Cookies: Deutsche Opt-Out-Regel verstößt gegen EU-Recht

Den rechtlichen Umgang regelt die sogenannte „Cookie-Richtlinie“. Diese EU-Richtlinie sieht eine ausdrückliche Einwilligung des Nutzers in solchen Fällen vor. Nur wurde sie nie in letzter Konsequenz in deutsches Recht umgesetzt. Das ist aber bei EU-Richtlinien immer nötig (im Gegensatz zu einer EU-Verordnung, wie der Datenschutzgrundverordnung, die unmittelbar in der gesamten EU gilt).

Deutschland hat zwar immer behauptet, die Richtlinie ausreichend umgesetzt zu haben, aber de facto ist das nicht richtig. Denn in Deutschland gilt für Cookies der § 15 Abs. 3 Telemediengesetz (TMG). Der besagt, dass es ausreicht, den Nutzer zu unterrichten und auf ein Widerspruchsrecht hinzuweisen. Das kann in einem Cookie-Hinweis mit Link auf die Datenschutzerklärung erfolgen. Das deutsche Recht kennt also trotz der EU-Cookie-Richtlinie keine Pflicht, Nutzer in die Verwendung von Cookies vorab ausdrücklich einwilligen zu lassen. 

Jetzt hat der Generalanwalt beim Europäischen Gerichtshof (EuGH) in seinen Schlussanträgen genau diese Situation zum Anlass genommen, die deutschen Regelungen als nicht mit dem EU-Recht übereinstimmend einzustufen.

Um was ging es?

Der Kläger ist der Bundesverband der Verbraucherzentralen. Die Beklagte bietet die Teilnahme an Gewinnspielen im Internet an. Im September 2013 hatte die Beklagte im Internet ein Gewinnspiel veranstaltet. Nach Eingabe der Postleitzahl gelangte der Nutzer hierbei auf eine Seite, auf der Name und Anschrift des Nutzers einzutragen waren. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzfeldern versehene Hinweistexte.

Der erste Hinweistext, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, enthielt eine Einverständniserklärung für Werbung von Sponsoren auf postalischem oder telefonischem Weg oder per E-Mail/SMS. Der zweite Hinweistext, der mit einem voreingestellten Häkchen versehen war, enthielt eine Einwilligungserklärung, mit der der Teilnehmer bei seiner Registrierung dem Einsatz von Cookies zustimmte. Mit Hilfe der Cookies sollte eine Auswertung des Surf- und Nutzungsverhaltens des Teilnehmers auf Webseiten von Werbepartnern ermöglicht werden, damit künftig eine interessengerechtere Werbung erfolgen konnte. Eine Teilnahme am Gewinnspiel war nur möglich, wenn mindestens das Häkchen vor dem ersten Hinweistext gesetzt wurde.

Der Kläger war der Ansicht, dass die von der Beklagten verlangten Einverständniserklärungen, insbesondere das sog. "Opt-out-Verfahren", nicht den gesetzlichen Anforderungen genügten. Den gesetzlichen Regelungen sei ein "Opt-in"-Erfordernis zu entnehmen. Der BGH hat das Verfahren ausgesetzt und dem EuGH vorgelegt. Da es um die Auslegung von EU-Recht geht muss die Sache dem EuGH zur Darstellung seiner Rechtsansicht vorgelegt werden.

Was wurde entschieden?
Nach Ansicht des Generalanwalts des EuGH entsprechen die deutschen Gesetze zum Cookie-Einverständnis nicht dem europäischen Recht. Die Anforderungen der Richtlinie wurden nicht in vollem Umfang in deutsches Recht umgesetzt.

Wenn also die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und in der die Einwilligung nicht gesondert gegeben wird, sondern gleichzeitig mit der Bestätigung der Teilnahme an einem Online-Gewinnspiel, liegt keine wirksame Einwilligung vor.

Der BGH wollte auch wissen, welche Informationen der Verwender von Cookies auf der Website zu erteilen hat. Der Generalanwalt schlägt vor, zu antworten, dass zu den klaren und umfassenden Informationen, die ein Nutzer erhalten muss, die Funktionsdauer der Cookies und die Frage zählen, ob Dritte auf die Cookies Zugriff erhalten oder nicht. 

Wichtig: Der EuGH hat noch nicht entschieden. Die Aussagen betreffen die Stellungnahme des Generalanwalts. Der EuGH folgt aber sehr oft dieser Stellungnahme, sodass zu erwarten ist, dass genau das auch vom Europäischen Gerichtshof entschieden wird.

Für die auf den Webseiten des EuGH veröffentlichte Entscheidung im Volltext klicken Sie bitte hier.

Quelle: InfoCuria – Rechtsprechung des Gerichtshofs
(Aktenzeichen des EuGH: C‑673/17) 

Timo Schutt
Rechtsanwalt
Fachanwalt für IT-Recht