Neue EuGH-Rechtsprechung beachten: Anpassung von Cookie-Bannern idR notwendig

Neuerungen, die Webseiten-Betreiber beachten sollten:

Schon seit längerer Zeit stellt sich die Frage, ob der Einsatz von Cookies auf Webseiten die Einwilligung durch die betroffenen Nutzer voraussetzt und wie diese eingeholt werden muss. Auch die Rechtsprechung musste sich mit dieser Frage auseinandersetzen, ein eindeutiges Bild wurde jedoch nicht gezeichnet. Der Bundesgerichtshof sah sich darauf veranlasst, dem EuGH diese Fragestellung vorzulegen. 

Mit Urteil vom 01.10.2019 (Az. C-673/17) hat der EuGH nun klargestellt, dass eine aktive und informierte Einwilligung der betroffenen Nutzer für den Einsatz aller technisch nicht notwendigen Cookies zwingend erforderlich ist. 

Bisheriger Einsatz von Cookie-Bannern

Vorangestellt: Die vielfach bereits in der Vergangenheit verwendeten sog. „Cookie-Banner“ genügen den vom EuGH formulierten Anforderungen idR nicht. Eine Vielzahl der bisher eingesetzten Cookie-Banner enthalten Texte wie bspw. „Wir nutzen Cookies auf unserer Website.“ und können über Bestätigung der Schaltfläche „Ich akzeptiere“ weggeklickt werden. Durch die Bestätigung der Schaltfläche erteilt der Nutzer die erforderliche aktive und informierte Einwilligung zum Einsatz der Cookies jedoch nicht. Hier ist insbesondere zu beachten, dass es keine Möglichkeit gibt, den Einsatz der Cookies abzulehnen, weshalb der Einwilligung durch das Klicken des Banners schon gegen das Merkmal der „Freiwilligkeit“ fehlt.

Ansatzpunkte der EuGH-Rechtsprechung

Nach der neuen Rechtsprechung des EuGHs ist Voraussetzung für eine wirksame Einwilligung vielmehr, dass der betroffene Nutzer für jeden Cookie, der auf der Seite (bspw. von unterschiedlichen Analyse-Tools) gesetzt wird, eine gesonderte, freiwillige und informierte Einwilligung erteilen kann. Der Einsatz von Cookie-Bannern und das Setzen von Haken ist damit nicht per se ungeeignet, um eine wirksame Einwilligung zu erhalten. Entscheidend ist aber – und dies ist eine der Neuerungen, die Webseiten-Betreiber zu beachten haben –, dass für jeden Cookie, dessen Einsatz beabsichtigt ist, die Möglichkeit für das Setzen eines gesonderten Hakens angeboten werden muss. Die Erteilung der Einwilligung für alle Cookies durch nur einen „gemeinsamen“ Haken – wie dies bisher idR praktiziert wird – ist nicht wirksam. 

Hinzu kommt, dass die Einwilligung nur wirksam ist, wenn der Nutzer über die Funktionsweise jedes einzelnen Cookies umfänglich informiert ist.

Auswirkungen der Entscheidungen

Wenn Sie auf Ihrer Webseite Cookies einsetzen, sind Sie gehalten Ihre Einwilligungslösungen entsprechend des EuGH-Urteils anzupassen. Hier ist insbesondere daran zu denken, dass Sie den Nutzern eine individuelle Einwilligungsmöglichkeit anbieten und sie vollumfänglich über die Funktionsweise der Cookies informieren.

Von maßgeblicher Bedeutung ist auch, dass keinerlei Cookies voraktiviert sein dürfen. Erst durch die ausdrückliche Erteilung der Einwilligung dürfen die Cookie-Skripte aktiviert werden. Bis zum Zeitpunkt der ausdrücklichen Einwilligungserteilung müssen diese blockiert werden. 

Des Weiteren ist die Möglichkeit des Widerrufs der Einwilligung zu implementieren.

Sollten Sie Fragen zu dieser Thematik – insbesondere den vom EuGH dargestellten Anforderungen und deren Erfüllung und Umsetzung auf Ihrer Webseite, in Ihrem Online-Shop etc. – oder anderen datenschutzrechtlichen Aspekten haben, stehen wir Ihnen gerne zur Verfügung.

Claudia Drews, LL.M.Eur, Rechtsanwältin

Marie-Beatrice Dewitz, Rechtsanwältin