06 Mai
2019

EuGH: Cookies auf der Internetseite– Genügt ein Opt-Out oder muss ein Opt-In sein?

Sie setzen auf Ihrer Internetseite Cookies ein? Dann sollten Sie sich jetzt mit den neuesten Entwicklungen in der Rechtsprechung befassen. Denn zu der Frage, welche Anforderungen an den Einsatz von Cookies aus datenschutzrechtlicher Sicht bestehen, hat sich nun der Generalanwalt am Gerichtshof der Europäischen Union (EuGH) geäußert. Dessen Einschätzung könnte weitreichende Folgen haben.

Cookies nur mit vorheriger Einwilligung

Auf Internetseiten wird in verschiedenster Art und Weise auf die Verwendung von Cookies (kleine Textdateien, die auf dem Rechner einer Person abgelegt werden, um deren Nutzungsverhalten im Internet zu erfassen und auszuwerten und dadurch die Person wiederzuerkennen) hingewiesen. Oft wird die Zustimmung durch ein „Ok“ oder „Einverstanden“ abgefragt. Hin und wieder sind Ankreuzkästchen vorausgefüllt; manchmal kann dagegen auch selbst ausgewählt werden, zu welchen Zwecken Cookies gesetzt werden sollen. Insbesondere im Hinblick auf die Datenschutz-Grundverordnung (DS-GVO) scheint hier erhebliche Rechtsunsicherheit zu herrschen.

Fakt ist: Die deutschen Datenschutzbehörden verlangen für den Einsatz von Cookies, die beispielsweise nicht für den Betrieb oder die nutzerfreundliche Optimierung der Internetseite notwendig sind, eine vorherige Einwilligung (Opt-In) (Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, unter https://www.datenschutz.rlp.de/fileadmin/lfdi/Dokumente/Orientierungshilfen/OH_TMG.pdf abrufbar, Stand 03.05.2019. Das ist z.B. der Fall, wenn die mittels der Cookies gesammelten Daten an Dritte weitergegeben werden. Die Einwilligung muss vor Platzierung der Cookies aktiv erklärt werden und auch den übrigen Anforderungen der DS-GVO genügen. Hierfür wird eine Widerspruchslösung (Opt-Out – das heißt, die Cookies werden gesetzt, wenn kein Widerspruch erfolgt) als ungenügend angesehen. Stillschweigen und vorangekreuzte Kästchen genügen also nicht.

Stellungnahme des Generalanwalts am EuGH

Mit der Frage, wie eine solche Cookie-Einwilligung in der Praxis ausgestaltet sein muss, beschäftigt sich zurzeit auch der EuGH. In dem zugrunde liegenden Verfahren bat der Betreiber einer Internetseite die betroffenen Personen um ihre Zustimmung zur Verwendung von Cookies, um interessengerichtete Werbung auszuspielen. Der Hinweistext war mit einem voreingestellten Häkchen versehen, das – falls die Cookies nicht gesetzt werden sollten – entfernt werden musste; andernfalls wurden die Cookies stets gesetzt.

Während die deutschen Instanzgerichte (Landgericht und Oberlandesgericht) diese Form der Widerspruchslösung genügen ließen, legte der Bundesgerichtshof die Frage, ob damit den Anforderungen an eine wirksame Einwilligung genügt ist, dem EuGH vor (Beschluss vom 5.10.2017 – I ZR 7/16). Bevor dieser jedoch endgültig entscheidet, prüft zunächst der zuständige Generalanwalt am EuGH die vorgelegte Frage und unterbreitet dem Gericht einen Vorschlag für ein Urteil.

Der Generalanwalt hat nun seine Schlussanträge (also seine Empfehlung an das Gericht) gestellt (abrufbar unter http://curia.europa.eu/juris/document/document.jsf?text=&docid=212023&pageIndex=0&doclang=de&mode=lst&dir=&occ=first&part=1&cid=5471450, Stand 25.04.2019). Darin schlägt er dem EuGH folgende Bewertung vor: Ein voreingestelltes Ankreuzkästchen, das zur Verweigerung abgewählt werden muss, stellt keine wirksame Einwilligung für den Einsatz von Cookies dar. Vielmehr sei erforderlich, dass die Zustimmung aktiv erklärt werde, beispielsweise durch eigenes Ankreuzen oder Anklicken. Außerdem müsse die betroffene Person transparent über die Funktionsdauer der Cookies und die Frage, ob Dritte Zugriff auf die Cookies erhalten, informiert werden. Zwar bezieht sich diese Einschätzung auf die alte Rechtslage (nach der Richtlinie 2002/58/EG und dem BDSG a.F.). Jedoch soll das Gleiche ausdrücklich auch unter der DS-GVO gelten.

Konsequenzen in der Praxis

Auch wenn dieser Entscheidungsvorschlag für den EuGH nicht bindend ist, kommt ihm in der Praxis erhebliche Bedeutung zu. Denn häufig folgt der EuGH den Vorschlägen der Generalanwälte. Sollte es dazu auch in dem vorliegenden Verfahren kommen, hätte dies grundlegende Konsequenzen für alle Webseitenbetreiber, die Cookies oder sonstige Tracking- oder Webanalysemechanismen verwenden.

Setzen Sie auf Ihrer Internetseite Cookies ein, sollten Sie also Folgendes beachten: Bevor Cookies gesetzt werden, sollten betroffene Personen in jedem Fall ausdrücklich und aktiv zustimmen (beispielsweise durch Ankreuzen oder Anklicken). Voreingestellte Kästchenlösungen und erst recht eine Zustimmung durch Stillschweigen oder Untätigkeit sind nicht erlaubt. Sämtliche Cookie-Banner, die diesen Vorgaben nicht entsprechen, sollten dementsprechend angepasst werden. Außerdem sind die betroffenen Personen umfassend über die verbundenen Datenverarbeitungen zu informieren. Da die Anforderungen der DS-GVO an eine wirksame Einwilligung sehr hoch sind, sollten Sie in jedem Fall sorgfältig prüfen, ob diese erfüllt werden.

Rechtsanwältin Johanna Mäkert, LL.M. (Bukarest)

dmp@derra-b.de

Stand: 04/2019