Wir haben jetzt alle mehr zu tun, wenn wir Webseiten besuchen. Zumindest beim ersten Besuch werden wir aufgefordert auszusuchen, welche Art Cookies wir zulassen, beziehungsweise sogar komplett ablehnen. Ja, auch das muss möglich sein. Vorausgefüllte Kästchen wie bisher genügen jedenfalls nicht, da ist das Urteil des Bundesgerichtshof eindeutig. Dies sei ein Wendepunkt für den Datenschutz in der Europäischen Union, sagen einige Beobachter.
Das Urteil markiert den Abschluss eines bereits 2014 begonnen Rechtsstreits zwischen der Verbraucherzentrale Bundesverband und dem Gewinnspielanbieter „Planet 49“. Zwar drehte sich das Verfahren auch um die Frage, ob eine von „Planet 49“ vorformulierte Werbeeinwilligung rechtmäßig war. Allerdings war sie dies nach Ansicht des BGH nicht, unter anderem, weil im konkreten Fall die Einwilligung auf eine unüberschaubare Liste von Partnerunternehmen verwies.
Cookies sind individuell vergebene Kennungen, die primär der Wiedererkennung eines Endgerätes dienen. Cookies ermöglichen beispielsweise, dass sich ein Nutzer in einem Online-Shop nicht auf jeder Artikelseite immer wieder neu einloggen muss. Neben solchen, für das Funktionieren von Webseiten essentiellen Cookies werden die kleinen Textdateien jedoch mitunter auf dem Endgerät des Nutzers platziert, um ihn für Werbetreibende zu identifizieren. Große Tracking-Anbieter wie Google Analytics nutzen Cookies, um den Nutzer über verschiedene Webseiten hinweg wiederzuerkennen und auf diese Weise ein Werbeprofil jedes Nutzers zu erstellen.
Der BGH musste sich mit dem Rechtsstreit das erste Mal bereits im Jahr 2017 beschäftigen und hatte deutliche Zweifel daran, ob das deutsche Recht tatsächlich europarechtskonform sei – und legte daher konsequenterweise die Frage dem Europäischen Gerichtshof zur Vorabentscheidung vor. Der EuGH – für die verbindliche Auslegung des Europarechts zuständig – entschied daraufhin im Oktober 2019, dass die Cookie-Richtlinie in Deutschland nicht korrekt umgesetzt ist. Die Richtlinie verlange eine aktive Einwilligung des Betroffenen. Ein Opt-Out-Modell wie im Telemediengesetz formuliert, sei nicht ausreichend.
Auch eine Einwilligung mittels vorangekreuzter Kästchen reiche nicht, so die Luxemburger Richter. Damit stellt sich der EuGH zugleich auch gegen eine ältere, noch vor Geltung der Datenschutz-Grundverordnung (DSGVO bzw. GDPR) ergangene Rechtsprechung in Deutschland, nachdem auch solche Ausgestaltungen wirksame Einwilligungen darstellen konnten.
Damit gilt ab sofort ein echtes Einwilligungserfordernis im Sinne eines Opt-In-Verfahrens. Einwilligungskästchen müssen also vom Nutzer aktiv angekreuzt werden, die bloße Bestätigung vorangekreuzter Felder genügt auf keinen Fall. Das hört sich zwar nachvollziehbar an, stellt Webseitenanbieter allerdings in der Umsetzung oft vor praktische Probleme. Zwar sind Cookie-Schaltflächen auf Webseiten mittlerweile üblich – bei der Ausgestaltung hapert es jedoch vielfach noch.
Foto: blende11.photo