Was bedeutet das neue EuGH-Urteil zu Cookies?

Ein EuGH Urteil mit weitreichenden Auswirkungen?

In Sachen Tracking und Cookies sorgt ein neues EuGH Urteil –„Planet 49“ für viel Aufregung bei Betreibern von Webseiten. Grundsätzlich geht es im EuGH-Urteil darum, in welcher Form die Einwilligung von Nutzern erfolgen muss, wenn es um die Verwendung von Tracking Cookies geht. Hier setzt das EuGH-Urteil klare Grenzen. So erweitert es die Rechte von Verbrauchern im Sinne eines umfassenderen Schutzes vor der ungewollten Übermittlung persönlicher Informationen.

Dennoch vorab: Nicht für jedes Cookie benötigen Sie eine Einwilligung des Nutzers.

Insgesamt liest sich das Urteil so, als gehe der EuGH davon aus, dass für jedes nicht unbedingt notwendige Cookie eine Einwilligung des Nutzers notwendig sei.

Zu beachten ist aber, dass der BGH nicht danach gefragt hat, wann ein Cookie „unbedingt erforderlich“ ist, hierüber wird derzeit ein reger Diskurs geführt. Auch keine Stellung genommen hat der EuGH zu der Frage, ob das Setzen von Cookies in Deutschland auch auf Grundlage anderer Rechtsgrundlagen erfolgen kann, z.B. Art. 6 Abs. 1 S.1 lit. f. DSGVO.

Hiernach hatte der BGH im konkreten Fall ebenfalls nicht gefragt. Auch hier findet ein Diskurs statt. Einige Aufsichtsbehörden haben dazu bereits Stellung bezogen, jedoch handelt es sich hierbei zunächst um Rechtsmeinung. Rechtssicherheit gibt es erst, wenn diesbezüglich Recht gesprochen worden ist.

Es ist nicht verwunderlich, dass das oben angeführte EuGH Urteil aus einem Verfahren stammt, dass seinen Anfang 2014 am Landgericht Frankfurt am Main nahm. Dass es überhaupt so weit kommen konnte, liegt vor allem an der mangelnden Initiative des deutschen Gesetzgebers.

Dieser hätte die bereits seit 2009 geltende Cookie Richtlinie der Europäischen Union längst in deutsches Recht umsetzen müssen. Diese Richtlinie sieht bereits seit mehr als zehn Jahren zwingend ein Opt-In Verfahren für die Verwendung von Tracking Cookies vor. Die Bundesregierung war jedoch der Auffassung, dass den Anforderungen der Cookie Richtlinie bereits durch das Telemediengesetz (TMG) genüge getan worden war.

• § 15 TMG stellt jedoch nicht auf die explizite Einwilligung durch Nutzer ab. Er setzt für die Erhebung und Verwendung personenbezogener Daten stattdessen lediglich eine entsprechende Erforderlichkeit voraus. Dieser unbestimmte Rechtsbegriff lässt sich in beliebiger Form füllen und erweitern. Genau dies geschah im Fall des Unternehmens Planet49. Bei dessen Angebot im Internet war das Einwilligungshäkchen in die Verwendung von Tracking Cookies sowie im Hinblick auf die Verwendung weiterer persönlicher Daten bereits gesetzt.

Um der Verwendung zu widersprechen, hätten Nutzer daher das Häkchen aktiv löschen müssen. Diese Praxis entsprach dem deutschen Telemediengesetz. Sie widersprach aber der Cookie Richtlinie der Europäischen Union, welche genau diese Art der Verwendung von Tracking Cookies unterbinden soll. Seit in Kraft treten der Datenschutzgrundverordnung, ist die „Cookie-Richtlinie“ im Übrigen nicht mehr relevant, da außer Kraft gesetzt. Das Urteil bezieht sich demnach in weiten Teilen auf das nicht mehr geltende Recht.

Tatsächlich enthält das EuGH Urteil Antworten auf mehrere Fragen, mit Bedeutung für die DSGVO, die der BGH dem EuGH zu Beantwortung vorgelegt hat:

Frage 1: Liegt eine wirksame Einwilligung im Sinne von Art. 5 Abs. 3 der „ePrivacy-Richtlinie“ (ePrivacy-RL) vor, wenn diese durch ein vorab gesetztes Häkchen erfolgt, dass der Nutzer zur Verweigerung abklicken muss?

Frage 2: Gilt das zu 1. gesagte auch im Zusammenhang mit der Datenschutzgrundverordnung?

Frage 3: Ist bei den abgerufenen und den gespeicherten Daten zwischen personenbezogenen Daten und anderen Daten zu unterscheiden?

Frage 4: Welche Informationen müssen dem Nutzer vom Anbieter mitgeteilt werden um den Informationspflichten aus Art. 5 Abs.3 ePrivacy-RL nachzukommen?

Frage 1 und 2 hat der EuGH ganz klar mit Nein! beantwortet. Das Erklären einer Einwilligung erfordert ein aktives Handeln, ein Unterlassen reicht hierfür nicht aus. Für die DSGVO, die von sich aus bereits ein aktives Handeln für die Einwilligung fordert, gilt das gleiche. Etwas anderes war auch nicht zu erwarten.

Zusammenfassend zeichnet sich eine klare Richtung ab, auf die der EuGH zusteuert. Vereinfacht gesprochen geht der EuGH davon aus, dass im konkreten Fall die Verwendung von Tracking Cookies von einer klaren und eindeutigen Einwilligung durch den Verbraucher abhängig gemacht werden musste. Dies gilt im Übrigen unabhängig davon, ob die Tracking Cookies zur Speicherung persönlicher Daten genutzt werden oder in anonymer Form verwendet werden, womit auch Frage 3 beantwortet wurde. Es ist nicht zwischen anonymisierter oder nicht anonymisierter Verarbeitung zu unterscheiden.

Bezüglich der Frage 4 hat der EuGH dankenswerterweise weit ausgeholt und beantwortet, welche Informationen der Verantwortliche dem Betroffenen zur Verfügung stellen muss. Dies sind:

1. Identität des Verantwortlichen
2. Zweckbestimmungen der Verarbeitung
3. weitere Informationen z.B. Empfänger der Daten, oder Kategorien von Empfängern

Dies entspricht auch den Vorgaben aus Art. 13 DSGVO.

Rechtliche Auswirkungen für deutsche Unternehmen

Entsprechend betrifft das EuGH-Urteil faktisch alle nicht unbedingt notwendigen Cookies, die im Rahmen des Online Marketings und auch Online Handels vermehrt Verwendung finden.

Setzt man solcherlei Cookies auf Grundalge einer Einwilligung ein, sollte man also vor Setzen des Cookies und der damit einhergehenden Datenverarbeitung eine eindeutige Einwilligung durch Kunden und Besucher der eigenen Seiten einholen.

Der EuGH hat, da der BGH nicht danach gefragt hat, nicht beantwortet, wann ein Cookie ein sogenanntes unbedingt erforderliches Cookies ist, das unproblematisch auch ohne eine Einwilligung des Nutzers gesetzt werden darf. Dies wird die Diskussion weiter anfachen, welches Cookie nun in welcher Konstellation als unbedingt erforderlich angesehen werden kann. So ist z.B. ein Warenkorb Cookie dazu geeignet den Benutzer „zu tracken“.

Ohne dieses Cookie wäre aber der Betrieb eines Online-Shops nahezu unmöglich. Auch ist fraglich ob ein Cookie zum Einblenden eines konkreten Werbeinhalts auf einem redaktionell betriebenen Nachrichtenportal zur Finanzierung unbedingt erforderlich ist, wenn dieses vollständig werbefinanziert ist.

Auch nicht beantwortet hat der EuGH, in welchem Umfang z.B. anonymisierte Tracking Cookies im Rahmen eines berechtigen Interesses, gem. Art.6 Abs.1 S.1 lit. f DSGVO eingesetzt werden dürfen. Gerade wenn aber das gesamte Geschäftsmodell eines Seiten-Betreibers werbefinanziert funktioniert, dürften einige gewichtige Gründe für das Überwiegen seines Geschäftsinteresses sprechen.

Denkbar wäre hier z.B. das Interesse einer Online-Redaktion oder eines reinen Affiliate-Marketers. Gerade wenn die Daten anonymisiert verarbeitet werden, ist die Eingriffsintensität gegenüber dem Geschäftsinteresse sicherlich als „geringer“ zu bewerten. Dies vor allem im Lichte der Meinungs- und Berufsausübungsfreiheit.

Praktische Konsequenzen des Urteils zu Cookies

Das EuGH Urteil dürfte dazu führen, dass der deutsche Gesetzgeber seine Bemühungen im Hinblick auf eine Anpassung des nationalen Datenschutzrechts im Sinnes des Bundesdatenschutzgesetzes verstärken dürfte.

Wer sicher gehen will, der wird in Zukunft auf die Einwilligung setzen müssen, sofern sein Geschäftsmodell ihm dies erlaubt. Hinsichtlich der notwendigen Einwilligung in die Verwendung von Tracking Cookies sind mehrere technische Ansätze möglich. Folgende Kriterien sollten die verwendeten Content Tools in jedem Fall erfüllen:

• Die Einwilligung muss durch den Nutzer aktiv gegeben werden (kein vorab gesetztes Häkchen).
• Vor Erteilung der Einwilligung müssen sämtliche Cookies geblockt sein.
• Jede Cookie-Art bedarf einer eigenen Einwilligungsbox.
• Das Consent Tool muss in der Datenschutzerklärung mit aufgeführt und erläutert sein.