Einwilligung für Cookies erforderlich – EuGH Urteil

Die Erforderlichkeit einer Rechtsgrundlage für die Verarbeitung von Daten sowie das „privacy by design“ Prinzip hatten Datenschützer bereits zu der Empfehlung geführt, die Einwilligung des Webseiten-Besuchers einzuholen für die Verwendung von Cookies im Browser. Am 01.10.2019 wurde diese Regelung durch das EuGH bestätigt.

Konkret hatte hier der Bundesverband der Verbraucherzentralen gegen Planet49 geklagt. Das Unternehmen organisierte in 2013, also vor Inkrafttreten der DSGVO, ein Online-Gewinnspiel. Kritisiert wurde, dass für das Einsetzung von Cookies für Werbezwecke ein aktives Opt-Out erforderlich war, allerdings war das Auswahlkästchen bereits vorangekreuzt.

Diese Voreinstellung ist nach Meinung des EuGHs rechtswidrig und entspricht nicht den geltenden Datenschutzgesetzen. Die Einwilligung der Betroffenen muss, laut Richtlinie 95/46, eine „Willensbekundung“ sein, die „ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage“ zu erfolgen hat. Zweifelhaft und unnachweisbar bei einer Opt-Out Regelung ist, ob die betroffene Person, die Information überhaupt gelesen hat und somit für den konkreten Fall in Kenntnis der Sachlage zustimmt. Die erforderliche Willensbekundung deutet ebenfalls auf eine aktive Zustimmung, die nicht mit einer Opt-Out Regelung einhergehen kann.

Obwohl die konkrete Entscheidung hier auf einer Richtlinie beruht, zitiert das EuGH die DSGVO als Verstärkung, da diese nunmehr eine aktive Einwilligung vorsieht. Diese wird durch die Begriffsbestimmung der Einwilligung in Art. 4 DSGVO bekräftigt. Eine Einwilligung ist als eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

Das EuGH geht hier sogar ein Schritt weiter und begrenzt die Erforderlichkeit einer Einwilligung für Cookies nicht nur auf die Fälle, in denen personenbezogenen Daten verarbeitet werden, sondern auf alle Cookies, die für die Verwendung der Webseite nicht zwingend notwendig sind. Selbst wenn keine oder nur pseudonymisierte personenbezogenen Daten verarbeitet werden.

Somit sind simple Cookie Banner, die einfach zu akzeptieren oder stehen zu lassen sind und keine Auflistung der Cookies bzw. keine Einwilligungsmöglichkeit zu Verfügung stellen, nicht ausreichend. Ebenfalls sind Cookie Banner, in denen der Besucher aktiv Cookies (als Gesamtwerk oder die einzelnen Cookie-Kategorien) ablehnen muss nicht datenschutzkonform.

Diese Entscheidung kommt als Folge und grundsätzlich als Erweiterung des EuGH Urteils vom 29.07.2019, dass für Cookies, die durch Social Media Plugins auf Webseiten aufgesetzt werden, eine Einwilligung erforderlich ist.