Cookie-Urteil stärkt digitale Privatsphäre

• Einsatz von Tracking-Cookies nur mit aktiver und gesonderter Einwilligung der Betroffenen.
• Widerspruchslösung reicht nicht aus.
• Bundesregierung muss sich für eine zügige Verabschiedung der ePrivacy-Verordnung und ein hohes Schutzniveau einsetzen.

Möchte ein Unternehmen auf einer Webseite Cookies zur plattformübergreifenden Auswertung des Surf- und Nutzungsverhaltens seiner Kundinnen und Kunden einsetzen, geht dies nicht ohne vorherige informierte Einwilligung der Betroffenen. Eine bereits vorangekreuzte Einverständniserklärung genügt dafür nicht. Das hat heute der Europäische Gerichtshof (EuGH) in einem Verfahren des Verbraucherzentrale Bundesverbands (vzbv) gegen den Gewinnspielveranstalter Planet49 entschieden. Das Urteil hat wegen der großen Verbreitung von Werbecookies auf Onlineseiten grundsätzliche Bedeutung.

„Das Urteil ist ein wichtiges Zeichen für den Schutz der digitalen Privatsphäre. Tracking-Cookies ermöglichen Webseitenbetreibern und Drittanbietern eine umfassende Auswertung des Surf- und Nutzungsverhaltens von Kunden“, sagt Heiko Dünkel, Rechtsreferent beim vzbv. „Dass ein bereits vorangekreuztes Informationsfeld für den rechtskonformen Einsatz nicht ausreicht, ist eine gute Nachricht für Verbraucher.“

Einsatz von Werbe-Cookies war voreingestellt

Auslöser des Urteils war ein Gewinnspiel des Werbedienstleisters Planet49 vom September 2013, gegen das der vzbv geklagt hatte. Verbraucher sollten den Einsatz von Cookies mit einem vorangekreuzten Auswahlkästchen (opt-out) bestätigen. Der vzbv sah darin einen Verstoß gegen geltendes Datenschutzrecht sowie die europäische e-Privacy/ Cookie-Richtlinie. Nach gegensätzlichen Entscheidungen in der ersten und zweiten Instanz hatte der BGH die Revision im Oktober 2017 ausgesetzt und ein Vorabentscheidungsverfahren vor dem EuGH eingeleitet.

Gerichtshof verlangt aktive Entscheidung der Nutzer

Der EuGH urteilte nun, dass eine voreingestellte Zustimmung zu Trackingcookies gegen die bisherige ePrivacy/ Cookie-Richtlinie, die frühere Datenschutzrichtlinie und die neue Datenschutzgrundverordnung verstößt. Eine Einwilligung in das Setzen von Trackingcookies könne durch ein vorangekreuztes Auswahlkästchen nicht wirksam erfolgen. Gleiches gelte für die Betätigung der Schaltfläche zur Teilnahme am Gewinnspiel. Es mache insoweit keinen Unterschied, ob es sich bei den im Gerät des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Der EuGH stellt außerdem klar, dass der Diensteanbieter gegenüber dem Nutzer Angaben zur Funktionsdauer der Cookies und zur Zugriffsmöglichkeit Dritter machen muss.

E-Privacy-Verordnung zügig umsetzen

„Verbraucher haben ein Recht auf Privatsphäre. Auch im Internet. Umso drängender ist nun die Durchsetzung der Datenschutzgrundverordnung und die zügige Annahme einer datenschutzfreundlichen ePrivacy-Verordnung, die derzeit in Brüssel verhandelt wird“, sagt Lina Ehrig, Teamleiterin Digitales beim vzbv. Praktiken wie vorgeklickte Kästchen, Zugangssperren für Nutzer, die Cookies nicht zustimmen („Tracking Walls“) und die Vermutung, dass ein Benutzer eine Einwilligung durch einfaches Surfen auf einer Website erteilt, müssen beendet werden, fordert der vzbv.

Eine Weiterverarbeitung für elektronischen Kommunikationsdaten für „kompatible Zwecke“ sei in diesem besonders sensiblen Bereich nicht akzeptabel und auch nicht mit der Rechtsprechung des Europäischen Gerichtshofs vereinbar. „Jetzt ist die Bundesregierung gefragt, ihre Haltung gegenüber den anderen Mitgliedsstaaten im EU-Rat auch zu verteidigen und durchzusetzen“, so Lina Ehrig.

Urteil des Europäischen Gerichtshofs vom 01.10.2019, Rechtssache C-673/17