Cookies nur noch mit Einwilligung möglich?
In Medien wurden als Reaktion auf das EuGH Urteil „Planet 49“ teilweise verkürzte Titel gewählt, wie z.B. „Cookies nur noch mit Einwilligung möglich“. Zur Vermeidung von Missverständnissen ist es wichtig, das Urteil – unter Berücksichtigung konkret zu entscheidenden Falles – im Detail zu betrachten und etwaige Auswirkungen auf Ihren Geschäftsbetrieb zu analysieren.
Dem Urteil des EuGH liegt der folgende Fall zugrunde: Um sich für ein Gewinnspiel zu registrieren, sollte der teilnehmende Nutzer eine Einwilligungserklärung zum Setzen und Auswerten von Cookies abgegeben. Dabei war der Einwilligungstext mit einem voreingestellten Häkchen bereits angewählt. Sofern sich der Nutzer also nicht mit dem Setzen und Auswerten von Cookies einverstanden hätte erklären wollen, hätte er das Häkchen entsprechend entfernen/deaktivieren müssen, bevor er auf den unter dem Feld befindlichen Teilnahme-Knopf hätte klicken können.
Vor diesem Hintergrund hat der EuGH entschieden, dass ausdrücklich keine wirksame Einwilligung eingeholt werden könne, sofern Häkchen einer Check-Box voreingestellt seien und der Nutzer diese lediglich „abwählen“ müsse. Ferner hat der EuGH festgestellt, dass zu den erforderlichen Informationen, die dem Nutzer für die Annahme einer „informierten Einwilligung“ bereitgestellt werden müssen, auch die näheren Umstände des Cookie-Einsatzes (Dauer der Speicherung; Zugriffsmöglichkeit Dritter) zählen.
Weiter hat der EuGH klargestellt, dass die Regelungen zur Speicherung von sowie der Zugriff auf Informationen (einschließlich Cookies) im Endgerät des Nutzers gemäß der Richtlinie 2002/58 („ePrivacy Richtlinie“) nicht nur für personenbezogene, sondern auch für nicht personenbezogene Informationen Anwendung finden.
Die diesbezüglichen Feststellungen des EuGH wurden im Vorfeld bereits erwartet und waren zum Teil schon lange Konsens unter den Aufsichtsbehörden bzw. in der rechtswissenschaftlichen Literatur. Insoweit hat die Entscheidung tatsächlich nur wenig „Neues“ gebracht. Wichtig ist insoweit zu analysieren, was der EuGH nicht entschieden hat.
Der EuGH hat sich nicht geäußert zu folgenden Bereichen:
– Kopplungsverbot (hier schreibt er explizit, im vorliegenden Urteil keine Entscheidung treffen zu wollen / müssen)
– Geltung des TMG (dies wird mit keiner Silbe erwähnt)
– Notwendigkeit der Einwilligung (das Gericht wurde gefragt, wie die Einwilligung auszusehen hat, nicht, ob sie einzuholen ist)
Das Gericht hat somit zusammenfassend lediglich über die Modalitäten der Einwilligung (aktiv, informiert, gesondert) entschieden. Aufgrund des Umstandes, dass der EuGH Art. 5 Abs. 3 der ePrivacy Richtlinie anwendet, könnte hieraus zu entnehmen sein, dass er für Cookies grundsätzlich eine Einwilligung als erforderlich ansieht. Dass dies für sämtliche Cookies der Fall ist, erscheint angesichts des Wortlauts von Art. 5 Abs. 3 der ePrivacy Richtlinie jedoch fernliegend (vgl. dortiger Satz 2). Dort heißt es: „[Das grundsätzliche Einwilligungserfordernis …] steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.“
Welche Cookies „unbedingt erforderlich“ sind, um den vom Nutzer gewünschten Dienst zu erbringen, ist somit auch nach diesem EuGH-Urteil weiterhin offen und nun zu klären. Nach unserem Verständnis könnten zu solchen unbedingt erforderlichen Cookies möglicherweise z.B. Session-Cookies und funktionale Cookies (Warenkorb, Spracheinstellung etc.) zählen, während Drittanbieter-Cookies – vor allem zu Werbezwecken – eher problematisch sein dürften. Da die Erforderlichkeit von Cookies stets von vielen Faktoren abhängig ist – existieren z.B. alternative Lösungen ohne den Einsatz von Cookies? – verbietet sich hier jedoch eine pauschale Antwort.
Vor diesem Hintergrund sollten Sie die Entscheidung des EuGH zum Anlass nehmen, Ihren Internetauftritt bezüglich der Zulässigkeit einzelner Cookies bzw. Cookiearten zu analysieren und auch etwaige Einwilligungen, die Sie von Ihren Nutzern einholen, auf ihre Wirksamkeit hin untersuchen.