EuGH zu Cookies und Einwilligungen

Der EuGH hat sich mit der vom BGH vorgelegten Frage beschäftigt, wann ein Website-Besucher wirksam in das Setzen von Cookies einwilligt. Im Ausgangsverfahren veranstaltete das Unternehmen Planet49 im Jahr 2013 ein Gewinnspiel auf seiner Website. Um daran teilnehmen zu können, mussten die Interessenten in einem Formular einige persönliche Daten eingeben. Unter diesem Eingabeformular befanden sich dann zwei Hinweistexte. Vor jedem dieser Hinweise befand sich je eine Checkbox zum Ankreuzen.

Der erste Hinweistext lautete:

„Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E-Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“

Die Worte „Sponsoren und Kooperationspartner“ waren verlinkt mit einer Liste der entsprechenden Partner. Hier konnte der Interessent die Partner auswählen, von denen er später Werbung erhalten wollte. Traf man keine Auswahl, übernahm Planet49 die Auswahl von höchstens 30 Sponsoren.

Cookie-Einwilligung zum Gewinnspiel

Der zweite Text lautete:

„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Das Wort „hier“ war mit folgendem Text verlinkt:

„Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie (d. h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.

Anschließend kann [Planet49] aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E-Mail-Werbung mehr.

Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten.

Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers. Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden.

Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E-Mail an unseren Kundenservice [E-Mail-Adresse].“

Die Seite war so ausgestaltet, dass die Checkbox beim zweiten Text bereits vorangekreuzt war.

Voraussetzung für Gewinnspiel-Teilnahme

Für die Teilnahme am Gewinnspiel mussten die Interessenten mindestens eine Checkbox ankreuzen. Gegen diese Art der Ausgestaltung der Website klagte der vzbv und verlangte Unterlassung. Nach seiner Auffassung entsprachen diese Einwilligungen nicht den gesetzlichen Vorgaben. Der Streit ging bis zum BGH, der das Verfahren aussetzte und dem EuGH Fragen zur Vorabentscheidung vorgelegte.

Er sollte entscheiden, ob es eine wirksame Einwilligung für die Speicherung von Informationen in Cookies darstellt, wenn eine Checkbox vorangekreuzt wird, ob es einen Unterschied dabei macht, ob die Informationen personenbezogene Daten darstellen oder nicht und ob bei vorangekreuzten Checkboxen eine wirksame datenschutzrechtliche Einwilligung vorliegt.

Zudem ging es um die Informationen, die zur Speicherung in Cookies zu erteilen sind. Gerade nicht Gegenstand der Entscheidung des EuGH war die Frage, ob Planet49 überhaupt eine Einwilligung einholen musste für das Setzen von Cookies. Das geht eindeutig aus den Fragen des BGH hervor.

Eine Einwilligung ist eine Willensbekundung, die ohne jeden Zwang für den konkreten Fall in Kenntnis der Sachlage erfolgt. Der EuGH folgt dem Generalanwalt, der bereits zuvor in seinem Votum darauf hingewiesen hatte, dass das Erfordernis der „Willensbekundung“ der betroffenen Person klar auf aktives und nicht passives Verhalten hinweist. Eine vorangekreuzte Checkbox stellt aber gerade kein aktives Verhalten dar.

Außerdem müsse sichergestellt sein, dass die betroffene Person ihre Einwilligung „ohne jeden Zweifel“ erteilt habe. Auch diesem Erfordernis könne nur durch ein aktives Handeln Genüge getan werden.

Einwilligung durch Weitersurfen

Es erscheint dem EuGH praktisch unmöglich zu klären, ob ein Nutzer, der ein voreingestelltes Häkchen nicht abgewählt hat, tatsächlich seine Einwilligung zu einer Datenverarbeitung erteilt hat – zumindest bleibe unklar, ob eine solche Einwilligung in Kenntnis der Sachlage erteilt wurde. Es könne nämlich nicht ausgeschlossen werden, dass der Nutzer die beigefügten Informationen nicht gelesen habe oder dass er die Checkbox gar nicht wahrgenommen habe.

Der EuGH: „Angesichts der vorstehenden Gesichtspunkte liegt eine wirksame Einwilligung im Sinne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 somit nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.“

Dies gelte auch unter der DSGVO, da diese gerade die „aktive Einwilligung“ vorsehe und der Erwägungsgrund 32 ausdrücklich ausschließe, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen könnten.

Art der verarbeiteten Daten

Mit der Frage 1. b) wollte der BGH wissen, ob die Beurteilung der Wirksamkeit der Einwilligung davon abhängt, ob personenbezogene oder andere Daten verarbeitet werden.

Dies verneint der EuGH: „Nach alledem ist auf Buchst. b der ersten Frage zu antworten, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 nicht unterschiedlich auszulegen sind, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der Verordnung 2016/679 handelt oder nicht.“

Informationspflichten beim Einsatz von Cookies

Der BGH hatte zu den Informationspflichten bei Cookies ausdrücklich danach gefragt, ob die Angaben zur Funktionsdauer der Cookies dazugehören sowie der Umstand, ob Dritte Zugriff auf die Cookies erhalten.

Hier verweist der EuGH in seiner Entscheidung auf Art. 10 der Datenschutzrichtlinie. Demnach gehören zu den zu erteilenden Informationen

• die Identität des für die Verarbeitung Verantwortlichen
• Zweckbestimmung der Verarbeitung
• Empfänger oder Kategorien der Empfänger der Daten
• Die Dauer der Verarbeitung ist zwar in dem Katalog nicht mit aufgeführt, allerdings ist dieser Katalog auch nicht abschließend, stellt der EuGH fest.

Diese Auslegung der Datenschutzrichtlinie werde auch durch die Bestimmungen der DSGVO gestützt. Nach Art. 13 Abs. 2 DSGVO muss der Verantwortliche die betroffene Person über die Dauer, für die die personenbezogenen Daten gespeichert werden, informieren. Falls diese Information nicht möglich ist, muss über die Kriterien für die Festlegung der Dauer informiert werden.

Fazit

Der EuGH hat zwei wichtige Fragen entschieden:

Vorausgewählte Checkboxen können keine wirksamen Einwilligungen darstellen. Zu den Informationen über Cookies gehören Angaben zur Dauer der Verarbeitung und dazu, ob Dritte Zugriff auf diese Cookies haben. Die Zeit der Cookie-Banner „Durch Weitersurfen stimmen Sie zu“ ist damit vorbei – zumindest für die Art von Cookies, für die überhaupt eine Einwilligung erforderlich ist.

Ob in Deutschland eine solche Einwilligung erforderlich ist, bleibt weiterhin hoch umstritten. Hintergrund ist: Deutschland hat die Cookie-Richtlinie nie explizit in deutsches Recht umgesetzt. Zu dieser Thematik hat sich der EuGH nicht geäußert.