1. Cookies und Einwilligung: Was die Gerichte bisher entscheiden haben
Im Fall „Planet 49“ ging es um die Frage, ob Webseiten, die Cookies bei ihren Besuchern setzen, eine aktive Zustimmung der Seitenbesucher benötigen. Gemeint war hier eine echte Einwilligung, kein „Sie können ruhig weiter Surfen“-Banner. Konkret ging es um die Frage, ob die Checkbox in einem solchen Cookie-Banner schon vorangekreuzt sein darf.
Die Verbraucherzentralen hatten den Anbieter Planet49 wegen einer schon vorangekreuzten Checkbox abgemahnt. Seitdem zog der Fall seine Kreise bis zum BGH, der den Fall dann für einige spezielle Fragen an den EuGH verwiesen hat. Nach dem EuGH Urteil im Jahr 2019 war nun wieder der BGH als abschließende Instanz an der Reihe.
Der EuGH und aktuell auch der BGH (I ZR 7/16) haben entschieden, dass der Nutzer bei einer Zustimmung, etwa bei bestimmten Cookies, aktiv einwilligen muss. Ein „Surfen Sie ruhig weiter“-Banner ohne direkte Zustimmung (zum Beispiel ein Klick auf „OK“) reicht nicht aus. Auch eine schon vorausgewählte Checkbox ist nicht erlaubt. Der Nutzer muss selbst aktiv zustimmen.
2. Warum ist der Fall „Planet49“ so wichtig für Webseitenbetreiber?
Fast alle kommerziellen Webseiten setzen heute mehr oder weniger auf den Einsatz von Cookies. Cookies sind eben praktisch und können zum Beispiel dafür genutzt werden, Inhalte von Warenkörben oder Daten für Nutzer LogIns zu speichern. Cookies werden aber auch dazu genutzt, einen Webseitenbesucher „wiederzuerkennen“, wenn er zurück auf eine Webseite kommt, die er schon einmal besucht hat, um dann gezielt Werbung auszuspielen.
Hinzu kommt, dass die DSGVO zwar alles Mögliche, aber nicht die Frage der Cookies regelt. Ob man für Cookies eine echte Einwilligung benötigt und wenn ja, für welche Cookies, sollte die ePrivacy-VO schon 2018 regeln. Die ePrivacy-VO ist aber auch im Juni 2021 noch nicht in Kraft getreten.
Um es noch komplizierter zu machen: Nicht verwechseln darf man die (noch nicht existente) ePrivacy-VO mit der in Deutschland niemals umgesetzten ePrivacy-Richtlinien. Deswegen galt hier bei Fragen zu „Einwilligung ja oder nein“ das alte TMG. Aus § 5 Abs.3 TMG kommt das Erfordernis der „notwendigen Cookies“. Was dazu führt, dass die Einwilligung im Moment eben nicht für alle Cookies gilt, sondern nur für „nicht notwendige“ Cookies wie etwa Tracking-Cookies von Drittanbietern.
Zusätzlich zu diesem Chaos muss man sich bei der Frage „Cookie Einwilligung ja oder nein“ auch noch an den Auffassungen der Datenschutzbehörden und eben den Urteilen des BGH und des EuGHs zu Cookies orientieren.
3. Was sind notwendige Cookies?
Leider gibt es keine Liste oder Datenbank mit einer Übersicht, welche Cookies notwendig sind und welche nicht.
Hilfreich ist diese Aussage:
„Notwendig sind alle Cookies, die technisch für den Betrieb einer Website und deren Funktionen erforderlich sind.
Es geht hier also ausschließlich um die technische Notwendigkeit, nicht um wirtschaftliche Überlegungen. Tracking-Cookies oder Affiliate-Cookies sind für die Funktion einer Webseite eben nicht erforderlich. Deswegen sind Sie auch keine notwendigen Cookies. Deswegen benötigen Sie eine Einwilligung.“
[ip_image src="/wp-content/uploads/2021/04/C-Banner-1.png" align="left" fullwidth="true" width="800"]
Hier die unjuristische Zusammenfassung:
Sie benötigen für alle nicht notwendigen Cookies – vor allem für Tracking Cookies, wie etwa von Google Analytics, aber auch für alle anderen technisch nicht notwendigen Tools und PlugIns – eine echte Einwilligung der Nutzer auf Ihrer Webseite.
Ein „Durch Weitersurfen akzeptieren Sie alle Cookies“ Banner oder ein Cookie-Banner mit schon vorangekreuzter Checkbox reichen für die Einwilligung nicht aus. Das Cookie- bzw. Einwilligungs-Banner muss die Cookies auch wirklich blockieren, bis der Nutzer eingewilligt hat.
