Der Europäische Gerichtshof (EuGH) wird im Oktober 2019 ein spannendes Urteil (Az.: C-673/17) fällen, das für die in Deutschland umstrittene Frage der Nutzung von Cookies eine klare Richtung vorgeben könnte. Gegenstand der Entscheidung ist die Frage, ob eine Einwilligung in das Setzen von Cookies notwendig ist, und wenn ja, wie diese Einwilligung auszugestalten ist. Dies ist unter anderem von der Frage abhängig, ob das Setzen von Cookies durch die DSGVO oder die E-Privacy-Richtlinie, deren Umsetzung in Deutschland ebenfalls umstritten ist, geregelt ist. Nach E-Privacy-Richtlinie wäre wohl eine Einwilligung für nicht notwendige Cookies notwendig, nach der DSGVO kann die Nutzung solcher Cookies sowohl auf eine Einwilligung als auch auf ein berechtigtes Interesse gestützt werden.

Die Datenschutzbehörden von Bund und Ländern vertreten hierbei eine sehr strenge Auffassung. Sie halten das Setzen von Cookies auf Grundlage von berechtigten Interessen für nicht (oder nur beschränkt) möglich und fordern in ihrer Orientierungshilfe jedenfalls bei Cookies für die Nachverfolgung des Nutzerverhaltens (Tracking) eine Einwilligung. Bisher gibt es noch keine Gerichtsentscheidung zur Rechtsgrundlage bei der Nutzung von Cookies. Daher findet sich auf deutschen Websites eine Mischung aus strengen Opt-in-Einwilligungen, konkludenten Einwilligungen und Nutzungen aufgrund eines berechtigten Interesses. Wer blickt da noch durch?

Nachfolgend erfahrt ihr, welche Fragen der Bundesgerichtshof (BGH) dem EuGH zur richtigen Anwendung des geltenden Datenschutzrechts vorgelegt hat und wie ein kürzliches Urteil des OLG Frankfurt (Main) zu Gewinnspielen damit zusammenhängt. Außerdem geben wir euch einen Ausblick, welche Auswirkungen das EuGH-Urteil für euch haben könnte.

Im zugrunde liegenden Fall geht es um die Einwilligung zu Werbung und zur Setzung von Tracking-Cookies bei einem Onlinegewinnspiel. Um daran teilzunehmen, hätte nur das Häkchen für die Werbung gesetzt sein müssen, nicht für Cookies. Das Unternehmen Planet 49 hatte jedoch bei der Einwilligung zu Cookies bereits das Häkchen voreingestellt. Damit keine Cookies gesetzt werden, hätte man es entfernen müssen (Opt-out).

In dem zu entscheidenden Fall fragte der deutsche Bundesgerichtshof den EuGH, wie eine wirksame Einwilligung für Cookies aussehen und wie über deren Nutzung informiert werden müsste. Am 21. März 2019 hat der Generalanwalt Szpunar dazu seine Schlussanträge gestellt. In diesen nimmt er zudem – auch wenn der BGH es nicht gefragt hat – Bezug auf die Werbeeinwilligung und die Frage des Kopplungsverbots.
Nachfolgend gehen wir mit euch die Schlussanträge durch, die zwar für den EuGH nicht bindend sind, jedoch häufig die Basis für das Urteil bilden.

Eine Einwilligung ist eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung (Art. 4 Nr. 11 DSGVO). Durch eine eindeutig bestätigende Handlung soll deutlich werden, dass die betroffene Person mit der Verarbeitung ihrer personenbezogenen Daten einverstanden ist.

Mit Blick auf die (unverbindlichen) Erwägungsgründe 32 und 43 der DSGVO soll eine Einwilligung aktiv und gesondert erfolgen, weshalb Untätigkeit nicht ausreiche. So entschied auch das Landgericht München I im Urteil vom 04.06.2018 (Az.: 4 HK O 8135/17), dass eine voreingestellte Checkbox keine wirksame Einwilligung darstelle.

Ob das Setzen von Cookies einer Einwilligung bedarf und ob diese auf denselben Kriterien beruht, ist umstritten. Der Generalanwalt bezieht sich in seinen Schlussanträgen auf die Position des Europäischen Datenschutzausschusses. Nach diesem sei auch für die Einwilligung in die Speicherung von Cookies eine bejahende Handlung erforderlich (Opt-in).

Auf Grundlage der eben genannten Überlegungen kommt der Generalanwalt zu dem Schluss, dass die voreingestellte Checkbox zur Speicherung von Cookies nicht die Voraussetzungen für eine wirksame Einwilligung erfülle. Es erfolgte keine aktive Handlung (Klick). Auch der Absenden-Button am Ende reiche dafür nicht, da die Zustimmung gesondert, also beispielsweise über die Checkbox, hätte erteilt werden müssen.

Es sei unmöglich, zu bestimmen, ob der Nutzer seine Einwilligung freiwillig und in Kenntnis der Sachlage getroffen habe. Darüber hinaus werde, sofern das Kästchen nicht abgewählt wird, die Einwilligung in das Gewinnspiel mit dem Setzen der Cookies kombiniert. Dies sei unzulässig, weil die Tracking-Cookies zur Teilnahme am Gewinnspiel gar nicht erforderlich seien.

Der Generalanwalt berücksichtigt dabei jedoch weniger, dass der Nutzer das vorangekreuzte Kästchen jederzeit hätte abwählen und trotzdem am Gewinnspiel hätte teilnehmen können. Insofern könnte diese Auslegung auf Grundlage des Erwägungsgrundes 43 der DSGVO zu weit gehen. Es ist daher fraglich, ob der EuGH sich dem anschließt.

Nach Art. 7 Abs. 4 DSGVO besteht ein Kopplungsverbot, wonach die Einwilligung in eine Datenverarbeitung etwa nicht mit der Teilnahme an einem Gewinnspiel verknüpft werden darf, wenn die Verarbeitung dafür gar nicht erforderlich ist.

Zur Werbeeinwilligung entschied der Generalanwalt, dass diese mit der Teilnahme am Gewinnspiel gekoppelt werden könne:
„Mit anderen Worten besteht die Hauptpflicht, die der Nutzer erfüllen muss, um an dem Gewinnspiel teilnehmen zu können, darin, personenbezogene Daten zur Verfügung zu stellen.“

Auch das OLG Frankfurt sah in seinem Urteil vom 27. Juni 2019 (Az.: 6 U 6/19) kein Problem darin, die Einwilligung in Werbung mit der Gewinnspielteilnahme zu verknüpfen. Jeder könne selbst entscheiden, ob die Teilnahme ihm die Preisgabe seiner Daten „wert“ sei.

Nimmt der EuGH zu dieser Frage Stellung und folgt den Schlussanträgen, hätten wir nach dem Urteil des OLG Frankfurt Gewissheit: Dann können Gewinnspiele bedenkenlos mit einer Werbeeinwilligung gekoppelt werden, solange deren Voraussetzungen aus Datenschutz- und Wettbewerbsrecht eingehalten werden.

Der Generalanwalt äußerte sich auch dazu, ob es einen Unterschied macht, Cookies mit oder ohne personenbezogene Daten zu speichern. Hierzu führt er aus, dass die E-Privacy-Richtlinie grundsätzlich für die Speicherung von (nicht notwendigen) Cookies eine Einwilligung erfordere, und schlussfolgert:
„Infolgedessen wurden die Anforderungen von Art. 5 Abs. 3 der Richtlinie 2002/58 durch § 15 Abs. 3 TMG offenbar nicht in vollem Umfang in deutsches Recht umgesetzt.“

Dies ist der Knackpunkt, um den sich der Streit um Cookies dreht. Der EuGH wird im Oktober Stellung dazu beziehen, insbesondere zur Umsetzung der E-Privacy-Richtlinie im TMG. Er könnte abschließend klären, welche Rechtsgrundlage für Cookies gilt.

Schließlich hatte der Generalanwalt zuletzt auch zu beantworten, welche Informationen über die Cookies zum Zeitpunkt der Einwilligung mitgeteilt werden müssen. Hierzu stellt er fest, dass bei der Erklärung zum Gewinnspiel sowohl über die Funktionsdauer der Cookies als auch darüber, ob Dritte Zugriff auf diese haben, informiert werden müsse. Ist Letzteres der Fall, müssten die Zugriffsberechtigten der Cookies genannt werden.

Sollte der EuGH der Argumentation des Generalanwalts folgen, muss der BGH in seiner dann folgenden Entscheidung zu diesem Gewinnspiel-Fall dessen Vorgaben umsetzen. Das würde bedeuten, dass eine Einwilligung für (nicht notwendige) Cookies erforderlich wäre, wobei eine voreingestellte Checkbox nicht den Voraussetzungen entspräche. Zudem müsste mehr als bisher üblich über die Funktionsweise und den Zugriff auf Cookies informiert werden.
Dies bezöge sich direkt auf Gewinnspiele, hätte jedoch ebenso große Auswirkungen auf zahlreiche Websites. Insbesondere Cookies für Werbung, Tracking und Analyse wären betroffen – und natürlich die dahinterstehenden Tools. Erst mit der E-Privacy-Verordnung wird die Cookie-Nutzung als Spezialregelung gegenüber der DSGVO gesetzlich geregelt.

Am besten solltet ihr also die Entscheidung zu Planet 49 und die Gesetzgebung zur E-Privacy-Verordnung aufmerksam verfolgen.