EuGH zu Anforderungen an Cookie-Einwilligung: Voreingestelltes Ankreuzkästchen genügt nicht -

Der EuGH hat entschieden, dass eine Einwilligung für die Speicherung und den Abruf von Cookies auf dem Gerät des Besuchers einer Website durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt werden kann (Urteil v. 01.10.2019, Rs. C-673/17).

Hintergrund der EuGH-Entscheidung war eine Klage des Verbraucherzentrale Bundesverbands (vzbv) gegen die Planet49 GmbH. Die Beklagte hatte auf einer Webseite bei Online-Gewinnspielen zu Werbezwecken ein Ankreuzkästchen mit einem voreingestellten Häkchen verwendet, mit welchem die Internetnutzer, die an einem solchen Gewinnspiel teilnehmen möchten, ihre Einwilligung in das Speichern von Cookies erklären. Die Cookies dienten zur Sammlung von Informationen zu Werbezwecken für Produkte der Partner der Planet49 GmbH. Wir haben über den Sachverhalt im Rahmen unserer News zu den Schlussanträgen des Generalanwalts am 22.03.2019 ausführlich berichtet: “Generalanwalt beim EuGH zur Cookie-Einwilligungserklärung“

Der Bundesgerichtshof hatte im Rahmen der Revision des vzbv das Verfahren ausgesetzt und dem EuGH Fragen zur Auslegung europäischen Datenschutzrechts vorgelegt (Vorlagebeschluss v. 05.10.2017, Az. I ZR 7/16).

Wesentlich war dabei Art. 5 Abs. 3 S. 1 der Datenschutzrichtlinie für elektronische Kommunikation:

„Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie [95/46] u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.“

Damit stellten sich Fragen, wie i. S. d. Vorschrift eine Einwilligung und unter welchen Voraussetzungen eingeholt werden kann.

Die Vorlagefragen des BGH

Zum einen wollte der BGH wissen, ob es sich um eine wirksame Einwilligung in das Setzen von Cookies handelt, wenn diese über ein mit einem voreingestellten Häkchen versehenes Ankreuzkästchen eingeholt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss. Dabei fragte der BGH auch, ob es einen Unterschied mache, ob es sich bei den dabei gespeicherten oder abgerufenen Informationen um personenbezogene Daten handele. Zum anderen legte der BGH die Frage vor, welche Informationen der Diensteanbieter dem Nutzer dabei zu erteilen habe.

Die Entscheidung des EuGH

Die vorgelegten Fragen beantwortete nun der EuGH sowohl auf der Grundlage der (inzwischen aufgehobenen) Datenschutzrichtlinie, der Datenschutz-Grundverordnung (DS-GVO) als auch der Datenschutzrichtlinie für elektronische Kommunikation.

Der EuGH entschied dabei, dass ein voreingestelltes Ankreuzkästchen als Cookie-Einwilligung nicht genüge.

Das Gericht zog dabei den Wortlaut der o. g. Vorschrift, Erwägungsgründe des einschlägigen EU-Rechts und die Begriffsbestimmung der alten Datenschutzrichtlinie wie auch der DS-GVO heran.

Für den EuGH legen die Worte „Einwilligung gegeben haben“ nahe, dass der Nutzer aktiv tätig werden muss. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt werde, impliziere kein aktives Verhalten des Nutzers einer Webseite. Seit Geltung der DS-GVO (konkret Art. 4 Nr. 11) sei nunmehr sogar ausdrücklich eine aktive Einwilligung vorgesehen.

Mit Blick auf Begriffsbestimmungen der alten Datenschutzrichtlinie stellte der EuGH klar, dass die Einwilligung u.a. „für den konkreten Fall“ erfolgen müsse. Die Tatsache, dass ein Nutzer die Schaltfläche für die Teilnahme am Gewinnspiel betätige, reichte für das Gericht nicht aus, um von einer wirksamen Einwilligung des Nutzers zur Speicherung von Cookies auszugehen.

Diese Auslegung sei, so das Gericht, erst recht im Lichte der DS-GVO geboten.

Auch mache es für die Richter hier keinen Unterschied, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten handele. Art. 5 Abs. 3 solle – wie auch der Generalanwalt in seinen Schlussanträgen ausgeführt hatte – den Nutzer vor jedem Eingriff in seine Privatsphäre schützen. Dieser Schutz erstrecke sich auf alle in solchen Endgeräten gespeicherten Informationen, unabhängig davon, ob es sich um personenbezogene Daten handelt, und erfasst insbesondere „Hidden Identifiers“ oder ähnliche Instrumente, die ohne das Wissen der Nutzer in deren Endgeräte eindringen.

Hinsichtlich der Frage nach dem Umfang von Informationspflichten (Einwilligung ist gemäß Art. 5 Abs. 3 S. 1 „auf der Grundlage von klaren und umfassenden Informationen“ einzuholen) entschied der EuGH, dass der Diensteanbieter auch gegenüber dem Nutzer einer Webseite verpflichtet sei, Informationen wie die Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu geben.