Bereits in seiner Entscheidung zur u.a. datenschutzrechtlichen Behandlung des „Gefällt mir“-Buttons von Facebook (EuGH, Urteil vom 29. Juli 2019 – AZ: C-40-17; siehe auch unseren Beitrag in unserem Newsletter 03/2019), hatte der Europäische Gerichtshof (EuGH) darauf hingewiesen, dass das Setzen eines Cookies die Einwilligung des Nutzers erfordert. In der Rechtssache Planet49 GmbH konnte der EuGH nun zu den Anforderungen an eine wirksame Einwilligung Stellung nehmen.
Für das Einwilligungserfordernis als solches stellt der EuGH allein auf die Richtlinie 2002/58/EG (sog. Cookie-Richtlinie) abstellt, wonach Cookies, die technisch für die Nutzung der Website nicht erforderlich sind (bspw. Webanalyse- oder Tracking-Dienste) nur dann auf dem Endgerät des Nutzers abgelegt werden dürfen (d. h. gesetzt werden), wenn hierfür eine Einwilligung des Nutzers vorliegt. In Bezug auf die Voraussetzungen einer wirksamen Einwilligung stellt der EuGH zudem nur auf die Regelungen der Datenschutz-Grundverordnung (DS-GVO) ab.
Im Ergebnis liegt nach Auffassung des EuGH nur dann eine wirksame Einwilligung für das Setzen eines Cookies vor, wenn diese aktive erklärt wird, bspw. durch das Anklicken eines Kästchens beim Besuch einer Internetseite. Demgegenüber liegt eine wirksame Einwilligung nicht vor, wenn das Setzen eines Cookies, „durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss“. Dieses Erfordernis gilt nach dem EuGH auch dann, wenn mit dem betreffenden Cookie keine personenbezogene Daten verarbeitet werden. Insoweit liegt der EuGH auf einer Linie mit der noch immer im Entwurfsstadium befindlichen ePrivacy Verordnung.
Schließlich stellt der EuGH fest, dass der Betreiber der Website (d. h. der sog. Diensteanbieter) verpflichtet ist, den Nutzer der Website über die Funktionsdauer der Cookies und darüber, ob Dritte Zugriff auf die Cookies erhalten können, zu informieren hat.
Diese Entscheidung des EuGH wird insbesondere auf die Ausgestaltung von sog. Cookie Banner erheblichen Einfluss haben. Jedenfalls die noch immer anzutreffenden Cookie Banner, die eine Einwilligung durch die Weiternutzung der Website fingieren wollen, dürften nicht (mehr) ausreichend sein. Auch die Hinweise zum Datenschutz bzw. zu den einzusetzenden Cookies müssen die Vorgaben des EuGH berücksichtigen.
TIPP: Sollen auf einer Website Cookies eingesetzt werden, die technisch nicht erforderlich sind (bspw. Webanalyse- oder Tracking-Dienste), dann empfiehlt es sich, bei der Umsetzung fachkundige Unterstützung in Anspruch zu nehmen. Sprechen Sie uns gerne an.
Für ergänzende Erläuterungen steht Ihnen Herr Rechtsanwalt Patrick Steinhausen gerne zur Verfügung.