EuGH-Generalanwalt: Deutsches Cookie-Recht nicht ausreichend
Ein Verfahren um eine Gewinnspielseite bringt den fragilen Burgfrieden im deutschen Datenschutzrecht ins Wanken. Folge könnten mehr Cookie-Warnungen sein.
Im Verfahren des Verbraucherzentrale Bundesverbands (vzbv) gegen einen Adresshändler und Gewinnspielbetreiber hat der Generalanwalt Maciej Szpunar seinen Schlussantrag veröffentlicht. Die Einschätzung des Juristen birgt Sprengstoff gerade für deutsche Website-Betreiber. Denn nach Auffassung des Juristen entsprechen die deutschen Gesetze zum Cookie-Einverständnis nicht dem europäischen Recht.
Zu gewinnen: Werbeanrufe
Im konkreten Verfahren geht es um eine Gewinnspielseite des Anbieters Planet49. Um an einem Gewinnspiel teilzunehmen sollten die Teilnehmer weitgehenden Nutzungsbedingungen zustimmen. So sollten die Nutzer einer Liste von insgesamt 57 Unternehmen erlauben, sie telefonisch, per E-Mail oder per Post zu kontaktieren. Diese Klausel wurde bereits 2014 vom Landgericht Frankfurt als unzulässig erklärt, da der Verbraucher bei einer so weitgehenden Einschränkung wie der Telefonwerbung eine explizitere Zustimmung geben müsste.
Im Verfahren vor dem EuGH ging es jedoch vor allem um eine zweite Klausel. Hier ließ sich der Betreiber der Website auch das Recht einräumen, Cookies im Browser des Nutzers zu setzen, damit Dienstleister "interessengerichtete Werbung" ausspielen könnten. Hier hatte der Anbieter die Hürde zum Ablehnen noch mal höher gesetzt: So war das entsprechende Kästchen bereits abgehakt – erst mit einem zusätzlichen Klick konnten Nutzer die Zustimmung widerrufen.
Cookie-Kompromiss
Dass es der Konflikt durch alle Instanzen und bis zum EuGH geschafft hat, liegt an einem deutschen Sonderweg. So gilt nach wie vor der Paragraph 15 des Telemediengesetzes, der Website-Betreibern erlaubt, Tracking-Cookies zu setzen, sofern der Nutzer informiert wird und nicht aktiv widerspricht. Die seit 2009 geltende Cookie-Richtlinie der EU sieht hier eigentlich weitergehende Opt-in-Zustimmung vor, bei der Nutzer explizit zustimmen mĂĽssen.
Gerade diesen Punkt wollte der vzbv vom EuGH klären lassen. "Für uns ging es um die grundsätzliche Frage: Wie muss die Zustimmung zur Speicherung von Tracking-Cookies gestaltet werden, um wirksam zu sein?", erklärt vzbv-Rechtsreferent Heiko Dünkel im Gespräch mit heise online. "Eine Einwilligung erfordert aktives Handeln", erläutert der Jurist.
Cookie-Daten sind persönlich
Deutsche Branchenvertreter vertreten jedoch seit Jahren die entgegengesetzte Auffassung. Sie argumentieren, dass es sich bei den Cookies nicht um persönliche Daten handele. Zudem müsse auch keine explizite Zustimmung erhoben werden, weil es sich bei der Werbung um ein berechtigtes Interesse der Anbieter handele.
Szunpar erteilt dieser Rechtsauffassung eine klare Absage: "Bei der Anwendung der Artikel 5 Absatz 3 und 2 Buchstabe f der Richtlinie 2002/58 in Verbindung mit Artikel 2 Buchstabe h der Richtlinie 95/46 macht es keinen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt", heiĂźt es in dem Abschlussantrag. So mĂĽsse der Nutzer zumindest erfahren, ob Dritte Zugriff auf die Cookies haben und wie lange diese abgespeichert werden.
Unklare Folgen
Sollte sich der Gerichtshof dieser Auffassung anschließen, geht der Fall zunächst zurück an den Bundesgerichtshof, der das Urteil im bereits sechs Jahre dauernden Rechtsstreit fällen muss. Für Website-Betreiber wäre es dennoch höchste Zeit zu handeln und ihre Cookie-Einwilligungen zu überarbeiten. Bei einem neuerlichen Rechtsstreit müssten die Gerichte die Rechtsprechung des EuGH berücksichtigen. Folge wäre eine starke Zunahme von Cookie-Warnungen auf deutschen Websites, die vom Nutzer einzeln zu bestätigen wären.
Eine andere Lösung wäre es, wenn die bisherige europäische Rechtslage durch die E-Privacy-Verordnung geändert wird, die eigentlich bereits im vergangenen Jahr zusammen mit der Datenschutz-Grundverordnung (DSGVO) in Kraft treten sollte. Nach langwierigen Verzögerungen ist jedoch derzeit unklar, wann und ob ein entsprechender Gesetzentwurf im Europaparlament zur Abstimmung gebracht werden kann.
[Update 22.03.2019 – 14:40 Uhr] Das Büro des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zeigte sich gegenüber heise online erfreut angesichts der Veröffentlichung: "Die Schlussanträge spiegeln die Position wieder, die wir seit Jahren vertreten", erklärte Behördensprecher Dirk Hensel. So seien die Vorgaben aus den EU-Richtlinien im heutigen Telemediengesetz nicht korrekt umgesetzt worden. (olb)
