EuGH-Cookie-Urteil: Et hätt noch immer joot jejange
Your contact person
Das Urteil d. EuGH v. 01.10.2019, Az. C-673/17 hat große Wellen geschlagen. Wirkliche Neuigkeiten gibt es allerdings nicht zu berichten.
Es bleibt insbesondere dabei, dass mit vorangekreuzten Kästchen keine wirksame Einwilligung eingeholt werden kann.
Der Fall „Planet49“ – Zeitreise in das Jahr 2013 – lange vor der DSGVO
Zunächst ist darauf hinzuweisen, dass der Entscheidung ein Fall aus dem Jahr 2013 –also zu einer prä-DSGVO Zeit- zugrunde liegt.
Dennoch hat der BGH die Fragen zur alten Rechtslagen mit Fragen zur neuen Rechtslage verknüpft. Die Entscheidung hilft uns also auch bei der Auslegung der aktuellen Rechtslage weiter.
Die Entscheidung erinnert jedoch schmerzlich daran, dass wir zwar eine ePrivay-Richtlinie haben, jedoch immer noch keine ePrivacy-Verordnung. Bei der ePrivacy-Richtlinie streiten sich die Geister über die Umsetzung im TMG und was in Deutschland im Moment überhaupt gilt. Unschön, aber der Praktiker sollte sich aufgrund der bereits geltenden DSGVO hierüber aktuell nicht allzu viele Sorgen machen.
Sinnvoll ist es jedoch, diese aktuell geltende DSGVO umzusetzen.
Der Sachverhalt – damals in 2013
Es liegt schon sechs Jahre zurück, als Planet49 GmbH ein Gewinnspiel zu Werbezwecken veranstaltete.
Zur Teilnahme am Spiel hatten die Internetnutzer ihre Postleitzahl einzugeben. Hatten sie das getan, mussten sie zusätzlich dazu Namen und Adresse eingeben. Dafür gab es entsprechende Eingabefelder. Unter dem Eingabefeld zur Nutzeradresse erschienen zwei Hinweistexte mit Ankreuzkästchen. Das eine Kästchen war bereits mit einem Haken versehen. Nun konnten die Nutzer nur dann ihre Teilnahme sichern, wenn sie zumindest einen Haken beim nicht voreingestellten Hinweistext setzten.
Der voreingestellte Hinweistext: „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
Klickte man auf die Verlinkung, bekam man einen ziemlich langen Erörterungstext zur Funktion der Cookies und dazu, dass der Nutzer diese über den eigenen Browser löschen konnte. Der letzte Absatz lautete: „Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E‑Mail an unseren Kundenservice [E‑Mail-Adresse].“
Daraufhin klagte der deutsche Bundesverband der Verbrauchverbände. Klagegegenstand war die Einverständniserklärung sowie die Reichweite der Informationspflichten der Planet49.
Das Vorabentscheidungsverfahren
Der BGH hatte Zweifel an der Reichweite des Unionsrechts und ersuchte die Auslegung des EuGH in einem Vorabentscheidungsverfahren.
Entscheidend waren folgende beide Fragen:
- Handelt es sich um eine wirksame Einwilligung, wenn der Nutzer zur Verweigerung seiner Einwilligung ein Ankreuzkästchen abwählen muss?
- Macht es einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?
Zu beidem lautete die Antwort „Nein“, s.o.
Zurück in der Gegenwart
Eine Einwilligung zur Datenverarbeitung kann nicht mittels eines vorangekreuzten Kästchens eingeholt werden. Diese Erkenntnis ist alles andere als neu und dürfte niemanden verwundern.
Der EuGH stellt zudem klar, dass das Einwilligungserfordernis auch dann gelte, wenn die Informationen im Endgerät des Nutzer nicht personenbezogenen sind.
Last but not least wurde entschieden dass dem Nutzer einer Webseite Angaben zu
- Identität des für die Verarbeitung Verantwortlichen
- den Zweckbestimmungen der Verarbeitung für die die Daten bestimmt sind
- Empfänger/Kategorien von Empfängern der Daten Funktionsdauer von Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können zu erteilen sind
- Funktionsdauer
zu erteilen sind. Dies sei notwendig, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben bzw. eine faire und transparente Verarbeitung zu gewährleisten.
Und der Blick in die Zukunft – wie geht es weiter, was wird passieren?
Ruhig Blut bewahren. Es bietet sich an, die Datenschutzinformationen auf der Webseite nochmal zu überarbeiten, ggf. zu aktualisieren.
Es ist durchaus an der Zeit, den Cookie-Banner zu überdenken und anzupassen. Werden die erforderlich Hinweise eigentlich „bei der Datenerhebung“ erteilt oder erst viel zu spät? Werden die Cookie tatsächlich so gesetzt wie der Cookie-Banner es behauptet?
Hier kann man nochmal aufräumen und optimieren. …und dann mal wieder eine Runde Marty McFly ansehen…
Related posts
Multiple awards.
