Europäischer Gerichtshof: Cookies brauchen aktive Einwilligung der Nutzer

Internetnutzer müssen ausdrücklich zustimmen, wenn beim Besuch einer Website Cookies auf ihrem Rechner gespeichert werden sollen. Der EuGH stellt klar: Eine voreingestellte Zustimmung ist unzulässig.

Europäischer Gerichtshof in Luxemburg: Entscheidung zum Thema Cookies gefällt

Foto: DPA / Arne Immanuel Bänsch

Der Europäische Gerichtshof (EuGH) hat entschieden, dass Internetnutzer dem Setzen von Cookies aktiv zustimmen müssen - und dass es nicht reicht, wenn Nutzer diesem Vorgang nur nicht widersprechen (hier finden Sie das Urteil ). Vorausgefüllte Felder, bei denen Nutzer ein Häkchen entfernen müssen, wenn sie keinen Cookie-Einsatz wünschen, sieht der Gerichtshof als unzulässig an. Mittels solcher Voreinstellungen werde keine wirksame Einwilligung erteilt, fasst eine Pressemitteilung das Urteil zusammen .

Vor diesem Hintergrund mache es auch keinen Unterschied, ob es sich bei den im Gerät des Nutzers gespeicherten beziehungsweise den davon abgerufenen Informationen um personenbezogene Daten handele oder nicht, heißt es weiter. Diese Frage wollte der Bundesgerichtshof (BGH) vom EuGH geklärt wissen. Der deutsche Gerichtshof hatte den Europäischen im Zuge eines deutschen Rechtsstreits um die Auslegung der EU-Datenschutzregeln gebeten.

Die Auseinandersetzung aus Deutschland dreht sich um ein Online-Gewinnspiel des Anbieters Planet49. Der BGH wird in dieser Sache selbst ein Urteil fällen, dies allerdings unter Berücksichtigung der jetzigen Entscheidung aus Luxemburg. Auch andere deutsche Gerichte, die sich mit dem Thema Cookies beschäftigen, sind fortan an das EuGH-Urteil gebunden.

Cookie-Setzen kann auch technisch verhindert werden

Bei dem Gewinnspiel von Planet49 traf der Nutzer auf zwei Ankreuzkästchen, bevor er seine Teilnahme an der Verlosung per Schaltfläche bestätigen konnte. Ein Kästchen, über das der Nutzer dem Setzen eines Cookies in seinem Browser zustimmt, war bereits standardmäßig angehakt. Der EuGH konstatierte nun, dass die Zustimmung für den konkreten Fall erteilt werden müsse. Wenn jemand seine Gewinnspiel-Teilnahme bestätige, sei dies noch keine wirksame Einwilligung zum Cookie-Setzen.

Cookies sind kleine Dateien, die von Websites verteilt werden und die über die Browser der Nutzer auf deren Computern oder Mobilgeräten gespeichert werden. Die Cookies dienen Websites als eine Art Erinnerung an die Aktionen oder Einstellungen der Nutzer. Sie können auch für Werbezwecke genutzt werden. Auch SPIEGEL ONLINE setzt Cookies ein.

In seinem Urteil stellte der EuGH nun auch klar, dass Nutzer Informationen über die verwendeten Cookies erhalten müssen - etwa zur Funktionsdauer und einer etwaigen Zugriffsmöglichkeit Dritter. Solche Informationen lieferten viele Websites bisher nicht, sagt der Datenschutz- und IT-Rechtsexperte Martin Pflüger von der Wirtschaftskanzlei Hogan Lovells. "Hier sollten Unternehmen ihre Datenschutzerklärungen und Cookie-Hinweise überprüfen."

Nutzer können ihre Browser in der Regel auch so konfigurieren, dass grundsätzlich keine Cookies abgespeichert werden. Ebenso können Cookies im Browser aktiv gelöscht werden. Die meisten Nutzer jedoch dürften Browser mit den Standard-Einstellungen verwenden.

Wo beginnt eine aktive Zustimmung?

Der Verbraucherzentrale Bundesverband (vzbv) hatte angesichts des Planet49-Gewinnspiels auf Unterlassung geklagt (Rechtssache C-637/17), nicht nur wegen des Cookie-Häkchens, sondern auch mit Blick auf ungewöhnlich weitreichende Nutzungsbedingungen  des Unternehmens: Nutzer sollten die Erlaubnis geben, dass zahlreiche Unternehmen sie telefonisch, per E-Mail oder per Post kontaktieren dürfen.

Beim Thema Cookies war die Frage, wann von einer ausdrücklichen Zustimmung des Nutzers ausgegangen werden kann. EuGH-Generalanwalt Maciej Szpunar hatte bereits im März nahegelegt , dass es nicht ausreiche, wenn die Einwilligungserklärung des Nutzers vorformuliert sei und der Nutzer aktiv widersprechen müsse, falls ihn die Datenverarbeitung störe.

"Im letztgenannten Fall weiß man nämlich nicht, ob ein solcher vorformulierter Text gelesen und verstanden wurde", schrieb Szpunar damals. Die Situation sei nicht frei von Zweifeln. "Ein Nutzer kann den Text gelesen haben oder auch nicht. Er kann dies aus reiner Nachlässigkeit unterlassen haben. In einer solchen Situation lässt sich nicht ermitteln, ob die Einwilligung freiwillig erteilt wurde."

Das Telemediengesetz als rechtliche Grundlage

Deutsche Anbieter berufen sich beim Thema Cookies bislang meistens auf Paragraf 15 des Telemediengesetzes . Darin heißt es, Diensteanbieter dürften zum "Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht". Der Diensteanbieter habe den Nutzer aber auf sein Widerspruchsrecht hinzuweisen. Außerdem dürften die Nutzungsprofile nicht mit Daten über denjenigen, der hinter dem Pseudonym steckt, zusammengeführt werden.

Eine seit 2009 geltende Cookie-Richtlinie der EU sieht prinzipiell ein sogenanntes Opt-in-Verfahren vor, das bedeutet: ein Verfahren, bei dem Nutzer dem Setzen von Cookies ihre Einwilligung geben müssen. Ob Deutschland die Richtlinie mit dem Telemediengesetz hinreichend umgesetzt hat oder nicht, war umstritten.

In einer ersten Reaktion auf das Urteil heißt es von Bernhard Rohleder , dem Hauptgeschäftsführer des Digitalverbands Bitkom, die Entscheidung werde "weitreichende Auswirkungen für Internetnutzer und Tausende Webseitenbetreiber in Deutschland" haben. Cookies könnten künftig nicht mehr mit einem Hinweis an den Nutzer automatisch gesetzt werden, sondern erforderten dessen ausdrückliche Zustimmung, schreibt Rohleder: "Neben dem nach wie vor hohen Umsetzungsaufwand infolge der Datenschutz-Grundverordnung (DSGVO) bedeutet das für unzählige Webseitenbetreiber eine erneute Mehrbelastung." Auch für die Nutzer werde das Surfen im Netz umständlicher, meint Rohleder.

Für Fabian Seip, Rechtsanwalt und Telekommunikationsexperte der Kanzlei Hengeler Mueller, ist entscheidend, dass das Urteil auch sogenannte Tracking-Cookies betrifft, die verfolgen, auf welchen Webseiten Internetnutzer unterwegs sind. Sie sind eine Voraussetzung für personalisierte Werbung. Große Anbieter mit Abomodellen oder Log-in wie Facebook betreffe das weniger, sagte Seip. Diese könnten die Einwilligung einmalig bei der Registrierung von Nutzern einholen. Andere müssten jedoch jedes Mal die aktive Zustimmung erbitten. "Deshalb ist es wohl vor allem die mittelständische Werbewirtschaft, die Schwierigkeiten mit dem Urteil haben wird."

mbö/dpa