Source: https://www.kanzlei.biz/vorabentscheidung-setzen-von-cookies-bedarf-aktiver-zustimmung-des-nutzers-eugh-01-10-2019-c-673-17/
Timestamp: 2020-01-19 12:31:00
Document Index: 346988316

Matched Legal Cases: ['§ 307', '§ 307', '§ 3', '§ 4', '§ 307', '§ 7', '§ 12', 'Art. 5', 'Art. 5', 'Art. 2', 'Art. 2', 'Art. 7', 'Art. 7', 'Art. 5', 'Art. 5', 'Art. 2', 'Art. 4', 'Art. 6', 'Art. 2', 'Art. 5', 'Art. 5', 'Art. 10', 'EuG', 'EuG']

Setzen von Cookies bedarf aktiver Zustimmung des Nutzers › kanzlei.biz
Sie befinden sich hier: kanzlei.biz > Urteile > Datenschutzrecht > Vorabentscheidung: Setzen von Cookies bedarf aktiver Zustimmung des Nutzers
Az.: C‑673/17
unter Mitwirkung des Präsidenten (…), der Vizepräsidentin (…), der Kammerpräsidenten (…), der Kammerpräsidentin (…), des Kammerpräsidenten (…), der Kammerpräsidentin (…), des Kammerpräsidenten (…) sowie der Richter (…),
Es ergeht im Rahmen eines Rechtsstreits zwischen dem Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (Deutschland) (im Folgenden: Bundesverband) und der Planet49 GmbH, einer Gesellschaft, die Online-Gewinnspiele anbietet, wegen der Einwilligung der Teilnehmer an einem von dieser Gesellschaft zu Werbezwecken veranstalteten Gewinnspiel in die Weitergabe ihrer personenbezogenen Daten an Sponsoren und Kooperationspartner sowie in die Speicherung von Informationen auf ihrem Endgerät und den Zugang zu den gespeicherten Informationen.
§ 307 Abs. 1 Satz 1 des Bürgerlichen Gesetzbuchs (im Folgenden: BGB) lautet: „Bestimmungen in Allgemeinen Geschäftsbedingungen sind unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen.“
In § 307 Abs. 2 Nr. 1 BGB heißt es: „Eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn eine Bestimmung … mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist …“
Nach der Begriffsbestimmung in § 3 Abs. 1 des Bundesdatenschutzgesetzes vom 20. Dezember 1990 (BGBl. 1990 I S. 2954) in der auf den Ausgangsrechtsstreit anwendbaren Fassung (im Folgenden: BDSG) sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener)“.
Im Rahmen einer erfolglos gebliebenen Abmahnung machte der Bundesverband, der in die Liste qualifizierter Einrichtungen gemäß § 4 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) vom 26. November 2001 (BGBl. 2001 I S. 3138) eingetragen ist, geltend, die von Planet49 mit dem ersten und dem zweiten Ankreuzkästchen verlangten Einverständniserklärungen genügten nicht den in § 307 BGB, § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb vom 3. Juli 2004 (BGBl. 2004 I S. 1414) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung und den §§ 12 ff. TMG aufgestellten Anforderungen.
Das vorlegende Gericht hat jedoch ausgeführt, da die Verordnung 2016/679, auf die sich im Übrigen ein Teil der ersten Frage beziehe, am 25. Mai 2018 in Kraft getreten sei, werde sie zum Zeitpunkt der Entscheidung des Ausgangsrechtsstreits voraussichtlich zu berücksichtigen sein. Außerdem ist es, wie die deutsche Regierung in der mündlichen Verhandlung vor dem Gerichtshof dargelegt hat, angesichts dessen, dass das vom Bundesverband angestrengte Verfahren darauf abzielt, dass Planet49 ihr Verhalten künftig unterlässt, nicht ausgeschlossen, dass die Verordnung 2016/679 aufgrund der nationalen Rechtsprechung zur relevanten Rechtslage bei Unterlassungsklagen in zeitlicher Hinsicht im Rahmen des Ausgangsrechtsstreits anwendbar ist; dies zu prüfen ist Sache des vorlegenden Gerichts (vgl., zu einer Feststellungsklage, Urteil vom 16. Januar 2019, Deutsche Post, C‑496/17, EU:C:2019:26, Rn. 38).
Insoweit folgt aus den Anforderungen sowohl der einheitlichen Anwendung des Unionsrechts als auch des Gleichheitsgrundsatzes, dass die Begriffe einer Vorschrift des Unionsrechts, die für die Ermittlung ihres Sinnes und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten müssen (Urteile vom 26. März 2019, SM [unter algerische Kafala gestelltes Kind], C‑129/18, EU:C:2019:248, Rn. 50, und vom 11. April 2019, Tarola, C‑483/17, EU:C:2019:309, Rn. 36).
Außerdem sind nach ständiger Rechtsprechung des Gerichtshofs bei der Auslegung einer Vorschrift des Unionsrechts nicht nur ihr Wortlaut und die mit ihr verfolgten Ziele zu berücksichtigen, sondern auch ihr Kontext und das gesamte Unionsrecht. Die Entstehungsgeschichte einer Vorschrift des Unionsrechts kann ebenfalls relevante Anhaltspunkte für ihre Auslegung liefern (Urteil vom 10. Dezember 2018, Wightman u. a., C‑621/18, EU:C:2018:999, Rn. 47 und die dort angeführte Rechtsprechung).
Zum Wortlaut von Art. 5 Abs. 3 der Richtlinie 2002/58 ist festzustellen, dass er zwar ausdrücklich vorsieht, dass der Nutzer zur Speicherung und zum Abruf von Cookies auf seinem Endgerät „seine Einwilligung gegeben“ haben muss. Dagegen enthält er keine Angaben dazu, wie die Einwilligung zu geben ist. Die Worte „seine Einwilligung gegeben“ legen jedoch eine Auslegung des Wortlauts nahe, wonach der Nutzer tätig werden muss, um seine Einwilligung zum Ausdruck zu bringen. Insoweit geht aus dem 17. Erwägungsgrund der Richtlinie 2002/58 hervor, dass für die Zwecke dieser Richtlinie die Einwilligung des Nutzers in jeder geeigneten Weise gegeben werden kann, durch die der Wunsch des Nutzers in einer spezifischen Angabe zum Ausdruck kommt, die sachkundig und in freier Entscheidung erfolgt; hierzu zählt auch „das Markieren eines Feldes auf einer Internet-Website“.
Zum Kontext von Art. 5 Abs. 3 der Richtlinie 2002/58 ist hervorzuheben, dass ihr Art. 2 Buchst. f, in dem der Begriff „Einwilligung“ im Sinne der Richtlinie definiert wird, insoweit auf die „Einwilligung der betroffenen Person“ im Sinne der Richtlinie 95/46 Bezug nimmt. Im 17. Erwägungsgrund der Richtlinie 2002/58 heißt es hierzu, dass für die Zwecke dieser Richtlinie die Einwilligung des Nutzers dieselbe Bedeutung haben sollte wie der in der Richtlinie 95/46 definierte und dort weiter präzisierte Begriff „Einwilligung der betroffenen Person“.
Nach Art. 2 Buchst. h der Richtlinie 95/46 bezeichnet der Ausdruck „Einwilligung der betroffenen Person“ „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“.
Diese Auslegung wird durch Art. 7 der Richtlinie 95/46 bestätigt, der eine abschließende Liste der Fälle enthält, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (vgl. in diesem Sinne Urteile vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 und C‑469/10, EU:C:2011:777, Rn. 30, und vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 57).
Nach Art. 7 Buchst. a der Richtlinie 95/46 setzt die Rechtmäßigkeit einer solchen Verarbeitung insbesondere voraus, dass die betroffene Person ihre Einwilligung „ohne jeden Zweifel“ gegeben hat. Diesem Erfordernis kann aber nur ein aktives Verhalten, mit dem die betroffene Person ihre Einwilligung bekundet, genügen.
Schließlich ist in Bezug auf die Entstehungsgeschichte von Art. 5 Abs. 3 der Richtlinie 2002/58 festzustellen, dass die ursprüngliche Fassung dieser Bestimmung lediglich vorsah, dass der Nutzer das Recht haben muss, die Speicherung von Cookies zu verweigern, nachdem er gemäß der Richtlinie 95/46 klare und umfassende Informationen insbesondere über die Zwecke der Verarbeitung erhalten hatte. Durch die Richtlinie 2009/136 wurde der Wortlaut dieser Bestimmung erheblich geändert, indem die genannte Fassung durch die Wendung „seine Einwilligung gegeben hat“ ersetzt wurde. Die Entstehungsgeschichte von Art. 5 Abs. 3 der Richtlinie 2002/58 deutet somit darauf hin, dass die Einwilligung des Nutzers nun nicht mehr vermutet werden darf und sich aus einem aktiven Verhalten des Nutzers ergeben muss.
Hinzuzufügen ist, dass die in Art. 2 Buchst. h der Richtlinie 95/46 angesprochene Willensbekundung u. a. „für den konkreten Fall“ erfolgen muss, was so zu verstehen ist, dass sie sich gerade auf die betreffende Datenverarbeitung beziehen muss und nicht aus einer Willensbekundung mit anderem Gegenstand abgeleitet werden kann.
Wie der Generalanwalt in Nr. 70 seiner Schlussanträge im Wesentlichen festgestellt hat, erscheint der Wortlaut von Art. 4 Nr. 11 der Verordnung 2016/679, wo der Ausdruck „Einwilligung der betroffenen Person“ im Sinne der Verordnung definiert wird, und insbesondere ihres Art. 6 Abs. 1 Buchst. a, auf den sich Buchst. c der ersten Frage bezieht, noch enger als der Wortlaut von Art. 2 Buchst. h der Richtlinie 95/46, denn er verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich“ abgegebene Willensbekundung der betroffenen Person in Form einer Erklärung oder „einer sonstigen eindeutigen bestätigenden Handlung“, in der ihr Einverständnis mit der Verarbeitung der sie betreffenden personenbezogenen Daten zum Ausdruck kommt.
Die Verordnung 2016/679 sieht mithin nunmehr ausdrücklich eine aktive Einwilligung vor. Hierzu ist festzustellen, dass nach dem 32. Erwägungsgrund der Verordnung die Einwilligung u. a. durch Anklicken eines Kästchens beim Besuch einer Internetseite zum Ausdruck kommen könnte. Dagegen wird in diesem Erwägungsgrund ausdrücklich ausgeschlossen, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen können.
Nach dieser Klarstellung ist jedenfalls festzustellen, dass in Art. 5 Abs. 3 der Richtlinie 2002/58 von der „Speicherung von Informationen“ und vom „Zugriff auf Informationen, die bereits … gespeichert sind“, die Rede ist, ohne diese Informationen näher zu bestimmen oder zu präzisieren, dass es sich bei ihnen um personenbezogene Daten handeln muss.
Wie sich bereits aus Rn. 46 des vorliegenden Urteils ergibt, verlangt Art. 5 Abs. 3 der Richtlinie 2002/58, dass der Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er „gemäß der Richtlinie [95/46]“ u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.
Die Dauer der Verarbeitung der Daten zählt zwar nicht zu diesen Informationen, doch geht aus dem Wort „zumindest“ in Art. 10 der Richtlinie 95/46 hervor, dass die dortige Aufzählung nicht abschließend ist. Die Information über die Funktionsdauer der Cookies steht aber im Einklang mit dem in diesem Artikel aufgestellten Erfordernis einer Verarbeitung nach Treu und Glauben, denn in einer Situation wie der des Ausgangsverfahrens impliziert eine lange oder unbegrenzte Funktionsdauer, dass zahlreiche Informationen über die Nutzungsgewohnheiten und die Häufigkeit etwaiger Besuche des Nutzers auf den Websites der Werbepartner des Veranstalters des Gewinnspiels gesammelt werden.
Aktenzeichen: C‑673/17
Klägerin: Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V.
Beklagte: Anbieterin von Gewinnspielen im Internet
EuGH , Az.: C‑673/17 am 01.10.2019
Cookies EuGH Online-Gewinnspiel Opt-Out Setzen von Cookies Verbraucherzentrale Bundesverband e. V. Vorabentscheidungsverfahren Wirksame Zustimmung