EuGH: Ausdrücklich Einwilligung für Cookies erforderlich

Ein Beitrag von Rechtsanwalt Kai Bodensiek, Partner BvM Berlin

Damit sind die Zeiten bloßer Cookie-Hinweistexte definitiv vorbei. Website-Betreiber können sich zeitnah nicht mehr darauf berufen, dass die Rechtslage bisher nicht eindeutig gewesen sei. Eine wirksame Cookie-Einwilligungsabfrage ist deshalb perspektivisch auf jeder Webseite Pflicht, die Cookies verwendet, die nicht unbedingt notwendig sind.

Hierfür ist es nicht ausreichend, eine Cookie-Einwilligungsabfrage zur Verfügung zu stellen, in der die Einwilligung in Cookies voreingestellt (vorangehakt) ist.  Denn ein passives „Nicht-Abhaken“ der Einwilligung in das Setzen von Cookies reicht laut EuGH für eine ausdrückliche Einwilligung nicht aus.

Darüber hinaus müssen Website-Betreiber die Nutzer im Rahmen einer Einwilligungsabfrage über die Anbieter, Arten und Funktionsweisen der Cookies informieren sowie über die Speicherdauer. Auch das stellt das Urteil klar. Diese Informationen können in der Datenschutzerklärung vorgehalten werden, wenn die Einwilligungsabfrage hierauf konkret verweist und verlinkt. Möglich ist aber auch eine separate Cookie Policy.

Marketing-Cookies zählen definitiv nicht (!) zu den notwendigen Cookies in diesem Sinne. Auch bedeutet dies für fast alle Analytics Tools, dass diese standardmäßig deaktiviert sein müssen, bis der Nutzer dem Setzen der Analytics Cookies zugestimmt hat.

Nicht geklärt wurde durch das Urteil, ob in das Setzen einzelner Cookies der einzelnen Anbieter (Facebook, Google) jeweils separat eingewilligt werden muss. Wer auf Nummer sicher gehen möchte, sollte dies tun. Es wird derzeit jedoch auch für ausreichend angesehen, Cookies (und die Nutzereinwilligungen) in Kategorien zu unterteilen, zum Beispiel Marketing, Statistik, externe Medien etc.

In der Cookie-Einwilligungsabfrage müssen die Nutzer auf die Freiwilligkeit ihrer Einwilligung hingewiesen werden. Außerdem auf das Widerrufsrecht bzw. die Möglichkeit zum Opt-Out, die dem Nutzer auf der Website angeboten werden muss. Der Nutzer muss also auf der Website die Möglichkeit haben, seine Cookie-Einwilligung wieder zu ändern.

Diese Frage war u.a. deshalb bis zum Bundesgerichtshof eskaliert, der die Frage dem EuGH vorlegte, da die sogenannte E-Privacy-Richtlinie der EU nicht bzw. nicht vollständig in deutsches Recht  umgesetzt wurde. Bis zuletzt ging man davon aus, dass nach der Regelung im TMG regelmäßig keine Einwilligung in die Cookie-Setzung notwendig sei.

Daher ist auch noch nicht klar, ob die Entscheidung direkt Auswirkungen auf das deutsche Recht hat – dies wäre denkbar, wenn der BGH das TMG nun „richtlinienkonform“ auslegen würde - oder ob erst die bereits angekündigte Gesetzänderung durch die Bundesregierung dazu führen wird, dass die Entscheidung direkten Einfluss auf das deutsche Recht hat. In jedem Fall ist es jetzt an der Zeit sich bereits um eine Umsetzung zu bemühen.