Europäische Institutionen neigen dazu, Unternehmer und Website-Betreiber zur Verzweiflung zu bringen. Eine Reihe aktueller Urteile des Europäischen Gerichtshofs knüpft an diese Tradition an. Im Fokus: Cookies.
Das sind spezifische Textdateien mit Informationen zu einem einzelnen Web-Anwender, die auf seiner Festplatte gespeichert werden, über die der Anwender wiedererkannt werden kann. Endnutzer kennen sie aus den Warenkörben von Online-Shops. Aber auch Tracking Tools wie Google Analytics setzen Cookies. Mit diesen beschäftigt sich auch die aktuelle europäische Rechtsprechung. Was besagen die Urteile? Sind Cookies überhaupt noch erlaubt? Und was müssen Webseitenbetreiber jetzt tun? Dazu haben wir mit dem Rechtsanwalt und Datenschutzexperten Björn Thorben M. Jöhnke von der Kanzlei Jöhnke & Reichow aus Hamburg gesprochen.
umdenken.co: Der EuGH hat mit seinen aktuellen Urteil Cookies reguliert und limitiert. Sind klassische Cookie-Banner, wie sie aktuell beinahe überall im Einsatz sind, noch zulässig?
Björn Thorben M. Jöhnke: Es kommt darauf an, wie diese Cookie-Banner ausgestaltet sind. Die gängigsten und bekannten Banner dürften der aktuellen Rechtsprechung des EuGH nicht mehr gerecht werden. Der EuGH hat ein sehr weitreichendes Urteil gefällt und damit der ePrivacy-Verordnung vorgegriffen, denn Einwilligungen in Bezug auf Tracking-Maßnahmen sind ehedem ein Thema für die neue Verordnung. Damit dürften auch die meisten Cookie-Banner nicht mehr zulässig sein, da sie der aktuellen Rechtsprechung des EuGHs nicht mehr genügen. Die allgemeinen Cookie-Hinweise dürften folglich nicht weitreichend genug sein und die Anforderungen an eine Einwilligung nicht mehr erfüllen.
Das EuGH-Urteil interpretiert die Datenschutzgrundverordnung (DSGVO) und die ePrivacy-Verordnung so, dass vorab angekreuzte Kontrollkästchen auf Einwilligungsbannern eine unzulässige Form der Einwilligung darstellen, abgesehen von den unbedingt erforderlichen – also notwendigen – Cookies.
„Dieses Urteil des EuGHs ist das erste nach der DSGVO, welches sich ausdrücklich mit der Einwilligung in Bezug auf Cookies und Tracking auf der Website befasst. Aus diesem Grunde hat das Urteil eine entsprechend hohe Relevanz für die gesamte Branche.“
umdenken.co: Dürfen überhaupt noch Cookies gesetzt werden?
Björn Thorben M. Jöhnke: Nicht unbedingt notwendige Cookies dürfen nicht vorab angekreuzt werden, unabhängig davon, ob die verarbeiteten Daten als personenbezogen eingestuft werden. Der Einsatz unbedingt erforderlicher Cookies bedarf demnach jedoch gerade keiner Einwilligung der Nutzer, denn diese sind „technisch“ notwendig, um beispielsweise Waren in einem Warenkorb einem User zuzuweisen. Problematisch dabei ist, dass diesbezüglich noch kein verbindlicher Katalog an notwendigen Cookies existiert. Von daher gibt es hierzu auch keine rechtsverbindliche Einschätzung.
Es dürften jedoch folgende Cookie-Arten darunterfallen: Warenkorb-Cookies eines E-Shops, Login-Status und ähnliches; Sie gehören zu den „First Party-Cookies“. Über sie kann der Nutzer nur von der Seite wiedererkannt werden, von welcher der Cookie stammt. Jedoch nicht über mehrere Domains hinweg. Mit First Party-Cookies erhält der Websitebetreiber aussagekräftige Berichte über die Besucher seiner Website. Aber längst nicht alle First-Party-Cookies dürften zulässig sein, wie zum Beispiel entsprechende Werbecookies ohne Einwilligung.
„Abzugrenzen sind sogenannte „Third Party-Cookies“. Sie werden von Werbetreibenden genutzt, um über ihre Werbeschaltungen auf anderen Seiten mit den Cookies Nutzerinformationen zu sammeln. Tracking-Cookies gehören beispielsweise zu der Kategorie und wären ehedem ohne Einwilligung unzulässig.“
umdenken.co: Welche Auswirkungen werden diese Entscheidungen des EuGH haben?
Björn Thorben M. Jöhnke: Die Aufgabe des EuGH besteht darin, das Unionsrecht auszulegen oder über seine Gültigkeit zu entscheiden. Die Anwendung des Unionsrechts auf den dem Ausgangsverfahren zugrundeliegenden Sachverhalt ist hingegen Sache des nationalen Gerichts. Der Gerichtshof entscheidet insbesondere nicht über etwaige Meinungsverschiedenheiten bezüglich der Auslegung oder Anwendung des nationalen Rechts. Vielmehr muss das vorlegende Gericht die konkreten Konsequenzen aus der Antwort des EuGH ziehen, indem es gegebenenfalls die fragliche nationale Bestimmung nicht anwendet.
Es besteht damit eine strikt formale Bindung für nationale Gerichte nur gegenüber dem Gericht, das im Vorabentscheidungsverfahren eine Auslegungsfrage vorgelegt hat. Des Weiteren erstreckt sich die formale Bindung auch auf alle nationalen Gerichte und Behörden, die in derselben Sache mit der Auslegung des Europarechts befasst sind.
„Jedoch geht hinsichtlich der Auslegung des jeweils geltenden und anzuwendenden Gemeinschaftsrechts selbstverständlich eine starke Wirkung in dem Sinne aus, dass sich nationale Gerichte und Behörden wohl kaum gegen die Auslegung des Gemeinschaftsrechts durch den EuGH zur Wehr setzen können. Von daher hat die vorliegende Entscheidung des EuGHs eine sehr starke „Ausstrahlungswirkung“.“
umdenken.co: Bedeuten diese Urteile das Aus für Google Analytics und Co.?
Björn Thorben M. Jöhnke: Grundsätzlich nicht, sofern jedenfalls eine Einwilligung des Users für die Nutzung von Tracking Tools vorliegt. Da diese jedoch auch gerade nicht mehr „vorangehakt“ sein dürfen, wird der Webseitenbetreiber davon abhängig sein, dass der User sein „Kreuzchen“ aktiv setzt. Es dürfte jedoch zweifelhaft sein, dass der User dieses machen wird. Es ist schlicht und ergreifend einfacher, nur vorangehakte Sachen zu „akzeptieren“.
umdenken.co: Worauf müssen Webseitenbetreiber zukünftig achten? Gibt es Handlungsempfehlungen?
Björn Thorben M. Jöhnke: Webseitenbetreiber sollten die entsprechenden Hinweise überarbeiten und zwischen den verschiedenen Cookies unterscheiden. Also etwa „notwendige Cookies“ und „Tracking-Cookies“. Webseitenbetreiber sollten keine unverzichtbaren Cookies mehr einsetzen, ohne dass Nutzer sich mit ihnen ausdrücklich einverstanden erklärt haben. Nutzer müssen nunmehr über die eingesetzten Anbieter, Arten und Funktionsweisen sowie die Speicherdauer informieren. Die Datenschutzerklärung und das Impressum, sollten ohne Beschränkung durch ein Cookie-Banner erreichbar sein. Auch sollten die Nutzer im Cookie-Einwilligungsbanner auf die Freiwilligkeit hingewiesen werden. Zu empfehlen wäre ebenso ein Hinweis auf deren Widerrufsrecht, beziehungsweise Opt-Out, mit welchem die Nutzer ihre Einwilligung wieder ändern können.
Im Ergebnis könnte das EuGH-Urteil folglich nicht nur das Online-Marketing, sondern auch das “einfache Internet“ mit dem entsprechenden Surfverhalten der User grundlegend verändern. Datenschützer werden diesem Urteil beipflichten. Webseitenanbieter mit vertrieblichem Ansatz eher nicht. Dazu gehört weitestgehend natürlich auch die Vermittlerschaft.
Titelbild: ©Björn Thorben M. Jöhnke/Jöhnke & Reichow
