der Nutzung von Webseiten-Analyse-Tools oder Werbetracking-Tools verwendet.

Cookies sind kleine Textdateien, die im Internetbrowser bzw. vom Internetbrowser auf dem Computersystem des Nutzers gespeichert werden. Ruft ein Nutzer eine Webseite auf, kann ein Cookie auf dem Betriebssystem des Nutzers gespeichert werden. Dieses Cookie enthält eine charakteristische Zeichenfolge, die eine eindeutige Identifizierung des Browsers beim erneuten Aufrufen der Webseite ermöglicht.

Die Regelungen zur Verwendung von Cookies finden sich in der ePrivacy-Richtlinie (2002/58/EG; 2009/136/EG). Im Jahr 2009 wurde diese novelliert. Seither ist in Deutschland umstritten, wie Cookies rechtlich korrekt eingesetzt werden können. Die Richtlinie bestimmt klar, dass Cookies – abgesehen von engen Ausnahmen - nur mit Einwilligung gesetzt werden dürfen. Dem gegenüber gilt in Deutschland das Telemediengesetz (TMG), wonach Cookies für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien ohne vorherige Zustimmung gesetzt werden dürfen und ein Opt-Out ausreichend ist.

Im Jahr 2013 mahnte der Bundesverband der Verbraucherzentralen ein Unternehmen ab, welches online ein Gewinnspiel veranstaltete. Um daran teilnehmen zu können, musste neben der Zustimmung zum Erhalt von Werbung, die Einwilligung in das Setzen von Cookies erteilt werden. Problematisch war dabei unter anderem, dass in der Checkbox zum Abhaken der Zustimmung für die Cookies bereits das Häkchen gesetzt war.

Das Verfahren wurde bis vor den Bundesgerichtshof getragen. Dieser legte dann im Oktober 2017 dem EuGH unter anderem die Fragen vor, ob ein voreingestelltes Ankreuzkästchen eine wirksame Einwilligung darstellt und ob es von Belang ist, ob die im Cookie gespeicherten Informationen Personenbezug haben oder nicht.

Das Urteil

Die Luxemburger Richter stellen klar, dass jedes Cookie der vorherigen Einwilligung des Seitenbesuchers bedarf. Ausnahmen bestehen nur in ganz engen Grenzen für die Cookies, die unbedingt erforderlich sind, um das Angebot zur Verfügung stellen zu können.

Eine wirksame Einwilligung muss dabei freiwillig und aktiv erteilt werden. Ferner muss sie so formuliert sein, dass der Betroffene erkennen kann, in was er genau einwilligt. Wenig überraschend entschied das Gericht daher, dass das voreingestellte Häkchen im der Entscheidung zu Grunde liegenden Fall keine aktive Einwilligung darstellt.

Des Weiteren stellt das Gericht fest, dass es auch keinen Unterschied macht, ob es sich bei den in dem Cookie gespeicherten Informationen um personenbezogene Daten handelt oder nicht.

Die Konsequenzen

Da es kaum eine Webseite gibt, die ohne Cookies auskommt, besteht praktisch für alle Webseitenbetreiber Handlungsbedarf.

Zunächst ist zu festzustellen, welche Cookies auf der Webseite zum Einsatz kommen. Danach ist zu prüfen, ob für alle eine Einwilligung notwendig ist.

Ganz ausnahmsweise bedarf es der Einwilligung nicht, wenn die Cookies unverzichtbar sind, um die Verwendung eines vom Nutzer ausdrücklich angeforderten Dienstes zu ermöglichen. Zu diesen Ausnahmen gehören beispielsweise Cookies für die Warenkorbfunktion in einem Online-Shop oder Authentifizierungscookies. Die Ausnahme von der Einwilligung ist dabei äußerst eng zu verstehen, so dass nur sehr wenige Cookies darunterfallen werden.

Im Zweifel ist es daher stets angeraten die Einwilligung einzuholen um möglichst rechtssicher zu agieren.

Die Einwilligung unterliegt dabei wiederum bestimmten Anforderungen. Sie hat freiwillig, informiert, konkret und durch eine eindeutig bestätigende Handlung des betroffenen Nutzers zu erfolgen. Sie muss erteilt werden, bevor die Cookies gesetzt werden. Ebenso muss sie widerrufbar sein und protokolliert werden.

Zum Einholen der Einwilligung auf Webseiten haben sich sogenannte “Consent-Tools” etabliert. Diese Tools werden auf der Webseite eingebunden und ermöglichen, die Einwilligungen für sämtliche verwendeten Tools einzuholen. Anbieter solcher Tools sind bspw. Cookiebot, usercentrics oder civicuk.

Werden auf der Webseite dann Cookies mit Einwilligung verwendet, so ist dann auch die Datenschutzerklärung anzupassen.

Ausblick

Das Urteil gilt unmittelbar und bindet alle nationalen Gerichte. Das zu Grunde liegende Verfahren wird jetzt vor dem Bundesgerichtshof weiter geführt.

Da nach wie vor umstritten ist, ob Datenschutzverstöße als Wettbewerbsverstoß abgemahnt werden können, besteht nicht zu befürchten, dass zu dem Thema Abmahnungen kommen werden.

Der rechtmäßige Einsatz von Cookies wird von den Datenschutzbehörden kontrolliert. Es ist davon auszugehen, dass die Aufsichtsbehörden nicht sofort beginnen Webseiten zu prüfen. Sehr wahrscheinlich wird eine Zeit zur Umsetzung des Urteils eingeräumt und dann Kontrollen vorgenommen.

Bei allen Fragen rund um das Urteil und zur richtigen Umsetzung auf Ihren Webseiten, steht Ihnen die ITB Rechtsanwaltsgesellschaft gern zur Verfügung.

02.10.2019
Martin Hahn

 

Erstellt: 02. Oktober 2019