Cookies und DSGVO: EuGH-Generalanwalt zur Notwendigkeit der Einwilligung in die Cookie-Nutzung

Der Anbieter eines Online-Gewinnspiels und der Verbraucherzentrale Bundesverband sind sich uneins in einer Frage: Ist für die Nutzung von Cookies eine Einwilligung erforderlich und wie ist diese einzuholen? Der Generalanwalt des EuGH hat nun eine klare Antwort gegeben.

Wer beim Gewinnspiel von „Planet49“ teilnehmen wollte, musste sich mit zwei Ankreuzfeldern befassen. Einerseits musste er zustimmen, dass eine Reihe von Firmen ihn mit Werbeangeboten kontaktieren durfte. Andererseits sollte er der Setzung von Cookies auf seinem Computer zustimmen.

Gemeint sind damit kleine Textdateien. Diese ermöglichen es Website-Betreibern Seitenbesucher wiederzuerkennen. So können Sie das Surfverhalten analysieren und individuell zugeschnittene Werbung schalten.

Während das erste Kästchen (hier ging es um die Datenweitergabe) nicht vorausgewählt war, war das zweite Kästchen, welches das Setzen von Cookies erlauben sollte, schon vorausgewählt. Wer zu verstehen geben wollte, dass er der Cookie-Speicherung nicht zustimme, musste also aktiv das Häkchen wieder entfernen. Um am Gewinnspiel teilnehmen zu können, musste der Nutzer zumindest der Weitergabe seiner Daten an Werbepartner zustimmen.

Der Verbraucherzentrale Bundesverband störte sich an dieser Handhabung. Vor Gericht wollte der Verband klären lassen, ob die Vorgaben des EU-Rechts eingehalten wurden. Im Laufe des Verfahrens legte der Bundesgerichtshof dem EuGH einige Fragen vor:

• Ist eine Cookie-Einwilligung wirksam, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

• Macht es einen Unterschied, ob dabei personenbezogene Daten gespeichert werden oder nicht?

• Muss der Website-Betreiber darüber informieren, wie lange die Cookies funktionieren und ob Dritte auf die Cookies Zugriff erhalten oder nicht?

Die Antwort des Generalanwalts des EuGH Maciej Szpunar fiel nun deutlich aus. Er vertritt eine insgesamt eher strenge Auffassung.
Eine vorausgewählte Checkbox reiche nicht aus, wenn man Cookies auf dem Computer seiner Website-Besucher setzen wolle, stellte der Jurist unmissverständlich fest. Das gelte für alle Cookies, die nicht zwingend erforderlich sind, damit die Website ordnungsgemäß funktioniert. Über die Funktionsdauer der Cookies und über den möglichen Zugriff Dritter (Third-Party Cookies) müsse ebenfalls informiert werden. Das würden sowohl die europäische Cookie-Richtlinie als auch die Datenschutzgrundverordnung (DSGVO) verlangen. Die Anforderungen an eine wirksame Einwilligung unterscheiden sich hier seiner Meinung nach nicht. Er fügte außerdem hinzu, dass es keinen Unterschied mache, ob es dabei um personenbezogene Daten handele oder nicht.

Fazit

Die Empfehlungen des Generalanwalts gehen sehr weit und hätten erhebliche Folgen für die Praxis, gerade in Deutschland. Der EuGH ist an die Empfehlungen des Generalanwalts nicht gebunden, ist diesen in der Vergangenheit jedoch häufig gefolgt. Sollte sich der EuGH der rechtlichen Auffassung des Generalanwalts anschließen, wäre es dann für Website-Betreiber höchste Zeit ihre Cookie-Einwilligungen zu überarbeiten. Zukünftig wird es dann verstärkt zu Cookie-Warnungen bei der Nutzung einer Website kommen. Die Nutzer müssten über die einzelnen Cookies, bevor diese gesetzt werden, ausführlich informiert werden und den einzeln Cookies per aktives Häckchensetzens zustimmen. Erst nach der aktiven Einwilligung dürfte ein Cookie geladen werden.