In der aktuellen Rechtslage ist vor allem Art. 5 Abs. 3 der ePrivacy-Richtlinie (2009) maßgeblich. Dieser schreibt eine Einwilligungspflicht für die Speicherung von oder den Zugriff auf Informationen im Endgerät vor. Damit sind nicht nur Cookies gemeint, sondern auch ähnliche Technologien wie Web Storage (Local / Session Storage), Fingerprints, Tags oder Pixel. Eine Ausnahme von dieser Pflicht besteht danach nur, sofern die Speicherung oder der Zugriff zur Verfügungstellung des Dienstes unbedingt erforderlich ist. Gemeint ist damit vor allem eine technische Erforderlichkeit.
Daneben ist die DSGVO (2018) relevant, sofern mittels Cookies und Co. personenbezogener Daten verarbeitet werden. Dann muss diese Datenverarbeitung auch den Anforderungen der DSGVO genügen und eine Rechtsgrundlage nach Art. 6 DSGVO haben. Darüber hinaus enthält die DSGVO den Maßstab für eine informierte Einwilligung, der auch für die ePrivacy-Richtlinie gilt.
Durch das EuGH-Urteil zu „Planet49“ vom Oktober 2019 (Az. C-673/17) wurde zunächst klargestellt, dass eine Einwilligung ein freiwilliges, aktives Handeln (= Opt-in) erfordert. Zudem seien beim Setzen von Cookies Informationen zu deren Funktionsdauer und den Zugriff durch Dritte auf jeden Fall erforderlich. Seit dem BGH-Urteil zu „Planet49“ vom Mai 2020 (Az. I ZR 7/16) ist zudem auch § 15 Abs. 3 TMG wieder relevant, indem dieser laut dem Urteilsspruch richtlinienkonform auszulegen und die dortige Widerspruchslösung europarechtswidrig sei. Im Ergebnis ist somit, den Vorgaben des EuGH entsprechend, zur Erstellung von Nutzungsprofilen für Werbung oder Marktforschung nach § 15 Abs. 3 TMG eine Einwilligung (= Opt-in) erforderlich.
Werden beim Einsatz eines Tools auch Daten in sogenannte Drittländer im Sinne der DSGVO übermittelt, muss zudem das Urteil des EuGH zu „Schrems II“ vom Juli 2020 (Az. C-311/18) beachtet werden (FAQ zu Schrems II). Danach muss etwa bei Einsatz von US-Dienstleistern oder bei Übermittlung von Daten in die USA geprüft werden, auf welcher Grundlage dies erfolgen kann. Sofern Standardvertragsklauseln verfügbar sind, müssen darüber hinaus in der Regel zusätzliche Maßnahmen zur Erhöhung des Schutzniveaus ergriffen werden. Daneben kommen die ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO sowie die Erforderlichkeit für einen Vertrag oder die Durchführung vorvertraglicher Maßnahmen nach Art. 49 Abs. 1 lit. b DSGVO in Betracht.