EuGH schafft Klarheit – Endgültiges Aus für „Opt-Out“ bei Cookies

Anfang Oktober hat der Europäische Gerichtshof (EuGH) eine weitreichende Entscheidung zur Verwendung von Cookies auf Webseiten getroffen (Az. C 673/17). Geklagt hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände gegen den Gewinnspielbetreiber Planet49.Nach dem Urteil des EuGH ist ein so genanntes „Opt-Out“ nicht mehr zulässig: eine Einwilligung für Tracking, Werbung oder dergleichen (z. B. über ein Cookie-Banner) darf nicht vorausgefüllt sein oder beim Weiterscrollen auf einer Website angenommen werden.

„Entgegen einiger Meinungen wurde die Verwendung von Cookies jedoch nicht generell unter eine Einwilligungspflicht gestellt“, erläutert Michael Rath, Partner der Luther Rechtsanwaltsgesellschaft. In eng umgrenzten Fällen (z. B. bei technisch erforderlichen oder datenschutzfreundlichen Funktionen) dürfte der Einsatz von Cookies auch weiterhin ohne Einwilligung möglich sein.

Wird jedoch eine Einwilligung eingeholt, so muss zukünftig stets das „Opt-In“-Verfahren angewendet werden. Das bedeutet, dass der Nutzer aktiv eine Schaltfläche anklicken oder ein Häkchen zur Bestätigung setzen muss. Anderenfalls dürfen keine Cookies gesetzt und keine Daten verarbeitet werden. Zudem muss ausführlich über die Speicherdauer der Cookies sowie Zugriffsmöglichkeiten Dritter informiert werden. „Es fragt sich hier jedoch, wie die vom EuGH geforderte Informiertheit des Nutzers insbesondere bezüglich Cookies von Google, Facebook und Co. in Zukunft beurteilt wird“, ergänzt Luther-Datenschutzrechtler Gerrit Feuerherdt. Diese Unternehmen geben oft nur unzureichende Informationen über ihre Tools heraus.

Website-Betreiber sollten daher den Einsatz von Cookies nun kritisch überprüfen. Diese sollten erfasst und dokumentiert, die Datenschutzerklärung entsprechend ergänzt und aktualisiert werden. Zudem ist sicherzustellen, dass die Einholung und Dokumentation von Einwilligungen datenschutzkonform erfolgt. Dazu bedürfen Cookie-Banner oder Consent-Manager einer Prüfung und gegebenenfalls einer Anpassung. Soll auf eine Einwilligung verzichtet werden, so ist dies im Einzelfall zu beurteilen, zu begründen und zu dokumentieren.

„Es bleibt mit Spannung abzuwarten, wie sich die komplexe und unübersichtliche Rechtslage um die Verwendung von Cookies weiterentwickelt“, so Luther-Partner Rath. „Mit der ePrivacy-Verordnung ist aber auf europäischer Ebene bereits eine endgültige Regelung absehbar, die jedoch voraussichtlich erst 2020 oder sogar erst 2021 verabschiedet wird.“