Cookies – Wird die informierte Einwilligung Pflicht?
Das höchste europäische Gericht, der EuGH, hat sich kürzlich zum Einsatz von Cookies auf deutschen Webseiten und Onlineshops geäußert. Als Antwort auf eine Anfrage des BGH formuliert der europäische Gerichtshof deutlich eine Pflicht zur aktiven Einwilligung in nicht technisch notwendige Cookies. Mit dieser Entscheidung kommt frischer Wind in die Debatte.
Cookies sind kleine Textdateien, die auf Endgeräten von Online-Nutzer bei deren Reise durchs Netz gespeichert werden. Durch diese Dateien können Informationen ausgelesen oder übermittelt werden. Grob können die digitalen Kekse in zwei Kategorien eingeteilt werden:
Zum einen gibt es technisch notwendige Cookies. Ohne diese könnten viele Funktionalitäten einer Website nicht reibungslos funktionieren. Ein Beispiel hierfür sind Session-Cookies, welche zur Speicherung von Warenkörben in Onlineshops gebraucht werden. Zudem ermöglichen sie Nutzern ein bequemes Surfen, indem sie zum Beispiel bestimmte Einstellungen einer Seite speichern und so dem Nutzer ersparen, diese jedes Mal aufs Neue zu treffen.
Bei der zweiten Kategorie handelt es sich um Cookies, die vor allem dem Analyse- und Werbeinteresse des Webseiten-Betreibers dienen. Cookies von Webanalyse-Tools, Affiliate- oder Retargeting-Diensten sowie von Social-Media-Plugins sind hier nur einige Beispiele. Diese helfen, den Nutzer über mehrere Seiten hinweg wiederzuerkennen und diesem anschließend personalisierte Werbeanzeigen auszuspielen. Bei der Diskussion um Cookie-Hinweise und Einwilligungen geht es in der Regel nur um diese zweite, nicht technische notwendige Art.
Cookie-Hinweis: Wie muss dieser aussehen?
Um auf die Nutzung von Cookies hinzuweisen, gibt es derzeit verschiedene Lösungen. Diese haben sich auch aus der nicht ganz klaren Rechtslage heraus entwickelt. Weit verbreitet ist vor allem der sogenannte Cookie-Banner. Dieser macht den Nutzer zwar darauf aufmerksam, dass Cookies gesetzt werden, bietet ihm aber keinerlei Handlungsmöglichkeit. Andere Seiten-Bertreiber gehen einen Schritt weiter. Sie stellen genau dar, welche Cookies gesetzt werden. Der Nutzer kann dann, per Opt-Out, den Einsatz bestimmter Cookies aktiv abwählen, indem er ein bereits voreingestelltes Häkchen entfernt.
Die Entscheidung des EuGH zur Cookie-Einwilligung
Der EuGH hat sich nun eindeutig positioniert und erteilt den beiden oben genannten Verfahren eine klare Absage. Er fordert eine aktive Einwilligungspflicht für alle nicht technisch notwendigen Cookies. Dies bedeutet konkret, dass eine ausdrückliche Zustimmung für jedes einzelne Cookie vom Nutzer gegeben werden muss. Ein Opt-Out, also ein Abwählen eines im Vorfeld gesetzten Einwilligungs-Häkchens, ist nach dieser Sichtweise nicht mehr zulässig. Dies gilt unabhängig davon, ob personenbezogene Daten gesammelt werden oder nicht.
Laut EuGH müssen Seitenbetreiber die technischen Vorkehrungen treffen, dass für jedes Cookie eine aktive Einwilligung gegeben und auch wieder entzogen werden kann. Zudem muss umfänglich über die Funktionsweise, die Aufbewahrungsdauer und die möglichen Drittempfänger der Cookie-Daten informiert werden.
Anders ausgedrückt, der Nutzer muss jeder Art von Analyse seines Verhaltens und der darauf aufbauenden Verarbeitung seiner Daten zu Werbezwecken aktiv und informiert zustimmen.
Nach dem EuGH-Urteil: Was gilt jetzt und wie geht es weiter?
Bislang gilt in Deutschland im Hinblick auf den Einsatz von Cookies noch die bestehende Regelung § 15 Absatz 3 Telemediengesetz (TMG) von 2007. Nach viel Kritik an der deutschen Rechtslage sollte die europaweite ePrivacy-Verordnung Klarheit schaffen. Diese sollte ursprünglich bereits gemeinsam mit der DSGVO am 25. Mai 2018 in Kraft treten. Sie wurde allerdings bis heute nicht in deutsches Recht umgesetzt. Durch die aktuelle Entscheidung des Europäischen Gerichtshofes in dieser Sache im Oktober 2019, wird sich nun der BGH mit dem Thema auseinandersetzen. Konkret geändert hat die Entscheidung des höchsten europäischen Gerichtes also noch nichts, aber es ist zu erwarten, dass künftig neue Regelungen auf Seitenbetreiber und Onlinehändler zukommen.
