Cookies: Das wurde im neuen Urteil beschlossen

© iStock / Getty Images Plus / faithiecannoise

Sie betreiben alle eine Webseite, auf welcher Cookies gesetzt sind. Für die Verwendung bestimmter Cookies, insbesondere von Analyse- und Trackingcookies war auch bisher anerkannt, dass die Zustimmung der Nutzer benötigt wird. In der Regel wurde dies über das Cookie-Banner und ein Opt-Out-Verfahren geregelt. Dies ist nunmehr nach der Entscheidung des EuGH (Urteil vom 01.10.2019, C-673/17) nicht mehr zulässig.

Was bisher galt und die Neuerungen

Grundsätzlich gilt nach den EU-Datenschutzrichtlinien für die elektronische Kommunikation, dass der Nutzer zur Speicherung und zum Abruf von Cookies auf seinem Endgerät „seine Einwilligung gegeben“ haben muss. Nach der aktuellen EuGH-Entscheidung bedeutet dies, dass die Einwilligung das Erfordernis einer „Willensbekundung“ impliziert, d.h., dass ein aktives Verhalten erforderlich ist. Eine Einwilligung durch ein voreingestelltes Ankreuzkästchen impliziert aber gerade kein aktives Verhalten des Nutzers einer Webseite. Das Abwählen der Voreinstellung reicht daher nicht aus, um der Anforderung einer datenschutzgerechten Einwilligung zu genügen. Dies betrifft auch Cookies, welche keine personenbezogenen Daten beinhalten.

Die EuGH-Entscheidung nimmt ausdrücklich zu Tracking- und Analysecookies Stellung. Allerdings stellt sich in Auswertung der Entscheidung die Frage, ob eine aktive Einwilligung auch zu Session-Cookies und insbesondere auch zu notwendigen Cookies erforderlich ist. Jedenfalls die notwendigen Cookies galten bisher als einwilligungsfrei, was im Hinblick auf die EuGH-Entscheidung jedoch überprüft werden sollte.

Cookies in Verbindung mit personenbezogenen Daten

Unabhängig davon muss die Verwendung rechtmäßig im Sinne der Datenschutzgrundverordnung sein, wenn die Cookies personenbezogene Daten speichern. Insoweit bleibt die Rechtslage unverändert.

Umsetzung

Im Hinblick auf eine umfassende rechtliche Auswertung des EuGH-Urteils, sowie insbesondere im Hinblick auf eine praktikable Umsetzung der gebotenen Anforderung empfiehlt es sich daher dringend, Kontakt mit dem Datenschutzbeauftragten aufzunehmen. Ein Abwarten, bis die neue ePrivacy-Verordnung im Laufe des nächsten Jahres in Kraft tritt, ist nicht zu empfehlen.

Bereits jetzt haben Softwareanbieter und Internetagenturen auf die neuen Anforderungen reagiert und viele Anregungen datenschutzkonformer Cookie-Anwendungen ins Spiel gebracht. Das ersetzt jedoch nicht die datenschutzrechtliche Überprüfung und Abstimmung mit Ihrem datenschutzrechltichen Berater.

Autorin: Tanja Roßmann

Add Comment