Die in der Praxis am häufigsten verwendeten Cookie-Banner-Lösungen wie bspw „Wir verwenden Cookies auf unserer Website – mit der Nutzung unserer Website erklären Sie sich mit der Nutzung von Cookies einverstanden“ oder „Ja, ich erkläre mich mit der Verwendung von Cookies einverstanden“ sind infolge einer aktuellen Entscheidung des Europäische Gerichtshof (EuGH; C‑673/17) nicht mehr zulässig.

Anlassfall
Ein deutsches Unternehmen veranstaltete auf einer Website ein Gewinnspiel zu Werbezwecken. Bei Aufruf der Website erschien am unteren Bildschirmrand ein Cookie-Banner mit vorangekreuzten Checkboxes (Kästchen), wodurch der Websitenutzer dem Setzen von Cookies auf seinem Endgerät vorab einwilligte (die Entscheidung zur Einwilligung wurde dem User sozusagen vorweggenommen). Der deutsche Bundesverband der Verbraucherzentralen erachtete dies für unzulässig und erhob eine Unterlassungsklage. Der deutsche Bundesgerichtshof ersuchte den EuGH um Klarstellung

EuGH stellt Anforderungen für Cookie-Banner
Der EuGH entschied zunächst, dass die Nutzung vorangekreuzter Kästchen jedenfalls unzulässig sei, da es sich dabei um keine freiwillige Einwilligung handelt. Daran ändert auch der Umstand nichts, dass der Websitenutzer die vorangekreuzten Kästchen nachträglich abwählen kann.

Weiters stellte der EuGH klar, dass dies für jede Art von Cookies gilt und zwar unabhängig davon, ob diese personenbezogene Daten verarbeiten oder nicht.

Schließlich hob der EuGH auch hervor, dass das Ankreuzen von leeren Kästchen alleine nicht ausreicht. Vielmehr müssen die Websitenutzer ausreichend über die Datenverarbeitungen informiert werden, da sie andernfalls die Tragweite ihrer (durch das Anhaken der Kästchen) Entscheidung nicht übersehen können.

Und all dies, so der EuGH, muss erfolgen bevor bei Abruf der Website irgendwelche Daten des Websitenutzers verarbeitet werden.

Für notwendige Cookies, die für die Nutzung der Website benötigt werden, bedarf es keiner Einwilligung. Aktuell gibt es jedoch noch keinen klar definierten Katalog an notwendigen Cookies für Website-Betreiber.

Ausblick
Mit der vorliegenden Entscheidung beantwortet der EuGH einige, aber doch nicht alle Fragen zur korrekten Implementierung von Cookies. Eindeutig und für die Websitebetreiber wichtig ist, dass die Cookies nicht vorangekreuzt sein dürfen, zu den einzelnen Cookies umfassende Informationen (insbesondere zu deren Zweck, Funktionsdauer und der Datenweitergabe an Dritte) zu erteilen sind und eine Datenverarbeitung nicht vor erteilter Einwilligung und Informationserteilung erfolgen darf.

Offen bleibt, ob bestimmte Cookies dennoch keiner gesondert zu erteilenden Zustimmung bedürfen. Viele Websitebetreiber definieren daher eine Kategorie (notwendige Cookies) und belassen diese Kategorie mit einem vorangekreuzten (und auch nicht abwählbaren) Haken. Ob dies wirklich zulässig ist, ist fraglich.

Jedenfalls, und das ist unbestritten, müssen Websitebetreiber nach der vorliegenden EuGH Entscheidung Cookie-Banner umfassend neu regeln, um nicht gegen die Datenschutzgrundverordnung zu verstoßen.

9.11.2019, Autor: Sascha Jung / Jank Weiler Operenyi Rechtsanwälte / www.jankweiler.at