EuGH in Sachen Planet49 (C-673/17)

Opt-out ist keine wirksame Einwilligung

Der Europäische Gerichtshof (EuGH) hat am heutigen 1. Oktober 2019 entschieden, dass für das Einholen einer datenschutzrechtlichen Einwilligung bei Cookies ein sogenanntes „opt-out“, d.h. das Abwählen einer voreingestellten Einwilligung, nicht den Anforderungen der DSGVO genügt. Webseitenbetreiber müssen zudem darüber informieren, ob Dritte auf Cookies zugreifen können und wie lange Cookies auf dem Endgerät aktiv verwendet werden.

Verantwortliche sollten kritisch prüfen, ob ihre Einwilligungen den Anforderungen des EuGHs genügen und sie hinreichend über den Einsatz von Cookies informieren.

Hintergrund der Entscheidung

Der Entscheidung des EuGH liegt der Vorlagenbeschluss des Bundesgerichtshofs (BGH) vom 5. Oktober 2017 (Az.: I ZR 7/16) zugrunde. Der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (vzbv) hatte die Planet49 GmbH zunächst abgemahnt und anschließend vor dem Landgericht Frankfurt auf Unterlassung in Anspruch genommen, da die Planet49 GmbH unter anderem Einwilligungen in die Nutzung von einem Website-Analysedienst durch ein voreingestelltes Ankreuzfeld eingeholt hatte.

Das Landgericht Frankfurt gab dem vzbv insofern Recht, die Berufung der Beklagten Planet49 GmbH vor dem Oberlandesgericht Frankfurt hiergegen war erfolgreich. Das Oberlandesgericht hob die Entscheidung der ersten Instanz in Bezug auf diesen Punkt auf und gab der Beklagten Planet49 GmbH Recht. Der BGH musste über die Revision urteilen, setzte den Rechtsstreit aus und legte die nun durch den EuGH entschiedenen Vorlagenfragen dem europäischen Gericht vor.

Handlungsbedarf für Webseitenbetreiber und andere Verantwortliche

Webseitenbetreiber, die derzeit Cookies mit „opt-out“ (also voreingestellte Ankreuzkästchen) verwenden, müssen diese Praxis überprüfen. Das Setzen von Cookies, die einer Einwilligung bedürfen, erfordert nach der Auffassung des Gerichts eine ausdrückliche Einwilligung, d.h. etwa das Setzen eines Hakens oder die Betätigung eines Schiebeschalters etc. Das einfache „Weitersurfen“ trotz Hinweises oder eine voreingestellte Einwilligung genügen künftig in diesen Fällen nicht mehr. Auch die deutschen Aufsichtsbehörden (Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien) hatten zur Verwendung von Cookies im April 2019 bereits Stellung bezogen.

Ferner sollten Cookie-Policies und Datenschutzerklärungen dahingehend geprüft werden, ob der Katalog an Informationen, der nach Ansicht des EuGHs erforderlich ist, vollständig abgebildet wird.

Nach Auffassung des EuGHs sind etwa Angaben zur Funktionsdauer der Cookies notwendig und dazu, ob Dritte Zugriff auf die Cookies erhalten können.