Was das Urteil des EuGH vom 01.10.2019 für die Praxis bedeutet
Der EuGH hatte sich in einem Vorabentscheidungsverfahren mit folgenden zusammengefassten Fragen zu beschäftigen:
– Handelt es sich um eine wirksame Einwilligung, wenn die Speicherung von Informationen oder der Zugriff auf Informationen durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?
– Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?
– Welche Informationen hat der Diensteanbieter im Rahmen einer vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?
Was war passiert?
Die Planet49 GmbH veranstaltete im September 2013 auf der Website www.dein-macbook.de ein Gewinnspiel zu Werbezwecken. Interessierte Internetnutzer mussten ihren Namen sowie Adresse mit Postleitzahl eingeben, um an dem Gewinnspiel teilzunehmen. Ferner mussten die Internetnutzer sich mit mindestens einer von zwei möglichen werblichen Nutzungen ihrer personenbezogenen Daten einverstanden erklären. Hierfür sah der Veranstalter zwei Ankreuzkästchen vor, von denen eines bereits ein voreingestelltes Häkchen enthielt. Folge dieser Voreinstellung (bei Teilnahme an dem Gewinnspiel) war, dass auf dem Rechner des Internetnutzers ein Cookie abgelegt wurde, dass der Planet49 GmbH zu Werbezwecken für Produkte der Partner der Planet49 GmbH diente.
Nach einer erfolglosen Abmahnung des Verbraucherzentrale Bundesverband e.V. erstritt dieser erstinstanzlich beim Landgericht Frankfurt am Main eine Entscheidung, wonach das vorangebrachte Kästchen als Einwilligungserklärung unwirksam ist und von der Planet49 GmbH nicht weiter verlangt werden darf.
Das Oberlandesgericht Frankfurt am Main gab der Berufung der Planet49 GmbH statt. Der Verbraucherzentrale Bundesverband e.V. legte Revision beim Bundesgerichtshof ein, der die nunmehr entschiedenen Fragen dem europäischen Gerichtshof zur Klärung der maßgeblichen Auslegungsfragen vorlegte.
Wie entschied der EuGH?
Der EuGH kam im Hinblick auf die Vorlagefragen zu folgenden Ergebnissen:
Aktive Einwilligung der Internetnutzer erforderlich
Eine wirksame Einwilligung liegt nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.
In Übereinstimmung mit den Vorschriften in der DS-GVO zur Einwilligung spricht der EuGH insofern vom Erfordernis einer „aktiven Einwilligung“ der Internetnutzer.
Es sind alle Cookies betroffen
Es spielt rechtlich keine Rolle, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der Verordnung 2016/679 handelt oder nicht.
Der Websitebetreiber muss umfassend über die Funktion der Cookies aufklären
Der Websitebetreiber muss den Internetnutzer über die Funktionsdauer des Cookies informieren sowie über die Identität des für die Verarbeitung Verantwortlichen, die Zweckbestimmung der Verarbeitung, für die die Daten bestimmt sind und über weitere Informationen, beispielsweise betreffend die Empfänger oder Kategorien der Empfänger der Daten.
Welche Auswirkungen hat das Urteil des EuGH für die Praxis?
Unmittelbare Auswirkungen hat das Urteil des EuGH zunächst nur für die Prozessbeteiligten. Der BGH wird das anhängige Revisionsverfahren unter Berücksichtigung des Urteils des EuGH vermutlich im Sinne des Revisionsklägers entscheiden. Dies bedeutet, dass das vorangebrachte Kästchen als Einwilligungserklärung unwirksam ist und von der Planet49 GmbH nicht weiter verlangt werden darf. In diesem Fall läge erstmals „höchstrichterliche“ Rechtsprechung zum Thema Einwilligungsbedürfnis bei Cookies vor!
Es ist daher zu erwarten und auch zu befürchten, dass sich sämtliche Datenschutzaufsichtsbehörden am Urteil des EuGH und auch des BGH orientieren und die derzeit gängige Praxis der Einbeziehung von Cookies durch Websitebetreiber kritisch prüfen.
Wenn Websitebetreiber den rechtlich sichersten Weg wählen wollen, müssen sie bis auf Weiteres auf den Einsatz von Cookies gänzlich verzichten. Dies dürfte für viele Websitebetreiber ein erhebliches wirtschaftliches Problem bedeuten, weil sie auf den Einsatz von Cookies entweder technisch angewiesen sind (z.B. Session-Cookies zum Funktionieren des Warenkorbs) oder einen erheblichen Teil ihrer Wertschöpfung unmittelbar über den Einsatz von (Werbe-) Cookies generieren. In naher Zukunft werden daher sicherlich folgende Fragen von Seiten der Behörden, von den Gerichten und vom Gesetzgeber zu klären sein:
– Müssen oder sollten technisch notwendige Cookies vom Einwilligungserfordernis ausgenommen werden?
– Wie detailliert müssen die Informationen über die Funktionsweise der Cookies sein?
– Muss der Internetnutzer in den Einsatz jedes Cookies getrennt einwilligen oder reicht eine (nach entsprechend ausführlicher Information) auch eine „Gesamteinwilligung“?
Quelle: Urteil des EuGH vom 01.10.2019, Az. C-673/17
GoldbergUllrich Rechtsanwälte 2019
Julius Oberste-Dommes LL.M. (Informationsrecht)
Rechtsanwalt und
Fachanwalt für Informationstechnologierecht
