Grund­lo­se Panik zu Coo­kies durch das EuGH Urteil zu Planet49

Seit der Urteils­ver­kün­dung des EuGH am 01.10.2019 hat man das Gefühl, die Medi­en über­schla­gen sich mit auf­merk­sam­keits­er­ha­schen­den Eil­mel­dun­gen und Head­lines. Lei­der — und das im Kon­text der DSGVO nicht zum ers­ten Mal — mit Falsch­dar­stel­lun­gen und Aus­sa­gen, die der EuGH so gar nicht getä­tigt hat. Da das The­ma Coo­kies auch immer wie­der Gegen­stand von Anfra­gen Ihrer­seits an uns ist, ein paar Infor­ma­tio­nen zu den eigent­li­chen Inhal­ten des Urteils.

Aus­gangs­la­ge — Bun­des­ver­band der Ver­brau­cher­zen­tra­len klagt wegen einer bereits vor­ausge­wähl­ten Check­box für Coo­kies im Kon­text Werbung

Die Planet49 GmbH führ­te ein Gewinn­spiel zu Wer­be­ze­cken durch. Dem Besu­cher wur­den hier­bei die übli­chen Ein­wil­li­gun­gen bzw. Zustim­mun­gen in Form von zwei Check­bo­xen vor dem dann fol­gen­den Teil­neh­men-But­ton ange­zeigt. Bei der Check­box Num­mer 1 han­del­te es sich um eine Ein­wil­li­gung in Post- und Tele­fon­wer­bung der Koope­ra­ti­ons­part­ner und Spon­so­ren des Gewinn­spiels. Die­se Check­box war nicht ange­kreuzt, der Teil­neh­mer muss­te die Check­box also selbst akti­vie­ren, sofern er die Ein­wil­li­gung ertei­len woll­te. Im Fall der zwei­ten Check­box war die­se bereits ange­kreuzt und ent­hielt fol­gen­den Text im Wortlaut:

„Ich bin ein­ver­stan­den, dass der Web­ana­ly­se­dienst Rem­in­trex bei mir ein­ge­setzt wird. Das hat zur Fol­ge, dass der Gewinn­spiel­ver­an­stal­ter nach Regis­trie­rung für das Gewinn­spiel Coo­kies setzt, wel­ches Planet49 eine Aus­wer­tung mei­nes Surf- und Nut­zungs­ver­hal­tens auf Web­sites von Wer­be­part­nern und damit inter­es­sen­ge­rich­te­te Wer­bung durch Rem­in­trex ermög­licht. Die Coo­kies kann ich jeder­zeit wie­der löschen. Lesen Sie Nähe­res hier.“

Der Bun­des­ver­band der Ver­brau­cher­zen­tra­len war nun — wenig ver­wun­der­lich — der Ansicht, die bereits ange­kreuz­te Check­box Num­mer 2 ver­stößt durch die bereits vor­ein­ge­stell­te Akti­vie­rung gegen das  Gesetz gegen unlau­te­ren Wett­be­werb, kurz UWG. Man mahn­te den Sach­ver­halt fol­ge­rich­tig ab. Der nun fol­gen­de Rechts­streit ging bis zum BGH. Die­ser brach­te für die Bewer­tung die EU-Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on ins Spiel und rief daher den EuGH zur Beur­tei­lung an.

So weit, so gut: Der geneig­te Leser weiß seit lan­gem, dass vor­an­ge­kreuz­te Ein­wil­li­gun­gen bereits die for­ma­len Anfor­de­run­gen an eine Ein­wil­li­gung nicht erfül­len und damit hin­fäl­lig sind. Den Umweg hät­te man sich daher spa­ren kön­nen. Aber gut.

Was kon­kret frag­te der BGH den EuGH im Zuge des Planet49-Vorgangs?

Der BGH woll­te vom EuGH meh­re­re Fra­gen beant­wor­tet haben. Ob Coo­kies nun gene­rell alle zustim­mungs­pflich­tig sind, war expli­zit nicht Gegen­stand der Anfra­ge. Wis­sen woll­te man sei­tens des BGH, ob

1. eine sol­che bereits ange­kreuz­te Check­box, wel­ches der­ar­ti­ge Coo­kies setzt, eine nach den vor­ge­nann­ten Rechts­grund­la­gen „wirk­sa­me Ein­wil­li­gung“ darstellt,
2. ob es einen Unter­schied macht, ob der Coo­kie „per­so­nen­be­zo­ge­ne Daten“ ver­ar­bei­tet oder nicht,
3. ob die vor­lie­gen­de Ein­wil­li­gung nach DSGVO wirk­sam wäre und
4. wel­che Infor­ma­tio­nen für eine wirk­sa­me Ein­wil­li­gung kon­kret zu ertei­len sind.

Und jetzt schau­en wir mal auf das gest­ri­ge Urteil.

Was hat der EuGH zu Coo­kies denn nun ent­schie­den? Ein­wil­li­gung zwin­gend notwendig?

Glaubt man dem media­len Hype, dann sind seit dem 01.10.2019 Coo­kies nur noch mit Ein­wil­li­gung mög­lich. Wie heißt es so schön: Wer lesen kann, ist klar im Vor­teil. Genau das hat der EuGH eben nicht entschieden.

Der EuGH wenig über­ra­schend dahin­ge­hend geant­wor­tet, dass eine bereits akti­vier­te Check­box weder nach altem noch nach neu­em Daten­schutz­recht eine wirk­sa­me Ein­wil­li­gung dar­stellt. Nix Neu­es! Des­wei­te­ren hat der EuGH klar­ge­stellt, dass sich im Sin­ne der og. Richt­li­nie kein Unter­schied zwi­schen Coo­kies mit und ohne per­so­nen­be­zo­ge­ne ergibt. Die Richt­li­nie selbst spricht hier rein von “Infor­ma­tio­nen”, nicht von per­so­nen­be­zo­ge­nen Daten. Auch nicht wirk­lich über­ra­schend bzw. abseh­bar. Im Hin­blick auf die not­wen­di­ge “infor­mier­te Ein­wil­li­gung” stell­te der EuGH u.a. auf die Anga­ben aus den Infor­ma­ti­ons­pflich­ten nach Art. 13 DSGVO ab. Was Wunder!

Das EuGH-Urteil hat nur klar­ge­stellt, was zu Coo­kies und Ein­wil­li­gun­gen eh schon lan­ge bekannt war

1. Eine Ein­wil­li­gung ist stets ein Opt in, kein Opt out!
2. Die Infor­ma­ti­ons­pflich­ten nach Art. 12, 13 DSGVO sind durch den Web­sei­ten­be­trei­ber auch für Coo­kies einzuhalten!
3. Ein­wil­li­gun­gen sind auch für Coo­kies ein­zu­ho­len unter Ver­weis auf die EU-Richt­li­nie für elek­tri­sche Kommunikation!

Und damit ende­te das Urteil.

Also jetzt doch Ein­wil­li­gun­gen für alle Coo­kies, oder?

Der EuGH hat auf die besag­te EU-Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on abge­stellt. In Art. 5 Abs. 3 die­ser Richt­li­nie heißt es:

“Die Mit­glied­staa­ten stel­len sicher, dass die Speiche­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät eines Teil­neh­mers oder Nut­zers gespei­chert sind, nur gestat­tet ist, wenn der betref­fen­de Teil­nehmer oder Nut­zer auf der Grund­la­ge von kla­ren und umfas­sen­den Infor­ma­tio­nen, die er gemäß der Richt­li­nie 95/​46/​EG* u. a. über die Zwe­cke der Ver­ar­bei­tung erhält, sei­ne Ein­wil­li­gung gege­ben hat. Dies steht einer tech­ni­schen Spei­cherung oder dem Zugang nicht ent­ge­gen, wenn der allei­ni­ge Zweck die Durch­füh­rung der Über­tra­gung einer Nach­richt über ein elek­tro­ni­sches Kom­mu­ni­ka­ti­ons­netz ist oder wenn dies unbe­dingt erfor­der­lich ist, damit der Anbie­ter eines Diens­tes der Infor­ma­ti­ons­ge­sell­schaft, der vom Teil­neh­mer oder Nut­zer aus­drück­lich gewünscht wur­de, die­sen Dienst zur Ver­fü­gung stel­len kann.”

Ent­schei­dend ist hier Satz 2. Denn das heißt nichts ande­res, als das zum Bei­spiel tech­nisch erfor­der­li­che Spei­che­run­gen von Infor­ma­tio­nen ( wie eben Coo­kies) ohne Ein­wil­li­gung gesetzt wer­den kön­nen, über den Ein­satz aber aus­rei­chend zu infor­mie­ren ist. Tech­nisch für den Betrieb der Sei­te nicht erfor­der­li­che Coo­kies wie Web­track­ing durch bzw. über Drit­te, Wer­bung etc. sind einwilligungspflichtig.

Die pau­scha­le Aus­sa­ge “Coo­kies nur noch mit Ein­wil­li­gung” ist daher falsch und ver­gif­tet erneut die Dis­kus­si­on um das The­ma Daten­schutz. Sicher mag die Wer­be­indus­trie über ein sol­ches Urteil flu­chen. Soll sie doch. Einer­seits Mil­lio­nen und Mil­li­ar­den mit der Erhe­bung und Nut­zung und Wei­ter­ga­be von per­so­nen­be­zo­ge­nen Daten ver­die­nen, aber zum Schutz der Pri­vat­sphä­re der ana­ly­sier­ten Nut­zer nichts bei­tra­gen wol­len — selt­sa­mes Geschäfts­mo­dell. Dabei hat der EuGH jetzt nur noch mal fest­ge­schrie­ben, was eh schon gegol­ten hat (aber nicht immer ein­ge­hal­ten wurde).

Kurz­form des Urteils des EuGH zum Umgang mit Cookies

• Kei­ne Ein­wil­li­gung, aber aus­rei­chen­de Infor­ma­ti­on über tech­ni­sche, für den Betrieb der Web­sei­te zwin­gend not­wen­di­ge Cookies.
• Ein­wil­li­gung und aus­führ­li­che Infor­ma­ti­on für alle ande­ren Cookies.

Die­se Posi­ti­on haben unse­re Auf­sichts­be­hör­den übri­gens bereits in der DSK Ori­en­tie­rungs­hil­fe für Anbie­ter von Tele­me­di­en nach­voll­zieh­bar erläutert.

Gute beschrie­be­ne Infor­ma­tio­nen zum The­ma fin­den Sie beim Lan­des­be­auf­trag­ten für Daten­schutz und Infor­ma­ti­ons­frei­heit Baden-Württemberg:

• Pres­se­mit­tei­lung zum Pla­ne­t49-Urteil des EuGH
• FAQ zu Track­ing, Coo­kies, Plug-Ins, Einwilligungsbanner

Unsi­cher­hei­ten im Umgang mit Coo­kies kön­nen Sie übri­gens auch mit Ihrem Daten­schutz­be­auf­trag­ten klä­ren. Sie haben noch kei­nen Daten­schutz­be­auf­trag­ten und auch sonst kei­ne bera­ten­de Unter­stüt­zung zum The­ma Daten­schutz? Dann spre­chen Sie uns doch ein­fach unver­bind­lich an.