Ausgangssituation
Der Europäische Gerichtshof hat auf eine Vorlage des Bundesgerichtshofs aus Deutschland mit Urteil vom 01.10.2019 (Az. C-673/17) zur rechtlichen Bewertung von Cookie-Bannern Stellung genommen. Dem lag ein Fall zugrunde, bei der der Besucher einer Internetseite durch einen Hinweis zwar aufgefordert wurde, der Teilnahme an einem Gewinnspiel zuzustimmen, die Teilnahme an dem Gewinnspiel insoweit unterblieb, wenn der Besucher der Seite die Zustimmung nicht erteilte. Der Besucher der Seite wurde aber lediglich darüber informiert, dass auch Cookies gesetzt würden, ohne dass dies von einer aktiven Einwilligung abhängig gemacht wurde.
Die Fragestellung des Bundesgerichtshofs an den EuGH war insoweit darauf gerichtet, ob es zur Einwilligung in die Setzung von Cookies ausreicht, dass der Besucher einer Internetseite dem Einsatz von Cookies lediglich widersprechen kann, oder ob er dem Einsatz aktiv seine Einwilligung erteilen muss, ob in der Datenschutzerklärung auch die Angaben zur Funktionsdauer der Coo-kies enthalten sein müssen und dazu, ob Dritte Zugriff auf die Cookies erhalten können.
Hintergrund der Problemstellung
Die Entscheidung ist vor dem Hintergrund der seit langem geführten Debatte über die Umsetzung der sog. Cookie-Richtlinie zu sehen. Als Richtlinie ist diese im Gegensatz zu einer Verordnung nicht unmittelbar geltendes Gesetz in Deutschland, sondern muss vom deutschen Gesetzgeber erst in nationales Recht umgesetzt werden. Datenschützer und andere Stellen kritisieren hierzu seit langem, dass die Cookie-Richtlinie in Deutschland nur unzureichend umgesetzt worden ist. Danach würde es nach geltendem deutschem Recht ausreichen, dass der Besucher einer Internetseite zwar über den Einsatz von Coo-kies und darüber informiert wird, dass er in den Browsereinstellungen Einstellungen vor-nehmen kann, die das Setzen der Cookies verhindert.
Dieses Verfahren entspricht aber nur einer Widerspruchslösung, wonach Cookies eben auch dann zum Einsatz kommen dürfen, wenn der Besucher der Internetseite nicht aktiv zustimmt, solange er nur nicht widerspricht. In der Regel wird es deshalb zum Einsatz von Cookies kommen, ohne dass dies dem Besucher einer Internetseite bewusst ist.
Die aktuelle Entscheidung des EuGH ist insoweit vor allem als Signal an Deutschland zu verstehen, dass das Widerspruchsverfahren die Vorgaben der Cookie-Richtlinie nicht ausreichend umsetzt. Trotzdem ändert dies nichts daran, dass die Cookie-Richtlinie kein geltendes Recht in Deutschland ist.
In der Praxis hat sich gleichwohl der Einsatz von sog. Cookie-Bannern durchgesetzt, die beim Aufruf einer Internetseite erscheinen und den Besucher über den Einsatz von Coo-kies informieren und seine aktive Einwilligung abfragen. Der Einsatz von Cookie-Bannern entspricht demnach weitgehend den Vorgaben der Cookie-Richtlinie.
Ausblick und Handlungsbedarf
Es bleibt abzuwarten, ob der Bundesgerichtshof, auf dessen Vorlage das Urteil des EuGH schließlich beruht, nunmehr Grundsätze aufstellt, die bei der Gestaltung von Datenschut-zerklärungen und Cookie-Bannern beachtet werden müssen. Es bleibt auch abzuwarten, ob der Gesetzgeber nunmehr eine Änderung der Gesetzeslage in Deutschland vorneh-men wird. Denkbar ist auch, dass der europäische Gesetzgeber im Wege des Verord-nungserlasses Regelungen schafft, die in den Mitgliedsstaaten unmittelbare Geltung ha-ben und damit auch die in Deutschland bestehende Rechtslage ändern würden.
Insoweit ist Handlungsbedarf derzeit noch nicht unmittelbar angezeigt, weil vorerst die weitere Entwicklung abgewartet werden sollte. Das aktuelle Urteil des EuGH sollte aber zum Anlass genommen werden, zu überprüfen, ob die bislang ohnehin geltenden Vorga-ben bereits umgesetzt wurden.
Vor diesem Hintergrund empfehlen sich folgende Maßnahmen:
- Überprüfen Sie, ob auf Ihrer Internetseite ein Cookie-Banner eingerichtet ist, der auf den Einsatz von Cookies hinweist.
- Überprüfen Sie auch, ob der Cookie-Banner so eingerichtet werden kann, dass ohne die aktive Zustimmung des Besuchers das Setzen von Cookies technisch verhindert wird.
- Überprüfen Sie, ob in der Datenschutzerklärung generell auf die Nutzung von Coo-kies hingewiesen wird, ober darüber hinaus aber auch konkrete Angaben enthalten sind, die sich auf die Nutzungsdauer beziehen und ob Dritte auf den Cookie zugreifen können.