EuGH: Anforderungen an den Einsatz von Cookies

Der Europäische Gerichtshof hat am 1. Oktober 2019 entschieden, dass das Setzen von Cookies eine aktive Einwilligung des Nutzers erfordert.

Hintergrund des Verfahrens ist ein deutscher Rechtsstreit. Der Verbraucherzentrale Bundesverband hat Planet 49, einen Adresshändler und Gewinnspielanbieter, auf Unterlassung in Anspruch genommen. Zur Teilnahme an einem Gewinnspiel sollten die Teilnehmer in das Setzen von Cookies durch ein vorangekreuztes Häkchen einwilligen. Dadurch sollten die Teilnehmer einer Liste von 57 Unternehmen erlauben, sie telefonisch, per E-Mail oder per Post zu kontaktieren.

Der EuGH ist in seiner Entscheidung der Ansicht des Generalanwalts gefolgt und fordert eine aktive Einwilligung für Cookies, die für die Nutzung der Webseite nicht erforderlich sind. Dies gilt unabhängig davon, ob es sich bei den durch die Cookies abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Das Unionsrecht schütze vor jedem Eingriff in die Privatsphäre, insbesondere auch vor der Gefahr versteckter Identifikationsmöglichkeiten. Weitere Voraussetzung für eine wirksame Einwilligung ist nach dem EuGH, dass der Verantwortliche über die Funktionsdauer der Cookies und über Zugriffsmöglichkeiten Dritter auf die Cookies informiert. Diese Entscheidung betrifft Cookies, die nicht unbedingt für die Nutzung der Webseite erforderlich sind (insbesondere Werbe- und Analysezwecke). Das Urteil des EuGH bezieht sich jedoch nicht nur auf die zum Zeitpunkt des Ausgangsverfahrens geltende EU-Datenschutzrichtlinie, sondern ausdrücklich auch auf die Anforderungen der Datenschutz-Grundverordnung.

Um die vom EuGH beschriebenen Anforderungen künftig umzusetzen, ist zu prüfen, ob und welche Cookies auf der Webseite eingesetzt werden. Cookies, die für die Nutzung einer Webseite erforderlich sind, z.B. Warenkorb-Cookies, können in der Regel ohne Einwilligung verwendet werden. Bei anderen Cookies sind die Einwilligungen an die Anforderungen des EuGH anzupassen. Zudem müssen Cookies, für die eine Einwilligung eingeholt werden soll, vor der ausdrücklichen Erteilung inaktiv sein. Darüber hinaus ist in den Datenschutzhinweisen die Speicherdauer der Cookies anzugeben und zu informieren, ob Dritte Zugriff auf die Cookies haben.

Nachdem die bislang umstrittene Rechtslage nunmehr höchstrichterlich geklärt ist, ist damit zu rechnen, dass Aufsichtsbehörden ihren Fokus verstärkt auf den rechtmäßigen Einsatz von Cookies legen werden. Daher empfehlen wir die Prüfung und gegebenenfalls die Anpassung der Cookies, um drohende Bußgelder zu verhindern.