Das Setzen von Cookies erfordert die aktive Einwilligung – EuGH-Urteil 01.10.2019 (C 673/17)

Der EuGH hat mit seinem EuGH Urteil vom 01.10.2019 (C 673/17) entschieden, dass das Setzen von Cookies eine aktive Einwilligung erfordert. Diese Entscheidung hat Auswirkungen auf wohl fast jede Internetseite. Internetseiten verwenden in der Regel sogenannte Cookies. Ein Cookie ist eine Textinformation, die im Browser auf dem Computer des Betrachters jeweils zu einer besuchten Website gespeichert werden kann. 

Cookies dienen dazu bestimmte Endgeräte bei einem erneuten Besuch der Internetseite wiederzuerkennen. Dieses ist zum Beispiel bei Onlineshops, die regelmäßig vom Nutzer besucht werden sinnvoll. Durch das Setzen der Cookies kann der Nutzer in diesem Onlineshop eingeloggt bleiben. Somit muss sich der Nutzer und Kunde mich jedes Mal neu einloggen.

Nach der nunmehr gefällten Entscheidung des EuGH dürfen solche Cookies nur nach einer aktiven Einwilligung gesetzt werden. In dem vom EuGH zu entscheidenden Fall ging es darum, dass das Setzen von Cookies durch ein voreingestelltes Häkchen erfolgte. Dies betrachtet der EuGH nunmehr als unzulässig.

Der EuGH begründet dies damit, dass ein voreingestelltes Häkchen nicht die Anforderungen an die Datenschutzgrundverordnung (DSGVO) erfüllt. Denn ein voreingestelltes Häkchen stellt keine aktive Handlung dar.

Diese Entscheidung wird wohl auch auf sogenannte „Cookie-Banner“ übertragbar sein. Den „Cookie-Banner“ kennt vermehrt man seit Inkrafttreten der DSGVO im Mai 2018. Dabei erscheint auf der Seite ein Banner bzw. ein Popup-Fenster, welches den Nutzer über die Verarbeitung seiner personenbezogenen Daten informiert. Dieser Banner enthält jedoch meist nur den Hinweis, dass bestimmte personenbezogene Daten gespeichert und verarbeitet werden. Diese Verarbeitung erfolgt jedoch auch ohne die ausdrückliche Einwilligung des Nutzers. Insbesondere werden die Cookies bereits beim Aufruf der Seite gesetzt und der Nutzer hierüber durch den Banner bzw. den darin enthaltenen Verweis auf die Datenschutzbestimmungen informiert. Dies ist jedoch nicht ausreichend. Dies ergibt sich nach Ansicht des EuGH auch schon aus dem Erwägungsgrund 32 der DSGVO. Dieser lautet wie folgt:

 „Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, […] Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, […] geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.“

Somit dürfen ohne aktive Einwilligung des Nutzers keine Cookies gesetzt werden. Diese Anforderungen erfüllen die wenigsten Seiten. Die meisten Seiten setzen entsprechende Cookies bereits beim Aufruf der Seite und informieren lediglich über das Setzen dieser Cookies. Dies ist nach der aktuellen Entscheidung unzureichend.

Dies hat zur Folge, dass der eigentliche Inhalt der Webseite wohl erst nach der Einwilligung in das Setzen der Cookies angezeigt werden kann. Die wenigsten Seiten erfüllen diese Anforderungen. Ob dies überhaupt sinnvoll bzw. benutzerfreundlich ist, kann dahinstehen. Nach den nunmehr aufgestellten Anforderungen muss der Betreiber einer Webseite, wozu natürlich auch Onlineshops gehören, gegebenenfalls erst eine „Blindseite“ setzen, auf welcher er dann die aktive Einwilligung einholt, bevor der komplette Seiteninhalt dem jeweiligen Nutzer angezeigt wird.