EuGH zu Cookies: Anforderungen an eine wirksame Einwilligung

zuletzt aktualisiert am 7. Oktober 2019 | Lesedauer ca. 3 Minuten

Bisher lässt das Telemediengesetz die Speicherung von Cookies zu, wenn die Nutzer nur informiert werden. Der EuGH hat die Verwendung von technisch nicht notwendigen Cookies ohne Zustimmung nun für unzulässig erklärt. Was bedeutet die Entscheidung für Webseitenbetreiber und Nutzer?

Der Entscheidung liegt folgender Ausgangsfall zugrunde

Die Verbraucherzentrale klagte vor den deutschen Gerichten gegen einen Gewinnspielanbieter wegen einer Registrierung, bei der die Einwilligungserklärung des Nutzers zum Setzen und Auswerten von Cookies mit einem voreingestellten Häkchen bereits angewählt war. Der BGH legte die Sache dem EuGH zur Vorabentscheidung vor.

Wann kann von einer ausdrücklichen Zustimmung in die Verwendung von technisch nicht notwendigen Cookies ausgegangen werden?

Hierzu muss man sich zunächst kurz klarmachen: Die Nutzung von Cookies ist nicht per se einwilligungsbedürftig. Nur Cookies, die für den Betrieb einer Webseite nicht technisch erforderlich sind, bedürfen der Einwilligung.

Eine Einwilligung setzt gemäß Erwägungsgrund 32 der DS-GVO eine eindeutige, bestätigende Handlung voraus. Ist der Einwilligungstext durch ein voreingestelltes Häkchen bereits gesetzt, stellt dies gerade keine aktive Handlung seitens des Nutzers und somit keine Einwilligung dar. Dem Nutzer muss vielmehr eine reale Einwilligungsmöglichkeit geboten werden. Vor dieser Einwilligung dürfen keine Daten übertragen werden.

Dabei macht es nach Ansicht des EuGH keinen Unterschied, ob es sich bei den auf dem Gerät des Nutzers gespeicherten und abgerufenen Informationen um personenbezogene Daten handelt oder nicht, denn das Unionsrecht soll den Nutzer vor jedem Eingriff in seine Privatsphäre schützen.

Unzulässigkeit von Cookie Bannern

Auch die häufig auf Webseiten verwendeten „Cookie-Banner“ genügen diesen Vorgaben nicht. Denn diese sind meistens so gestaltet, dass man sie mittels einem einzelnen Klick wegklicken kann, ohne dem im Banner eingeblendeten Hinweistext aktiv zuzustimmen.

Rechtliche Würdigung

Die Entscheidung des EuGH ist vom Ergebnis her nicht zu beanstanden. Das Urteil bestätigt lediglich, wie Cookies europarechtskonform eingesetzt werden. Das Einwilligungserfordernis ergibt sich bereits aus der „Cookie-Richtlinie“ (2009/136/EG) aus dem Jahr 2009. Demnach ist das Setzen von technisch nicht notwendigen Cookies auf dem Gerät des Nutzers nur gestattet, wenn dieser seine Einwilligung erteilt hat (sog. Opt-In-Verfahren).

In Deutschland wurde diese Richtlinie bisher aber schlichtweg nicht umgesetzt. Man ging vielmehr davon aus, dass § 15 Abs. 3 TMG bereits den Anforderungen der Richtlinie genügt. Dieser regelt aber, dass der Dienstleister für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen darf, sofern der Nutzer dem nicht widerspricht (sog. Opt-Out-Verfahren).

Bedeutung für die Praxis

Das Setzen von  technisch nicht notwendigen Cookies erfordert künftig eine ausdrückliche Zustimmung des Nutzers. Ein bloßer Hinweis an den Nutzer, dass Cookies verwendet werden, ist nicht mehr ausreichend und kann bei Verstoß zu einem Bußgeld (bis zu 20 Millionen Euro bzw. bis zu 4% des weltweit erzielten Jahresumsatzes) führen.

Webseitenbetreiber sollten zunächst überprüfen, welche Cookies für den Betrieb ihrer Webseite technisch erforderlich sind. Für weitergehende Cookies ist eine Einwilligung erforderlich.

Die Einwilligungspflicht bezieht sich dabei vor allem auf cookie-basierte Tracking-Tools, Werbe-Tools und Social-Media-Plugins. Werden solche Cookies verwendet, sollten Webseitenbetreiber daher ihre Datenschutzerklärungen und Cookie-Banner überprüfen und einen rechtskonformen Einwilligungslösung implementieren.

Für Internetnutzer bedeutet dies: wollen sie weiterhin bequem surfen und an ihre Bedürfnisse angepasste Inhalte sehen, müssen sie hierfür ausdrücklich eine Einwilligung erteilen.