Der Gerichtshof der Europäischen Union (EUGH) entschied mit heutigem Urteil (C‑673/17) in der Rechtssache Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. gegen Planet49 GmbH im Wesentlichen das Nachfolgende:
Der erste Teil des Urteils behandelt die Anforderungen an die Einwilligung des Nutzers zu dem Einsatz von sog. Cookies.
Achtung! Hierbei dürfte sich der EUGH nicht zu allen Cookies geäußert haben, sondern in der Entscheidung sind Gegenstand sog. nicht unbedingt erforderliche Cookies, nämlich Marketing-/Third-Party-Cookies. Es wird wohl falsch sein, immer eine Einwilligung bei jedem Einsatz von jeder Art von Cookies zu verlangen, vgl. Art. 5 Absatz 3 Satz 2 ePrivacyRL.
Nach unserer Ansicht gelten die Ausführungen des EUGH also nicht, jedenfalls nicht uneingeschränkt, für unbedingt erforderliche Cookies, für funktionale Cookies und Performance Cookies (siehe Cookie-Erläuterung).
Dies vorangestellt gilt wohl aber in der Regel für nicht unbedingt erforderliche Cookies, insbesondere häufig für Marketing-/Third-Party-Cookies:
- Eine Einwilligung für das Setzen von nicht notwendigen Cookies muss „aktiv“ erteilt werden.
- Eine Einwilligung habe „für den konkreten Fall“ zu erfolgen, was so zu verstehen sei, "dass sie sich gerade auf die betreffende Datenverarbeitung beziehen muss und nicht aus einer Willensbekundung mit anderem Gegenstand abgeleitet werden kann." Also bitte nicht glauben, eine Einwilligung zu etwas Anderem umfasse auch die Einwilligung zu Cookies.
- Es liegt keine wirksame Einwilligung eines Nutzers vor, "wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss." Also bitte keine Opt-out, sondern ein Opt-in!
- Der EUGH weist ausdrücklich darauf hin, dass sicherzustellen sei, dass die Speicherung von Informationen oder der Zugriff auf Informationen nur gestattet sei, wenn der betreffende Nutzer auf der Grundlage von „klaren und umfassenden Informationen“ seine Einwilligung gegeben habe.
- Die Regelung von Art. 5 Absatz 3 ePrivacyRL zu Cookies gelte unabhängig davon, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten handele oder nicht. Der EUGH stellt hierbei ausdrücklich betonend klar, dass diese Bestimmung damit den Nutzer vor jedem Eingriff in seine Privatsphäre schützten, unabhängig davon, ob dabei personenbezogene Daten oder andere Daten betroffen seien.
Der zweite Teil der Entscheidung behandelt die Frage, welche Informationen der Diensteanbieter, also etwa der Website-Betreiber, bei dem Einsatz von Cookies dem Nutzer geben muss.
- Hier wiederholt der EUGH, dass die Informationen klar und umfassend zu sein haben.
- Der Nutzer müsse in die Lage versetzt werden, „die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Sie müssen klar verständlich und detailliert genug sein, um es dem Nutzer zu ermöglichen, die Funktionsweise der verwendeten Cookies zu verstehen.“
- Zu den Informationen, die erteilt werden müssten, gehören „neben der Identität des für die Verarbeitung Verantwortlichen und den Zweckbestimmungen der Verarbeitung, für die die Daten bestimmt sind, weitere Informationen, beispielsweise betreffend die Empfänger oder Kategorien der Empfänger der Daten, sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.“
- Und schließlich seien Angaben zu machen zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können.
Die Entscheidung wird damit eine ganz entschiedene Auswirkung auf die Praxis haben und wird von allen Website-Betreibern und Diensteanbietern bei dem Einsatz von nicht unbedingt erforderlichen Cookies zu berücksichtigen sein.
"EUGH: Aktive Einwilligung für das Setzen von Cookies und umfassende Informationspflichten"
von Rechtsanwalt Jean Paul Bohne
Anhang
Sachverhalt der Entscheidung:
"25 Am 24. September 2013 veranstaltete Planet49 auf der Website www.dein-macbook.de ein Gewinnspiel zu Werbezwecken.
26 Um an dem Gewinnspiel teilnehmen zu können, mussten die Internetnutzer ihre Postleitzahl eingeben. Daraufhin wurde eine Internetseite mit Eingabefeldern für ihren Namen und ihre Adresse angezeigt. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzkästchen versehene Hinweistexte. Der erste Hinweistext, dessen Ankreuzkästchen (im Folgenden: erstes Ankreuzkästchen) nicht mit einem voreingestellten Häkchen versehen war, lautete:
„Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E‑Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“
27 Der zweite Hinweistext, dessen Ankreuzkästchen (im Folgenden: zweites Ankreuzkästchen) mit einem voreingestellten Häkchen versehen war, lautete:
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
28 Eine Teilnahme am Gewinnspiel war nur möglich, wenn zumindest das Häkchen im ersten Ankreuzkästchen gesetzt wurde.
29 Der elektronische Link, der im Hinweistext zum ersten Ankreuzkästchen den Worten „Sponsoren und Kooperationspartner“ und „hier“ unterlegt war, führte zu einer Liste, die 57 Unternehmen, ihre Adressen, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E‑Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort „Abmelden“ enthielt. Der Liste vorangestellt war folgender Hinweis:
„Durch Anklicken auf dem Link ‚Abmelden‘ entscheide ich, dass dem genannten Partner/Sponsoren kein Werbeeinverständnis erteilt werden darf. Wenn ich keinen oder nicht ausreichend viele Partner/Sponsoren abgemeldet habe, wählt Planet49 für mich Partner/Sponsoren nach freiem Ermessen aus (Höchstzahl: 30 Partner/Sponsoren).“
30 Wurde der im Hinweistext zum zweiten Ankreuzkästchen dem Wort „hier“ unterlegte elektronische Link angeklickt, wurde folgende Information angezeigt:
„Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie (d. h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.
Anschließend kann [Planet49] aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E‑Mail-Werbung mehr.
Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten.
Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers.
Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden.
Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an [Planet49] [Adresse] richten. Es genügt jedoch auch eine E‑Mail an unseren Kundenservice [E‑Mail-Adresse].
31 Wie der Vorlageentscheidung zu entnehmen ist, sind Cookies Textdateien, die der Anbieter einer Website auf dem Computer des Nutzers der Website speichert und bei ihrem erneuten Aufruf durch den Nutzer wieder abrufen kann, um die Navigation im Internet oder Transaktionen zu erleichtern oder Informationen über das Nutzerverhalten zu erlangen.
32 Im Rahmen einer erfolglos gebliebenen Abmahnung machte der Bundesverband, der in die Liste qualifizierter Einrichtungen gemäß § 4 des Gesetzes über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) vom 26. November 2001 (BGBl. 2001 I S. 3138) eingetragen ist, geltend, die von Planet49 mit dem ersten und dem zweiten Ankreuzkästchen verlangten Einverständniserklärungen genügten nicht den in § 307 BGB, § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb vom 3. Juli 2004 (BGBl. 2004 I S. 1414) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung und den §§ 12 ff. TMG aufgestellten Anforderungen.
33 Der Bundesverband erhob beim Landgericht Frankfurt am Main (Deutschland) eine Klage, die im Wesentlichen darauf abzielte, dass Planet49 verurteilt wird, solche Einverständniserklärungen nicht mehr zu verlangen und an den Bundesverband 214 Euro nebst Zinsen ab dem 15. März 2014 zu zahlen.
34 Das Landgericht Frankfurt am Main gab der Klage teilweise statt.
35 Auf die Berufung von Planet49 kam das Oberlandesgericht Frankfurt am Main (Deutschland) zu dem Ergebnis, dass der Antrag des Bundesverbands, Planet49 zu verurteilen, den in Rn. 27 des vorliegenden Urteils wiedergegebenen Hinweistext zum zweiten, mit einem voreingestellten Häkchen versehenen Ankreuzkästchen nicht mehr in Gewinnspielvereinbarungen mit Verbrauchern einzubeziehen, unbegründet sei. Zum einen habe der Nutzer gewusst, dass er dieses Häkchen entfernen könne, und zum anderen sei die Einwilligungserklärung drucktechnisch hinreichend deutlich gestaltet und informiere über die Art und Weise der Nutzung von Cookies; die Identität Dritter, die auf die erhobenen Informationen zugreifen könnten, müsse nicht offenbart werden.
36 Der vom Bundesverband im Wege der Revision angerufene Bundesgerichtshof (Deutschland) ist der Ansicht, dass der Ausgang des Rechtsstreits von der Auslegung von Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 und von Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 abhänge.“