Kein vorauseilender Gehorsam – Cookie-Speicherung nur mit aktiver Einwilligung

EuGH, Urteil vom 01.10.2019, Az.: C-673/17

Der Gerichtshof der Europäischen Union (EuGH) hat entscheiden, dass keine wirksame Einwilligung des Internetnutzers in das Speichern von Cookies vorliege, wenn der Anbieter der Website ein Ankreuzkästchen mit einem voreingestellten Häkchen verwendet. Die Erlaubnis für das Setzen von Cookies erfordere eine aktive Einwilligung des Internetnutzers.

Ein deutscher Anbieter von Online-Gewinnspielen, die „Planet49 GmbH“ verwendete auf ihrer Website zu Werbezwecken ein Ankreuzkästchen mit einem voreingestellten Häkchen, mit dem Internetnutzer, die an einem solchen Gewinnspiel teilnehmen wollten, ihre Einwilligung in das Speichern von Cookies erklärten. Einige Cookies dienen der Sammlung von Informationen zu Werbezwecken für Produkte des Gewinnspielanbieters. Der Bundesverband der Verbraucherverbände sah hierin ein unlauteres Verhalten und nahm den Onlinespieleanbieter auf Unterlassung in Anspruch.

Die Sache ging bis vor den BGH, welcher wiederum den EuGH um die Auslegung des Unionsrechts über den Schutz der Privatsphäre in der elektronischen Kommunikation anrief. Dies ist ein nicht unüblicher Vorgang, wenn Unklarheiten nationaler Gerichte über die Auslegung von europäischen Normen vorliegen.

Der EuGH hat nunmehr entschieden, dass die für die Speicherung und den Abruf von Cookies auf dem Gerät des Besuchers einer Website erforderliche Einwilligung durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt wird. Es mache insoweit keinen Unterschied, ob es sich bei den im Gerät des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handele oder nicht, wie der EuGH betont.

Nach Ausführung der Richter, soll das Unionsrecht den Internetnutzer vor jedem Eingriff in seine Privatsphäre schützen, insbesondere gegen die Gefahr, dass „Hidden Identifiers" oder ähnliche Instrumente in sein Gerät eindringen. Die Einwilligung müsse deshalb für den konkreten Fall erteilt werden. Die Betätigung der Schaltfläche für die Teilnahme am Gewinnspiel stelle noch keine wirksame Einwilligung des Nutzers in die Speicherung von Cookies dar. In diesem Zusammenhang sei der Dienstanbieter gegenüber dem Nutzer verpflichtet, hinsichtlich der Cookies Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter zu machen.

Mit diesen Vorgaben wird der BGH nunmehr eine Entscheidung auf nationaler Ebene treffen. Sodann wird die Bundesregierung gefragt sein, um die bislang unklare Rechtslage in Deutschland, etwa durch Änderung des Telemediengesetzes (TMG) zu beseitigen.

Tipp:

1. Sie sollten analysieren, ob und welche Cookies beim Aufruf Ihrer Website gesetzt werden.
2. Teilen Sie die Cookies in zwei Gruppen ein, in sog. „Session-Cookies“ und in sog. „Persistent-Cookies“. Bei den Session-Cookies sollten Sie prüfen, ob Sie diese wirklich benötigen. Was Sie nicht mehr benötigen, sollten Sie dann löschen. Andere Session-Cookies, wie z. B. für die Warenkorb-Steuerung, können – je nach Website – unbedingt erforderlich sein, sodass Sie für deren Verwendung keine Einwilligung des Nutzers einholen brauchen. Generell kann man demnach sagen, dass für alle Cookies, die für den Betrieb der Website notwendig sind, keine Einwilligung eingeholt werden muss. Dies ist dann auch der Maßstab für die „Persistent-Cookies“. Hier kann im Grundsatz abgewogen werden: Wenn die Seite für den Nutzer ohne das jeweilige Cookie fehlerfrei angezeigt wird, dann ist das ein Indiz dafür, dass das jeweilige Cookie nicht unbedingt erforderlich ist. Dies führt aber dazu, dass eine Einwilligung in die Verwendung dieses Cookies benötigt wird. Der Gegensatz gilt somit aber auch: Wenn ohne das „Persistent-Cookie“ die Seite nicht fehlerfrei aufgerufen werden kann, Dinge z. B. nicht funktionieren oder Fehler auftreten, dann ist das ein Indiz dafür, dass das jeweilige Cookie unbedingt erforderlich ist und damit keine Einwilligung vom Nutzer eingeholt werden muss.
3. Wenn Sie feststellen, dass Sie eine Einwilligung als Rechtsgrundlage für das Setzen von Cookies benötigen, müssen Sie sicherstellen, dass das jeweilige Cookie erst gesetzt wird, nachdem der Nutzer eine wirksame Einwilligung – durch aktives Anklicken – erteilt hat.
4. Vor einer Einwilligung müssen Nutzer über Zweck des Cookies, den Empfänger von Daten, den Verantwortlichen und die Dauer der Speicherung informiert werden.