DatenschutzInternetrechtTelemedienrecht

Planet49: Die Cookie-Entscheidung des EuGH

Pünktlich zum Auftakt des European Cyber Security Month (ECSM)[1] hat der EuGH am 1. Oktober 2019 das lang erwartete Urteil zur Cookie-Einwilligung in Sachen „Planet49“ verkündet und damit den Schutz der Privatsphäre von Internetusern gestärkt.[2]

Die Richterinnen und Richter des EuGH haben mit dem Urteil mehr Klarheit in ein umstrittenes Thema gebracht. Danach erfordert das Setzen von Cookies durch Webseitenbetreiber eine aktive Einwilligung des Nutzers; ein voreingestelltes Ankreuzkästchen, welches der Nutzer entfernen muss, genügt nicht als wirksame Einwilligung.[3]

Hintergrund des Falls

Dem vorausgegangen ist eine Klage des Bundesverbands der Verbraucherzentralen (vzbv) gegen das Werbeunternehmen Planet49 GmbH aus dem Jahr 2013. Dieses sammelte im Rahmen eines Gewinnspiels auf der Website Daten der Teilnehmer für Werbezwecke Dritter.[4] Die Teilnehmer des Gewinnspiels fanden vor dem Absenden der Bestätigung ein mit einem voreingestellten Häkchen versehenes Kästchen vor, mit welchem in den Einsatz von Cookies zu Werbezwecken eingewilligt wurde. Diese bestanden in der Auswertung des Surf- und Nutzungsverhalten der Teilnehmer auf Webseiten Dritter.[5]

Der vzbv klagte sodann gegen das Unternehmen und den Einsatz von voreingestellten Ankreuzfeldern.[6] Der Rechtsstreit zog sich bis zum BGH. Die Karlsruher Richter setzten das Verfahren aus und ersuchten den EuGH um Klärung der Auslegung von Unionsrecht über den Schutz der Privatsphäre in der elektronischen Kommunikation.[7] Konkret legte der BGH folgende Fragen zur Vorabentscheidung vor:

1a. Handelt es sich um eine wirksame Einwilligung im Sinne von Art. 5 Abs. 3 der Richtlinie 2002/58 (e-Privacy-Richtlinie), wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

1b. Macht es einen Unterschied, ob Cookies personenbezogene Daten enthalten?

1c. Liegt eine wirksame Einwilligung im Sinne der DS-GVO vor, wenn wie in Frage 1a mit einem voreingestellten Ankreuzkästchen gearbeitet wird?

2. Welche Informationen hat der Diensteanbieter dem Nutzer zu erteilen?[8]

Die Entscheidung des EuGH

Der EuGH stellte zunächst fest, dass mittels eines voreingestellten Ankreuzkästchens keine wirksame Einwilligung gem. Art. 4 Nr. 11 bzw. Art. 6 Abs. 1 lit. a), Art. 7 DS-GVO vorliegt.[9] Diese setzt vielmehr ein aktives Handeln seitens der Nutzer voraus; ein bloßes „Nichthandeln“ bei einem bereits angekreuzten Kästchen entspricht nicht den Vorgaben.[10] Hiermit hat der EuGH nichts Neues festgestellt, da bereits in Erwägungsgrund 32 der DS-GVO das Szenario des voreingestellten Kästchens als unzureichend bezeichnet wird.[11] Der EuGH betont auch, dass diese Vorgaben an die Einwilligung sowohl für die DS-GVO als auch für die e-Privacy-Richtlinie gelten.[12]

Des Weiteren vertreten die Richterinnen und Richter des EuGH die Auffassung, dass es keine Rolle spielt, ob es sich bei den Cookies um personenbezogene Daten handelt. So ist es gerade der Sinn und Zweck des Art. 5 Abs. 3 der e-Privacy-Richtlinie, die Nutzer vor jeglichen Eingriffen in ihre Privatsphäre zu schützen.[13]

Hinsichtlich der Frage, inwieweit Diensteanbieter die Nutzer über das Setzen von Cookies aufklären müssen, hat der EuGH festgestellt, dass hier unter anderem Angaben zu der Funktionsdauer der Cookies und den Zugriffsmöglichkeiten Dritter gemacht werden müssen, was weitestgehend dem bisherigen Status quo entspricht.[14]

Fazit

Der EuGH hat den Ball damit wieder zurück zum BGH gespielt. Dieser soll nun bewerten, wie der Sachverhalt nach deutschem Recht zu beurteilen ist.[15]

Gleichzeitig hat der EuGH dem deutschen Sonderweg eine klare Absage erteilt. Dem Vorlagebeschluss des BGH ist zu entnehmen, dass dieser plante, den § 15 Abs. 3 TMG (Opt-Out für einwilligungspflichtige Cookies) richtlinienkonform auszulegen, also i.S.v. Art. 5 Abs. 3 der e-Privacy-Richtlinie.[16] Problematisch ist hierbei allerdings, dass dies aufgrund des Wortlauts nicht möglich scheint. Insofern könnte der BGH womöglich von der Anwendung des § 15 Abs. 3 TMG absehen und sodann Art. 6 Abs. 1 lit. a)  DS-GVO als Rechtsgrundlage für nicht unbedingt erforderliche Cookies anwenden.[17]

Währenddessen teilte das zuständige Bundesministerium für Wirtschaft und Energie (BMWi) bereits mit, dass es an einer entsprechenden Änderung des TMG arbeite und noch im Herbst dieses Jahres einen Gesetzesentwurf vorlegen wolle.[18] Es bleibt also abzuwarten, wie der BGH den Fall entscheiden und welche Änderungen der deutsche Gesetzgeber vornehmen wird.

 

 

[1] Siehe https://cybersecuritymonth.eu/, zuletzt abgerufen am 24.10.2019.

[2] EuGH Urteil vom 1. Oktober 2019 (C-673/17); Alexander Fanta, EU-Gericht klickt nervige Cookie-Banner weg, Netzpolitik.org, 1. Oktober 2019, abrufbar unter: https://netzpolitik.org/2019/eu-gericht-klickt-nervige-cookie-banner-weg/, zuletzt abgerufen am 24.10.2019.

[3] EuGH, Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers, Pressemitteilung Nr.125/19, abrufbar unter: https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf, zuletzt abgerufen am 24.10.2019.

[4] Schwenke, EuGH-Urteil: Keine Einwilligung, keine Cookies., Datenschutz-Generator. De, 1. Oktober 2019, abrufbar unter: https://datenschutz-generator.de/eugh-cookie-einwilligung-banner-detailinformationen-pflicht/, zuletzt abgerufen am 19.10.2019

[5] Kleinz, EuGH: Keine Cookies ohne Zustimmung, Heise Online, 1. Oktober 2019, abrufbar unter: http://www.heise.de/-4543630, zuletzt abgerufen am 24.10.2019.

[6] Assion, Cookie-Urteil: Neue Klarheit, neue Fragen und eine „informationelle Integrität des Endgeräts“, Heise Online, 2. Oktober 2019, abrufbar unter: http://www.heise.de/-4544344, zuletzt abgerufen am 24.10.2019.

[7] BGH Beschluss vom 5. Oktober 2017 (I ZR 7/16).

[8] EuGH Urteil vom 1. Oktober 2019 (C-673/17) Rn. 69.

[9] Diercks, Zum EuGH Urteil „Planet49“, Az. C-673/17 – Benötigen Cookies ab jetzt immer einer Einwilligung? (Spoiler: Nein), Diercks Digital Recht, 1. Oktober 2019, abrufbar unter: https://diercks-digital-recht.de/2019/10/zum-eugh-urteil-planet49-az-c-673-17-benoetigen-cookies-ab-jetzt-immer-einer-einwilligung-spoiler-nein/, zuletzt abgerufen am 24.10.2019.

[10] Hansen-Oest, Was bedeutet das „Planet49“-Urteil des EuGH für deine Cookies? Nicht jedes Cookie braucht ‘nen „Daumen hoch“, Datenschutz-Guru.de, 2. Oktober 2019, abrufbar unter: https://www.datenschutz-guru.de/was-bedeutet-das-planet49-urteil-des-eugh-fuer-deine-cookies-nicht-jedes-cookie-braucht-nen-daumen-hoch/, zuletzt abgerufen am 24.10.2019.

[11] Hansen-Oest, Datenschutz-Guru.de, 2. Oktober 2019 (vgl. Fn. 10).

[12] Solmecke, EuGH kippt deutschen Sonderweg: Cookies zu Werbezwecken nur mit aktiver Einwilligung, WBS-Law.de, 1. Oktober 2019, abrufbar unter: https://www.wbs-law.de/it-und-internet-recht/datenschutzrecht/eugh-cookies-aktive-einwilligung-c-673-17-45473/, zuletzt abgerufen am 24.10.2019.

[13] EuGH Urteil vom 1. Oktober 2019 (C-673/17), Rn. 104 ff.

[14] EuGH, Pressemitteilung 125/19 (vgl. Fn. 3).

[15] Assion, Heise Online, 2. Oktober 2019 (vgl. Fn.6).

[16] Solmecke, WBS-Law.de, 1. Oktober 2019 (vgl. Fn. 12).

[17] Hansen-Oest, Datenschutz-Guru.de, 2. Oktober 2019 (vgl. Fn. 10).

[18] Dachwitz, Wirtschaftsministerium will im Herbst neue Regeln für Online-Tracking vorschlagen, Netzpolitik.org, 11. September 2019, abrufbar unter:  https://netzpolitik.org/2019/wirtschaftsministerium-will-im-herbst-neue-regeln-fuer-online-tracking-vorschlagen/, zuletzt abgerufen am 24.10.2019.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

*