Source: https://shopbetreiber-blog.de/2019/10/09/eugh-opt-in-pflicht-fuer-cookies-was-online-haendler-jetzt-wissen-muessen/
Timestamp: 2020-01-25 10:31:14+00:00

Document:
EuGH: Opt-in-Pflicht für Cookies - Was Online-Händler jetzt wissen müssen - Shopbetreiber-Blog
Home » DSGVO • Urteile » EuGH: Opt-in-Pflicht für Cookies – Was Online-Händler jetzt wissen müssen
Konstantin Schröter | 9.10.2019 | DSGVO, Urteile 16 Kommentare
Das Gericht folgte in seiner Entscheidung der strengen Rechtsauffassung des Generalanwalts beim EuGH M. Szpunar.
Auch ausführliche und transparente Informationen an einer vorausgewählten Checkbox, welche die vorzunehmende Datenverarbeitung konkret erläutern, ändern nichts an der Tatsache, dass kein aktives Tun des Nutzers vorliegt.
Nach Ansicht des EuGH spielt es bei der Auslegung der anzuwendenden RL 2002/58 keine Rolle, ob es sich bei den Cookies, die auf dem Endgerät des Kunden abgelegt werden, um personenbezogene Informationen handelt oder nicht:
Somit fallen auch Analyse-Tools, welche nur pseudonymisierte Daten verarbeiten unter den Anwendungsbereich der RL 2002/58 und dürfen nach der Ansicht des EuGH erst im Browser des Nutzers aktiviert werden, wenn dieser seine aktive Einwilligung erteilt hat.
Neben der Einwilligungserfordernis beschäftigte sich der EuGH mit der Frage, welche Informationen gemäß Art. 5 Abs. 3 der RL 2002/58, insbesondere zur Funktionsdauer der Cookies und möglichen Zugriffen von Dritten, gegenüber dem Nutzer zu erteilen sind.
Der Nutzer muss nach Ansicht des Gerichts in die Lage versetzt werden, das genaue Ausmaß seiner erteilten Einwilligung zu bestimmen. Dazu gehören klare und leicht verständliche Informationen, um beispielsweise die Funktionsweise von Cookies zu verstehen.
Dies deckt sich mit den einzuhaltenden Informationspflichten gemäß der DSGVO, die der Verantwortliche zum Zeitpunkt der Erhebung der Daten der betroffenen Person mitteilen muss. So sind insbesondere die Empfänger oder Kategorien von Empfängern zu nennen, sofern Dritte Zugriff auf Cookies erhalten können (Art. 13 Abs. 1 lit. e DSGVO). Des Weiteren ist aus Transparenzgründen über die Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, über die Kriterien zur Festlegung dieser Dauer zu informieren (Art. 13 Abs. 2 lit. a DSGVO).
Nach Ansicht des EuGH sind Informationen u.a. zur Funktionsdauer und möglicher Zugriffe durch Dritte zukünftig nicht nur für personenbezogene Cookies zu erteilen, sondern erstrecken sich auch auf die Verarbeitung von Informationen durch Cookies ohne Personenbezug.
Die Erweiterung der verpflichtenden Regelung auf „Informationen“, unabhängig ob das Cookie personenbezogenen Daten aufweist oder nicht, wird daher empfindliche Auswirkungen auf die Nutzereinstellungen von Webseiten und Online-Shops haben.
Der deutsche Gesetzgeber hätte die Anforderungen der Richtlinie bereits 2009 vollends umsetzen müssen. Dieser ging jedoch davon aus, dass die Vorgaben bereits durch das Telemediengesetz (TMG) erfüllt werden.
Dieser Ansicht folgen auch die deutschen Datenschutzaufsichtsbehörden: „Eine Richtlinie kann jedoch nicht selbst Verpflichtungen für Private begründen“ (siehe Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien).
Der EuGH hat dem deutschen Sonderweg bei der Verarbeitung von Cookies zwar eine Absage erteilt, jedoch bleibt es bis zur Entscheidung des BGH beim „Status Quo“. Dem kann der deutsche Gesetzgeber mit der Anpassung des TMG zuvor kommen, da das Wirtschaftsministerium eine entsprechende Gesetzesänderung vorbereitet.
Mit Geltung der DSGVO sollte die e-Privacy Verordnung die RL 2002/58 ersetzen und zu mehr Rechtsklarheit verhelfen. Ihr Inkrafttreten ist jedoch auch weiterhin aufgrund der umstrittenen Inhalte noch ungewiss.
Online-Händler sollten jedoch jetzt schon damit beginnen, ihren „Cookie-Werkzeugkasten“ zu ordnen und zu strukturieren. Folgende allgemeine Fragen können dabei helfen:
Die bisher strenge Ansicht der Datenschutzbehörden ist nach dem Urteil des EuGH nun als eher anwendungsfreundlich zu betrachten: Analyse-Tools, welche selbst auf dem Server des Verantwortlichen gehostet werden, können derzeit nach Ansicht der Aufsichtsbehörden auf die Rechtsgrundlage des überwiegenden berechtigten Interesses gestützt werden. Diese Möglichkeit dürfte zukünftig entfallen, sodass nur noch mittels vorheriger Einwilligung des Nutzers aktiv geschaltete Analyse-Tools zu empfehlen sind.
Welche Auswirkungen hat das Löschen einer Marke auf... By extral
llamaz 10. Oktober 2019
Na im Prinzip kann man damit Analysetools vollkommen vergessen, den wer klickt den auf “Ja bitte analysiere mich”…
Und wieder einmal haben einige wenige die den Hals nicht voll bekommen es für alle anderen versaut.
Ralf Harmuth 14. Oktober 2019
Ein Interessent welcher eine Webseite oder einen Shop betritt, gibt der Seite heute durchschnittlich noch 3 Sekunden Zeit um das zu finden wofür er sich interessiert. Nun wird der Besucher wohl erstmal Minuten damit verbringen müssen, diesen “Cookie-Wahnsinn” überhaupt zu verstehen und dann auch noch zu erlauben!!! Das ist wohl das ENDE vieler Webseiten und Shops im WorldWideWeb… Schafft doch einfach das Internet wieder ab!!! Dann haben diese “Datenschützer” auch keine Berechtigung mehr auf ihren Job. Einfach nur noch schlimm was hier in der EU abgeht… 🙁
Phil 7. November 2019
Hallo Herr Harmuth,
kleiner Tipp. Der Consent Banner auf Ihrer Homepage zeigt genau, wie es falsch ist.
einer dieser “Datenschützer”
Eugen Donhauser 14. Oktober 2019
Gehört Google Tag Manager auch dazu?
Dominik Heinz 24. Oktober 2019
Ja der gehört ganz genau dazu!
Oliver Tüngeler 14. Oktober 2019
Mich würde insbesondere interessieren ob Cookies die von Payment Anbietern wie PayPal oder Amazon Pay gesetzt werden auch zu den Cookies zählen die für den Zugriff und die Anzeige des Online-Auftrittes notwendig sind oder nicht?
Des weitern ist mir auch noch nicht ganz klar, ob auch über Art, Kategorie, Speichherdauer etc. der technisch notwendigen Cookies im Consent Manager Auskunft erteilt werden muss und ob diese ggf. auch durch den User deaktiviert werden können müssen?
Ein Antwort auf diese Fragen wäre sehr hilfreich.
der Thomas 14. Oktober 2019
wir verwenden gar keine Cookies, da wir keinen onlineshop haben, sondern lediglich Infoseiten,
Das Problem sind eher die Fremdinhalte; Bewertungsportal, oder das einbinden von Youtube Videos…, oder Gutscheinanbieter
Ich sehe es so das der Nutzer wenn er z.B. ein YouTube Video ansieht seitens you tube auf Cookies hingewiesen wird, aber nein, Konzern zu gross, der kleine Händler muss es regeln…, weil da traut sich der Gesetzgeber eher dran…
Wer hat den noch Lust wenn er 10 Webseiten ansieht mind. 10 mal die Cookieerklärungen anzuklicken…., und vor allem, wer liest sich das durch??
Es muss dahingehend praxisorientiert geregelt zu sein, wenn man z.B. you tube Vides ansieht, das man damit Cookies akzeptiert.
Wen ich tanken fahre muss die Tankstelle auch nicht bei der Einfahrt eine Erlaubniss einholen, das sie mich filmen darf….( Videoüberwachung)
Wer also online ist sollte sich darüber m klaren sein , das Cookies erstellt werden können.
Als Bestandteil des Internets.
tokra 15. Oktober 2019
Cookies sind technisch niemals erforderlich, auch nicht für Warenkorb-Systeme! Eine Session-ID kann man einfach an die URL anhängen (GET-Request) oder immer per POST-Request übergeben. Dies ist alles eine Frage der Programmierung. Vor dem Hintergrund gibt es überhaupt keine technisch notwendigen Cookies!
miha 18. Oktober 2019
Das ist leider falsch und richtig zu gleich.
Würde man die Session ID wieder an die URL anhängen, wären wir wieder in 1998. Früher war das total üblich mit der Session ID an der URL. Das führte dann dazu, dass URLs weitergegeben wurden und andere Leute plötzlich die Session kapern konnten. Ergo: “no go”, technisch nicht in Ordnung.
Auch ein POST Request hat seine Probleme, abgesehen davon, dass dann quasi jeder Link auf einer Seite anders behandelt werden muss, führt es nicht oft zu Schwierigkeiten, wenn der User einen Reload der Seite macht oder mit mehreren Tabs arbeitet. Alls Fallback ist die Lösung in Ordnung, aber nicht für die breite Masse.
Im Endeffekt bleiben aktuell nur Cookies als sinnvolle Lösung übrig, deswegen sind diese auch technisch notwendig.
Allerdings sehe ich auch keine Probleme darin, wenn jemand “technisch notwendige Cookies” für Warenkorb / Session / User Einstellungen setzt. Problematisch wird es, wenn externe Domains Cookies setzen.
Johm 18. Oktober 2019
Dein Ernst? Ja klar, dann kann ja jeder mal eben die URL übernehmen und mit deinem Link weitershoppen. Ist ja überhaupt nicht unsicher…
Wer so viel Ahnung vom Internet hat wie du, sollte dich auf keinen Fall darin aufhalten!
Thomas H. 15. Oktober 2019
Wenn sich jemand darüber beschwert, dass ihm die Inanspruchnahme eines Grundrechts zu kompliziert oder zu lästig erscheint, dann macht mich dies sehr traurig. OK, auch ich bin genervt von Einwilligungen und Zustimmungsbannern. Evtl. muss man hier über bessere praktische Umsetzung sprechen.
Aber was ist die Alternative? Ab sofort jedem Unternehmen alles zu erlauben, alle unsere Handlungen und Bewegungen im Netz zu verfolgen, zu messen zu analysieren, weiterzugeben und ewig zu speichern?
Und wenn jetzt Argumente kommen wie: “Die wissen doch eh schon alles über mich” oder “Ich habe doch keine Geheimnisse”, der hat den fundamentalen Wert von FREIHEIT noch nicht verstanden.
Man sieht doch wie sehr die “legale” und “illegale” Nutzung von Daten unser Leben in allen Bereichen schon elementar beeinflusst. Nervige Werbung die mich im Netz verfolgt ist da ja noch harmlos. Aber was ist mit Fake News, Hass-Kommentaren, Digitales Mobbing, Fake-Shops, Fishing-Sites, digitalen Informationsblasen und der Beeinflussung von Menschen, Meinungen und Wahlen?
Was hat dies mit Cookies zu tun? Evtl. gebe es heute keinen Präsidenten Donald Trump ohne soziale Medien, Cookies und Cambridge Analytica. Ohne Plattformen und Werbenetzwerke die Fake News, Hass-Kommentare, Digitales Mobbing und jede andere Art von Müll optimiert und individualisiert an den Adressaten bringen. Dort entfaltet dies alles langfristig seine Wirkung.
Wie schützt man sich vor einer Informationsblase welche sich zwangsläufig bewusst oder unbewusst um die eigene digitale Identität aufbaut?
Leute, es ist wirklich nicht viel verlangt einen Klick zu setzen! Rechtfertigt mehr Umsatz im Onlineshop die Aufgabe unserer Rechte als Verbraucher und Menschen? Opfern wir digitale Selbstbestimmung für Bequemlichkeit – ja, Ich fürchte viel zu oft. Daher benötigen wir Gesetzte und Regelungen zum Datenschutz!
Ich glaube die Machtkonzentration der großen Tech- und Internetfirmen wie Google, Amazon und Co. ist für kleine (und große) Unternehmen gefährlicher und auch teurer wie die Cookie-Banner. Ich sage nur: Änderung von Rankingfaktoren, Brand-Kampagnen bei Adwords, keine Anzeige der URL-Zeile im Browser, Kauf von Reichweiten bei eigen Followern, Netzneutralität uvm….
In einem hat Google vollkommen recht – es geht um Relevanz! Wenn jemand keine Werbung nach dem Besuch einer Website oder eines Shops wünscht – dann sollten wir als Unternehmen diesem Wunsch auch folgen. Durch ein automatisches setzen von Cookies sind wir nicht besser als SPAM-Versender die blaue Wunderpillen anbieten.
Sorry – dies musste ich mal loswerden!
Avelyn, B. 25. Oktober 2019
Und wo geht es an dein Weiter? Hier geht es ja nun darum, dass deine Daten Unternehmen zur Verfügung stehen.
Was ist mit Microsoft, Apple, deinen Internet Provider, ALLE Browser (ja, egal wie sehr Sie damit werben sicher zu sein, Sie sammeln Nutzerdaten, alle).
Schafft doch einfach das Internet in Europa ab, bin mal gespannt wann die ersten dann Weinen dass es Ihre “Lieblings Online Shops” nicht mehr gibt. (ja, die meisten Shops machen mit Google Anzeigen Ihren Hauptumsatz).
Webshop-Betreiber 15. Oktober 2019
Mal wieder völlig am Problem vorbei. yaho* beispielsweise “zwingt” den Nutzer dazu personalisierte Werbung, Analysen etc. zu akzeptieren, sonst kann man die Seite gar nicht mehr betreten. Die DSGVO hat also aus meiner Sicht zu weniger Datenschutz geführt, die großen Unternehmen holen sich jetzt einfach einen Blankoschein, um jede noch so kleine Information über den Nutzer zu sammeln, der dazu gedrängt wird alles zu akzeptieren, da er den Dienst/die Seite sonst nicht mehr nutzen kann.
Kleine Onlineshops sollen jetzt aber programmiertechnisch Dinge umsetzen, die technisch-rechtlich kompliziert und in großem Maße unklar sind. Seit Jahren führen EU-Beschlüsse meist nur zum Vorteil für große Konzerne, kleine Onlineshops und Verbraucherrechte werden benachteiligt. Deutschland sollte seine Sachen wieder selbst regeln.
Sascha K 16. Oktober 2019
Gegenfrage: Ist es denn zuviel verlangt, einen Klick zum Widerspruch zu setzen? Zudem ist ein Klick laut Richterspruch nicht genug. Jedes Cookie muß EINZELN akzeptiert werden. Damit ist doch jeder Endverbraucher überfordert.
“Rechtfertigt mehr Umsatz im Onlineshop die Aufgabe unserer Rechte als Verbraucher und Menschen?”
Wer spricht denn vor der Aufgabe “unserer Rechte”?! Das Recht auf was? Dass man sich im Netz, wo nicht mal jemand mein Gesicht sehen kann, freier bewegen darf als im Leben da draußen, wo ich täglich von zig Kameras gefilmt werde?! Gerne auch mit Autokennzeichen. Wenn ich das nicht möchte, bleibt mir nur diese Orte zu meiden.
Mal wieder hat ein Gericht wahrscheinlich ursächlich durch absolute Ahnungslosigkeit entschieden über ein Thema, das viel komplexer ist als schwarz/weiß. Und zwar mit “alles ist erstmal verboten, bis es der Nutzer explizit und bis ins Detail jeden Punkt erlaubt”.
Hier ist doch zu unterscheiden, ob ich aus Gründen tracke, die mir als Shop Betreiber mein Mindestmaß an benötigten Informationen oder von Trackings rede, deren Implementierung sich ohnehin nur extrem große Unternehmen leisten können und die jede technisch irgendwie mögliche Information bis ins kleinste Detail nutzen.
Die Analyse des Erfolgs von bezahlten Kampagnen ist für jeden Online Shop Betreiber essenziell.
Sonst gebe ich einfach mal Geld für Werbung aus und “gefühlt” kommt mehr Umsatz. Oder eben nicht. Da kann ich auch anfangen Zeitungsanzeigen zu schalten.
Auch wenn ich im Shop Änderungen durchführe mit der Hoffnung diesen benutzerfreundlicher zu machen, muss ich doch den Erfolg dieser Aktion irgendwie im Stande sein zu messen!
Und ja, mehr Profit rechtfertigt so einiges. Denn dahinter steckt nicht immer das gierige Unternehmen mit Millionengewinnen, wie der klischeegläubige Datenschutzparanoiker denkt. Es gibt auch kleine und mittelständige Unternehmen, die darauf angewiesen sind, die möglichen Analysen nutzen zu können.
Dort heißt es nicht “mehr Umsatz, immer mehr, Geld, Geld, Geld” sondern wie sichere ich die Arbeitsplätze meiner Mitarbeiter!
Und ja, jeder gerettete Arbeitsplatz ist höher zu bewerten als ein gefühltes Unbehagen, weil irgendwo ein anonymes (!) Nutzerprofil von mir erstellt wird.
Birgit B 22. Oktober 2019
Könnt Ihr Beispiele von Shops nennen, die dies bereits rechtskonform umsetzen. Also, die Retargeting etc. gemachen. Wie sollte das Pop Up genau aussehen?
Frank Welsch-Lehmann 1. November 2019
Das ist doch hier eine höchst akademische Diskussion, die weitgehend an der Realität der allermeisten Konsumenten/User vorbeigeht. Ist die Idee eines Datenbewussten-Konsumenten nicht ohnehin eher eine Illusion?
Wenn Konsumenten noch nicht einmal verstehen wie viel Zucker in ihrem Frühstück ist, und dafür eine primitive Ampel brauchen, wie sollen wir ernsthaft erwarten, dass sie den Unterschied der Cookie Kategorien verstehen.
So wie das Cookie Thema heute umgesetzt wird, werden 99,9% der User nur nach dem “wie-bekomme-ich-den-störenden-banner-weg”-Button suchen und ungelesen klicken.

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 5
 EuGH 
 EuGH 
 BGH 
 EuGH