Was sich mit dem EuGH-Urteil von 2019 angedeutet hat, wurde nun vom Bundesgerichtshof in Bezug auf deutsches Recht bestätigt. Jetzt wurde erwartungsgemäß entschieden, dass voraktivierte Checkboxen nicht zulässig sind.

In dem Urteil des EuGH ging es um u.A. um die Frage, ob im Cookie-Banner die Checkbox schon auf „Erlauben“ voreingestellt sein darf, d.h. es wurde dem Nutzer leichtgemacht, einfach auf „Akzeptieren“ zu klicken. Der EuGH entschied damals, dass laut DSGVO eine „aktive Zustimmung“ notwendig sei, anders ausgedrückt, um das vorgeschriebene Opt-In zu gewährleisten, muss eine nachvollziehbare aktive Handlung vollzogen werden. Ein vorangekreuztes Häkchen dagegen würde stattdessen einem Opt-Out gleichkommen. Damit sei die gesetzliche Vorgabe nicht eingehalten.

Da die Anfrage dazu vom deutschen BGH kam, wurde das EuGH-Urteil dorthin zurück übermittelt. Nun oblag es dem deutschen Gericht zu entscheiden, wie es dieses Urteil auf hiesiges Recht anwenden soll.

Das deutsche Cookie-Recht ist bisher ziemlich fragmentiert, weswegen die Anfrage nach Luxemburg überhaupt erst zustande kam. Die DSGVO hat Cookies per se nicht im Blickfeld gehabt, da ja komplementär dazu die ePrivacy-VO dazu verabschiedet werden sollte. Diese hat sich aus diversen politischen Gründen aber bis heute nicht verwirklicht. Stattdessen sollten dann in Deutschland die nationalen ePrivacy-Richtlinien Abhilfe schaffen. Aber auch diese sind noch nicht umgesetzt, weswegen noch immer das alte Telemediengesetz gilt. Dieses beleuchtet aber nur bestimmte Cookies. Konkret ist da nur davon die Rede, dass „notwendige Cookies“ keiner Einwilligung bedürfen. Darunter fallen Cookies, die technisch für den Betrieb einer Website und deren Funktionen erforderlich sind. Daraus folgt, dass Cookies für Tracking und Affiliate-Marketing nicht darunterfallen, also eine Einwilligung erfordern.

Dieses Sammelsurium an unterschiedlichen Vorgaben hat dazu geführt, dass man bei der Umsetzung am ehesten auf der sicheren Seite war, wenn man die Auslegungen der Datenschutzämter befolgte, obwohl deren Rechtsmeinung nicht von allen Juristen getragen wurde.

Doch spätestens mit diesem BGH-Urteil werden die Interpretationen greifbarer. De facto ändert sich in diesem Sinne nicht viel, da die Datenschützer immer schon diesen Ansatz verfolgten.

1. Für alle nicht notwendigen Cookies, z.B. von Google Analytics und anderen Tools und Plug-Ins, wird eine aktive Zustimmung benötigt.
2. Vorangeklickte Checkboxen sind nicht erlaubt. Auch die Klausel, dass man mit dem weiterbenutzen der Website alle Cookies stillschweigend akzeptiert, ist nicht möglich.
3. Die Cookies müssen tatsächlich blockiert sein, bis der Nutzer seine aktive Zustimmung dazu gibt.

Um allen Vorgaben rechtssicher zu entsprechen, kommt man um ein sog. „Consent-Tool“ nicht mehr herum. Dieses vorgeschaltete Banner gibt dem Nutzer die Möglichkeit, selber in den Einstellungen zu bestimmen, welche Cookies er akzeptiert, oder eben nicht. Zeitgleich werden diese Zustimmungen elektronisch gespeichert, so dass man im Zweifelsfall immer nachvollziehen kann, wozu welche Zustimmung erteilt wurde oder nicht. Dieses ist besonders dann wichtig, wenn eine Klage zu einem diesbezüglichen Verstoß droht.

Wenn Sie Fragen zur Implementierung eines Consent-Tools haben, schreiben Sie uns eine kurze Nachricht. Wir nehmen gerne zu Ihnen Kontakt auf.