(noch eine) Entscheidung des EuGH zum Thema Cookies

Arnold Redhammer | 18.October 2019

Cookies und der EuGH (Eropäische Gerichtshof). Das Setzen von Tracking-Cookies (zielgerichtete Werbung), bedarf der Zustimmung des Nutzers. Wichtig: Opt-In und nicht in Form von Opt-Out Konstruktionen - dies befindet der EuGH für schlicht unzulässig.

In letzter Zeit sorgte der Europäische Gerichtshof (EuGH) regelmäßig für Aufruhr im Bereich des Datenschutzrechtes. Dieser Trend setzte sich in dem sogenannten „Planet 49“-Urteil vom 01. Oktober 2019 fort. Wie auch schon in der Fashion ID Entscheidung sind auch in dieser Entscheidung Cookies das zentrale Thema.

Anlassgebend für das Verfahren war ein, von dem Werbeunternehmen „Planet 49 GmbH“ veranstaltetes Gewinnspiel im Internet. Dieses war so ausgestaltet, dass vor dem „Teilnahme“-Button zwei Ankreuzkästchen vorhanden waren. Diese Kästchen regelten einerseits die Einwilligung in postalische und telefonische Angebote durch Kooperationspartner (erstes Kästchen), andererseits aber auch die Einwilligung des Teilnehmers in das Setzen von Cookies, welche es dem Werbeunternehmen ermöglichen das Surf- und Nutzungsverhalten zu analysieren und zielgerichtete Werbung zu platzieren.
Zu erwähnen ist in diesem Zusammenhang, dass dieses zweite Kästchen bereits vorangekreuzt war. Weiters fand sich in den Erklärungshinweisen die Mitteilung, dass die erhobenen Nutzungsdaten „für jeden Werbepartner getrennt erhoben und gespeichert“ werden und auch „ausschließlich für Werbung“ verwendet werden. Weiters gab die „Planet 49 GmbH“ an, dass es sich bei den erhobenen Daten nicht um personenbezogene Daten handelt.

Nach Ansicht des (deutschen) Bundesverband der Verbraucherzentralen (vzbv) war diese Ausgestaltung des Gewinnspiels in mehrerer Hinsicht unzulässig, sodass die Angelegenheit – nach mehreren Instanzen – schließlich dem EuGH vorgelegt wurde. Dieser musste sich – im Wesentlichen – mit den Fragen auseinandersetzen, ob…

Die von der Planet 49 GmbH eingeholte Einwilligung den Anforderungen der ePrivacy-Richtlinie entsprach?,
Es einen Unterschied macht, ob personenbezogene oder nicht-personenbezogene Daten erhoben werden?,
Die von der Planet 49 GmbH eingeholte Einwilligung den Anforderungen der DSGVO entsprach?,
Dem Teilnehmer Informationen über die Funktionsdauer der Cookies bzw. über die etwaige Weitergabe an Dritte erteilen muss?

Relativ klar fielen die Antworten des EuGH auf den Aspekt des vorangekreuzten Kästchens aus, welcher hier schlicht – und auch völlig korrekt – auf Erwägungsgrund 32 der DSGVO verwies. Dieser regelt eindeutig, dass voreingestellte Zustimmungen nicht den Anforderungen der DSGVO entsprechen.
Auch macht es in den Augen des EuGH keinen Unterschied, ob die durch die Cookies erhobenen Daten einen Personenbezug aufweisen oder aber nicht. Begründet wird dies in erster Linie mit den Erwägungsgründen der ePrivacy-RL, in denen explizit auch davon ausgegangen wird, dass diese für nicht-personenbezogene Daten gilt.
Hinsichtlich der Informationspflichten führt der EuGH schließlich aus, dass – um den Anforderungen nach Art 5 und 13 DSGVO zu entsprechen – der Nutzer jedenfalls über die Identität des Verantwortlichen, die Zweckbestimmungen und auch über die Empfänger der Daten zu informieren ist.

Im Großen und Ganzen betrachtet bringt die Entscheidung des EuGH keine überraschenden Neuigkeiten mit sich, sondern wird eher erneut der Standpunkt bestätigt, wonach die Setzung von Tracking-Cookies mit denen zielgerichtet Werbung geschaltet werden soll der Zustimmung des Nutzers bedarf. Diese Einwilligung muss unter den Gesichtspunkten der DSGVO jedenfalls in Form eines Opt-Ins geschehen. Eine Opt-Out Konstruktion (wie etwa bei voreingestellten Kästchen oder aber mittels eines Verweises auf die Browsereinstellungen) ist hingegen unzulässig.

Nicht explizit in der Entscheidung eingegangen ist der EuGH in seiner Entscheidung auf die Frage, ob eine aktive Einwilligung (in Form eines Opt-In) für alle Cookies erforderlich ist. Zumindest für technisch unbedingt erforderliche Cookies kann und sollte man aber argumentieren, dass diese nicht der Einwilligung des Nutzers bedürfen, sondern bereits durch berechtigte Interessen seitens des Verantwortlichen legitimiert werden.

Links zum Artikel

---