Archivbeitrag – Rechtsstand 2019. Der BGH hat die Entscheidung im Mai 2020 (Cookie-Einwilligung II) umgesetzt. Seit dem 1. Dezember 2021 regelt § 25 TTDSG, heute TDDDG, die Einwilligung beim Zugriff auf Endgeräte ausdrücklich. Mehr auf unserer Seite Cookies und Tracking.
Der Europäische Gerichtshof hat am 1. Oktober 2019 in der Rechtssache Planet49 (C-673/17) entschieden. Der Bundesverband der Verbraucherzentralen hatte gegen ein Gewinnspiel der Planet49 GmbH geklagt. Bei der Teilnahme fand sich ein Kästchen mit einem bereits gesetzten Häkchen, mit dem der Nutzer in das Setzen von Cookies zu Werbezwecken einwilligen sollte. Der Bundesgerichtshof legte dem EuGH Fragen zur Wirksamkeit einer solchen Einwilligung vor.
Die Kernaussagen
Eine Einwilligung in die Speicherung von Informationen oder den Zugriff auf Informationen im Endgerät des Nutzers nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG ist nicht wirksam, wenn sie durch ein voreingestelltes Ankreuzkästchen erteilt wird, das der Nutzer abwählen muss. Die Einwilligung setzt ein aktives Verhalten voraus. Der EuGH stützt sich dabei auch auf die DSGVO, die in Erwägungsgrund 32 ausdrücklich klarstellt, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen.
Es kommt nicht darauf an, ob die gespeicherten Informationen personenbezogene Daten sind. Art. 5 Abs. 3 der ePrivacy-Richtlinie schützt die Privatsphäre des Nutzers in Bezug auf sein Endgerät generell.
Außerdem muss der Diensteanbieter den Nutzer über die Funktionsdauer der Cookies informieren und darüber, ob Dritte Zugriff auf die Cookies erhalten können.
Das Problem mit § 15 Abs. 3 TMG
Deutschland hat Art. 5 Abs. 3 der ePrivacy-Richtlinie nie ausdrücklich umgesetzt. § 15 Abs. 3 TMG erlaubt die Erstellung pseudonymer Nutzungsprofile für Werbung und Marktforschung, sofern der Nutzer nicht widerspricht. Das ist ein Opt-out-Modell. Wie der BGH dieses Spannungsverhältnis auflöst, wird sich bei der abschließenden Entscheidung im Planet49-Verfahren zeigen. Die Datenschutzkonferenz vertritt bereits seit 2018 die Auffassung, dass für Tracking eine Einwilligung erforderlich ist.
Was nicht entschieden wurde
Der EuGH hat sich nicht dazu geäußert, ob die Teilnahme an einem Gewinnspiel von der Einwilligung in Werbung abhängig gemacht werden darf (Kopplungsverbot), weil diese Frage nicht vorgelegt war. Offen bleibt auch, welche Cookies unbedingt erforderlich sind und deshalb keiner Einwilligung bedürfen. Für Warenkorb- oder Login-Cookies und Cookies zur Speicherung der Einwilligung selbst wird das allgemein angenommen.
Was Website-Betreiber jetzt tun sollten
- Banner, die nur informieren („Mit der Nutzung der Seite stimmen Sie Cookies zu“), reichen für Tracking- und Werbe-Cookies nicht aus.
- Cookies, die nicht unbedingt erforderlich sind, dürfen erst nach aktiver Zustimmung gesetzt werden. Das erfordert regelmäßig ein Consent-Management-Tool.
- Vorausgewählte Häkchen bei Kategorien wie Marketing oder Statistik sind zu entfernen.
- Die Datenschutzerklärung muss je Cookie oder Dienst Zweck, Funktionsdauer und Empfänger nennen.
- Die Einwilligung muss so leicht widerrufbar sein, wie sie erteilt wurde.
Prüfen Sie außerdem, welche Skripte tatsächlich geladen werden. Häufig bringen eingebundene Dienste wie Videos, Karten oder Schriftarten Cookies und Datenübertragungen mit, die dem Betreiber nicht bewusst sind.
Fragen dazu? Wir prüfen Ihren Cookie-Banner, die eingesetzten Dienste und die Datenschutzerklärung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Cookies und Tracking, Online-Marketing und Datenschutzerklärungen.
Schreibe einen Kommentar