Mit Urteil vom 1. Oktober 2019 in der Rechtssache C-673\/17 hat der EuGH entschieden, dass die f\u00fcr die Speicherung und den Abruf von Cookies auf dem Ger\u00e4t des Besuchers einer Website erforderliche Einwilligung durch ein voreingestelltes Ankreuzk\u00e4stchen, das der Nutzer zur Verweigerung seiner Einwilligung abw\u00e4hlen muss, nicht wirksam erteilt wird. Die Einwilligung m\u00fcsse vielmehr klar, ausdr\u00fccklich, f\u00fcr den konkreten Einzelfall und unter Zurverf\u00fcgungstellung der notwendigen Informationen erteilt werden. Damit positioniert sich der EuGH deutlich gegen die g\u00e4ngige Praxis von vorangekreuzten Einwilligungsfeldern und\/oder rein informatorischen Cookie-Bannern.<\/p>\n
Dem Urteil des EuGH liegt ein Rechtsstreit zwischen dem Bundesverband der Verbraucherzentralen und Verbraucherverb\u00e4nde\u2013 Verbraucherzentrale Bundesverband e. V. (vzbv) und der Planet49 GmbH, einem Anbieter von Online-Gewinnspielen zugrunde. Planet49 veranstaltete im Jahr 2013 ein Gewinnspiel zu Werbezwecken, in dessen Rahmen Nutzer ihre Postleitzahl, Adresse und ihren Nahmen angeben mussten, um teilnehmen zu k\u00f6nnen. Das hierzu zur Verf\u00fcgung gestellte Online-Eingabeformular war dabei unter anderem mit einem Ankreuzk\u00e4stchen versehen, das zwar bereits vorangekreuzt, aber nicht verpflichtend f\u00fcr die Gewinnspielteilnahme war. Wenn der entsprechende Haken im Ankreuzk\u00e4stchen nicht entfernt wurde, erkl\u00e4rten die Gewinnspielteilnehmer ihr Einverst\u00e4ndnis damit, dass Cookies auf ihrem Ger\u00e4t gesetzt werden, die eine Auswertung des Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung erm\u00f6glichen. Hiergegen erhob der vzbv Klage vor den nationalen deutschen Gerichten mit der Begr\u00fcndung, dass (unter anderem) die auf die geschilderte Art erteilte Einwilligung nicht den einschl\u00e4gigen Vorgaben im deutschen Recht entspreche. W\u00e4hrend die unterinstanzlichen Gerichte der Klage zumindest teilweise stattgaben, legte der Bundesgerichtshof die Sache dem EuGH vor, verbunden mit Fragen zu den Anforderungen, die die ePrivacy-Richtlinie (Richtlinie 2002\/58\/EG in der Fassung der Richtlinie 2009\/136\/EG) und die Datenschutzrichtlinie (Richtlinie 95\/46\/EG) an eine wirksame Einwilligung und die Informationspflichten der Verarbeiter stellen.<\/p>\n
Der EuGH betonte in seinem Urteil zun\u00e4chst, dass Art. 5 Abs. 3 der ePrivacy-Richtlinie verlangt, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endger\u00e4t eines Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Nutzer auf der Grundlage von klaren und umfassenden Informationen seine Einwilligung im Sinne von Art. 2 der Datenschutzrichtlinie gegeben hat. Eine wirksame Einwilligung im Sinne der genannten Richtlinien \u2013 so der EuGH weiter \u2013 erfordere aber ein aktives Verhalten, wof\u00fcr ein voreingestelltes Ankreuzk\u00e4stchen, das der Nutzer zur Verweigerung seiner Einwilligung abw\u00e4hlen muss, nicht gen\u00fcge. Dabei mache es auch keinen Unterschied, ob es sich bei den im Ger\u00e4t des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Das Unionsrecht wolle den Nutzer an dieser Stelle n\u00e4mlich vor jedem Eingriff in seine Privatsph\u00e4re sch\u00fctzen, insbesondere gegen die Gefahr, dass \u201eHidden Identifiers\u201c oder \u00e4hnliche Instrumente in sein Ger\u00e4t eindringen.<\/p>\n
Hinsichtlich der f\u00fcr eine wirksame Einwilligung notwendigen klaren und umfassenden Informationen stellte der EuGH klar, dass diese den Nutzer in die Lage versetzen m\u00fcssen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen, und gew\u00e4hrleisten m\u00fcssen, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Daher m\u00fcssten sie klar verst\u00e4ndlich und detailliert genug sein, um es dem Nutzer zu erm\u00f6glichen, die Funktionsweise der verwendeten Cookies zu verstehen. Neben der Identit\u00e4t des f\u00fcr die Verarbeitung Verantwortlichen und den Zwecken der Verarbeitung, geh\u00f6ren zu den in diesem Rahmen n\u00f6tigen Angaben laut EuGH auch Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf sie erhalten k\u00f6nnen.<\/p>\n
Das Urteil des EuGH betrifft zwar grunds\u00e4tzlich noch die \u201ealte\u201c Rechtslage unter der Datenschutzrichtlinie, die mittlerweile durch die Datenschutz-Grundverordnung (DS-GVO) abgel\u00f6st wurde. Auch die ePrivacy-Richtlinie soll mit dem Entwurf f\u00fcr eine ePrivacy-Verordnung (COM\/2017\/010 final) reformiert werden, was sich derzeit allerdings noch im Trilogprozess befindet. Allerdings enth\u00e4lt dieser Entwurf im hier relevanten Bereich keine wesentlichen \u00c4nderungen, insbesondere keine Liberalisierung, sodass sich auch an der Auslegung durch den EuGH h\u00f6chstwahrscheinlich nichts \u00e4ndern w\u00fcrde. Zur DS-GVO \u00e4u\u00dferte sich der EuGH angesichts der Zukunftsrelevanz des Urteils sogar ausdr\u00fccklich: Die vorgenommene Auslegung sei erst recht im Licht der DS-GVO geboten, da hier sogar ausdr\u00fccklich eine aktive Einwilligung gefordert sei.<\/p>\n
Das Urteil des EuGH bedeutet f\u00fcr die derzeitige Praxis von Webseiten, die Cookies einsetzen, das regelm\u00e4\u00dfig ein zumindest ein Umdenken erforderlich sein wird. Welche Art von Cookies konkret vom Urteil erfasst sind, dar\u00fcber bestehen aufgrund einiger verallgemeinernder Formulierungen des EuGH zur Zeit unterschiedliche Auffassungen. Rein technische Cookies im Sinne von Art. 5 Abs. 3 S. 2 der ePrivacy-Richtlinie,\u00a0deren alleiniger Zweck die Durchf\u00fchrung oder Erleichterung der \u00dcbertragung einer Nachricht \u00fcber ein elektronisches Kommunikationsnetz ist oder die zur Verf\u00fcgungstellung des Dienstes unbedingt erforderlich sind, wird man darunter wohl nicht fassen k\u00f6nnen.\u00a0<\/p>\n
Das Urteil des EuGH vom 1.Oktober 2019 in der Rechtssache C-673\/17 ist abrufbar unter<\/p>\n