Der Generalanwalt beim Europäischen Gerichtshof (EuGH) Maciej Szpunar ist der Ansicht, es bestehe eine Opt-In-Pflicht für die Einholung einer Cookie-Zustimmung beim Besuch einer Webseite (Schlussantrag v. 21.03.2019 – Az.: C-637/17). Das Verfahren basiert auf einem deutschen Rechtsstreit vor dem BGH der Planet49 GmbH gegen den Bundesverband der Verbraucherzentralen. Der Sachverhalt war wie folgt:
Am 24. September 2013 veranstaltete die Planet49 GmbH unter der Internetadresse www.dein-macbook.de ein Gewinnspiel zu Werbezwecken. Um an dem Gewinnspiel teilnehmen zu können, musste ein Internetnutzer seine Postleitzahl eingeben. Daraufhin wurde eine Seite mit Eingabefeldern für den Namen und die Adresse des Nutzers angezeigt. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzfeldern versehene Hinweistexte. Ich werde sie im Folgenden als „erstes Ankreuzfeld“ und „zweites Ankreuzfeld“ bezeichnen. Der erste Hinweistext, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, lautete:
„Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E‑Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“
Der zweite Hinweistext, der mit einem voreingestellten Häkchen versehen war, lautete:
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die Planet49 GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
Eine Teilnahme am Gewinnspiel war nur möglich, wenn zumindest das Häkchen im ersten Ankreuzfeld gesetzt wurde. Der elektronische Link, der im ersten Hinweistext den Worten „Sponsoren und Kooperationspartner“ und „hier“ unterlegt war, führte zu einer Liste, die 57 Unternehmen, ihre Adressen, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E‑Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort „Abmelden“ enthielt. Der Liste vorangestellt war folgender Hinweis:
„Durch Anklicken auf dem Link ‚Abmelden‘ entscheide ich, dass dem genannten Partner/Sponsoren kein Werbeeinverständnis erteilt werden darf. Wenn ich keinen oder nicht ausreichend viele Partner/Sponsoren abgemeldet habe, wählt Planet49 für mich Partner/Sponsoren nach freiem Ermessen aus (Höchstzahl: 30 Partner/Sponsoren).“
Bei Betätigung des im zweiten Hinweistext dem Wort „hier“ unterlegten elektronischen Links wurde folgende Information angezeigt:
„Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie (d. h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.
Anschließend kann die Planet49 GmbH aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E‑Mail-Werbung mehr. Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten. Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers. Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden. Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an die PLANET49 GmbH [Adresse] richten. Es genügt jedoch auch eine E‑Mail an unseren Kundenservice [E‑Mail-Adresse].“
Es stellt sich die Frage, ob diese Vorgehensweise rechtmäßig war. Die Instanzgerichte verneinten eine Rechtsverletzung, da das Gesetz bei Datenschutzangelegenheiten – anders als bei der Zusendung von Werbenachrichten – kein Opt-In verlange. Auch sei die Klausel hinreichend bestimmt und transparent. Der Rechtsstreit kam schließlich zum BGH, der dem EuGH mehrere Fragen vorlegte:
Frage 1:
Reicht es in diesem Zusammenhang für eine wirksame Einwilligung aus, dass die Checkbox vorselektiert ist und der User aktiv die Zustimmung abwählen muss, wenn er diese nicht will?
Frage 2:
Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?
Frage 3:
Liegt nach der im Mai 2018 in Kraft tretenden Datenschutzgrundverordnung (DSGVO) ebenfalls eine wirksame Einwilligung vor?
Frage 4:
Welche inhaltlichen Angaben muss das Unternehmer zur Cookie-Nutzung angeben? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff haben?
Zu diesen Fragen gab der Generalanwalt nun in seinem Schlussantrag folgende Antworten:
Antwort zu 1:
„In einer Situation wie der des Ausgangsverfahrens, in der die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und in der die Einwilligung nicht gesondert gegeben wird, sondern gleichzeitig mit der Bestätigung der Teilnahme an einem Online-Gewinnspiel, liegt keine wirksame Einwilligung im Sinne der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vor.“
Antwort zu 2:
„Bei der Anwendung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 macht es keinen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt.“
Antwort zu 3:
„Das Gleiche gilt für die Auslegung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung).“
Antwort zu 4:
„Zu den klaren und umfassenden Informationen, die ein Nutzer nach Art. 5 Abs. 3 der Richtlinie 2002/58 von einem Diensteanbieter erhalten muss, zählen die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten oder nicht.“
Was bedeutet das für die Praxis?
Zunächst ist zu betonen, dass es sich dabei noch nicht um die gerichtliche Entscheidung des EuGH, sondern nur um einen Vorschlag für ein späteres Urteil handelt. Den Schlussanträgen kommt jedoch in der Praxis eine wichtige Bedeutung zu, da der EuGH bei seiner späteren Entscheidung dieser Empfehlung häufig folgt. Ob dies auch im vorliegenden Sachverhalt der Fall sein wird, ist unklar.
Sollte der EuGH jedoch dieser Rechtsansicht folgen, würde dies eine grundlegende Änderung der derzeit praktizierten Cookie-Einwilligung in Deutschland und Europa bedeuten. Denn dann wäre der Einsatz eines Cookies nur noch dann erlaubt, wenn der User zuvor seine ausdrückliche Einwilligung erteilt hat. Dies würde aber eine aktive Einwilligung voraussetzen, d.h. eine vorausgefüllte Checkbox oder gar der häufig verwendete Satz: „ wenn Sie jetzt weitersurfen erkennen Sie an, dass …“ wären nicht mehr ausreichend.
Eine derartige Einwilligung in Cookies würde aber vermutlich – wie jede Einwilligung – verlangen, dass der Nutzer transparent und nachvollziehbar über Art und Umfang der Datenverarbeitung, auch hinsichtlich des Einsatzes von Drittanbieter-Tools informieren müsste. Da die Rechtsprechung aber an die Wirksamkeit solcher Einwilligungen in der Praxis kaum erfüllbare Voraussetzungen stellt, würde dies im Ergebnis praktisch die Beendigung nahezu aller webseitenübergreifenden Vermarktungsformen (z.B. beim Retargeting) führen. Diese Problematik wird bekanntlich seit längerem auch bereits im Rahmen der noch nicht verabschiedeten ePrivacy-Verordnung unterschiedlich beurteilt. Ob das IAB Transparency & Consent Framework einen Ausweg darstellt, bleibt auch abzuwarten. Es kommen daher stürmische Zeiten auf die Onlinemarketingbranche zu.