EuGH: Anforderungen an eine Cookie-Einwilligung

Der EuGH hat am 01.10.2019 entschieden, dass Betreiber von Webseiten eine Einwilligung in das Setzen von Cookies für Werbezwecke nicht durch ein vorangekreuztes Häkchen einholen können (Urteil v. 01.10.2019, Az. C-673/17).

Vielmehr müsse der Nutzer aktiv ein Häkchen setzten, um seine Einwilligung zu erteilen. Die Entscheidung des EuGH gilt unabhängig davon, ob die in dem Cookie gespeicherten Daten personenbezogene Daten darstellen oder nicht. Weitere Voraussetzung für eine wirksame Einwilligung ist nach dem Urteil, dass der Nutzer über die Funktionsdauer des Cookies und mögliche Zugriffsrechte Dritter auf den Cookie informiert wurde.

Hintergrund des Verfahrens ist ein deutscher Rechtsstreit. Der Verbraucherzentrale Bundesverband hatte einen Gewinnspielanbieter auf Unterlassung in Anspruch genommen, weil im Rahmen einer Gewinnspielteilnahme die Einwilligung in das Setzen von Cookies durch ein vorangekreuztes Häkchen eingeholt werden sollte. Mit dem Cookie wurde das Nutzungsverhalten der Teilnehmer über mehrere Webseiten getrackt. Die Ausführungen des EuGH gehen dabei jedoch nicht auf besondere Anforderungen von Cookies ein, sondern befassen sich allgemein mit der Einwilligung. Sie sind daher auch anwendbar auf die (noch) weit verbreiteten Cookie-Banner, mit denen Seitenbetreiber über den Einsatz von Cookies informieren und lediglich eine Möglichkeit zum Opt-out einräumen („Durch die weitere Nutzung unserer Seite stimmen Sie der Verwendung von Cookies zu.“).

Der EuGH hat sich in der Entscheidung nicht mit der Frage befasst, in welchen Fällen eine Einwilligung in das Setzen eines Cookies erforderlich ist. Er hat aber konkrete Vorgaben dafür formuliert, wie eine Einwilligung einzuholen ist. Die Entscheidung hat daher keinen Einfluss auf Cookies, die für die Funktionsfähigkeit einer Webseite zwingend erforderlich sind (Login-Sessions, Warenkorb, Spracheinstellungen).

Die Datenschutzkonferenz („DSK“) hatte im März 2019 eine Orientierungshilfe für Anbieter von Telemedien veröffentlich, in der Sie ihre Position zu Cookies noch einmal dargelegt hat. Nach der Auffassung der DSK können Cookies, die das Nutzerverhalten über verschiedene Webseiten tracken nicht auf Grundlage des berechtigten Interesses der Seitenbetreiber eingesetzt werden, sondern nur über eine ausdrückliche Einwilligung.

Praxis-Tipp: Seitenbetreiber sollten prüfen, ob und welche Cookies auf der Seite eingesetzt werden. Einwilligungen müssen an die Anforderungen des EuGH angepasst werden. Danach müssen Cookies, für die eine Einwilligung eingeholt werden soll, vor der ausdrücklichen Einwilligung inaktiv sein. In den Datenschutzhinweisen muss die Speicherdauer von Cookies angegeben werden und es bedarf einer Klarstellung, ob Dritte Zugriff auf die Cookies haben.