| Brehm & v. Moers more than legal

EuGH: Ausdrücklich Einwilligung für Cookies erforderlich

7.10.2019

Der Europäische Gerichtshof (EuGH) hat am 01. Oktober 2019 die bisher umstrittene und wichtige Frage geklärt, unter welchen Voraussetzungen eine Website Cookies setzen bzw. auslesen darf (EuGH, 1.10.2019 – C-673/17 „planet49“).

Aktive ausdrückliche Einwilligung ist Voraussetzung
Vorangehakte Hinweise genügen nicht
Wirksame Einwilligung setzt Aufklärung zur Nutzung der Cookies voraus

Ein Beitrag von Rechtsanwalt Kai Bodensiek, Partner BvM Berlin

Damit sind die Zeiten bloßer Cookie-Hinweistexte definitiv vorbei. Website-Betreiber können sich zeitnah nicht mehr darauf berufen, dass die Rechtslage bisher nicht eindeutig gewesen sei. Eine wirksame Cookie-Einwilligungsabfrage ist deshalb perspektivisch auf jeder Webseite Pflicht, die Cookies verwendet, die nicht unbedingt notwendig sind.

Hierfür ist es nicht ausreichend, eine Cookie-Einwilligungsabfrage zur Verfügung zu stellen, in der die Einwilligung in Cookies voreingestellt (vorangehakt) ist. Denn ein passives „Nicht-Abhaken“ der Einwilligung in das Setzen von Cookies reicht laut EuGH für eine ausdrückliche Einwilligung nicht aus.

Darüber hinaus müssen Website-Betreiber die Nutzer im Rahmen einer Einwilligungsabfrage über die Anbieter, Arten und Funktionsweisen der Cookies informieren sowie über die Speicherdauer. Auch das stellt das Urteil klar. Diese Informationen können in der Datenschutzerklärung vorgehalten werden, wenn die Einwilligungsabfrage hierauf konkret verweist und verlinkt. Möglich ist aber auch eine separate Cookie Policy.

Notwendige Cookies erlaubt, doch welche Cookies sind notwendig?

Lediglich notwendige Cookies sollen auch weiterhin ohne Einwilligung gesetzt werden dürfen. Es ist jedoch noch weitgehend ungeklärt, welche Cookies nun konkret notwendig sind und welche nicht. Hierzu dürften zählen:

Cookies über den Login-Status bei Websites, bei denen sich Nutzer anmelden können,
bei Online-Shops ein Warenkorb-Cookie und
bei mehrsprachigen Websites ein Cookie, der die Auswahl der Sprache festhält.

Marketing/Analytics-Cookies sind KEINE notwendigen Cookies

Marketing-Cookies zählen definitiv nicht (!) zu den notwendigen Cookies in diesem Sinne. Auch bedeutet dies für fast alle Analytics Tools, dass diese standardmäßig deaktiviert sein müssen, bis der Nutzer dem Setzen der Analytics Cookies zugestimmt hat.

Separate Einwilligung in Cookies einzelner Anbieter?

Nicht geklärt wurde durch das Urteil, ob in das Setzen einzelner Cookies der einzelnen Anbieter (Facebook, Google) jeweils separat eingewilligt werden muss. Wer auf Nummer sicher gehen möchte, sollte dies tun. Es wird derzeit jedoch auch für ausreichend angesehen, Cookies (und die Nutzereinwilligungen) in Kategorien zu unterteilen, zum Beispiel Marketing, Statistik, externe Medien etc.

Opt-Out zur Verfügung stellen

In der Cookie-Einwilligungsabfrage müssen die Nutzer auf die Freiwilligkeit ihrer Einwilligung hingewiesen werden. Außerdem auf das Widerrufsrecht bzw. die Möglichkeit zum Opt-Out, die dem Nutzer auf der Website angeboten werden muss. Der Nutzer muss also auf der Website die Möglichkeit haben, seine Cookie-Einwilligung wieder zu ändern.

Direkter Handlungsbedarf?

Diese Frage war u.a. deshalb bis zum Bundesgerichtshof eskaliert, der die Frage dem EuGH vorlegte, da die sogenannte E-Privacy-Richtlinie der EU nicht bzw. nicht vollständig in deutsches Recht umgesetzt wurde. Bis zuletzt ging man davon aus, dass nach der Regelung im TMG regelmäßig keine Einwilligung in die Cookie-Setzung notwendig sei.

Daher ist auch noch nicht klar, ob die Entscheidung direkt Auswirkungen auf das deutsche Recht hat – dies wäre denkbar, wenn der BGH das TMG nun „richtlinienkonform“ auslegen würde - oder ob erst die bereits angekündigte Gesetzänderung durch die Bundesregierung dazu führen wird, dass die Entscheidung direkten Einfluss auf das deutsche Recht hat. In jedem Fall ist es jetzt an der Zeit sich bereits um eine Umsetzung zu bemühen.

Schlagworte: Cookies, Datenschutz, Datenschutzgrundverordnung, DSGVO, E-Privacy, EuGH

Aktuelles