Datenschutzrecht: Aktive Einwilligung bei Werbe-Cookies erforderlich

Mit Urteil vom 1. Oktober 2019 hat der Europäische Gerichtshof (EuGH) in der Rechtssache C-673/17 („Planet49“) entschieden, dass ein Websitebetreiber mittels eines voreingestellten Häkchens in einem Ankreuzkästchen keine wirksame Einwilligung in die Speicherung von Cookies einholen kann.

Hintergrund

Gegenstand des Verfahrens, in dem der Bundesgerichtshof den EuGH um die Auslegung des Unionsrechts über den Schutz der Privatsphäre in der elektronischen Kommunikation ersucht hatte, war ein Online-Gewinnspiel zu Werbezwecken der deutschen Planet49 GmbH. Internetnutzer, die daran teilnehmen wollten, sollten ihre Einwilligung in das Speichern von Cookies erklären, indem ihnen ein entsprechendes Ankreuzkästchen mit einem voreingestellten Häkchen präsentiert wurde. Die gesetzten Cookies dienten zur Sammlung von Informationen zu Werbezwecken für Produkte der Partner der Planet49 GmbH.

Der deutsche Bundesverband der Verbraucherverbände sah in dieser Vorgehensweise einen Verstoß gegen mehrere datenschutzrechtliche Bestimmungen.

Entscheidung

Der EuGH stellt fest, dass das sog. Opt-Out-Verfahren im Zusammenhang mit der Speicherung von Cookies, die zu Werbezwecken gesetzt werden, nicht ausreichend ist und folgt damit den Schlussanträgen des Generalanwalts vom 21. März 2019. Die Möglichkeit, eine Einwilligung lediglich „abwählen“ zu können, genügt demnach nicht den strengen unionsrechtlichen Vorgaben. Dabei mache es keinen Unterschied, ob es sich bei den im Gerät des Webseitenbesuchers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Denn das Unionsrecht  soll den Webseitenbesucher nach dem EuGH vor jedem Eingriff in seine Privatsphäre  schützen, insbesondere gegen die Gefahr, dass „Hidden Identifiers“ oder ähnliche Instrumente in sein Gerät eindringen, um Zugang zu Informationen zu erlangen oder die Nutzeraktivität zurückzuverfolgen.

Außerdem muss eine Einwilligung für den konkreten Fall erteilt werden und der Webseitenbetreiber hinsichtlich der Cookies genaue Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter machen. Die Betätigung der Schaltfläche für die Teilnahme am streitgegenständlichen Gewinnspiel stelle daher noch keine wirksame Einwilligung des Teilnehmers in die Speicherung von Cookies dar.

Anmerkungen

Die Entscheidung formuliert sehr weitreichende Verpflichtungen für Webseitenbetreiber. Konkret betrifft die Entscheidung des EuGH allerdings ausschließlich Cookies zu Werbezwecken, nicht aber solche, die zum ordnungsgemäßen Betrieb der Seite als solcher erforderlich sind. Technisch erforderliche Cookies, ohne die eine Webseite überhaupt nicht angezeigt werden könnte, werden davon nicht berührt. Ein Einwilligungserfordernis ist insoweit weiterhin nicht ersichtlich.

Vor dem Hintergrund, dass Tracking- und Werbe-Cookies eine immer größere Bedeutung im Bereich Online-Marketing einnehmen, hat die Entscheidung allerdings sehr weitreichende Folgen auf die Praxis von Webseitenbetreiber: Wer Cookies zu Werbezwecken in seinen Internetauftritt einbindet, hat hierzu im Wege eines Opt-In-Verfahrens die aktive Einwilligung der Webseitenbesucher einzuholen. In der Regel wird dies im Rahmen eines vorgeschalteten Cookie-Banners erfolgen, in dem die verschiedenen Cookies detailliert zu nennen sind. Ein voreingestelltes Ankreuzkästchen dort impliziert demgegenüber nicht das erforderliche aktive Verhalten. Damit gehören Cookie-Banner, die dem Webseitenbesucher die Einwilligung bei Weitersurfen „unterstellen“ möchten, genauso der Vergangenheit an wie Lösungen, bei denen Cookies verwendet werden und dem Nutzer lediglich eine Widerspruchsmöglichkeit eingeräumt wird - und das auch, wenn Maßnahmen wie IP- Anonymisierung eingesetzt werden.

Ferner sind im Rahmen der Datenschutzhinweise genaue Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu machen. Dies gilt unabhängig davon, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) handelt oder nicht. Insgesamt muss damit weitaus detaillierter über die verwendeten Cookies informiert werden als dies bislang die Regel war.

Auf viele Webseitenbetreiber kommt mit der Entscheidung des EuGH nicht nur ein erheblicher Umstellungsaufwand zu, sondern es werden auf Tracking-Maßnahmen basierende Marketing-Tätigkeiten dadurch erheblich erschwert. Dies ist sicherlich auch als politisch so gewollte Entscheidung zu verstehen. Nachdem die Behörden jedoch dazu übergegangen sind, nunmehr bei der Durchsetzung der DSGVO auch schmerzhafte Bußgelder zu verhängen, bleibt den Betroffenen nichts anderes übrig, als sich auf die neue Rechtslage einzustellen.