Einwilligungserfordernis bei Cookies vor dem EuGH

Datenschutzrechtliche Einordnung des Generalanwalts

Kürzlich sorgte eine Empfehlung des Generalanwalts des Europäischen Gerichtshofs für Aufsehen, die bei der Setzung von Cookies eine aktive Einwilligung durch den jeweiligen Nutzer fordert. Nach Ansicht des Generalanwalts sei eine solche Einwilligung des Nutzers sowohl nach alter Rechtslage, als auch gemäß der Vorschriften der Datenschutzgrundverordnung (DSGVO) erforderlich.

Rechtsstreit über Cookie-Nutzung

Das Verfahren vor dem Europäischen Gerichtshof (EuGH) beschäftigte sich mit der Frage des Einwilligungserfordernisses bei Cookies. Der Bundesgerichtshof hatte dem EuGH Fragen an die Anforderungen an eine Einwilligung und den notwendigen Umfang der Informationen vorgelegt. Der Verbraucherzentrale Bundesverband e.V. hatte gegen einen Gewinnspielveranstalter geklagt, der mit einer fragwürdigen Formulierung zur Cookie-Setzung animierte. Im Rahmen des Gewinnspiels wurden die Nutzer dazu aufgefordert der beklagten Planet49 GmbH zwei Einwilligungen zu erteilen. Die erste Einwilligung bezog sich auf den Erhalt von Werbung. Die zweite Einwilligungserklärung – diese war bereits vorangekreuzt – sollte den Veranstalter dazu ermächtigen, das Surf- und Nutzungsverhalten der Betroffenen zu analysieren.

Die Cookie-Setzung wirft vielschichtige Fragen auf

Dem Bundesgerichtshof stellten sich im Rahmen des Verfahrens mehrere Fragen. So ging es einerseits um die grundsätzlichen Anforderungen an eine Einwilligung. Ist eine solche nach alter Rechtslage wirksam, wenn das Kästchen zur Cookie-Setzung bereits angekreuzt ist und vom Nutzer nur noch abgewählt werden kann? Ist es nach alter Rechtslage relevant, ob es sich um personenbezogene Daten handelt? Und wie steht das neue Datenschutzrecht zu diesen beiden Streitfragen? Andererseits ging es auch noch um den Umfang der erhobenen Daten. Fraglich ist, in welchem Ausmaß der Seitenbetreiber über die Cookie-Nutzung informieren muss. Die Richter des BGH wandten sich mit den Fragen an den Europäischen Gerichtshof.  

Der Generalanwalt des EuGH fordert eine aktive Einwilligung

Nach Ansicht des Generalanwalts sind hohe Anforderungen an das Vorliegen einer informierten Einwilligung zu stellen. Die Fragen des Bundesgerichtshofs beantwortete der Generalanwalt mit einer strengen Rechtsauffassung. So sei eine vorangekreuzte Einwilligung niemals als „aktiv erteilt“ zu definieren und damit sowohl nach alter Rechtslage, als auch gemäß der DSGVO unwirksam. Darüber hinaus seien auch die Gesondertheit der Einwilligung aufgrund der Bindung an die Gewinnspielteilnahme und die Informiertheit der Einwilligung nicht gegeben.

Auch bezüglich der Notwendigkeit eines Personenbezugs der Daten vertritt der Generalanwalt des EuGH eine klare Meinung. Dieser sei nicht relevant, da die maßgebliche Datenschutzrichtlinie nur von „Informationen“ spreche.  Da von einem normal informierten und verständigen Nutzer kein hoher Kenntnisstand bezüglich der Cookie-Nutzung erwartet werden kann, ist nach Ansicht des Generalanwalts auch der Umfang der verfügbaren Informationen zu beanstanden. Der Nutzer müsse explizit über die Dauer und Zugriffsmöglichkeiten Dritter auf seine Daten informiert werden.

Fazit: Website-Betreiber sollten sich vorbereiten

Der Generalanwalt vertritt eine sehr strenge Rechtsauffassung, die über die Anforderungen der DSGVO hinausgeht. Obwohl es sich bei den Ausführungen erstmal nur um eine unverbindliche Empfehlung an den EuGH handelt, sollten Unternehmen diesbezüglich Vorkehrungen treffen. Es bleibt abzuwarten, ob sich der EuGH der Auffassung des Generalanwalts anschließt.

Die Konsequenzen für die Praxis wären in diesem Fall weitreichend und hätte erhebliche Auswirkungen auf die bisherige Handhabung von Cookies und der Bereitstellung von Informationen auf Webseiten. Tracking-Maßnahmen würden erheblich erschwert. Abhilfe kann hier wohl nur der Gesetzgeber schaffen – leider steckt die geplante ePrivacy-Verordnung weiterhin im Gesetzgebungsprozess fest. Unternehmer sollten sich von einem fachkundigen Anwalt datenschutzrechtlich beraten lassen, insbesondere hinsichtlich des Umfangs und der Formulierung von Einwilligungserklärungen. Auch hier lauern rechtliche Fallstricke, die vermehrt von Behörden geprüft und im schlimmsten Fall mit Bußgeldern geahndet werden können. Außerdem drohen Abmahnungen von Konkurrenten und Verbraucherschutzverbänden.