Der EuGH hat am 01.10.2019 in der Rechtssache C-673/17 entschieden, dass eine im vorab angekreuzte Einverständniserklärung zur Speicherung und Auswertung von Cookies ungenügend ist. Weiter ist die Verwendung von Werbe-Cookies nur in einer Opt-In-Lösung zulässig.

Grund für den Rechtsstreit war der Folgende:

Planet49 veranstaltete im September 2013 ein Gewinnspiel auf der Website www.dein-macbook.de. Im Fall relevant: Um am Gewinnspiel teilzunehmen, mussten Adresse und weitere Daten des Teilnehmers angegeben werden. Unter diesen Eingabefeldern befand sich ein Hinweistext, durch welchen sich der Teilnehmer dann einverstanden mit der Setzung von Cookies durch den Werbepartner des Gewinnspielbetreibers zur Auswertung des Surf- und Nutzungsverhalten des Teilnehmers und der Erstellung interessengerechter Werbung durch den Werbepartner erklärt, wenn das Häkchen im unteren Ankreuzkästchen angekreuzt ist. Das Problem dabei: Das Häkchen war bereits ohne Zutun des Teilnehmers im vornherein gesetzt.

Der Kläger, der Bundesverband der Verbraucherzentralen und Verbraucherbände – Verbraucherverband Bundesverband e. V, machte daraufhin geltend, dass diese Vorgehensweise nicht den Anforderungen aus §307 BGB, §7 des Gesetzes gegen unlauteren Wettbewerb genüge.

Der BGH war sich unsicher, welchen Umfang die in der Richtlinie 2002/58 festgesetzte Informationspflicht hat, und beschloss daher dem EuGH folgende Fragen vorzulegen:

„1a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art.5 Abs.3 und des Art.2 Buchst. F. der Richtlinie 2002/58 in Verbindung mit Art.2 Buchst. H der Richtlinie 95/46, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

1b) Macht es bei der Anwendung des Art.5 Abs.3 und des Art.2 Buchst. F der Richtlinie 2002/58 in Verbindung mit Buchst. H der Richtlinie 95/46 einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Daten um personenbezogene Daten handelt?

1c) Liegt unter den in Vorlagefrage 1 genannten Umständen eine wirksame Einwilligung im Sinne des Art.6 Abs.1 Buchst. A der Verordnung 2016/679 vor?

2. Welche Informationen hat der Dienstanbieter im Rahmen der nach Art.5 Abs.3 der Richtlinie 2002/58 vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?“

(Urteil des EuGH vom 01.10.2019 in der Rechtssache C-673/17
http://curia.europa.eu/juris/document/document.jsf?docid=218462&doclang=de)

Der EuGH entschied bezugnehmend auf die Frage 1a, also die Frage, ob ein bereits angekreuztes Hakenkästchen eine wirksame Einwilligungserklärung darstellen kann, wie folgt:

Der Wortlaut des Art.5 Abs.3 der Richtlinie 2002/58 sehe zwar eine ausdrückliche Einwilligung des Nutzers zur Benutzung seiner Cookies vor, es würden aber keine Angaben zur Vorgehensweise des Einwilligungsvorganges gemacht. Aus dem Wortlaut „Einwilligung geben“ und dem Erwägungsgrund 17 der Richtlinie 2002/58 ergebe sich allerdings, dass es für eine Einwilligungserklärung einem aktiven Tätigwerden bedarf, welches sachkundig und freiwillig erfolgt, um den Willen zur Einwilligung Ausdruck zu verleihen.

Das bedeutet, dass eine Einwilligungserklärung durchaus durch das Ankreuzen eines Kästchens auf einer Website erfolgen kann, bei einem bereits angekreuzten Kästchen kann das aktive Tätigwerden allerdings nur in die Richtung des „Einwilligung Entziehens“ gehen, sodass bei einer solchen Vorgehensweise Zweifel an der Wirksamkeit der Einwilligung bestehen.

Zudem setze auch Art.7 der Richtlinie 95/46 voraus, dass die Einwilligung ohne jeden Zweifel gegeben wird. Diesem Erfordernis könne nur mit einem aktiven Verhalten zur Einwilligung genüge getan werden.

Diese Ansicht stütze auch die Entstehungsgeschichte des Art.5 Abs.3 2002/58, nach welcher zunächst nur das Recht bestand die Speicherung von Cookies zu verweigern, ehe der Wortlaut durch die Richtlinie 2006/136 dahingehend zu einem aktiven Verhalten verändert wurde, dass eine Einwilligung gegeben werden muss.

Noch deutlicher ergebe sich die Sachlage aus der Verordnung 2016/679, in welcher der Begriff der Einwilligung der betroffenen Person als „freiwillig für den bestimmten Fall in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen bestätigenden Handlung“ definiert wird. Der Erwägungsgrund 32 der Verordnung 2016/679 schließe sogar ausdrücklich aus, dass Stillschweigen oder bereits angekreuzte Kästchen oder Untätigkeit eine Einwilligung darstellen könnten.

Auch sei zu wenig über die Einwilligung informiert worden. Zwar sei die Einwilligung zum Abschluss des Gewinnspiels nicht erforderlich, dies sei aber nicht klar genug deutlich geworden.

Der EuGH entschied daher bezugnehmend auf die vorgelegten Fragen 1a und c, dass eine Einwilligung zur Speicherung und Nutzung von Cookies dann nicht wirksam vorliegt, wenn diese durch ein bereits vom Dienstanbieter angekreuztes Hakenkästchen erfolgt, welches vom Nutzer abgewählt werden kann.

Die Fragen 2 und 1c beantworte der EuGH im Übrigen natürlich auch:

Die Funktionsdauer der Cookies und die Frage, ob Dritte Zugriff auf die Cookies erhalten können sind Informationen, die der Dienstanbieter an den Nutzer herauszugeben hat. Ferner seien die Richtlinien 2002/58 und 95/46 bezüglich der Frage, ob die durch die Website erhobenen Daten personenbezogen sind, nicht unterschiedlich auszulegen.

Das Urteil des EuGH hat aufgrund der weiten Verbreitung von Werbecookies, nicht nur bei Anbietern von Gewinnspielen, eine große Bedeutung. Dass Nutzer nun nicht mehr durch das bloße Untätigbleiben bei einem bereits angekreuzten Kästchen der Nutzung von Cookies zustimmen können, bedeutet einen größeren Schutz für die Daten der Nutzer.

I.Leitsätze der Entscheidung

Hier sind noch einmal die Leitsätze der Entscheidung zum Nachlesen:

„1.      Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) sind dahin auszulegen, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

2.      Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in der durch die Richtlinie 2009/136 geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 sind nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der Verordnung 2016/679 handelt oder nicht.

3.      Art. 5 Abs. 3 der Richtlinie 2002/58 in der durch die Richtlinie 2009/136 geänderten Fassung ist dahin auszulegen, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.“

(Urteil des EuGH vom 01.10.2019 in der Rechtssache C-673/17
http://curia.europa.eu/juris/document/document.jsf?docid=218462&doclang=de)