Cookie ist nicht gleich Cookie!

EuGH-Urteil: Worauf Unternehmen bei Cookies jetzt achten müssen

Makronen getürmt, © Photo by Eaters Collective on Unsplash

Cookies speichern Informationen zum Surfverhalten auf der Festplatte der Nutzerin oder des Nutzers. Beim erneuten Besuch einer Webseite können die Daten der Nutzerinnen und Nutzer und ihre Einstellungen schneller wiedererkannt werden. Die Informationen zum Surfverhalten werden regelmäßig auch für Werbung genutzt.

Der Europäische Gerichtshof (EuGH) hat Anfang Oktober entschieden, dass für das Setzen von bestimmten Cookies eine aktive Einwilligung der Nutzerin/des Nutzers im Sinne eines Opt-Out-Verfahrens erforderlich ist. Eine voreingestellte Zustimmung zum Speichern der Daten auf dem Rechner ist unzulässig.

Hintergrund der EuGH-Entscheidung ist ein Online-Gewinnspiel des Anbieters Planet49 aus Deutschland im Jahr 2013. Dieser hatte im Zuge eines Gewinnspiels zwei Hinweistexte platziert. Der erste bezog sich auf die Verarbeitung der Personendaten zu Werbezwecken und war nicht vorangekreuzt (sogenanntes Opt-In-Verfahren). Der zweite Hinweistext war aber vorangekreuzt (Opt-Out-Verfahren) und informierte über den Einsatz eines Analysetools, das Cookies zur Auswertung des Nutzer- und Surfverhaltens auf den Endgeräten der Gewinnspielteilnehmer speichern wollte.

Der Verbraucherzentrale Bundesverband hielt das Vorgehen von Planet49 für unzulässig und klagte dagegen. Der Bundesgerichtshof bat den EuGH daraufhin um Auslegung der EU-Datenschutzvorschriften. 

Eine Einwilligung setze ein aktives Verhalten der Nutzer/innen voraus und könne nicht durch eine voreingestellte Opt-out-Funktion erfolgen, bei der die User das Häkchen in der Checkbox entfernen müssen. Hier bestehe die Gefahr, dass einzelne User diese Checkbox übersehen und damit auch ihre Auswahlmöglichkeit übersehen. Von einer aktiven Zustimmung könne man nicht ausgehen, da sie gar nicht wahrgenommen haben, dass hier Auswahlmöglichkeit bestand, so der EUGH in seinem Urteil.

Allerdings hat der Europäische Gerichtshof auch klargestellt, dass es weiterhin Ausnahmen von der Einwilligungserfordernis gibt - und zwar dann wenn "die Speicherung von Informationen oder der Zugriff auf Informationen, (...) unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann".

Von diesem Urteil betroffen ist einerseits der in der Regel unseriöse Einsatz von "Spyware", "Web-Bugs" oder "Hidden Identifiers" ebenso aber auch der Einsatz von gängigen (Re-) Targeting Analyse-Tools , mit denen man versucht, abgesprungene Kundinnen/Kunden zurückzugewinnen. Die mit diesem Tool gesetzten Cookies ermöglichen Webseitenbetreiber, Besucher/innen, die bereits die eigene Website besucht haben, wiederzufinden und sie zu bewerben. Aber auch im normalen Target-Marketing werden Cookies verwendet. Beispielsweise um Kunden auf anderen Seiten weitere Angebote präsentieren zu können. Beides fällt unter die strengeren Vorgaben. 

Warenkorb- und Session-Cookies von Online-Shops fallen nicht unter die strengeren Vorgaben.

Einwilligung nach der DSGVO

Die Einwilligung muss sich nach den Vorgaben der DSGVO richten. Informationen müssen Nutzer/innen in die Lage versetzen, die Konsequenzen einer erteilten Einwilligung nachzuvollziehen und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Sie müssen klar verständlich und detailliert genug sein, um es den Nutzer/innen zu ermöglichen, die Funktionsweise der verwendeten Cookies zu verstehen. Vor allem bei Cookies zur Sammlung von Informationen zu Werbezwecken für Produkte der Partner des Veranstalters eines Gewinnspiels, zählen Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können.

Der EuGH stellte klar, dass die Einwilligung nur für den konkreten Fall erteilt werden kann und weist darauf hin, dass diese zB nicht mit einem Gewinnspiel verbunden werden darf. Die Betätigung der Schaltfläche für die Teilnahme am Gewinnspiel stellt deshalb noch keine wirksame Einwilligung des Nutzers in die Speicherung von Cookies dar, so der EuGH in seiner Entscheidung.

Fazit: Nur Cookies, die notwendig sind, um die Funktion der Website zu ermöglichen, dürfen ohne Einwilligung gesetzt werden. Cookies, die zu Marketingzwecken dienen, sind ohne Einwilligung der Nutzer/innen der Website nicht zulässig . Eine definierte Abgrenzung zwischen notwendigen und nicht-notwendigen Cookies existiert derzeit nicht. Problematisch könnte freilich die Abgrenzung werden. Was einwilligungspflichtig ist, bleibt letztlich weiterhin eine Entscheidung im Einzelfall, die von den Webseitenbetreiber/innen getroffen wird.

Konsumentenfragen Newsletter

Aktuelle Neuigkeiten aus allen Bereichen der Konsumentenfragen