Cookie-Einwilligungen sind nur mit Opt-In zulässig!
Der Generalanwalt des Europäischen Gerichtshofes Maciej Szpunar hat sich im Rahmen eines Vorabentscheidungsverfahrens in seinen Schlussanträgen (Schlussantrag v. 21.03.2019 – Az.: C-637/17) dahingehend geäußert, dass Cookies nur dann vom Websitebetreiber gesetzt werden dürfen, wenn dieser zuvor per Opt-In die Einwilligung des Besuchers eingeholt hat. Somit wären Opt-Out-Lösungen generell unzulässig.
In Deutschland wurde bisher noch generell von der Zulässigkeit der Opt-Out-Lösung ausgegangen. Danach sind Cookies zulässig, wenn der Nutzer auf sie hingewiesen wurde und ihnen nicht widersprochen hat. Der Gesetzgeber sieht das als vereinbar mit der Cookie-Richtlinie an.
Worum geht es?
Im konkreten Fall hatte ein deutscher Gewinnspielbetreiber Einwilligungen seiner Websitebesucher in das Ausspielen personalisierter Werbung jeweils per Opt-Out eingeholt. Das heißt, dass die Checkbox, mit der die Einwilligung erteilt werden sollte, bereits angekreuzt war. Sofern ein Besucher seine Zustimmung nicht erteilen wollte, musste er das gesetzte Kreuzchen aktiv per Mausklick entfernen. Der Verbraucherzentrale Bundesverband e.V. hält das für unzulässig und hat geklagt. Der BGH hat dem EuGH sodann die Frage vorgelegt, ob diese Art Einwilligungen einzuholen mit dem europäischen Datenschutzrecht vereinbar ist.
Für die Beantwortung dieser Frage hat Generalanwalt Szpunar die Cookie-Richtlinie und sowohl die Datenschutzrichtlinie als auch die DSGVO herangezogen. Da sich der Sachverhalt bereits 2013 zugetragen hat, ist das damalige Verhalten an der Datenschutzrichtlinie, das zukünftige Verhalten jedoch an der DSGVO zu messen, die seit dem 28.5.2018 die Richtlinie ablöst.
Wie muss eine Einwilligung ausgestaltet sein?
Damit eine Einwilligung diesen Rechtsvorschriften entspricht, muss sie ohne Zwang und in Kenntnis der Sachlage bzw. freiwillig und in informierter Weise erfolgen. Dies verneint Szpunar nun bei einer Einwilligung, bei der das Häkchen schon gesetzt ist und der Nutzer nur dann aktiv werden muss, wenn er keine Einwilligung erteilen will. Hier sei nicht erkennbar, dass der Nutzer die Einwilligung freiwillig und in Kenntnis der Sachlage erteilt hat. Dies sei nur erkennbar, wenn der Nutzer aktiv ein Häkchen setzt.
Des Weiteren werde eine Einwilligung nur dann freiwillig und in Kenntnis der Sachlage erteilt, wenn sie gesondert erteilt wird. Dies sei nicht der Fall, wenn ein Nutzer eine Handlung im Internet vornimmt, wie der Teilnahme an einem Gewinnspiel zustimmt und in derselben Handlung die Einwilligung zum Setzen von Cookies erteilt. Er müsse konkret zwei Einwilligungen für zwei verschiedene Datenverarbeitungen erteilen und nicht nur eine für beide. Dies sei aber der Fall, wenn er das Häkchen nicht selbst setzen und nur auf Teilnahme klicken muss. Dies erscheine wie eine alles umfassende Einwilligung, was nicht mit den Anforderungen an eine Einwilligung vereinbar sei.
Was ändert sich in Zukunft?
Da bisher in Deutschland noch von der Opt-out-Lösung ausgegangen wurde, müsse nach Einschätzung des Generalanwalts in bestimmten Konstellationen nun auf die strengere Opt-In-Lösung umgestellt werden, damit die Anforderungen des europäischen Datenschutzrechtes eingehalten werden.
Allerdings gibt es noch keinen Grund zur Panik für Cookie-Betreiber, da es sich lediglich um einen Schlussantrag eines Generalanwalts handelt. Schlussanträge werden vor dem Urteil geschrieben und sind rechtlich nicht bindend und auch der EuGH muss sich letztendlich nicht daran halten. Erst, wenn das Urteil gefällt wurde und das Gericht der Meinung des Generalanwalts folgt, ist Klarheit gegeben.
Empfehlenswert ist es allerdings, sich darauf einzustellen, dass das Urteil dem Schlussantrag folgen wird. Dies ist nämlich in den meisten Urteilen der Fall. Des Weiteren wird es in Zukunft durch die ePrivacy-Verordnung neue Anforderungen an den Cookie-Einsatz geben. Es ist gut möglich, dass diese auch eine Opt-In-Lösung vorschreiben werden. Ob das jedoch wirklich so sein wird und wann die ePrivacy-Verordnung kommt ist noch unklar.