Einwilligungserklärung bei Cookies

Der Europäische Gerichtshof (EuGH) hat am 01. Oktober 2019 ein Urteil dazu erlassen, unter welchen Voraussetzungen eine Website Cookies setzen darf (EuGH, 1.10.2019 – C-673/17).

Vorgeschichte

Der Internetbetreiber Planet49 hatte auf der Website www.dein-macbook.de ein Gewinnspiel zu Werbezwecken veranstaltet. Um an dem Gewinnspiel teilnehmen zu können, mussten die Internetnutzer ihre Postleitzahl eingeben. Daraufhin wurde eine Internetseite mit Eingabefeldern für ihren Namen und ihre Adresse angezeigt. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzkästchen versehene Hinweistexte. Der erste Hinweistext, dessen Ankreuzkästchen nicht mit einem voreingestellten Häkchen versehen war, lautete: „Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E‑Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“

Der zweite Hinweistext, dessen Ankreuzkästchen mit einem voreingestellten Häkchen versehen war, lautete: „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Eine Teilnahme am Gewinnspiel war nur möglich, wenn zumindest das Häkchen im ersten Ankreuzkästchen gesetzt wurde.

Im Rahmen einer erfolglos gebliebenen Abmahnung machte der Bundesverband der Verbraucherzentralen geltend, die von Planet49 mit dem ersten und dem zweiten Ankreuzkästchen verlangten Einverständniserklärungen genügten nicht den in § 307 BGB, § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb und den §§ 12 ff. TMG aufgestellten Anforderungen.

Der Bundesverband erhob beim Landgericht Frankfurt am Main eine Klage, die im Wesentlichen darauf abzielte, dass Planet49 verurteilt wird, solche Einverständniserklärungen nicht mehr zu verlangen und an den Bundesverband 214 Euro nebst Zinsen ab dem 15. März 2014 zu zahlen.

Das Landgericht Frankfurt am Main gab der Klage teilweise statt.

Auf die Berufung von Planet49 kam das Oberlandesgericht Frankfurt am Main zu dem Ergebnis, dass der Antrag des Bundesverbands, Planet49 zu verurteilen, den in Rn. 27 des vorliegenden Urteils wiedergegebenen Hinweistext zum zweiten, mit einem voreingestellten Häkchen versehenen Ankreuzkästchen nicht mehr in Gewinnspielvereinbarungen mit Verbrauchern einzubeziehen, unbegründet sei. Zum einen habe der Nutzer gewusst, dass er dieses Häkchen entfernen könne, und zum anderen sei die Einwilligungserklärung drucktechnisch hinreichend deutlich gestaltet und informiere über die Art und Weise der Nutzung von Cookies; die Identität Dritter, die auf die erhobenen Informationen zugreifen könnten, müsse nicht offenbart werden.

Der vom Bundesverband im Wege der Revision angerufene Bundesgerichtshof ist der Ansicht, dass der Ausgang des Rechtsstreits von der Auslegung von Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58 (Datenschutzrichtlinie für elektronische Kommunikation) in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 (Datenschutzrichtlinie) und von Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 (DSGVO) abhänge.

Da der Bundesgerichtshof Zweifel hat, ob die von Planet49 mittels des zweiten Ankreuzkästchens eingeholte Einwilligung der Nutzer der Website www.dein-macbook.de im Hinblick auf diese Bestimmungen wirksam ist und welchen Umfang die in der Datenschutzrichtlinie für elektronische Kommunikation vorgesehene Informationspflicht hat, hat er das Verfahren ausgesetzt und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt:

  • Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Datenschutzrichtlinie für elektronische Kommunikation mit Art. 2 Buchst. h der Datenschutzrichtlinie, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?
  • Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Datenschutzrichtlinie für elektronische Kommunikation mit Art. 2 Buchst. h der Datenschutzrichtlinie einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?
  • Liegt unter diesen Umständen eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 vor?
  • Welche Informationen hat der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?

Urteil des Europäische Gerichtshof (EuGH)

1. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) sind dahin auszulegen, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

2. Art. 2 Buchst. f und Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation in Verbindung mit Art. 2 Buchst. h der Datenschutzrichtlinie bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der DSGVO sind nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Datenschutzrichtlinie bzw. der DSGVO handelt oder nicht.

3. Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation ist dahin auszulegen, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

Fazit

  1. Eine wirksame Einwilligung im Sinne der Datenschutzbestimmungen liegt nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.
  2. Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zählen zu den Informationen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

Fundstelle

http://curia.europa.eu/juris/document/document.jsf?text=&docid=218462&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1