EuGH-Urteil: Cookies nur bei aktiver Zustimmung 

Bezüglich der Verwendung von Cookies wird der 01.10.2019 als wohl wegweisendes Datum in Erinnerung bleiben. An diesem Tag nämlich urteilte der europäische Gerichtshof über die Frage ob es zu einer wirksamen Einwilligung schon genügt dem Setzen von Cookies nicht zu widersprechen. Die Entscheidung dazu hat gravierende Auswirkungen insbesondere auf das deutsche Recht. Eine im Telemediengesetz verankerte Besonderheit ist nun nämlich aller Voraussicht nach nicht mehr haltbar.

Ausgangslage

Zu entscheiden war durch den EuGH über ein vom Bundesgerichtshof vorgelegtes Verfahren. Der Bundesverband der Verbraucherzentralen hatte die Planet49 GmbH, einen Anbieter von Glücksspielen im Internet verklagt. Streitig zwischen diesen Parteien war die Wirksamkeit einer per Default erteilten Cookie Einwilligung. Diese sollte wie folgt eingeholt werden:

Zur Teilnahme an Gewinnspielen mussten Nutzer zunächst durch selbstständige Aktivierung einer Checkbox das Einverständnis zum Empfang von Werbung geben (Opt In). Darunter fand sich zusätzlich der Hinweis, dass weitere Dienstleister Cookies setzen dürfen, um damit interessengerichtete Werbung auszuspielen. Auch hier war eine Checkbox angebracht, nur war diese schon vorab ausgefüllt. Ein User musste das Zustimmung symbolisierende Häkchen also aktiv entfernen (Opt Out). Dies entspricht letztlich herkömmlichen Bannern zum Cookie Consent, die lediglich informieren und den Widerspruch zulassen aber keine aktive Einwilligung verlangen.

Das Cookie-Urteil

Bei der Bewertung der vorausgefüllten Checkbox stellten sich dem BGH dessen ungeachtet aber einige Fragen. Vor allem das Verhältnis von e-privacy Richtlinie und dem darauf aufbauendenden Telemediengesetz mit der seit 2018 anzuwendenden DSGVO schien unklar. In Art. 5 Abs. 3. Richtlinie 2002/58 nämlich werden lediglich Informationspflichten und die Möglichkeit der Verweigerung der Einwilligung verlangt, sodass ein Opt Out genügen müsste. Analog dazu eröffnet das TMG in §15 Abs. 3 eine Widerspruchslösung.

Nach Feststellung des EuGHs soll diese Vorschrift den Nutzer jedoch vor jedem Eingriff in seine Privatsphäre schützen, unabhängig davon ob personenbezogene Daten betroffen sind. Als Teil der Privatsphäre werden auch die verwendeten elektronischen Geräte angesehen. Die Speicherung von Cookies auf diesen Geräten ist folglich als Eingriff zu verstehen. Es eröffnet sich schließlich die Anwendbarkeit der DSGVO und damit muss anstelle des Opt Outs ein Opt In treten, ein ausdrückliche Zustimmung gemäß Art.6 Abs. 1 lit a) DSGVO erforderlich wird. Das gesamte Urteil (C‑673/17) zum Nachlesen finden Sie hier.

Konsequenzen für Seitenbetreiber und Gesetzgeber

Auch wenn sich en Detail noch nicht abschließend bewerten lässt welche Auswirkungen das Urteil exakt haben wird, so kann aus der Entscheidung folgendes abgeleitet werden:

1. Die Privatsphäre des Nutzers ist weit auszulegen und erstreckt sich auch über die verwendeten elektronischen Geräte. Gemäß DSGVO muss daher zwingend Zustimmung zur Speicherung von Cookies, die nicht technisch notwendig sind, eingeholt werden. Vorausgefüllte Consent Banner genügen dazu nicht.
2. Die in §15 Abs. 3 TMG niedergeschriebene Widerspruchslösung ist aus diesem Grund wohl endgültig nicht mehr haltbar.
3. Andere Länder hatten die Möglichkeit eines Opt Outs nicht im nationalen Recht vorgesehen, es findet nun also eine weitere Harmonisierung im EU Wirtschaftsraum statt.

Beobachter sprechen bereits von der “informationellen Integrität des Endgerätes als neues Rechtsgut”. Nicht nur die Verarbeitung eindeutig personenbezogener Daten erfordert die Einwilligung, sondern auch alle Aktionen die Daten auf dem Gerät oder im Browser des Anwenders speichern (vor Allem also persistente Cookies). Detailfragen, wie etwa zum Setzen von Session Cookies, werden noch genauer zu klären sein.

Aktionismus ist für den Moment aber noch fehl am Platze: Einstweilen kann sich noch auf das Telemediengesetz berufen werden. Erst wenn der BGH, an dem der Fall nun zurückgeht, der Gesetzgeber oder die EU selbst durch die kommende E-Privacy Verordnung neue Tatsachen schaffen entfällt diese Möglichkeit. Planungen im Wirtschaftsministerium zur Änderung des TMG existieren bereits, an dieser Stelle halten wie Sie selbstverständlich auf dem Laufenden. Bei Rückfragen können Sie uns gerne auch direkt kontaktieren.