Kontakt
Dr. Florian Rockenbach am

Neues EuGH Urteil zur Cookie-Nutzung – Müssen Webseitenbetreiber eine Einwilligung für Cookies einholen?

1.Anforderungen an Einwilligungen

Am 01.10.2019 hat der EuGH eine wichtige Entscheidung zur Einwilligung in die Verwendung von Cookies auf Webseiten für Analyse-Tools (z.B. Google Analytics) oder Werbenetzwerken (z.B. Google Ads) verkündet.

Checkboxen, die bereits als Voreinstellung angekreuzt sind und vom Besucher abgewählt werden müssen, genügen demnach den Anforderungen an eine wirksame Einwilligung nicht. Auch das Besuchen einer Webseite mit einem sog. Cookie-Banner, ist keine wirksame Einwilligung, wenn der Besucher nicht aktiv bestätigt, dass er mit der Verwendung der Cookies einverstanden ist. Das bloße „Weitersurfen“ reicht damit trotz Cookie-Banner nicht aus.

2. Keine Aussage zu Opt-In-Pflicht

Einige Medien berichten, der EuGH fordere nunmehr für die Verwendung von Cookies, die der Betrieb der Webseite nicht zwingend erfordere (z.B. Google Analytics oder Marketing Cookies), immer eine Einwilligung. Diese Aussage können wir dem Urteil jedoch nicht entnehmen.

In dem Urteil beschäftigt sich der EuGH lediglich damit, welche Anforderungen an eine Einwilligung für die Verwendung von Cookies zu stellen sind. Ob neben der Einwilligung auch andere Erlaubnistatbestände für die Verwendung solcher Cookies in Betracht kommen, spricht der EuGH hingegen nicht an. Insbesondere die viel diskutierte Frage, ob die Verwendung dieser Cookies statt auf einer Einwilligung auch auf die berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) der Webseitenbetreiber gestützt werden kann, lässt der EuGH damit offen. Ob der Bundesgerichtshof, an den der Rechtsstreit nun zurückverwiesen wurde, diese Frage beantworten und Rechtssicherheit schaffen oder erneut den EuGH anrufen wird, bleibt abzuwarten.

3. Ausblick

Auch wenn weiterhin argumentiert werden kann, dass solche Cookies ohne vorherige Zustimmung des Webseitenbesuchers verwendet werden dürfen, ist nicht auszuschließen, dass Wettbewerber und Verbände das Urteil zum Anlass nehmen, Abmahnungen auszusprechen oder Datenschutzbehörden Kontrollen durchführen.

Sofern nicht bereits geschehen, sollten Betreiber von Webseiten, auf denen Cookies verwendet werden, daher über die Implementierung einer Lösung zur Einholung von Einwilligungen für die Verwendung nicht zwingend erforderlicher Cookies nachgedacht und die Datenschutzerklärung entsprechend angepasst werden. In der Praxis haben sich hierfür sog. Consent Management Platform-Lösungen etabliert.

Webseitenbetreiber, die weiterhin nicht beabsichtigen, eine Einwilligung für die Verwendung dieser Cookies einzuholen, sollten zumindest eventuell noch vorhandene Cookie-Banner entfernen und überprüfen, ob die Datenschutzerklärung Informationen zu allen verwendeten Cookies (einschließlich ihrer Laufzeit und den Empfängern der mit den Cookies erhobenen Daten) aufführt.

Webseitenbetreiber, die für Cookies bereits eine Einwilligung mithilfe eines Consent Management Platform Tools (CMP-Tool) einholen oder ein solches anlässlich des Urteils implementieren, sollten überprüfen, dass

  • in dem CMP-Tool Cookies, die nicht zum Betrieb der Webseite erforderlich sind (z.B. Session- und Warenkorb-Cookies), nicht standardmäßig aktiviert sind und ggf. abgewählt werden müssen und
  • die Cookies erst geladen werden, nachdem der Besucher sein Einverständnis erklärt hat, indem er auf “Cookie-Einstellungen speichern“ oder Ähnliches klickt.

ZL Aktuell
Dr. Florian Rockenbach am

Neues EuGH Urteil zur Cookie-Nutzung – Müssen Webseitenbetreiber eine Einwilligung für Cookies einholen?

1.Anforderungen an Einwilligungen

Am 01.10.2019 hat der EuGH eine wichtige Entscheidung zur Einwilligung in die Verwendung von Cookies auf Webseiten für Analyse-Tools (z.B. Google Analytics) oder Werbenetzwerken (z.B. Google Ads) verkündet.

Checkboxen, die bereits als Voreinstellung angekreuzt sind und vom Besucher abgewählt werden müssen, genügen demnach den Anforderungen an eine wirksame Einwilligung nicht. Auch das Besuchen einer Webseite mit einem sog. Cookie-Banner, ist keine wirksame Einwilligung, wenn der Besucher nicht aktiv bestätigt, dass er mit der Verwendung der Cookies einverstanden ist. Das bloße „Weitersurfen“ reicht damit trotz Cookie-Banner nicht aus.

2. Keine Aussage zu Opt-In-Pflicht

Einige Medien berichten, der EuGH fordere nunmehr für die Verwendung von Cookies, die der Betrieb der Webseite nicht zwingend erfordere (z.B. Google Analytics oder Marketing Cookies), immer eine Einwilligung. Diese Aussage können wir dem Urteil jedoch nicht entnehmen.

In dem Urteil beschäftigt sich der EuGH lediglich damit, welche Anforderungen an eine Einwilligung für die Verwendung von Cookies zu stellen sind. Ob neben der Einwilligung auch andere Erlaubnistatbestände für die Verwendung solcher Cookies in Betracht kommen, spricht der EuGH hingegen nicht an. Insbesondere die viel diskutierte Frage, ob die Verwendung dieser Cookies statt auf einer Einwilligung auch auf die berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) der Webseitenbetreiber gestützt werden kann, lässt der EuGH damit offen. Ob der Bundesgerichtshof, an den der Rechtsstreit nun zurückverwiesen wurde, diese Frage beantworten und Rechtssicherheit schaffen oder erneut den EuGH anrufen wird, bleibt abzuwarten.

3. Ausblick

Auch wenn weiterhin argumentiert werden kann, dass solche Cookies ohne vorherige Zustimmung des Webseitenbesuchers verwendet werden dürfen, ist nicht auszuschließen, dass Wettbewerber und Verbände das Urteil zum Anlass nehmen, Abmahnungen auszusprechen oder Datenschutzbehörden Kontrollen durchführen.

Sofern nicht bereits geschehen, sollten Betreiber von Webseiten, auf denen Cookies verwendet werden, daher über die Implementierung einer Lösung zur Einholung von Einwilligungen für die Verwendung nicht zwingend erforderlicher Cookies nachgedacht und die Datenschutzerklärung entsprechend angepasst werden. In der Praxis haben sich hierfür sog. Consent Management Platform-Lösungen etabliert.

Webseitenbetreiber, die weiterhin nicht beabsichtigen, eine Einwilligung für die Verwendung dieser Cookies einzuholen, sollten zumindest eventuell noch vorhandene Cookie-Banner entfernen und überprüfen, ob die Datenschutzerklärung Informationen zu allen verwendeten Cookies (einschließlich ihrer Laufzeit und den Empfängern der mit den Cookies erhobenen Daten) aufführt.

Webseitenbetreiber, die für Cookies bereits eine Einwilligung mithilfe eines Consent Management Platform Tools (CMP-Tool) einholen oder ein solches anlässlich des Urteils implementieren, sollten überprüfen, dass

  • in dem CMP-Tool Cookies, die nicht zum Betrieb der Webseite erforderlich sind (z.B. Session- und Warenkorb-Cookies), nicht standardmäßig aktiviert sind und ggf. abgewählt werden müssen und
  • die Cookies erst geladen werden, nachdem der Besucher sein Einverständnis erklärt hat, indem er auf “Cookie-Einstellungen speichern“ oder Ähnliches klickt.