Voreingestellte Einwilligung in Cookies ist unzulässig

Der Europäische Gerichtshof hat entschieden: User müssen dem Setzen sogenannter Cookies nach einem Urteil des Europäischen Gerichtshofs aktiv zustimmen. Eine voreingestellte Zustimmung zum Speichern der Daten auf dem Rechner sei unzulässig, urteilten die Luxemburger Richter (Rechtssache C-673/17).

Der Branchenverband Bitkom sieht weitreichende Auswirkungen für Internetnutzer und Webseitenbetreiber.
Cookies speichern beim Surfen Daten auf der Festplatte des Nutzers. Beim erneuten Besuch der Webseite können mit ihrer Hilfe die Nutzer und ihre Einstellungen schneller wiedererkannt werden.

Hintergrund der EuGH-Entscheidung ist ein Online-Gewinnspiel des Anbieters Planet49 aus Deutschland im Jahr 2013. Auf der Anmeldeseite des Gewinnspiels gab es ein Kästchen, bei dem bereits ein Häkchen gesetzt war. Die Zustimmung in das Setzen von Cookies lag damit automatisch vor. Das Häkchen konnte jedoch auch entfernt werden.

Der Verbraucherzentrale Bundesverband hielt das Vorgehen von Planet49 für unzulässig und klagte dagegen. Der Bundesgerichtshof bat den EuGH daraufhin um Auslegung der EU-Datenschutzvorschriften. Ein EuGH-Sprecher bestätigte, dass sich das Urteil auch auf die neuen Datenschutz-Regeln der EU bezieht. Seit Ende Mai 2018 gilt in der Staatengemeinschaft die Datenschutzgrundverordnung.

Die Luxemburger Richter betonten nun, dass die Einwilligung in das Setzen von Cookies durch das Vorgehen bei dem Planet49-Gewinnspiel nicht wirksam erteilt werde. Es mache auch keinen Unterschied, ob es sich bei den gespeicherten und abgerufenen Informationen um personenbezogene Daten handele oder nicht. Die EU-Gesetze sollten Nutzer vor jedem Eingriff in ihre Privatsphäre schützen.

Zugleich stellten die Richter klar, dass Nutzer die Einwilligung in das Setzen von Cookies in jedem Einzelfall erteilen müssten. Die Teilnahme an einem Gewinnspiel durch Betätigung einer Schaltfläche stelle keine wirksame Einwilligung in die Speicherung von Cookies dar. Vielmehr müssten Diensteanbieter gegenüber dem Nutzer Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter durch die Cookies machen. Dies sei auf vielen Websites bisher nicht der Fall, sagte Datenschutz- und IT-Rechtsexperte Martin Pflüger von der Wirtschaftskanzlei Hogan Lovells. „Hier sollten Unternehmen ihre Datenschutzerklärungen und Cookie-Hinweise überprüfen.“

Für Fabian Seip, Rechtsanwalt und Telekommunikationsexperte der Kanzlei Hengeler Mueller, ist entscheidend, dass das Urteil auch Tracking-Cookies betrifft, die verfolgen, auf welchen Webseiten Internetnutzer unterwegs sind. Sie sind eine Voraussetzung für personalisierte Werbung.

Große Anbieter mit Abomodellen oder Login wie Facebook betreffe das weniger, sagte Seip am Dienstag. Diese könnten die Einwilligung einmalig bei der Registrierung von Nutzern einholen. Alle anderen müssten jedoch jedes Mal die aktive Zustimmung erbitten. „Deshalb ist es wohl vor allem die mittelständische Werbewirtschaft, die Schwierigkeiten mit dem Urteil haben wird.“

Bitkom-Hauptgeschäftsführer Bernhard Rohleder erwartet durch das Urteil eine Mehrbelastung für unzählige Webseitenbetreiber und Nutzer. „Wer weiterhin den Komfort von Cookies genießen möchte, muss dafür ausdrücklich eine Einwilligung erteilen – mit zusätzlichen Klicks.“ Cookies könnten jedoch für beide Seiten ein Mehrwert sein. „Cookies machen das Surfen schneller und bequemer. Webseitenbetreiber, etwa von Online-Shops, können mit Cookies ihr Angebot noch besser an die Bedürfnisse der Kunden anpassen.“