{"id":8188,"date":"2019-10-02T12:51:22","date_gmt":"2019-10-02T10:51:22","guid":{"rendered":"https:\/\/www.bho-legal.com\/?p=8188"},"modified":"2020-06-05T13:48:41","modified_gmt":"2020-06-05T11:48:41","slug":"eugh-urteil-cookies-nur-bei-aktiver-einwilligung-opt-in-zulaessig","status":"publish","type":"post","link":"https:\/\/www.bho-legal.com\/en\/eugh-urteil-cookies-nur-bei-aktiver-einwilligung-opt-in-zulaessig\/","title":{"rendered":"EuGH-Urteil zu Cookies: strenge Anforderungen an die aktive Einwilligung (\u201eOpt-in\u201c)"},"content":{"rendered":"

1. Oktober 2019: Der EUGH beendet den deutschen \u201eSonderweg\u201c und urteilt, dass das Setzen von Cookies eine vorangegangene aktive Einwilligung des Internetnutzers voraussetzt<\/strong>.<\/strong><\/p>\n

Mit Urteil vom 01. Oktober 2019<\/a> hat der EuGH in der Sache C\u2011673\/17 im Rahmen einer Vorabentscheidung entschieden, dass das Setzen von Cookies eine vorangegangene aktive Einwilligung des Internetnutzers voraussetzt und im \u00dcbrigen s\u00e4mtliche Voraussetzungen der datenschutzrechtlichen Einwilligung nach Artt. 6 Abs. 1 S.\u00a01 lit.\u00a0a., 7 DSGVO erf\u00fcllen muss. Ein voreingestelltes H\u00e4kchen mit der M\u00f6glichkeit des so genannten Opt-outs sei nicht ausreichend und zwar unabh\u00e4ngig davon, ob die entsprechenden im Cookie enthaltenen Informationen personenbezogene Daten sind oder nicht. Zudem urteilte der EUGH, dass \u00fcber die Funktionsdauer des Cookies und den Zugriff Dritter im Rahmen der Informationspflichten nach den Artt. 13 und 14 DSGVO zu informieren ist.<\/p>\n

Hintergrund der Vorabentscheidung war ein Ersuchen des Bundesgerichtshofes in einem Verfahren des Bundesverbandes der Verbraucherzentralen und Verbraucherverb\u00e4nde gegen die Planet 49 GmbH. Diese hatte ein Online-Gewinnspiel veranstaltet, bei dem die Einwilligung zum Setzen von Cookies durch ein voreingestelltes H\u00e4kchen im Rahmen der Gewinnspielteilnahme erfolgte, wobei die Gewinnspielteilnehmer die M\u00f6glichkeit hatten, durch das aktive Entfernen des H\u00e4kchens auf die Abgabe der Einwilligung zu verzichten. Der Bundesverband der Verbraucherzentralen und Verbraucherverb\u00e4nde hatte die Planet 49 GmbH u.a. aufgrund des Umstandes, dass die Gewinnspielteilnehmer nicht aktiv das H\u00e4kchen zur Einwilligung setzen mussten, abgemahnt.<\/p>\n

Zur Einordnung der Streitigkeit muss man wissen, dass der deutsche Gesetzgeber im EU-Vergleich einen \u201eSonderweg\u201c gegangen ist und die nach Art.\u00a05 Abs. 3 der so genannten \u201eCookie-Richtlinie\u201c 2009\/136 (Aktualisierung der Richtlinie 2002\/58) erforderliche Einwilligung bei dem Setzen eines Cookies in \u00a7\u00a015 Abs. 3 TMG als Opt-out-L\u00f6sung ausgestaltet hat, w\u00e4hrend alle anderen Mitgliedsstaaten in den nationalen Gesetzen ein Opt-in erfordern. Bei einem Opt-out ist eine aktive Einwilligung des Nutzers nicht erforderlich, ein Widerspruch allerdings m\u00f6glich, wohingegen beim Opt-in, wie dies z.B. bei Anmeldungen zu Newslettern der Fall ist, eine aktive Einwilligung des Nutzers erforderlich ist. Die Datenschutzbeh\u00f6rden hatten die deutsche Regelung in der Vergangenheit wiederholt als unzureichend und europarechtswidrig bezeichnet.<\/p>\n

Der EuGH begr\u00fcndet sein Urteil im Hinblick auf die Anforderungen an die Einwilligung im Wesentlichen damit, dass die datenschutzrechtliche Einwilligung in Artt. 6 Abs. 1 S.\u00a01 lit.\u00a0a., 7 DSGVO, auf die in der so genannten \u201eCookie-Richtlinie\u201c verwiesen wird, ein aktives Verhalten des Nutzers erfordert, welches derart zu erfolgen habe, dass die Einwilligung \u201eohne Zweifel<\/em>\u201c abgegeben wurde. Dies sei bei einem voreingestellten H\u00e4kchen nicht der Fall, da \u201ees praktisch unm\u00f6glich [sei], in objektiver Weise zu kl\u00e4ren, ob der Nutzer einer Website dadurch, dass er ein voreingestelltes Ankreuzk\u00e4stchen nicht abgew\u00e4hlt hat, tats\u00e4chlich seine Einwilligung zur Verarbeitung seiner personenbezogenen Daten gegeben hat<\/em>\u201c. Jedenfalls bliebe unklar, ob er \u201ediese Einwilligung in Kenntnis der Sachlage erteilt<\/em>\u201c habe. Es k\u00f6nne \u201en\u00e4mlich nicht ausgeschlossen werden, dass der Nutzer die dem voreingestellten Ankreuzk\u00e4stchen beigef\u00fcgte Information nicht gelesen hat oder dass er dieses K\u00e4stchen gar nicht wahrgenommen hat, bevor er seine Aktivit\u00e4t auf der von ihm besuchten Website fortsetzte<\/em>\u201c.<\/p>\n

Die Entscheidung, dass die aktive Einwilligung selbst dann erforderlich ist, wenn es sich bei den Inhalten eines Cookies nicht um personenbezogene Daten handeln sollte (was nur in absoluten Ausnahmef\u00e4llen in Betracht kommen d\u00fcrfte, da der Personenbezug im Onlinebereich grds. besteht), begr\u00fcndet der EuGH mit dem Wortlaut der Cookie-Richtlinie), der unabh\u00e4ngig von der Personenbeziehbarkeit des Cookies auf die Einwilligung im Sinne der DSGVO verweist.<\/p>\n

Die Entscheidung, dass auch \u00fcber die Funktionsdauer des Cookies und den Zugang durch Dritte zu informieren ist, begr\u00fcndet der EuGH mit einem einfachen Verweis auf den insoweit klaren Wortlaut von Art. 13 Abs.\u00a01 lit. e., Abs.\u00a02 lit. a. DSGVO.<\/p>\n

Im Ergebnis bleibt festzuhalten, dass das Urteil des EuGH weit \u00fcber die Einwilligung in das Setzen von Cookies hinaus Auswirkungen haben wird, da er neben der \u201eAbschaffung\u201c des deutschen Sonderwegs die H\u00fcrden f\u00fcr die \u201einformierte Einwilligung\u201c gegen\u00fcber der in Deutschland vorherrschenden Praxis deutlich h\u00f6her legt und damit der grunds\u00e4tzlich immer noch m\u00f6glichen \u201ekonkludenten Einwilligung\u201c einen nur noch sehr eng umgrenzten Anwendungsbereich \u00fcbrigl\u00e4sst. Der R\u00fcckgriff auf die \u201ekonkludente Einwilligung\u201c d\u00fcrfte daher nur noch in Ausnahmef\u00e4llen m\u00f6glich sein.<\/p>\n

F\u00fcr die allermeisten Anbieter von Webseiten und Applikationen, bei denen Cookies zum Einsatz kommen, ergibt sich aus dem Urteil unmittelbarer Handlungsbedarf:<\/strong><\/p>\n