Wie muss der Internetnutzer informiert werden, wenn Webseitenbetreiber Cookies setzen und bedarf es einer Einwilligung des Nutzers? Der Europäische Gerichtshof hat hierzu die Anforderungen in Bezug auf Cookies klargestellt.
2013 veranstaltete die Planet49 GmbH auf seiner Webseite ein Gewinnspiel zu Werbezwecken.
Um an dem Gewinnspiel teilnehmen zu können, mussten die Internetnutzer ihre Postleitzahl eingeben. Daraufhin wurde eine Internetseite mit Eingabefeldern für ihren Namen und ihre Adresse angezeigt. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzkästchen versehene Hinweistexte. Beim zweiten Hinweistext war das Ankreuzkästchen mit einem voreingestellten Häkchen versehen, beim ersten nicht. Eine Teilnahme am Gewinnspiel war nur möglich, wenn zumindest das Häkchen beim ersten Hinweistext gesetzt wurde.
Der zweite Hinweistext lautete:
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
Der Link im zweiten Hinweistext führte zu folgenden Informationen:
„Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie (d. h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.
Anschließend kann [Planet49] aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E‑Mail-Werbung mehr.
Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten.
Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers.
Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden.
Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E‑Mail an unseren Kundenservice [E‑Mail-Adresse].“
Der deutsche Bundesverband der Verbrauchverbände ging gegen die Einverständniserklärungen von Planet49 vor.
Vorlage des Bundesgerichtshofs zur Einwilligung in Cookies
Der Bundesgerichtshof hatte Zweifel, ob die von Planet49 mittels des zweiten Ankreuzkästchens eingeholte Einwilligung der Nutzer wirksam ist und rief den EUGH an mit folgenden Fragen:
- Handelt es sich um eine wirksame Einwilligung wenn der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?
- Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?
Entscheidung des EUGH zur Einwilligung bei Cookies
Mit Urteil vom 01.10.2019 – C-673/17 beantworteten die Luxemburger Richter die Fragen wie folgt:
Es liege keine wirksame Einwilligung in das Setzen eines Cookies vor, wenn der Nutzer zur Verweigerung seiner Einwilligung ein bereits voreingestelltes Häkchen abwählen muss.
Im Übrigen komme es nicht darauf an, ob es sich um personenbezogene Daten handele oder nicht. Der Webseitenbetreiber müsse dem Nutzer Angaben zur Funktionsdauer der Cookies und über den etwaigen Zugriff Dritter auf diese Cookies mitteilen.
Fazit
Was bedeutet die Entscheidung nun für Webseitenbetreiber?
Sofern eine Einwilligung des Nutzers in das Setzen von Cookies erforderlich ist, muss diese Einwilligung aktiv erfolgen, es darf also nicht bereits vorausgewählt sein. Allerdings hat der EUGH damit nicht entschieden, dass jeder Cookie tatsächlich einer Einwilligung bedarf.
Die Angabe zur Funktionsdauer und Zugriff Dritter auf Cookies können Webseitenbetreiber vor Probleme stellen, insbesondere dann, wenn dem Webseitenbetreiber Drittdienste einbinden, wie z.B. von Google, Facebook oder Amazon. Viele dieser Dienste stellen nämlich nur unzureichende Informationen bereit, die jedenfalls für den Fall einer erforderlichen Einwilligung oftmals nicht ausreichen dürften.
Es bleibt zu hoffen, dass hier praktikable Lösungen gefunden werden, die nicht zu weiteren Cookie Banner und Pop-Ups führen, welche der Großteil der Nutzer ohnehin stets wegklickt bzw. akzeptiert.
Artikel als PDF speichern
