EuGH: Keine Cookies ohne Einwilligung

Wer auf seiner Website Cookies setzt, die nicht zwingend erforderlich sind, benötigt hierfür eine aktive Einwilligung des Internetnutzers. Eine Voreinstellung dieser Einwilligung, die der Nutzer erst mit einem Klick widerrufen muss, ist unzulässig. Dies hat der Europäische Gerichtshof (EuGH) in seinem aktuellen Urteil vom 01.10.2019 (Rs. C-673/17) entschieden.

Der EuGH hatte über Fragen des europäischen Rechts in einer Klage der Verbraucherzentrale Bundesverband (vzbv) gegen den Adresshändler und Gewinnspielbetreiber „Planet 49“ zu urteilen. Um an einem Online-Gewinnspiel teilzunehmen (oder: teilnehmen zu können), mussten die Nutzer ihre persönlichen Kontaktdaten in einer Eingabemaske eintragen. In der Eingabemaske für diese Kontaktdaten war eine Einverständniserklärung voreingestellt, dass der Website-Betreiber Cookies zur Auswertung des Surf- und Nutzerverhaltens setzen und so „interessengerichtete Werbung“ ermöglichen konnte. Nutzer, die hiermit nicht einverstanden waren, mussten mit einem zusätzlichen Klick den Haken an der Zustimmung entfernen.

Der EuGH hat erklärt, dass eine solche Voreinstellung unzulässig ist. Zulässig ist nur ein Opt-In-Verfahren, das eine aktive Willensbekundung des Nutzers zur Einwilligung in den Einsatz von Cookies voraussetzt. Nach Auffassung des EuGH liegt eine solche aktive Einwilligung nicht vor, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt werden soll.

Ob die Entscheidung des EuGH in vollem Umfang bereits in Deutschland gilt, ist allerdings nicht ganz klar.

Die europäische „Cookie-Richtlinie“ wurde in Deutschland nicht weiter umgesetzt, denn der deutsche Gesetzgeber vertrat bislang die Rechtsauffassung, dass die bestehende Regelung in § 15 Telemediengesetz (TMG) europarechtlich bereits ausreiche. Hieran bestehen aber Zweifel, denn für die Verwendung pseudonymisierter Daten lässt diese Vorschrift genügen, dass der Nutzer „nicht widerspricht“. Die bisherige Opt-Out-Lösung erschien damit zulässig.

Nun hat der Bundesgerichtshof (BGH) im Ausgangsverfahren des vzbv gegen „Planet 49“ noch einmal zu entscheiden, ob die deutschen Vorschriften nach den Vorgaben des EuGH europarechtskonform ausgelegt werden können oder ob der deutsche Gesetzgeber zumindest für das Tracking pseudonymisierter Daten nachbessern müsste. In der Praxis wurden bislang häufig Cookie-Banner eingesetzt, die relativ wenig Text enthalten und allenfalls einen Hinweis auf den Cookie-Einsatz geben. Oft ist wie im entschiedenen Fall das Einverständnis mit dem Cookie-Einsatz bereits voreingestellt. Aus der Entscheidung des EuGH folgt nun, dass die Nutzer vorab umfangreicher über die Verwendung der Cookies informiert werden und hierzu aktiv ihr Einverständnis erklären müssen. Website-Betreiber, die diese Vorgaben ignorieren und die bisherige Praxis fortführen, sollten sich nicht auf die etwas unklare Rechtslage im deutschen Gesetz verlassen. Wenn der BGH im weiteren Verlauf des Verfahrens doch eine vollständige Anwendbarkeit des EuGH-Urteils auch in Deutschland bejaht, riskieren Website-Betreiber Abmahnungen, Unterlassungs- und ggf. Schadenersatzforderungen, wenn sie sich nicht an die europarechtlichen Vorgaben halten.