Wer Cookies setzen möchte, muss zuvor hierüber informieren und die Einwilligung des Nutzers einholen – EuGH, Urteil vom 1.10.2019 – C-673/17 – Planet49 GmbH/Verbraucherzentrale

Titel: „Macau Koi Kei Bakery Almond Biscuits 2“, Urheber: I, Mo707 [CC BY-SA 3.0 (http://creativecommons.org/licenses/by-sa/3.0/)]

Titel: „Macau Koi Kei Bakery Almond Biscuits 2“,
Urheber: I, Mo707 [CC BY-SA 3.0 (http://creativecommons.org/licenses/by-sa/3.0/)]

EuGH, Urteil vom 1.10.2019 – C-673/17 – Planet49 GmbH/Verbraucherzentrale

Informationspflichten und Einwilligung beim Setzen von Cookies

Wer Cookies setzen möchte, braucht die Einwilligung des Nutzers. Zuvor muss er über die Funktionsdauer der Cookies informieren und darüber, ob andere auf die Cookies zugreifen können. Es kommt nicht darauf an, ob es sich bei den Cookies um personenbezogene Daten handelt. Das hat der EuGH mit Urteil vom 1.10.2019 entschieden. Der Fall:

Die Beklagte veranstaltete im Internet ein Gewinnspiel. Nach Eingabe der Postleitzahl gelangte der Nutzer auf eine Seite, auf der er seinen Name und seine Anschrift einzutragen sollte. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzfeldern versehene Hinweistexte. Der erste Hinweistext, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, lautete:

[   ] „Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E-Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier.“

Der mit „Sponsoren und Kooperationspartner“ und „hier“ bezeichnete Link führte zu einer Liste, die 57 Unternehmen, ihre Adresse, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E-Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort „Abmelden“ enthielt. Der Liste vorangestellt war folgender Hinweis:

„Durch Anklicken auf dem Link ,Abmelden’ entscheide ich, dass dem genannten Partner/Sponsoren kein Werbeeinverständnis erteilt werden darf. Wenn ich keinen oder nicht ausreichend viele Partner/Sponsoren abgemeldet habe, wählt P [die Beklagte] für mich Partner/Sponsoren nach freiem Ermessen aus (Höchstzahl: 30 Partner/Sponsoren).“

Eine Teilnahme am Gewinnspiel war nur möglich, wenn mindestens das Häkchen vor diesen Hinweistext gesetzt wurde.

Der zweite Hinweistext, der mit einem voreingestellten Häkchen versehen war, lautete:

[✓]  „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter [die Beklagte] nach Registrierung für das Gewinnspiel Cookies setzt, welches [die Beklagte] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch R ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Wenn man im zweiten Hinweistext auf das Wort „hier“ klickte, wurde folgende Information angezeigt:

„Bei den gesetzten Cookies […] handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden […]. Die Cookies enthalten eine bestimmte zufallsgenerierte Nr. (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für Remintrex registrierten Werbepartners […], wird automatisiert aufgrund eines dort eingebundenen iFrames von Remintrex erfasst, dass Sie […] die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.

Anschließend kann [die Beklagte] aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E-Mail-Werbung mehr.

Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten. […]“

Geklagt hatte der Bundesverband der Verbraucherzentralen. Er war der Meinung, die Einverständniserklärungen seien rechtswidrig.

Einwilligung und Information nach ePrivacy-Richtlinie und Cookie-Richtlinie

Nach Art. 5 III ePrivacy-Richtlinie (RL 2002/58/EG geändert durch die vom deutschen Gesetzgeber immer noch nicht umgesetzte „Cookie-Richtlinie“, RL 2009/136/EG) darf man Cookies nur dann im Endgerät eines Nutzers speichern oder auf diese Informationen zugreifen, wenn man den Nutzer zuvor „klar und umfassend“ informiert hat. Außerdem muss der Nutzer zuvor seine Einwilligung gegeben haben. Die ePrivacy-Richtlinie ist auch nach Inkrafttreten der DSGVO noch in Kraft (vgl. Art. 95 DSGVO). Auch die inzwischen durch durch die DSGVO ersetzte Datenschutzrichtlinie sah eine eine entsprechende Einwilligung für die Verarbeitung von personenbezogenen Daten vor. Ebenso tut dies natürlich die ebenfalls anwendbare DSGVO (Art. 6 I a) DSGVO).

Ist eine Opt-Out-Einwilligung zulässig?

Der EuGH hatte zunächst die folgende, ihm vom Bundesgerichtshof (BGH v. 5.10.2017 – I ZR 7/16 – Cookie Einwilligung) vorgelegte Frage zu beantworten: Reicht es für eine Einwilligung des Nutzers aus, wenn das Kreuzchen voreingestellt ist, der Nutzer seine Einwilligung also abwählen muss? Nein, meint der EuGH. Denn eine Einwilligung müsse „ohne jeden Zweifel“ erteilt werden. Das erfordere ein aktives Verhalten des Nutzers. Ein voreingestelltes Häkchen könne daher keine Einwilligung begründen. Denn hieraus geht nicht hervor, ob der Nutzer irgendwie aktiv wurde.

Sind Cookies personenbezogene Daten?

Der BGH hatte den EuGH gefragt, ob Cookies personenbezogene Daten sind. Dies hat der EuGH jedenfalls für den vorliegenden Fall bejaht (Rz. 45 und 67 des Urteils). Allerdings kommt es nach der durch die „Cookie-Richtlinie“ geänderten ePrivacy-Richtlinie ohnehin nicht darauf an, ob Cookies personenbezogene Daten sind oder nicht. Die Richtlinie knüpft an das Setzen von „Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“ an, unabhängig davon, ob diese einen Personenbezug ermöglichen oder nicht.

Informationspflichten beim Cookie-Setzen

Schließlich hat der EuGH auch auch zu den Informationspflichten beim Cookie-Setzen Stellung genommen. Angaben zur Funktionsdauer der Cookies gehören ebenso hierzu, wie Angaben, ob Dritte auf die Cookies zugreifen können, so der EuGH.

Konsequenzen der Entscheidung

Die ePrivacy-Richtlinie erlaubt zwar in Art. 5 III in der durch die„Cookie-Richtlinie“ geänderten Fassung, technisch „unbedingt erforderliche“ Cookies auch ohne Einwilligung zu setzen. Technische unbedingt erforderliche Cookies werden die Ausnahme sein. Viele Cookies, z.B. Session-Cookies oder solche, die Spracheinstellungen steuern, erleichtern zwar die Bedienung für den Nutzer. Sie sind aber nicht „unbedingt“ erforderlich. Für Cookies, die einen Personenbezug herstellen, gelten diese Ausnahmen ohnehin nicht.

Auch der Umstand, dass die Cookie-Richtlinie an sich bis zum 25.5.2011 in deutsches Recht hätte umgesetzt werden müssen, dies aber immer noch nicht geschehen ist, ändert daran nichts. Denn nach Ablauf der Umsetzungsfrist müssen die Gerichte innerstaatliches Recht so weit wie möglich am Wortlaut und Zweck der Richtlinie auslegen (EuGH EuZW 2004, S. 691, Rn. 100 – 113; OLG Bremen v. 3.4.2007 – Verg 2/07). Wer Cookies setzen möchte, tut also gut daran, vorher den Nutzer über die betreffenden Cookies zu informieren und dessen Zustimmung einzuholen.

Zum Urteil: EuGH, Urteil vom 1.10.2019 – C-673/17 – Planet49 GmbH/Verbraucherzentrale

Autor: Anwalt für Wettbewerbsrecht und Fachanwalt für gewerblichen Rechtsschutz Thomas Seifried

Mehr zum Thema:

Thomas Seifried

Thomas Seifried

Haben Sie Fragen zum Thema? Rufen Sie uns an: 069 915076-0

Ihr Ansprechpartner: Thomas Seifried, Rechtsanwalt und Fachanwalt für gewerblichen Rechtsschutz


Abgemahnt? Die erste Hilfe Taschenfibel in neuer Version (März 2015) erschienen

Abgemahnt? Die erste Hilfe Taschenfibel in neuer Version (März 2018) erschienen

Kostenloser Download: Abgemahnt – Die erste Hilfe Taschenfibel 2018

Abmahnung erhalten? Jetzt kostenlos herunterladen: Ebook über Abmahnungen im Wettbewerbsrecht, Markenrecht und Internetrecht, Rechtsstand März 2018 – Mit drei Muster-Unterlassungserklärungen

Download „Abgemahnt – Die erste-Hilfe Taschenfibel“


Fanpage-Betrieber mitverantwortlich für die Datenerhebung durch Facebook? EuGH sagt "ja!"Wer eine Facebook-Fanpage nutzt, ist für die Datenverarbeitung durch Facebook mitverantwortlich, EuGH v. 5.6.2018 – C-210/16 – Landeszentrum für Datenschutz Schleswig Holstein gegen Wirtschaftsakademie


Bildnachweis: Urheber Johannes Rössel (talk) unter CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0/deed.de)Klausel zur Einwilligung in nachvertragliche „individuelle Kundenberatung“ ist zulässig – Keine gesonderten Einwilligungen in jeden Werbekanal nötig -BGH, Urteil vom 1.2.2018 – III ZR 196/17


Preissuchmaschine (Symbolbild)Wer auf Preisvergleichsportalen und Preissuchmaschinen verschweigt, dass nur provisionspflichtige Anbieter verglichen werden, handelt wettbewerbswidrig -BGH v. 27.04.2017 – I ZR 55/16 – Preisportal


MeinPaket.de_IIImpressumspflicht und Informationspflicht über das Widerrufsrecht in Printwerbung – BGH v. 14.9.2017 – I ZR 231/14 – MeinPaket.de II


Instagram 012111746

Influencer Marketing: Werbung auf Instagram muss gekennzeichnet werden – „#ad“ reicht hierfür nicht aus – OLG Celle v. 08.06.2017 – 13 U 53/17 – Schleichwerbung in sozialen Medien

Comments are closed.