Blog

Aktuelle Urteile, wesentliche Neuigkeiten und Tipps auf dem Gebiet des Wirtschaftsrechts recherchieren und fassen wir zusammen.

| Internetrecht

Opt-In-Pflicht für Cookie-Einwilligung bei Webseiten

Dr. Miriam Prinzen, LL. M.


Anlass dazu gibt der Rechtsstreit eines deutschen Gewinnspielanbieters, der folgende vorselektierte Klausel verwendete:

 „[X] Ich bin einverstanden, dass der Webanalysedienst R(...) bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter (...) nach Registrierung für das Gewinnspiel Cookies setzt, welches P(...) eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch R(...) ermöglicht. (...)."

Der BGH legt dem EuGH dazu folgende Fragen vor:

Frage 1:
Reicht es in diesem Zusammenhang für eine wirksame Einwilligung aus, dass die Checkbox vorselektiert ist und der User aktiv die Zustimmung abwählen muss, wenn er diese nicht will?

Frage 2:
Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?

Frage 3:
Liegt nach der im Mai 2018 in Kraft tretenden Datenschutzgrundverordnung (DSGVO) ebenfalls eine wirksame Einwilligung vor?

Frage 4:
Welche inhaltlichen Angaben muss das Unternehmen zur Cookie-Nutzung angeben? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff haben?

Diese Fragen hat der Generalanwalt in seinem Schlussantrag wie folgt beantwortet:

Antwort zu 1:
"In einer Situation wie der des Ausgangsverfahrens, in der die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und in der die Einwilligung nicht gesondert gegeben wird, sondern gleichzeitig mit der Bestätigung der Teilnahme an einem Online-Gewinnspiel, liegt keine wirksame Einwilligung im Sinne der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vor."

Antwort zu 2:
"Bei der Anwendung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 macht es keinen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt."

Antwort zu 3:
"Das Gleiche gilt für die Auslegung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung)."

Antwort zu 4:
"Zu den klaren und umfassenden Informationen, die ein Nutzer nach Art. 5 Abs. 3 der Richtlinie 2002/58 von einem Diensteanbieter erhalten muss, zählen die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten oder nicht."

Der Generalstaatsanwalt des EuGH setzte sich in seinem Schlussantrag vom 21.03.2019 – Az.: C-637/17 für eine Opt-In-Pflicht für die Einholung einer Cookie-Zustimmung bei dem Besuch einer Webseite ein. Den Schlussanträgen kommt in der Praxis eine entscheidende Bedeutung zu. Zwar ist die Ansicht des Generalstaatsanwaltes nicht für das Gericht bindend, dennoch zeigt die Vergangenheit, dass dieser in den meisten Fällen gefolgt wurde.

Der Einsatz von Cookies wäre dann nur noch erlaubt, wenn der User vorher seine ausdrückliche Zustimmung erteilt hat. Dies hätte eine aktive Zustimmung zur Folge und eine vorselektierte Checkbox wäre nicht ausreichend.

Der Nutzer müsste sodann transparent und nachvollziehbar über die gesamte Datenverarbeitung, auch in Bezug auf Drittanbieter-Tools, informiert werden. Aufgrund der umfangreichen Anforderungen der Rechtsprechung an die Wirksamkeit der Einwilligung, wäre die Konsequenz, dass sämtliche webübergreifende Vermarktungsformen nicht mehr rechtlich wirksam umsetzbar sind.

Das Ergebnis einer derartigen Entscheidung des EuGH wäre, dass jede Webseite vor Setzen eines Cookies (mit personenbezogenen Daten) ein sogenanntes Pop-up vorschalten müsste, mit dem aktiv eine Einwilligung eingeholt wird. Zu beachten ist dabei, dass die derzeit bereits praktizierten Pop-ups keinesfalls den hohen Anforderungen der Rechtsprechung an die Wirksamkeit einer Einwilligung ausreichen würden.

Für weitere Infos zu diesem Thema oder bei anderen Rechtsfragen kontaktieren Sie uns gern H I E R !

Zurück zur Blog-Übersicht

Kontaktieren Sie uns per Mail. Kontaktieren Sie uns per Telefon. Kontaktieren Sie uns per Mail.