Blog

Die lang erwartete Entscheidung des EuGH (Urt. v. 01.10.2019, C-673/17) zu Cookies ist da. Viele Stimmen sehen jetzt zwingend eine Einwilligung als notwendig an. Ob immer eine Einwilligung notwendig ist bzw. wofür genau, wurde allerdings nicht entschieden. ECC CLUB Mitglied Rechtsanwalt Rolf Becker, Partner bei WIENKE & BECKER – KÖLN erläutert die Entscheidung.

Der EuGH hat sich mit der vom BGH vorgelegten Frage beschäftigt, wann ein Website-Besucher wirksam in das Setzen von Cookies einwilligt. Wichtig ist die Fallgestaltung. Im Ausgangsverfahren veranstaltete das Unternehmen Planet49 im Jahr 2013 ein Gewinnspiel auf seiner Website. Um daran teilnehmen zu können, mussten die Interessenten in einem Formular einige persönliche Daten eingeben. Unter diesem Eingabeformular befanden sich dann zwei Hinweistexte. Vor jedem dieser Hinweise befand sich je eine Checkbox zum Ankreuzen.

Der erste Hinweistext lautete:

„☐ Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E-Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“

Die Worte „Sponsoren und Kooperationspartner“ waren verlinkt mit einer Liste der entsprechenden Partner. Hier konnte der Interessent die Partner auswählen, von denen er später Werbung erhalten wollte. Traf man keine Auswahl, übernahm Planet49 die Auswahl von höchstens 30 Sponsoren.

Cookie-Einwilligung zum Gewinnspiel

Der zweite Text lautete:

„☒ Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Das Wort „hier“ war mit folgendem Text verlinkt:

„Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie (d. h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.

Anschließend kann [Planet49] aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E-Mail-Werbung mehr.

Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten.

Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers.

Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden.

Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E-Mail an unseren Kundenservice [E-Mail-Adresse].“

Die Seite war so ausgestaltet, dass die Checkbox beim zweiten Text bereits vorangekreuzt war.

Voraussetzung für Gewinnspiel-Teilnahme

Für die Teilnahme am Gewinnspiel mussten die Interessenten mindestens eine Checkbox ankreuzen.

Gegen diese Art der Ausgestaltung der Website klagte der vzbv und verlangte Unterlassung. Nach seiner Auffassung entsprachen diese Einwilligungen nicht den gesetzlichen Vorgaben.

Der Streit ging bis zum BGH, der das Verfahren aussetzte und dem EuGH Fragen zur Vorabentscheidung vorgelegte.

Er sollte entscheiden, ob es eine wirksame Einwilligung für die Speicherung von Informationen in Cookies darstellt, wenn eine Checkbox vorangekreuzt wird, ob es einen Unterschied dabei macht, ob die Informationen personenbezogene Daten darstellen oder nicht, sowie ob bei vorangekreuzten Checkboxen eine wirksame datenschutzrechtliche Einwilligung vorliegt. Dabei ging es nicht um technisch notwendige Cookies.

Zudem ging es um die Informationen, die zur Speicherung in Cookies zu erteilen sind. Nicht Gegenstand der Entscheidung des EuGH war die Frage, ob Planet49 überhaupt eine Einwilligung einholen musste für das Setzen von Cookies. Das geht eindeutig aus den Fragen des BGH hervor.

Der EuGH bezieht sich auf die ePrivacy Richtlinie (Cookie-Richtlinie). Die sieht in der derzeit gültigen Fassung vor:

„Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.“

Eine Einwilligung ist eine Willensbekundung, die ohne jeden Zwang für den konkreten Fall in Kenntnis der Sachlage erfolgt. Der EuGH folgt dem Generalanwalt, der bereits zuvor in seinem Votum darauf hingewiesen hatte, dass das Erfordernis der „Willensbekundung“ der betroffenen Person klar auf aktives und nicht passives Verhalten hinweist. Eine vorangekreuzte Checkbox stellt aber gerade kein aktives Verhalten dar und eine Einwilligung für ein Gewinnspielteilnahme gilt noch nicht für das Setzen von Cookies. Ein Opt-Out, also eine als bloße Widerspruchslösung ausgestaltete Erklärung reicht ebenfalls nicht aus.

Außerdem müsse sichergestellt sein, dass die betroffene Person ihre Einwilligung „ohne jeden Zweifel“ erteilt habe. Auch diesem Erfordernis könne nur durch ein aktives Handeln Genüge getan werden.

Einwilligung durch Weitersurfen

Es erscheint dem EuGH praktisch unmöglich zu klären, ob ein Nutzer, der ein voreingestelltes Häkchen nicht abgewählt hat, tatsächlich seine Einwilligung zu einer Datenverarbeitung erteilt hat – zumindest bleibe unklar, ob eine solche Einwilligung in Kenntnis der Sachlage erteilt wurde. Es könne nämlich nicht ausgeschlossen werden, dass der Nutzer die beigefügten Informationen nicht gelesen habe oder dass er die Checkbox gar nicht wahrgenommen habe.

Das hatte der Generalanwalt bereits ebenfalls in seinen Schlussanträgen so gesehen.

Der EuGH zum Nichtvorliegen der Einwilligung:

„Angesichts der vorstehenden Gesichtspunkte liegt eine wirksame Einwilligung im Sinne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 somit nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.“

Dies gelte auch unter der DSGVO, da diese gerade die „aktive Einwilligung“ vorsehe und der Erwägungsgrund 32 ausdrücklich ausschließe, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen könnten.

Art der verarbeiteten Daten

Mit der Frage 1. b) wollte der BGH wissen, ob die Beurteilung der Wirksamkeit der Einwilligung davon abhängt, ob personenbezogene oder andere Daten verarbeitet werden.

Dies verneint der EuGH:

„Nach alledem ist auf Buchst. b der ersten Frage zu antworten, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 nicht unterschiedlich auszulegen sind, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der Verordnung 2016/679 handelt oder nicht.“

Es kommt also nicht darauf an, welche Daten im Cookie gespeichert werden. Es bedarf schon der Einwilligung dazu, dass man das Gerät und den darauf befindlichen Platz für Cookies nutzt. Es gehe darum, den Nutzer vor jedem Eingriff in seine Privatsphäre schützen. „Hidden Identifiers“ oder vergleichbare Instrumente könnten im Gerät nach Ansicht des EuGH untergebracht werden. Dies muss rechtlich verhindert werden können. Damit besteht die Einwilligungspflicht schon nach der ePrivacy-Richtlinie und es kommt auf die DSGVO erst dann an, wenn personenbezogene Daten verarbeitet werden.

Informationspflichten beim Einsatz von Cookies

Der EuGH betonte die Informationspflichten.

Der BGH hatte zu den Informationspflichten bei Cookies ausdrücklich danach gefragt, ob die Angaben zur Funktionsdauer der Cookies dazugehören, sowie der Umstand, ob Dritte Zugriff auf die Cookies erhalten.

Hier verweist der EuGH in seiner Entscheidung auf Art. 10 der Datenschutzrichtlinie. Demnach gehören zu den zu erteilenden Informationen:

·         die Identität des für die Verarbeitung Verantwortlichen

·         Zweckbestimmung der Verarbeitung

·         Empfänger oder Kategorien der Empfänger der Daten bzw. solcher Dritter, die Zugriff auf die Daten auf Cookies oder mit vergleichbaren Techniken gespeicherte Daten haben.

·         die Dauer der Verarbeitung, also die Vorhaltezeit der Cookies bzw. technischen Instrumente.

Diese Auslegung der Datenschutzrichtlinie werde auch durch die Bestimmungen der DSGVO gestützt. Nach Art. 13 Abs. 2 DSGVO muss der Verantwortliche die betroffene Person über die Dauer, für die die personenbezogenen Daten gespeichert werden, informieren. Falls diese Information nicht möglich ist, muss über die Kriterien für die Festlegung der Dauer informiert werden.

Auswirkungen

Der EuGH hat zwei wichtige Fragen entschieden:

Vorausgewählte Checkboxen können keine wirksamen Einwilligungen darstellen.

Zu den Informationen über Cookies gehören Angaben zur Dauer der Verarbeitung und dazu, ob Dritte Zugriff auf diese Cookies haben.

Die Zeit der Cookie-Banner „Durch Weitersurfen stimmen Sie zu“ ist damit vorbei. Das trifft weniger solche Firmen, die den Zugang zu Ihren Leistungen per Login gestatten. Dort kann man die Einwilligung einholen. Betroffen dürften die vielen meist kleineren Webseitenbetreiber der KMU sein, deren Werbung jetzt viel teurer wird, da sie weniger zielgerichtet erfolgen kann, wenn die Einwilligung nicht erteilt wird. Aber auch Nutzer werden sich nicht über die zahleichen Einwilligungsaufforderungen freuen können.

Ob in Deutschland das Fehlen einer Einwilligung für Cookies ein Bußgeld bedeuten kann, bleibt jedenfalls für solche Cookies weiterhin hoch umstritten, die keine personenbezogenen Daten beinhalten. Hintergrund ist: Deutschland hat die Cookie-Richtlinie nie explizit in deutsches Recht umgesetzt. Im Telemediengesetz (TMG) ist noch immer ein Widerspruch ausreichend. Zu dieser Thematik hat sich der EuGH nicht geäußert. Der BGH sah Probleme, den Wortlaut umzudeuten und richtlinienkonform auszulegen. Eine unmittelbare Geltung der Richtlinie gegenüber privaten Personen gibt es nicht.

Man darf also mit Spannung auf das BGH-Urteil warten. Eventuell erfahren wir, wie es sich bei Cookies verhält, bei denen die Datenverarbeitung der DSGVO unterfällt. Hier ist die Frage offen, ob man bestimmte Datenverarbeitungen auf ein berechtigtes Interesse etwa für Werbung ohne Einwilligung stützen kann – und was das für Cookies bedeutet, die in dem Zusammenhang gesetzt werden. Sind sie „notwendig“ und bedürfen dann auch keiner Einwilligung oder bleibt es bei der Einwilligung, die sich dann lediglich nicht auf die Datenverarbeitung beziehen muss?

Fazit

Geklärt worden ist durch das Urteil nur wenig. Es läuft aber darauf hinaus, dass in vielen Fällen Einwilligungen für das Setzen von Cookies her müssen, bevor diese gesetzt werden. Webseitenbetreiber ohne Ansehung der Größe müssen sich um entsprechende technische Lösungen bemühen. Wie dann eine Einwilligung ausgestaltet werden muss, ist noch unklar. Reichen „Sammeleinwilligungen“ (Gruppen-Einwilligungen / Kategorie-Einwilligungen) etwa für statistische Cookies allgemein oder muss man für jedes Cookie eine Einwilligung einholen? Welche Anforderung ist an den Einwilligungstext bei Zugriffsmöglichkeiten für Dritte zu stellen?

Um jetzt erste zumindest vorläufig tragfähige Konzepte für das eigene Unternehmen zu entwickeln, kommt man um qualifizierten Rechtsrat wohl kaum herum. Gute Zeiten für spezialisierte Berater.

Mit besten Grüßen

Rolf Becker