EuGH-Urteil: Opt-in-Pflicht für Cookies

****UPDATE****: Die Entscheidung des Gerichtshofs ist gefallen: Eine Voreinstellung ist nicht zulässig, wurde in einer Pressemitteilung bekanntgegeben. Das setzen von Cookies erfordert demnach die aktive Einwilligung des Nutzers.

Heute entscheidet der Europäische Gerichtshof über die Pflicht zur aktiven Zustimmung zur Verwendung von Cookies auf Webseiten, die Opt-in-Pflicht. In Deutschland ist die Verarbeitung von Cookies ohne aktive Zustimmung grundsätzlich erlaubt. Ob diese Umsetzung der Cookie-Richtlinie so bleibt, oder ob auch in Deutschland ein aktives Opt-in zwingend erforderlich ist, wird das Urteil heute festlegen.Schon seit geraumer Zeit scheiden sich bei der Verwendung von Cookies auf Webseiten, und vor allem bei der Information der Webseitenbesucher darüber, die Geister. Seit 2017 streiten der Bundesgerichtshof und der Europäische Gerichtshof (EuGH) mit. Konkret geht es darum, ob von den Webseitenbesuchern einer Einwilligung für die Verwendung von Cookies für personenbezogene Daten eingeholt werden muss oder nicht.

Grundlage für die Praxis und auch die heutige Entscheidung des Europäischen Gerichtshofes ist die Cookie-Richtlinie, die seit dem Jahr 2009 die ePrivacy-Richtlinie 2002/58/EG ergänzt. Diese wird in den Ländern der Europäischen Union ganz unterschiedlich umgesetzt. Während in einigen Staaten die aktive Zustimmung der Webseitenbesucher für die Verwendung von Cookies Pflicht ist, also ein Opt-in erforderlich macht, ist es in Deutschland laut Telemediengesetz grundsätzlich erlaubt, Cookies auch für Werbezwecke einzusetzen, solange der Besucher dem nicht widerspricht. Es genügt also das Angebot der Möglichkeit eines Opt-out. Das sehen wir auch bei der Umsetzung auf den vielen Webseiten, auf denen zumeist Banner lediglich darüber informieren, dass Cookies verwendet werden. Ob dies allerdings so bleiben kann und darf, entscheiden die Richter des EuGH heute in Luxemburg.

Auslöser der Entscheidung – ein Gewinnspiel bei Planet49

Grundlage für die heutige Entscheidung des Europäischen Gerichtshofes ist ein Revisionsverfahren vor dem Bundesgerichtshof. Dieser hatte bezüglich einer Klage des Bundesverbands der Verbraucherzentralen gegen den Betreiber der Webseite Planet49 um Rechtshilfe von europäischer Ebene gebeten. Konkret geht es um ein Gewinnspiel, welches Planet49 veranstaltet hat, bei dem personenbezogene Daten verarbeitet wurden. Zwei Hinweistexte waren im Zusammenhang mit diesem Gewinnspiel zu lesen. Der erste bezog sich auf die Verarbeitung der Personendaten zu Werbezwecken via E-Mail-Versand und SMS, und war nicht vorangekreuzt. Der zweite Hinweistext war vorangekreuzt und informierte über den Einsatz des Webanalysedienstes Remintrex zur Auswertung des Nutzer- und Surfverhaltens der Gewinnspielteilnehmer auf Websites von Werbepartnern, welcher interessenbezogene Werbung ermöglichen wird, also die Setzung von Tracking Pixels.

Der Bundesverband der Verbraucherzentralen sah in dem auf Zustimmung voreingestellten Kästchen einen Verstoß, denn dadurch läge keine freiwillige Zustimmung in Kenntnis über das Was und Wie der Nutzung der persönlichen Daten vor. Das Berufungsgericht hatte die Klage mit der Begründung abgewiesen, dass zwar bei der Versendung von E-Mails und SMS; beispielsweise als Newsletter, eine aktive Zustimmung erforderlich ist, aber ein zwingendes Opt-in für die Verwendung von Cookies aus der Cookie-Richtlinie nicht zu entnehmen ist.

Generalanwalt zeigt in seinem Schlussantrag im März die Tendenz auf

Seit 2017 liegt nun dieser Fall bei der obersten europäischen gerichtlichen Ebene und wird heute entschieden. Im April dieses Jahres ging der heutigen Entscheidung schon die Schlussansprache des Generalanwaltes voraus, der sich im Grunde der Auslegung des Bundesverbandes der Verbraucher anschließt. Auch er sieht keine aktive Einwilligung in Form der Wegnahme eines vorgesetzten Häkchens. In solch einer Situation könne nicht ermittelt werden, ob der Webseitenbesucher tatsächlich in vollem Umfang über die Sachlage informiert ist und bewusst seine Einwilligung gegeben hat, in dem er das Häkchen nicht entfernt hat. Ob der EuGH der Einschätzung des Generalanwaltes folgt, zeigt sich heute. Gemeinhin schließt sich der Gerichtshof aber der Meinung des Generalanwaltes an.

Was bedeutet das EuGH-Urteil für Deutschland?

Wird das Urteil sich an die Auslegung des Generalanwaltes anlehnen bzw. komplett anschließen, hat das für Deutschland große Folgen. Dies würde nämlich bedeuten, dass der Einsatz von Cookies zukünftig nur noch nach einer aktiven Einwilligung der Webseitenbesucher erlaubt ist. Der Stein des Anstoßes, eine vorausgewählte Checkbox genügt dann genauso wenig wie ein Banner, welches über die Verwendung von Cookies informiert und auf die Datenschutzhinweise verweist, in denen dann verschiedene Opt-out-Möglichkeiten für verschiedene Tools und Plattformen aufgezeigt werden. Webseiten müssen dann immer, wenn personenbezogene Daten verarbeitet werden, eine entsprechende Einwilligung vorschalten. Erst danach dürfen die Cookies gesetzt werden. Dafür müssen aber die Nutzer auch transparent und umfänglich über Umfang und Art der Datennutzung informiert werden. Die neue Herausforderung sind also dann Consent-Banner mit richtigen Hinweistexten, nicht vorangekreuzten Tickboxen und der einwandfrei funktionierenden Technologie der korrekten Setzung genau nur der Cookies, denen der Webseitenbesucher zugestimmt hat. Diese echte Einwilligung wird hochkomplex,  schnell intransparent und vielleicht auch der gefürchtete Killer der Conversation-Rate.