Cookies – aber nur mit Einwilligung?

Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers. Ein voreingestelltes Ankreuzkästchen genügt dafür nicht.

Cookies – aber nur mit Einwilligung?

So hat der Gerichtshof der Europäischen Union nun entschieden, dass keine wirksame Einwilligung vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein mit einem voreingestellten Häkchen versehenes Ankreuzkästchen erlaubt wird, und zwar unabhängig davon, ob es sich bei den betreffenden Informationen um personenbezogene Daten handelt oder nicht. Der Unionsgerichtshof hat ferner klargestellt, dass der Diensteanbieter dem Nutzer mitteilen muss, welche Funktionsdauer die Cookies haben und ob Dritte Zugriff auf sie erhalten können.

Im Ausgangsrechtsstreit geht es um ein Gewinnspiel, das von Planet49 über die (heute nicht mehr bestehende) Website www.deinmacbook.de zu Werbezwecken veranstaltet wurde. Teilnahmewillige Internetnutzer mussten auf einer Seite mit Ankreuzkästchen ihren Namen und ihre Adresse eingeben. Das Ankreuzkästchen, mit dem das Setzen von Cookies erlaubt wurde, war mit einem voreingestellten Häkchen versehen. Der Bundesgerichtshof (Deutschland), bei dem eine Klage des Verbraucherzentrale Bundesverband e.V. anhängig war, hatte Zweifel hinsichtlich der Wirksamkeit der mittels des mit einem voreingestellten Häkchen versehenen Ankreuzkästchens erlangten Einwilligung der Nutzer und hinsichtlich des Umfangs der Informationspflicht des Diensteanbieters.

Der Bundesgerichtshof legte daraufhin dem Gerichtshof der Europäischen Union ein Vorabentscheidungsersuchen zur Auslegung des Unionsrechts über den Schutz der Privatsphäre in der elektronischen Kommunikation, namentlich Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12.07.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation; „ePrivacy-Richtlinie“)1, Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ehem. Datenschutz-Richtlinie)2 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung)3 vor. Hierin unterbreitet er dem Gerichtshof der Europäischen Union folgende Rechtsfragen zur Vorabentscheidung:

1. a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

b) Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?

c) Liegt unter den in Vorlagefrage 1. a) genannten Umständen eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a DSGVO vor?

2. Welche Informationen hat der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58 vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?

Im Wege eines solchen Vorabentscheidungsersuchens können die Gerichte der Mitgliedstaaten in einem bei ihnen anhängigen Rechtsstreit dem Gerichtshof der Europäischen Union Fragen nach der Auslegung des Europäischen Unionsrechts oder nach der Gültigkeit einer Handlung der Europäischen Union vorlegen. Der Unionsgerichtshof entscheidet dabei nicht über den nationalen Rechtsstreit, sondern nur über die vorgelegte Rechtsfrage. Es ist und bleibt sodann Sache des nationalen Gerichts, über die bei ihm anhängige Rechtssache im Einklang mit der Vorabentscheidung des Unionsgerichtshofs zu entscheiden. Diese Entscheidung des Gerichtshofs der Europäischen Union bindet in gleicher Weise auch andere nationale Gerichte, die mit einem ähnlichen Problem befasst werden.

Mit seinem jetzt verkündeten Urteil hat der Unionsgerichtshof erstens festgestellt, dass der Ausdruck „Einwilligung der betroffenen Person“ nach Art. 2 Buchst. h der Richtlinie 95/46, auf die Art. 2 Buchst. f der Datenschutzrichtlinie für elektronische Kommunikation verweist, „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“, bezeichnet. Das Erfordernis einer „Willensbekundung“ der betroffenen Person deutet klar auf ein aktives und nicht passives Verhalten hin. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, impliziert aber kein aktives Verhalten des Nutzers einer Website. Die Entstehungsgeschichte von Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation, der nach der Änderung durch die Richtlinie 2009/136 vorsieht, dass der Nutzer „seine Einwilligung“ in die Speicherung von Cookies „gegeben“ hat, deutet darauf hin, dass die Einwilligung des Nutzers nun nicht mehr vermutet werden darf und sich aus einem aktiven Verhalten des Nutzers ergeben muss. Außerdem sieht die Datenschutz-Grundverordnung nunmehr ausdrücklich eine aktive Einwilligung vor (Art. 6 Abs. 1 Buchst. a DSGVO). Ihr Art. 4 Nr. 11 verlangt eine Willensbekundung etwa in Form „einer sonstigen eindeutigen bestätigenden Handlung“. Und in ihrem 32. Erwägungsgrund wird ausdrücklich ausgeschlossen, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen können.

Der Unionsgerichtshof ist deshalb zu dem Schluss gelangt, dass keine wirksame Einwilligung vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und dass die Tatsache, dass der Nutzer der Website die Schaltfläche für die Teilnahme an dem betreffenden Gewinnspiel betätigt, nicht ausreicht, um von einer wirksamen Einwilligung des Nutzers zur Speicherung von Cookies auszugehen.

Zweitens hat der Gerichtshof der Europäischen Union festgestellt, dass Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation den Nutzer vor jedem Eingriff in seine Privatsphäre schützen soll, unabhängig davon, ob dabei personenbezogene Daten oder andere Daten betroffen sind. Der Begriff der Einwilligung ist daher nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht.

Drittens hat der Unionsgerichtshof festgestellt, dass Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation verlangt, dass der Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Die klaren und umfassenden Informationen müssen den Nutzer in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu ermitteln, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zählen zu den klaren und umfassenden Informationen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

  1. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12.07.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation)4 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) sind dahin auszulegen, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.
  2. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/585 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO sind nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der DSGVO handelt oder nicht.
  3. Art. 5 Abs. 3 der Richtlinie 2002/58 in der durch die Richtlinie 2009/136 geänderten Fassung ist dahin auszulegen, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

Datenschutz-Richtlinie oder DSGVO?[↑]

Vorab war vom Unionsgerichtshof die Anwendbarkeit der Datenschutz-Richtlinie 95/46 und der DSGVO auf den Sachverhalt des Ausgangsverfahrens zu prüfen.

Nach Art. 94 Abs. 1 DSGVO wurde die Datenschutz-Richtlinie 95/46 mit Wirkung vom 25.05.2018 durch diese Verordnung aufgehoben und ersetzt. Dieses Datum liegt zwar nach dem Datum der letzten mündlichen Verhandlung vor dem vorlegenden Bundesgerichtshofs, die am 14.07.2017 stattfand, und nach dem Datum, an dem der Unionsgerichtshof mit dem Vorabentscheidungsersuchen des vorlegenden Gerichts befasst worden ist. Der vorlegende Bundesgerichtshof hat jedoch ausgeführt, da die DSGVO, auf die sich im Übrigen ein Teil der ersten Frage beziehe, am 25.05.2018 in Kraft getreten sei, werde sie zum Zeitpunkt der Entscheidung des Ausgangsrechtsstreits voraussichtlich zu berücksichtigen sein. Außerdem ist es, wie die deutsche Regierung in der mündlichen Verhandlung vor dem Unionsgerichtshof dargelegt hat, angesichts dessen, dass das vom Bundesverband angestrengte Verfahren darauf abzielt, dass Planet49 ihr Verhalten künftig unterlässt, nicht ausgeschlossen, dass die DSGVO aufgrund der nationalen Rechtsprechung zur relevanten Rechtslage bei Unterlassungsklagen in zeitlicher Hinsicht im Rahmen des Ausgangsrechtsstreits anwendbar ist; dies zu prüfen ist Sache des vorlegenden Gerichts6.

Unter diesen Umständen und in Anbetracht der Tatsache, dass nach Art. 94 Abs. 2 DSGVO Verweise in der Richtlinie 2002/58 auf die Richtlinie 95/46 als Verweise auf die Verordnung gelten, ist es im vorliegenden Fall nicht ausgeschlossen, dass die Richtlinie 2002/58 nach Maßgabe der Art der Anträge des Bundesverbands und des betroffenen Zeitraums in Verbindung mit der (ehemaligen) Datenschutz-Richtlinie 95/46 oder der DSGVO anzuwenden ist. Die vorgelegten Fragen sind daher auf der Grundlage sowohl der (ehemaligen) Datenschutz-Richtlinie 95/46 als auch der DSGVO 2016/679 zu beantworten.

Zu den Buchst. a und c der ersten Frage[↑]

Mit den Buchst. a und c seiner ersten Frage möchte der vorlegende Bundesgerichtshof wissen, ob Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 6 Abs. 1 Buchst. a DSGVO dahin auszulegen sind, dass eine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Zunächst ist festzustellen, dass nach den Angaben in der Vorlageentscheidung die Cookies, die im Endgerät eines Nutzers, der an einem von Planet49 veranstalteten Gewinnspiel teilnimmt, gespeichert werden können, eine Nummer enthalten, die den Registrierungsdaten dieses Nutzers zugeordnet wird, der im Teilnahmeformular für das Gewinnspiel seinen Namen und seine Adresse angeben muss. Das vorlegende Gericht fügt hinzu, aufgrund der Verknüpfung dieser Nummer mit diesen Daten entstehe ein Personenbezug der durch die Cookies gespeicherten Daten, wenn der Nutzer ins Internet gehe, so dass es sich bei der Sammlung der Daten mittels Cookies um eine Verarbeitung personenbezogener Daten handele. Diese Angaben sind von Planet49 bestätigt worden, die in ihren schriftlichen Erklärungen hervorgehoben hat, dass die Einwilligung, auf die sich das zweite Ankreuzkästchen beziehe, die Sammlung und Verarbeitung personenbezogener Daten und nicht von anonymen Informationen erlauben solle.

Nach dieser Klarstellung ist darauf hinzuweisen, dass Art. 5 Abs. 3 der Richtlinie 2002/58 die Mitgliedstaaten dazu verpflichtet, sicherzustellen, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46 u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

Insoweit folgt aus den Anforderungen sowohl der einheitlichen Anwendung des Unionsrechts als auch des Gleichheitsgrundsatzes, dass die Begriffe einer Vorschrift des Unionsrechts, die für die Ermittlung ihres Sinnes und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten müssen7.

Außerdem sind nach ständiger Rechtsprechung des Gerichtshofs bei der Auslegung einer Vorschrift des Unionsrechts nicht nur ihr Wortlaut und die mit ihr verfolgten Ziele zu berücksichtigen, sondern auch ihr Kontext und das gesamte Unionsrecht. Die Entstehungsgeschichte einer Vorschrift des Unionsrechts kann ebenfalls relevante Anhaltspunkte für ihre Auslegung liefern8.

Zum Wortlaut von Art. 5 Abs. 3 der Richtlinie 2002/58 ist festzustellen, dass er zwar ausdrücklich vorsieht, dass der Nutzer zur Speicherung und zum Abruf von Cookies auf seinem Endgerät „seine Einwilligung gegeben“ haben muss. Dagegen enthält er keine Angaben dazu, wie die Einwilligung zu geben ist. Die Worte „seine Einwilligung gegeben“ legen jedoch eine Auslegung des Wortlauts nahe, wonach der Nutzer tätig werden muss, um seine Einwilligung zum Ausdruck zu bringen. Insoweit geht aus dem 17. Erwägungsgrund der Richtlinie 2002/58 hervor, dass für die Zwecke dieser Richtlinie die Einwilligung des Nutzers in jeder geeigneten Weise gegeben werden kann, durch die der Wunsch des Nutzers in einer spezifischen Angabe zum Ausdruck kommt, die sachkundig und in freier Entscheidung erfolgt; hierzu zählt auch „das Markieren eines Feldes auf einer Internet-Website“.

Zum Kontext von Art. 5 Abs. 3 der Richtlinie 2002/58 ist hervorzuheben, dass ihr Art. 2 Buchst. f, in dem der Begriff „Einwilligung“ im Sinne der Richtlinie definiert wird, insoweit auf die „Einwilligung der betroffenen Person“ im Sinne der Richtlinie 95/46 Bezug nimmt. Im 17. Erwägungsgrund der Richtlinie 2002/58 heißt es hierzu, dass für die Zwecke dieser Richtlinie die Einwilligung des Nutzers dieselbe Bedeutung haben sollte wie der in der Richtlinie 95/46 definierte und dort weiter präzisierte Begriff „Einwilligung der betroffenen Person“.

Nach Art. 2 Buchst. h der Richtlinie 95/46 bezeichnet der Ausdruck „Einwilligung der betroffenen Person“ „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“.

Wie der Generalanwalt in Nr. 60 seiner Schlussanträge ausgeführt hat, deutet das Erfordernis einer „Willensbekundung“ der betroffenen Person klar auf ein aktives und nicht passives Verhalten hin. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, impliziert aber kein aktives Verhalten des Nutzers einer Website.

Diese Auslegung wird durch Art. 7 der Richtlinie 95/46 bestätigt, der eine abschließende Liste der Fälle enthält, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann9.

Nach Art. 7 Buchst. a der Richtlinie 95/46 setzt die Rechtmäßigkeit einer solchen Verarbeitung insbesondere voraus, dass die betroffene Person ihre Einwilligung „ohne jeden Zweifel“ gegeben hat. Diesem Erfordernis kann aber nur ein aktives Verhalten, mit dem die betroffene Person ihre Einwilligung bekundet, genügen.

Insoweit erscheint es praktisch unmöglich, in objektiver Weise zu klären, ob der Nutzer einer Website dadurch, dass er ein voreingestelltes Ankreuzkästchen nicht abgewählt hat, tatsächlich seine Einwilligung zur Verarbeitung seiner personenbezogenen Daten gegeben hat; unklar bleibt jedenfalls, ob diese Einwilligung in Kenntnis der Sachlage erteilt wurde. Es kann nämlich nicht ausgeschlossen werden, dass der Nutzer die dem voreingestellten Ankreuzkästchen beigefügte Information nicht gelesen hat oder dass er dieses Kästchen gar nicht wahrgenommen hat, bevor er seine Aktivität auf der von ihm besuchten Website fortsetzte.

Schließlich ist in Bezug auf die Entstehungsgeschichte von Art. 5 Abs. 3 der Richtlinie 2002/58 festzustellen, dass die ursprüngliche Fassung dieser Bestimmung lediglich vorsah, dass der Nutzer das Recht haben muss, die Speicherung von Cookies zu verweigern, nachdem er gemäß der Richtlinie 95/46 klare und umfassende Informationen insbesondere über die Zwecke der Verarbeitung erhalten hatte. Durch die Richtlinie 2009/136 wurde der Wortlaut dieser Bestimmung erheblich geändert, indem die genannte Fassung durch die Wendung „seine Einwilligung gegeben hat“ ersetzt wurde. Die Entstehungsgeschichte von Art. 5 Abs. 3 der Richtlinie 2002/58 deutet somit darauf hin, dass die Einwilligung des Nutzers nun nicht mehr vermutet werden darf und sich aus einem aktiven Verhalten des Nutzers ergeben muss.

Angesichts der vorstehenden Gesichtspunkte liegt eine wirksame Einwilligung im Sinne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 somit nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Hinzuzufügen ist, dass die in Art. 2 Buchst. h der Richtlinie 95/46 angesprochene Willensbekundung u. a. „für den konkreten Fall“ erfolgen muss, was so zu verstehen ist, dass sie sich gerade auf die betreffende Datenverarbeitung beziehen muss und nicht aus einer Willensbekundung mit anderem Gegenstand abgeleitet werden kann.

Im vorliegenden Fall kann daher entgegen dem Vorbringen von Planet49 die Tatsache, dass ein Nutzer die Schaltfläche für die Teilnahme an dem von dieser Gesellschaft veranstalteten Gewinnspiel betätigt, nicht ausreichen, um von einer wirksamen Einwilligung des Nutzers zur Speicherung von Cookies auszugehen.

Die vorstehende Auslegung ist erst recht im Licht der DSGVO geboten.

Wie der Generalanwalt in Nr. 70 seiner Schlussanträge im Wesentlichen festgestellt hat, erscheint der Wortlaut von Art. 4 Nr. 11 DSGVO, wo der Ausdruck „Einwilligung der betroffenen Person“ im Sinne der Verordnung definiert wird, und insbesondere ihres Art. 6 Abs. 1 Buchst. a, auf den sich Buchst. c der ersten Frage bezieht, noch enger als der Wortlaut von Art. 2 Buchst. h der Richtlinie 95/46, denn er verlangt eine „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich“ abgegebene Willensbekundung der betroffenen Person in Form einer Erklärung oder „einer sonstigen eindeutigen bestätigenden Handlung“, in der ihr Einverständnis mit der Verarbeitung der sie betreffenden personenbezogenen Daten zum Ausdruck kommt.

Die DSGVO sieht mithin nunmehr ausdrücklich eine aktive Einwilligung vor. Hierzu ist festzustellen, dass nach dem 32. Erwägungsgrund der Verordnung die Einwilligung u. a. durch Anklicken eines Kästchens beim Besuch einer Internetseite zum Ausdruck kommen könnte. Dagegen wird in diesem Erwägungsgrund ausdrücklich ausgeschlossen, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen können.

Folglich liegt eine wirksame Einwilligung im Sinne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Schließlich ist hervorzuheben, dass das vorlegende Gericht den Gerichtshof nicht mit der Frage befasst hat, ob es mit dem Erfordernis einer „ohne Zwang“ (Art. 2 Buchst. h der Richtlinie 95/46) bzw. „freiwillig“ (Art. 4 Nr. 11 und Art. 7 Abs. 4 DSGVO) erteilten Einwilligung vereinbar ist, wenn ein Nutzer – wie es hier nach den Angaben in der Vorlageentscheidung zumindest für das erste Ankreuzkästchen der Fall zu sein scheint – nur dann an einem Gewinnspiel teilnehmen kann, wenn er in die Verarbeitung seiner personenbezogenen Daten zu Werbezwecken einwilligt. Unter diesen Umständen braucht der Gerichtshof diese Frage nicht zu prüfen.

Nach alledem hat der Unionsgerichtshof auf die Buchst. a und c der ersten Frage geantwortet, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO dahin auszulegen sind, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Zu Buchst. b der ersten Frage[↑]

Mit Buchst. b seiner ersten Frage möchte der Bundesgerichtshof wissen, ob Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO unterschiedlich auszulegen sind, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der DSGVO handelt oder nicht.

Wie bereits dargelegt, ergibt sich aus der Vorlageentscheidung, dass bei der Speicherung der im Ausgangsverfahren in Rede stehenden Cookies eine Verarbeitung personenbezogener Daten vorliegt.

Nach dieser Klarstellung ist jedenfalls festzustellen, dass in Art. 5 Abs. 3 der Richtlinie 2002/58 von der „Speicherung von Informationen“; und vom „Zugriff auf Informationen, die bereits … gespeichert sind“, die Rede ist, ohne diese Informationen näher zu bestimmen oder zu präzisieren, dass es sich bei ihnen um personenbezogene Daten handeln muss.

Diese Bestimmung soll damit den Nutzer vor jedem Eingriff in seine Privatsphäre schützen, unabhängig davon, ob dabei personenbezogene Daten oder andere Daten betroffen sind.

Diese Auslegung wird durch den 24. Erwägungsgrund der Richtlinie 2002/58 bestätigt, wonach die in Endgeräten von Nutzern elektronischer Kommunikationsnetze gespeicherten Informationen Teil der Privatsphäre der Nutzer sind, die dem Schutz aufgrund der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten unterliegt. Dieser Schutz erstreckt sich auf alle in solchen Endgeräten gespeicherten Informationen, unabhängig davon, ob es sich um personenbezogene Daten handelt, und erfasst insbesondere – wie ebenfalls aus diesem Erwägungsgrund hervorgeht – „Hidden Identifiers“ oder ähnliche Instrumente, die ohne das Wissen der Nutzer in deren Endgeräte eindringen.

Nach alledem hat der Unionsgerichtshof auf Buchst. b der ersten Frage geantwortet, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO nicht unterschiedlich auszulegen sind, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der DSGVO handelt oder nicht.

Zur zweiten Frage[↑]

Mit seiner zweiten Frage möchte der Bundegerichtshof wissen, ob Art. 5 Abs. 3 der Richtlinie 2002/58 dahin auszulegen ist, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

Wie sich bereits aus Rn. 46 des vorliegenden Urteils ergibt, verlangt Art. 5 Abs. 3 der Richtlinie 2002/58, dass der Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er „gemäß der Richtlinie [95/46]“ u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

Wie der Generalanwalt in Nr. 115 seiner Schlussanträge hervorgehoben hat, müssen die klaren und umfassenden Informationen den Nutzer in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Sie müssen klar verständlich und detailliert genug sein, um es dem Nutzer zu ermöglichen, die Funktionsweise der verwendeten Cookies zu verstehen.

In einer Situation wie der des Ausgangsverfahrens, in der nach den Angaben in den dem Gerichtshof vorgelegten Akten die Cookies zur Sammlung von Informationen zu Werbezwecken für Produkte der Partner des Veranstalters eines Gewinnspiels dienen, zählen Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den klaren und umfassenden Informationen, die der Nutzer nach Art. 5 Abs. 3 der Richtlinie 2002/58 erhalten muss.

Hierzu ist festzustellen, dass in Art. 10 der Richtlinie 95/46, auf die Art. 5 Abs. 3 der Richtlinie 2002/58 Bezug nimmt, und in Art. 13 DSGVO die Informationen aufgeführt sind, die die Person, bei der die sie betreffenden Daten erhoben werden, von dem für die Verarbeitung Verantwortlichen erhalten muss.

Zu diesen Informationen gehören nach Art. 10 der Richtlinie 95/46 neben der Identität des für die Verarbeitung Verantwortlichen und den Zweckbestimmungen der Verarbeitung, für die die Daten bestimmt sind, weitere Informationen, beispielsweise betreffend die Empfänger oder Kategorien der Empfänger der Daten, sofern sie unter Berücksichtigung der spezifischen Umstände, unter denen die Daten erhoben werden, notwendig sind, um gegenüber der betroffenen Person eine Verarbeitung nach Treu und Glauben zu gewährleisten.

Die Dauer der Verarbeitung der Daten zählt zwar nicht zu diesen Informationen, doch geht aus dem Wort „zumindest“ in Art. 10 der Richtlinie 95/46 hervor, dass die dortige Aufzählung nicht abschließend ist. Die Information über die Funktionsdauer der Cookies steht aber im Einklang mit dem in diesem Artikel aufgestellten Erfordernis einer Verarbeitung nach Treu und Glauben, denn in einer Situation wie der des Ausgangsverfahrens impliziert eine lange oder unbegrenzte Funktionsdauer, dass zahlreiche Informationen über die Nutzungsgewohnheiten und die Häufigkeit etwaiger Besuche des Nutzers auf den Websites der Werbepartner des Veranstalters des Gewinnspiels gesammelt werden.

Diese Auslegung wird durch Art. 13 Abs. 2 Buchst. a DSGVO bestätigt, wonach der für die Verarbeitung Verantwortliche, um eine faire und transparente Verarbeitung zu gewährleisten, der betroffenen Person u. a. Informationen über die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer zur Verfügung stellen muss.

Bei den Angaben dazu, ob Dritte Zugriff auf die Cookies erhalten können, handelt es sich um eine Information, die zu den in Art. 10 Buchst. c der Richtlinie 95/46 und in Art. 13 Abs. 1 Buchst. e DSGVO aufgeführten Informationen gehört, denn dort sind ausdrücklich die Empfänger oder Kategorien von Empfängern der Daten genannt.

Nach alledem antwortete der Unionsgerichtshof auf die zweite Frage, dass Art. 5 Abs. 3 der Richtlinie 2002/58 dahin auszulegen ist, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

Gerichtshof der Europäischen Union, Urteil vom 1. Oktober 2019 – C-673/17

  1. ABl.2002, L 201, S. 37; in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25.11.2009, ABl.2009, L 337, S. 11, geänderten Fassung[↩]
  2. ABl.1995, L 281, S. 31[↩]
  3. ABl.2016, L 119, S. 1[↩]
  4. in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25.11.2009 geänderten Fassung[↩]
  5. in der durch die Richtlinie 2009/136 geänderten Fassung[↩]
  6. vgl. zu einer Feststellungsklage: EuGH, Urteil vom 16.01.2019, Deutsche Post, C-496/17, EU:C:2019:26, Rn. 38[↩]
  7. EuGH, Urteile vom 26.03.2019, SM [unter algerische Kafala gestelltes Kind], C-129/18, EU:C:2019:248, Rn. 50; und vom 11.04.2019, Tarola, C-483/17, EU:C:2019:309, Rn. 36[↩]
  8. EuGH, Urteil vom 10.12 2018, Wightman u. a., C-621/18, EU:C:2018:999, Rn. 47 und die dort angeführte Rechtsprechung[↩]
  9. vgl. in diesem Sinne: EuGH, Urteile vom 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10, EU:C:2011:777, Rn. 30; und vom 19.10.2016, Breyer, C-582/14, EU:C:2016:779, Rn. 57[↩]

Bildnachweis:

Das dürfte Sie auch interessieren: