EuGH-Cookie-Entscheidung - Anlass zum Handeln
Die Entscheidung des Europäischen Gerichtshofs (EuGH) vom 1. Oktober 2019 im Fall „Planet 49“ (Rechtssache C-673/17) bringt Klarheit für die Betreiber von Websites: Die für den Einsatz von Cookies in Einzelfällen erforderliche Einwilligung des Internetnutzers setzt zu ihrer Wirksamkeit eine aktive Handlung des Internetnutzers voraus. Auch wenn noch zahlreiche Fragen bei der praktischen Umsetzung des Urteils offenbleiben, sollten sich Unternehmensberatungen auf dieser Grundlage schon jetzt bewusst mit dem Einsatz von Cookies auf ihrer Website auseinandersetzen.
Worum ging es in dem Ursprungsfall?
Seit längerem ist umstritten, ob es bei Einwilligungserklärungen bezüglich des Einsatzes von Cookies (etwa zu Werbeanalysezwecken) genügt, wenn ein Einwilligungskästchen bereits ohne Zutun des Internetnutzers vormarkiert ist. Denn in diesen Fällen muss der Internetnutzer zur Verweigerung seiner Einwilligung die vormarkierte Einwilligung aktiv abwählen. Cookies sind Daten, die vom Betreiber einer Webseite auf dem Computer des Webseiten-Besuchers abgelegt werden und dabei Informationen wie beispielsweise die bevorzugte Sprache, Name, E-Mail-Adresse oder andere persönliche Einstellungen des Internetnutzers speichern. Bei einem erneuten Aufruf der Webseite werden diese Informationen dann wieder aufgerufen, um das Surfen im Internet zu erleichtern und Informationen über das Nutzerverhalten zu erlangen.
Da sich der Streit an der Auslegung europäischen Rechts entzündete, legte der Bundesgerichtshof (BGH) 2017 dem Europäischem Gerichtshof (EuGH) diese Frage vor: Liegt eine wirksame Einwilligung vor, „wenn die Speicherung von Informationen, ... die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird?“ Der EuGH hat nun zum Ende vergangenen Jahres entschieden.
EUGH: NUR NICHT „UNBEDINGT ERFORDERLICHE“ COOKIES BEDÜRFEN EINER EINWILLIGUNG
Zu betonen ist dabei zunächst, dass der EuGH entgegen einiger Pressestimmen kein generelles Einwillungserfordernis für den Einsatz von Cookies statuiert. So bleibt es auch nach dem Urteil dabei, dass funktionale oder "unbedingt erforderliche" Cookies auch ohne Einwilligung auf den Computern der Webseitenbesucher platziert werden dürfen. Unbedingt erforderliche Cookies sind dabei solche, die benötigt werden, damit sich der Webseitenbesucher auf der Webseite bewegen und ihre Funktionen nutzen kann (bspw. Cookies zur Fehleranalyse, zur Speicherung des Logins oder der Warenkorbfunktion). Soweit die individuelle Anpassung von Webseiteninhalten Bestandteil eines angebotenen Dienstes ist, können grundsätzlich auch hierzu erforderliche Cookies ohne Einwilligung eingesetzt werden. Allerdings sind Analyse-, Werbe- oder Re-Targeting-Cookies in der Regel jedoch nicht hierunter zu fassen. Daher ist in jedem Einzelfall zu prüfen, um welche Art von Cookie es sich handelt und ob eine Einwilligung des Webseitenbesuchers erforderlich ist oder nicht.
DIE UNIONSRECHTLICHEN ANFORDERUNGEN AN EINE „EINWILLIGUNG“
In den Fällen, in den für das Setzen eines Cookies eine Einwilligung erforderlich ist, fordert der EuGH nun, dass „ein aktives Verhalten“ des Nutzers vorliegen muss. Dies sei nicht erfüllt, wenn eine Einwilligung durch die bloße Nichtabwahl eines vorselektierten Ankreuzfelds erteilt werden solle. Denn es sei möglich, dass der jeweilige Nutzer das Ankreuzkästchen gar nicht wahrgenommen habe.
Der EuGH wies zudem daraufhin, dass der Webseitenbesucher über den Einsatz von Cookies informiert werden müsse, und zwar insbesondere über die Funktionsdauer von Cookies sowie über den Umstand, ob Dritte die in den jeweiligen Cookies gespeicherten Informationen erhalten, etwa indem sie auf die Cookies zugreifen können.
KONSEQUENZEN FÜR DIE RECHTSLAGE IN DEUTSCHLAND
Der BGH muss nun entscheiden, welche Konsequenzen das Urteil für die Rechtslage in Deutschland haben wird. Unternehmen sollten jedoch bereits jetzt prüfen, ob die ihrerseits eingesetzten Cookies nach Maßgabe des EuGH-Urteils einer Einwilligung bedürfen und wenn ja, ob die bislang vorgesehenen Einwilligungsmechanismen die darin aufgeführten Anforderungen erfüllen. Dies wird eine bewusstere Auseinandersetzung mit den eingesetzten Cookies, insbesondere zu Analyse- und Trackingzwecken erfordern, alleine, um die entsprechend anwendbaren Informationspflichten zu erfüllen. Daneben werden unter Umständen neue Einwilligungsmechanismen gefunden werden müssen. Ein Abwarten auf das Inkrafttreten der ePrivacy-Verordnung, welche u. a. eine Neuregulierung des Einsatzes von Cookies mit sich bringen wird, kann nicht angeraten werden. So ist deren letzte Entwurfsfassung vor kurzem im Europäischen Rat gescheitert und es lässt sich gegenwärtig nicht absehen, wann mit ihr tatsächlich gerechnet werden kann.
Dr. Tobias Rothkegel, Rechtsanwalt | Johanna Reiland, Rechtsanwältin | Osborne Clarke
