Source: https://www.datenschutzbeauftragter-info.de/eugh-aktive-einwilligung-fuer-cookies-erforderlich
Timestamp: 2019-11-12 14:06:03
Document Index: 356112062

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', '§ 15', 'EuG', 'EuG', 'EuG', 'EuG', 'BGH', 'EuG', 'Art. 5', 'EuG', 'Art. 5', 'EuG', 'EuG', 'Art. 6', 'Art. 5', '§ 15', 'Art. 5', '§ 15', 'Art. 5', 'Art. 5', 'Art. 6', 'BGH', 'EuG', 'BGH']

1. Oktober 2019 |	14 Kommentare | Von Dr. Datenschutz
Der Europäische Gerichtshof (EuGH) hat in der Rechtssache Planet49 entschieden, dass das Setzen von Cookies, die nicht unbedingt erforderlich sind, der aktiven Einwilligung des Internetnutzers bedarf. Dies gilt unabhängig davon, ob es sich bei den abgerufenen Informationen um personenbezogene Daten handelt oder nicht. In den Erwägungsgründen folgt der Gerichtshof den Schlussanträgen des Generalanwalts.
Der Verbraucherzentrale Bundesverband (vzbv) hat gegen Planet 49, ein Adresshändler und Gewinnspielbetreiber, auf Unterlassung geklagt. Um an einem Gewinnspiel teilzunehmen, sollten die Teilnehmer weitgehenden Nutzungsbedingungen zustimmen. So sollten die Nutzer einer Liste von insgesamt 57 Unternehmen erlauben, sie telefonisch, per E-Mail oder per Post zu kontaktieren. Diese Klausel wurde bereits 2014 vom Landgericht Frankfurt für unzulässig erklärt, da der Verbraucher bei einer so weitgehenden Einschränkung wie der Telefonwerbung eine explizitere Zustimmung geben müsste.
Im konkreten Verfahren vor dem EuGH ging es aber vor allem darum, dass sich der Betreiber der Website in Form von Hinweistexten das Recht einräumen ließ, Cookies im Browser des Nutzers zu setzen, damit Dienstleister „interessengerichtete Werbung“ ausspielen könnten. Das entsprechende Auswahlkästchen war bereits vorangekreuzt. Erst mit einem zusätzlichen Klick konnten Nutzer die Zustimmung widerrufen.
Strenge Ansicht des Generalanwalts
Bereits im März hat der Generalanwalt Maciej Szpunar in dieser Rechtssache seinen Schlussantrag veröffentlicht. Nach Auffassung des Juristen entsprechen die deutschen Gesetze zum Cookie-Einverständnis nicht dem europäischen Recht. Für das Setzen von Cookies, die technisch für die Nutzung nicht erforderlich sind (insbesondere zu Werbe- und Analyse zwecken), sei eine Einwilligung des Nutzers erforderlich.
Nach Ansicht des Generalanwalts ist die zitierte zweite, „vorangekreuzte“ Einwilligung sowohl nach alter wie auch nach neuer Rechtslage aus drei Gründen unwirksam (Rz. 84-93):
Die Einwilligung sei nicht aktiv erteilt, da – anders als etwa bei dem Setzen eines Häkchens – objektiv nicht nachvollzogen werden könne, dass der Nutzer aktiv zugestimmt habe.
Sie sei zudem nicht gesondert erteilt, weil die Einwilligung einen Teil der Handlung „Teilnahme am Gewinnspiel“ darstelle. Das Setzen oder Entfernen des Häkchens sei lediglich als vorbereitende Handlung für die eigentlich bindende Handlung (die Gewinnspielteilnahme) zu verstehen.
Auch mangele es an der Informiertheit der Einwilligung. Zwar sei die Teilnahme am Gewinnspiel auch ohne Ankreuzen der zweiten Einwilligung möglich gewesen – darüber sei aber nicht ausreichend informiert worden.
Einwilligung erfordert aktive Zustimmung des Nutzers
Bislang handelte es sich hierbei „nur“ um eine Empfehlung, wobei man jedoch schon vermutete, dass der Gerichtshof dieser folgen wird. Und siehe da – in den Erwägungsgründen schließt sich der EuGH der Auffassung des Generalanwalts an:
Das Erfordernis einer „Willensbekundung“ der betroffenen Person deute auf ein aktives und nicht passives Verhalten hin. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, impliziere aber kein aktives Verhalten eines Nutzers einer Website (Rn. 52).
Personenbezug unerheblich
Auch ließ der EuGH die Begründung nicht gelten, dass es sich bei Cookies nur um pseudonymisierte Daten handele, die keinen wirklichen Bezug zu einer konkreten Person zuließen. Selbst wenn es um nicht-personenbezogene Daten gehe, müsste die explizite Zustimmung zur Datenverarbeitung erteilt werden.
„Das Unionsrecht soll Nutzer vor jedem Eingriff in ihre Privatsphäre schützen, insbesondere gegen „Hidden Identifiers“ oder ähnliche Instrumente.“
so heißt es in der Pressemitteilung des Gerichtshofs.
Der Gerichtshof stellt ferner klar, dass Webseitenbetreiber gegenüber dem Nutzer hinsichtlich der Cookies u.a. Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter machen müssen.
Klare Anforderungen an Cookie-Banner
Um die vom EuGH formulierten Anforderungen zukünftig umsetzen zu können, werden einfache Cookie-Banner, die man einfach wegklickt oder stehen lässt, als Einwilligung nicht ausreichen. Kurioserweise ist auch das Cookie-Banner auf der Website des EuGH ein Beispiel für eine solche, mangelhafte Umsetzung.
Rechtspolitischer Ausblick
Deutschland hätte die seit 2009 geltende Cookie-Richtlinie längst umsetzen müssen. Die Richtlinie sah prinzipiell ein sog. Opt-In-Verfahren vor, bei dem Nutzer für den Einsatz von Cookies ihre Einwilligung geben müssen. Die Bundesregierung war dabei aber der Auffassung, dass die Cookie-Informationspflichten durch das Telemediengesetz (§ 15 TMG) bereits EU-rechtskonform umgesetzt seien. Diese Interpretation war äußerst „sportlich“, da das TMG im Gegensatz zur Forderung der EU-Cookie-Richtlinie eine Opt-Out-Lösung ausreichen ließ. Das Urteil kann (auch) als klare Ansage an den deutschen Gesetzgeber verstanden werden, das deutsche Recht an die EU-Regeln anzupassen. Das Bundeswirtschaftsministerium kündigte bereits eine Änderung des Telemediengesetzes an.
Alternativ könnte auch der europäische Gesetzgeber zuvorkommen, indem es doch zu einer baldigen Verabschiedung der ePrivacy-Verordnung kommt. Gerade weil der EuGH in seinem heutigen Urteil einen relativ harten Kurs fährt, dürften nun deutlich mehr Parteien an einer Regelung in der ePrivacy-Verordnung interessiert sein. Jedenfalls im Interesse der Rechtsklarheit wäre eine solche Lösung wünschenswert.
Spanien: Bußgeld über 30.000 Euro wegen Cookie-Banner
Mehr zum Thema: Cookie, Cookie-Richtlinie, Einwilligung, EuGH, Telemediengesetz, TMG
hätten Sie eventuell ein Beispiel für eine gute Lösung im Sinne dieses Urteils?
Es gibt ja doch recht viele Varianten im Internet.
Stud. DSRecht am 2. Oktober 2019, 07:52 Uhr
Es ist bereits abzusehen, dass die jetzt häufig eingesetzten Cookie-Banner mit wenig Text und 1-2 Klickmöglichkeiten durch komplexere Cookie Consent Panels ersetzt werden, um den Ansprüchen des EuGHs zu genügen. Um zu sagen wie diese konkret aussehen müssen, dafür ist es am Tag danach noch zu früh. Dies wird in den nächsten Monaten austariert werden.
Dr. Datenschutz am 2. Oktober 2019, 13:49 Uhr
Ich habe den Eindruck, dass das Urteil, auch hier, nicht richtig verstanden wird. Der EuGH hat überhaupt nicht geurteilt, ob für Cookies Einwilligungen erforderlich sind. Er hat lediglich geurteilt, dass für das Einholen einer Einwilligung eine vorausgefüllte Checkbox nicht ausreichend ist.
Barristan am 2. Oktober 2019, 10:47 Uhr
Dass keine wirksame Einwilligung vorliegt, wenn dies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, war die Antwort des Gerichts auf die erste Vorlagefrage des BGH. Sie bezieht sich mithin auf den konkreten Sachverhalt im Rechtsstreit zwischen Planet 49 und der vzbv.
Um zu diesem Ergebnis zu kommen, legt der EuGH aber in den Rn. 49 ff. den Art. 5 Abs. 3 der Richtlinie 2002/58 verbindlich dahingehend aus, dass der Nutzer zur Speicherung und zum Abruf von Cookies auf seinem Endgerät seine Einwilligung durch ein aktives Verhalten (Rn. 52) ohne jeden Zweifel (Rn. 54) gegeben haben muss.
Bisher knüpfte der wacklige deutsche Sonderweg am Wortlaut der Richtlinie insbesondere „seine Einwilligung gegeben“. Denn wie auch der EuGH anmerkt (Rn. 49), enthält die Norm keine Angaben dazu, wie die Einwilligung zu geben ist. Die Einwilligungsvoraussetzung des Art. 5 Abs. 3 der Richtlinie wurde dahingehend ausgelegt, dass auch ein Opt-Out in Fällen der pseudonymen Nutzungsprofilerstellung diese erfüllen würde.
Dem hat der EuGH eine deutliche Absage erteilt, denn Begriffe einer Vorschrift des Unionsrechts, die für die Ermittlung ihres Sinnes und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, müssen in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten. (Rn. 47)
Dr. Datenschutz am 2. Oktober 2019, 14:31 Uhr
Ich stimme Barristan vollkommen zu. Dem Urteil lassen sich nur zwei Aussagen entnehmen, die eigentlich alte Hüte sind: Cookie Banner sind keine Einwilligungen und ich muss Informationen zur Cookie-Laufzeit und möglichen Empfängern erteilen.
Der EuGH hat sich nur damit beschäftigt, WIE eine Einwilligung einzuholen ist. OB es einer solchen bedarf war überhaupt nicht Gegenstand der Vorlagefrage. Zur Frage, ob die Verwendung solcher Cookies auch auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, finde ich in dem Urteil nichts.
florock am 2. Oktober 2019, 14:50 Uhr
Abgesehen davon, wie haben Sie das Urteil denn verstanden?
Martin am 2. Oktober 2019, 17:07 Uhr
Das es einer Einwilligung für nicht unbedingt erforderlich Cookies bedürfen soll, ergibt sich direkt aus dem Gesetz, nämlich Art. 5 Abs. 3 der Richtlinie 2002/58/EG. Demnach haben die Mitgliedstaaten sicherzustellen, „dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie [95/46] u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.“
Aufgrund der angeblichen Umsetzung dieser Richtlinien durch § 15 Abs. 3 TMG und dem Umstand, dass die ePrivacy-Verordnung nicht zusammen mit der DSGVO in Kraft getreten ist, ergeben sich durch die im Rahmen des Urteils getroffenen Ausführungen zu Art. 5 Abs. 3 der ePrivacy-Verordnung für Deutschland, dass eine aktive Einwilligung erforderlich ist. Wieso genau, hatten wir in einem Gedankenspiel vor Anwendbarkeit der DSGVO einmal ausgebreitet.
Dr. Datenschutz am 2. Oktober 2019, 17:35 Uhr
§ 15 Abs. 3 TMG stellt keine Einwilligung nach Art. 5 Abs. 3 der RL dar. Damit ist die Vorschrift nicht anzuwenden. Soweit so gut.
Art. 5 Abs. 3 RL wurde damit aber insgesamt nicht umgesetzt und ist auf den Webseitenbetreiber schlicht nicht anwendbar. Es gilt daher allein Art. 6 DSGVO.
In der DSGVO sind alle Rechtfertigungstatbestände von der Einwilligung bis zur Interessenabwägung gleichwertig. Die Frage ist, wie fällt bei der Verwendung von Cookies die Interessenabwägung aus? Und kommt hier am Ende die ePrivacyVO doch noch durch die Hintertür der Interessenabwägung ins Spiel?
Diese Fragen und der Klassiker, ob eine unwirksame Einwilligung die berechtigten Interessen sperrt, muss nun der BGH beantworten. Für beides wäre wohl eine erneute Vorlag an den EuGH erforderlich.
florock am 2. Oktober 2019, 18:47 Uhr
Die Kommentatoren von Dr. Datenschutz sind sich in der Auslegung des Urteils nicht immer einig. Der hier Kommentierende allerdings stimmt Ihren Ausführungen vollkommen zu. Dies wäre Option 1, siehe auch die Antwort auf lacrosse.
Dr. Datenschutz am 4. Oktober 2019, 10:34 Uhr
Cookie-Banner sind nichts als eine sinnlose Nerverei, da sowieso kaum jemand auf die Sichtung einer Seite verzichtet, weil das Management der dort erhobenen, pseudonymisierten Daten im Detail nicht gefällt.
Wer keine Werbung sehen will und Tracking ablehnt, surft mit entsprechenden Einstellungen im Browser oder anderen Adblockern. Und nimmt in Kauf, dass einige Seiten so nicht betretbar sind.
Leander Schmidt am 2. Oktober 2019, 12:02 Uhr
Die Richtlinie 2002/58 ist eine Richtlinie und keine EU-Verordnung und entfaltet keine unmittelbare Wirkung – das tat sie bisher auch nicht. Die RL wurde mangelhaft in nationales Recht umgesetzt. Es macht doch nun Sinn auf das neue TMG zu warten, bevor wir alle losrennen. Oder die Eprivacy-VO beantwortet die Frage(n), wann immer sie auch kommen mag.
lacrosse am 2. Oktober 2019, 15:04 Uhr
Dem ersten Satz stimmen wir zu. Der zweite Satz spiegelt die Ansicht der Datenschutzaufsichtsbehörde wider, wie sie in der Orientierungshilfe der Aufsichtsbehörden für Telemedienanbieter vertreten wird (Option 1). Demnach ergäben sich aber nur keine Änderungen für Cookies ohne Personenbezug. Für Cookies mit Personenbezug würde die DSGVO gelten. Dabei würde ein berechtigtes Interesse am Setzen nicht unbedingt erforderlicher Cookies wohl in der Regel ausscheiden, da dies gegen geltendes (wenn auch nicht umgesetztes) Recht verstößt.
Daneben gibt es noch die Möglichkeit, dass der BGH, wie in seiner Vorlage in Rn. 31 angedeutet, die Vorschriften des TMG richtlinienkonform auslegt (Option 2). In beiden Fällen ist jedoch klar, dass nicht unbedingt erforderliche, personenbezogene Cookies zukünftig nur noch mit der aktiven Einwilligung des Nutzers gesetzt werden dürfen. Interessant wird jetzt vor allem die Debatte um die Frage, was denn unbedingt erforderlich ist.
Dr. Datenschutz am 2. Oktober 2019, 17:52 Uhr
Das bedeutet, dass ich für ein session-cookie ohne Nutzerdatenspeicherung überhaupt keinen Cookie-Hinweis und/oder Einwilligungsfeld bereitstellen muss? Das cookie ist lt. meinem Seitenbetreiber „notwendig“….
Harald am 4. Oktober 2019, 17:58 Uhr
Zu dem Umgang Session-Identifiers haben sich die Aufsichtsbehörden in ihrem Papier für Telemedienanbieter und im Working Paper 194 geäußert.
Dr. Datenschutz am 7. Oktober 2019, 16:42 Uhr