Gestern hat der EuGH das ersehnte Verfahren gegen die Gewinnspielplattform Planet49 entschieden (EuGH Urt. v. 01.10.2019, C-673/17). Demnach genügt eine Einwilligung zum Setzen von Cookies nicht, wenn sie auf einem voreingestellten Häkchen beruht.
Inhalt der Entscheidung
Die Speicherung von und der Zugriff auf Informationen, die im Endgerät eines Nutzers gespeichert sind, sei nur gestattet, sofern der Betroffene aufgrund klarer und umfassender Informationen über die Zwecke der Verarbeitung, eine autonome Einwilligung abgegeben hat. Diese Informationspflicht umfasse auch die Funktionsdauer der Cookies, sowie die Tatsache, ob Dritte ggf. Zugriff auf diese erhalten.
Eine Willensbekundung, die ohne jeden Zweifel eine Einwilligung darstellt, kann laut EuGH nur ein aktives und niemals ein passives Verhalten sein. Durch das Nicht-Abwählen eines vorgekreuzten Häkchens, lasse sich eine entsprechende Entscheidung nicht eindeutig und zweifelsfrei ermitteln.
Ferner soll es, so der EuGH, keinen Unterschied machen, ob es sich bei den auf dem Endgerät des Nutzers gespeicherten Daten um personenbezogene handelt oder nicht. Aus den Erwägungsgründen der Richtlinie 2002/58 gehe hervor, dass insbesondere „Hidden Identifiers“ und Ähnliche, solche die ohne das Wissen des Nutzers auf sein Endgerät zugreifen, erfasst werden sollen.
Was wir von der Entscheidung halten
Die Entscheidung des EuGH liefert leider nur zu einem Teil Antworten auf die zahlreichen Fragen, die Webseitenbetreiber und ihre anwaltlichen Berater derzeit beschäftigen, und bildet daher zusammen mit der Entscheidung Fashion ID vermutlich nur die Initialzündung für eine Reihe weiterer Vorlagefragen. Interessant ist an der Entscheidung des EuGH nicht unbedingt, was sie klärt, sondern gerade was sie nicht klärt:
– Wird es künftig möglich sein, Verarbeitungen von auf Nutzerendgeräten gespeicherten Informationen (ggf. auch ausschließlich) auf Grundlage von berechtigten Interessen vorzunehmen? Zumindest in der Rechtssache Fashion ID hat der EuGH berechtigte Interessen nicht vollends ausgeschlossen.
– Wie ist das grundsätzliche Verhältnis zwischen ePrivacy-RiL und DS-GVO? Zu Art. 95 DS-GVO, der das Verhältnis beider Regularien regelt, findet sich in der aktuellen Entscheidung kein Wort.
Bedauerlicherweise klärt der EuGH nicht alle Rechtsfragen eines Themenkreises (hier Cookies), sondern eben nur die Fragen, auf die sich die Vorlagefragen des vorlegenden mitgliedstaatlichen Gerichts beziehen. Dies ist leider unbefriedigend, aber hinzunehmen. Eines ist jedenfalls mit dem entschiedenen Planet 49-Verfahren nun klar: Für personalisierte Cookie-Verarbeitungen kann nicht länger mit vorausgewählten Feldern gearbeitet werden, die eine Einwilligung des betroffenen Webseitennutzers unterstellen und eine Aktivität des Webseitennutzers erfordern, wenn er seine Einwilligung nicht erteilen will. Nach dem EuGH ist eine solche Aktivität bereits vorher nötig, nämlich für die Erteilung einer auf transparenten Informationen beruhenden Einwilligung.