Heute hat der EuGH sein viel- (vielleicht auch sehnsüchtig) erwartetes Urteil zu den Anforderungen an eine wirksame Einwilligung in die Verarbeitung von Daten, die im Rahmen der Internetnutzung anfallen, veröffentlicht.
Worum geht’s?
Das Unternehmen Planet49 betreibt eine Internetseite, auf der es Gewinnspiele anbietet. Die Webseite nutzt, wie viele andere Webseiten auch, Cookies. Im Rahmen der Gewinnspielregistrierung muss der Nutzer in das Setzen und Auswerten der Cookies einwilligen. Die entsprechende Checkbox ist, praktischerweise – aus Sicht von Planet49 – , bereits vorausgefüllt, sodass der Nutzer den Haken entfernen muss, wenn er keine Auswertung möchte.
Nach Auffassung des Generalanwaltes, liegt in diesem Verfahren keine wirksame Einwilligung vor. Schließlich setze die Datenschutz-Grundverordnung für eine Einwilligung ein aktives Tun des Betroffenen voraus. In der Planet49-Konstellation sei aber vielmehr ein aktives Tun erforderlich, wenn man die Einwilligung nicht erteilen will.
Wie hat der EuGH entschieden?
Der EuGH folgt in seinem Urteil der Auffassung des Generalanwaltes. Mit einem vorausgefüllten Ankreuzkästchen kann die erforderliche Einwilligung nicht erteilt werden. Für den konkreten Fall bedeutet das, dass der Teilnehmer, der bislang über die Webseite von Planet49 an dem Gewinnspiel teilnahm, nicht wirksam in die Speicherung der Cookies und der Verarbeitung der entsprechenden Daten einwilligte.
Im Ergebnis werden alle Daten, aufgrund einer fehlenden Rechtsgrundlage für die Verarbeitung, zu löschen sein.
Ja und?
Die Entscheidung kann weitreichenden Auswirkungen haben, da Cookies zum Wesen des Internets gehören wie die IP-Adresse. Insbesondere für das cookiebasierte Webtracking, beispielsweise mittels Google Analytics. In diesem Fall muss der Besucher einer Webseite vor dem Setzen des Webtracking-Cookie, z. B. über einen Cookie-Banner, aktiv erklären, dass er das auch will. Zwar ist das Internet von Cookie-Bannern überschwemmt. Diese erfüllen allerdings in den wenigsten Fällen die Anforderung, die der EuGH jetzt formulierte.
Gleichwohl ist jetzt nicht in Aktionismus zu verfallen. Es ist weiterhin diskutabel, inwieweit das Urteil für die Cookies und Cookie-Banner deutscher Webseiten relevant ist. Hintergrund ist der schwelende Streit, ob die europäische Cookie-Richtlinie (aus der das Einwilligungserfordernis stammt) hinreichend in nationales Recht umgesetzt wurde. Bislang wird von der EU-Kommission und der Bundesregierung die Rechtsauffassung vertreten, dass mit dem Telemediengesetz (TMG) eine adäquate Umsetzung erfolgt sei. Das TMG sieht für die Verarbeitung von personenbezogenen (Cookie)Daten allerdings eine Widerspruchs- und keine Einwilligungslösung vor, was der Regelung des Art. 5 Abs. 3 der Richtlinie 2002/58/EG zuwiderläuft, der eine Einwilligung (für Cookies) verlangt. Gerade hierum dreht sich aber die Vorlagefrage, die an den EuGH gerichtet ist und in allen drei Punkten des Urteils geht der EuGH auf Art. 5 Abs. 3 der Richtlinie 2002/58/EG ein. Vor dem Hintergrund ist noch interessant, wie der Bundesgerichtshofs das Urteil mit dem deutschen Recht und insbesondere dem § 15 Abs. 3 TMG in Einklang bringt. Wer sich intensiver mit der vorherigen Diskussion um § 15 Abs. 3 TMG beschäftigten möchte, dem sei der Beitrag unseres Kollegen Sven Venzke-Caprarese empfohlen.
Update vom 09.10.2019:
Eine praktische Handreichung, worauf Sie beim Tracking und beim setzen von Cookies mit Hilfe einer Einwilligung nach dem Urteil achten sollten und eine Auseinandersetzung damit, wann eine Einwilligung nötig ist und wie diese auszusehen hat, finden Sie im Beitrag meines Kollegen:
https://www.datenschutz-notizen.de/zur-wirksamkeit-von-cookie-bannern-1823565/