Blog

Am 28.05.2020 hat der Bundesgerichtshof (BGH) in dem Verfahren mit dem Aktenzeichen I ZR 7/16 im Hinblick auf die Anforderungen an eine wirksame Einwilligung in das Setzen von Cookies entschieden, was Datenschützer nach einer Entscheidung des Europäischen Gerichtshofes längst erwartet hatten:

 

Was sagt der BGH?

Die Urteilsbegründung ist aktuell noch nicht veröffentlicht, die Kernaussage ergibt sich jedoch bereits aus der Pressemitteilung des Bundesgerichtshofes: Es ist nicht zulässig, dass die Einwilligung zum Setzen von Cookies mittels eines voreingestellten Ankreuzkästchens gegeben wird. Es liegt keine wirksame Einwilligung vor, wenn „die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.“

Aus der Pressemitteilung ergibt sich nicht, ob der Senat in diesem Zusammenhang Stellung zu sog. technisch notwendigen Cookies, also Cookies, die zum Betrieb der Webseite zwingend erforderlich sind, genommen hat. Hier dürfte es allerdings auch keine Zweifel geben, dass ein angekreuztes und nicht abwählbares Kästchen zulässig ist.

Das Urteil des Europäischen Gerichtshofes 

Der Bundesgerichtshof hatte dem Europäischen Gerichtshof (EuGH) diesbezüglich vorab einige Fragen zur Entscheidung vorgelegt. Der EuGH hatte bereits mit Urteil vom 01.10.2019 (Az. C-673/17) klargestellt, dass das Setzen von Cookies, mit Ausnahme von Session-Cookies, die aktive Einwilligung des Nutzers erfordert. Werden ausschließlich Session-Cookies gesetzt, ist ein schlichter Cookie-Hinweis ausreichend. In dem Hinweis sollte allerdings ausdrücklich darauf verwiesen werden, dass nur Session-Cookies eingesetzt werden.

Im Hinblick auf alle anderen Cookies (Google Analytics, Tracking-Cookies etc.) muss dem Nutzer die Möglichkeit gegeben werden, diese erst durch eigenes Tätigwerden, also durch selbständiges Ankreuzen, zu aktivieren. Die Einwilligung muss also zwingend via opt-in erfolgen.

Nach dem Urteil des Europäischen Gerichtshofes müssen zudem konkrete Angaben zur Funktionsweise der Cookies sowie zur Funktionsdauer (oder, wenn das nicht möglich ist, zumindest Angaben zu den Kriterien für die Festlegung der Dauer) gemacht werden, wenn Cookies zur Sammlung von Informationen zu Werbezwecken eingesetzt werden.

Schließlich müssen auch Angaben dazu gemacht werden, ob Dritte Zugriff auf die Cookies erhalten können.

 

Konsequenzen für Webseitenbetreiber

Um diesen Anforderungen gerecht zu werden, gibt es inzwischen einige sog. Consent-Tools auf dem Markt, zum Beispiel Cookiebot oder Borlabs Cookie.

Tatsächlich haben diese Entscheidungen für Webseiten-Betreiber gravierende Auswirkungen. Es ist zu vermuten, dass nur wenige Nutzer aktiv die Häkchen für nicht notwendige Cookies setzen werden. Gerade jenen, die sich vor allem über Werbung finanzieren, dürften viele Einnahmen wegbrechen.

Verstehen Sie mich nicht falsch – ich selbst bin zertifizierte Datenschutzbeauftragte und mir liegt der Schutz personenbezogener Daten sehr am Herzen. Datenschutz ist richtig und wichtig. Aber nun liegt es in der Verantwortung der Webseitenbetreiber, auf ihr Dilemma aufmerksam zu machen. Millionen Nutzer surfen tagtäglich durch das World Wide Web, schmökern in ihren Lieblingsblogs und holen sich dort wertvolle Informationen. Doch die wenigsten sind dafür sensibilisiert, wie viel Zeit und Arbeit in die einzelnen Homepages und Blogs gesteckt wird, und dass diese vor allem durch Werbung hierfür „entschädigt“ werden. Ohne die Einwilligung der Nutzer in Werbung werden wohl viele, gerade auch kleinere, wertvolle Blogs auf der Strecke bleiben.