Bereits Anfang Oktober hat der EuGH entschieden, was spätestens seit dem DSGVO bereits wie ein Damoklesschwert über der Szene schwebte und nun höchstrichterlich festgestellt wurde: Tracking Cookies erfordern die ausdrückliche Einwilligung der Nutzer. Wir hatten in einem Artikel darüber berichtet.

Aber was bedeutet das konkret? Welche Fragen sind noch ungeklärt? Und macht es jetzt überhaupt noch Sinn, Analyse-Dienste wie Google Analytics zu nutzen?

Um diese Fragen zu beantworten, ist es wichtig, sich noch einmal die wichtigsten Punkte des Urteils vor Augen zu führen. Sinngemäß stellte der EuGH folgendes fest:

  • Cookies erfordern eine aktive Einwilligung der Nutzer. Eine Opt-out-Möglichkeit etwa mit voreingestellten Ankreuzkästchen, die man abwählen muss, reicht nicht aus.
  • Der Seitenbetreiber muss dem Nutzer in jedem Fall folgende Informationen bereitstellen: Funktionsdauer der Cookies und ob Dritte Zugriff auf die Cookies erhalten können.
  • Es macht keinen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht.

Das Urteil beruhte sowohl auf der neuen EU-Datenschutz-Grundverordnung (DSGVO) als auch auf der EU-Richtlinie 2002/58 (die umgangssprachlich als “Cookie”-Richtlinie bezeichnet wird). In dieser Richtlinie sind sogenannte First Party Cookies, die für den Betrieb einer Webseite erforderlich sind, von den Vorschriften ausgenommen.

Ohne Einwilligung in jedem Fall erlaubt sind folgende Cookies:

Weiter ohne Einwilligung erlaubt sind nach Artikel 5 Absatz 3 der Cookie-Richtlinie Cookies, die allein zum Zweck der Übertragungsdurchführung einer Nachricht in einem elektronischen Kommunikationsnetz erforderlich sind, an dem der Nutzer ausdrücklich teilnehmen will. Das sind u. a. folgende Cookies:

  • Login-Cookies
  • Warenkorb-Cookies
  • Cookies, die für eine Länder- oder Sprachauswahl nötig sind
  • Cookies, welche zur Einholung der Einwilligung von Consent Tools gesetzt werden

Betroffen sind also vor allem Tracking- und Online-Marketing-Cookies. Jedoch gibt es einige ungeklärte Fragen rund um das Urteil.

Fragen, die der EuGH offenlässt

Konkret ging es in dem vom EuGH behandelten Fall um die Klage des Verbraucherzentrale Bundesverbands (VZBV) gegen das Unternehmen Planet49 GmbH, einem Anbieter von Online-Gewinnspielen. Dieser hatte die mithilfe von Cookies gesammelten Daten an Kooperationsunternehmen weitergeleitet. Die Teilnahme an den Gewinnspielen der Planet49 war nur möglich, wenn man nicht die Häkchen aus zwei Kästchen entfernte, die über die Weiterleitung der Daten an „Sponsoren und Kooperationspartner“ und die Verwendung dieser zum Zweck des Remarketings informierten.

Auch wenn der EuGH an der Unrechtmäßigkeit dieser Lösung keine Zweifel ließ, blieben einige Fragen ungeklärt bzw. waren vom Urteil nicht betroffen. U. a. diese:

  1. Benötigte die Planet49 GmbH überhaupt eine Einwilligung für seine Cookies?

Im Urteil ging es nur darum, ob eine Opt-out-Lösung als Einwilligung zum Setzen von Cookies rechtmäßig ist. Kein Thema im Prozess war, ob für diese Cookies überhaupt eine Einwilligung nötig gewesen wäre. Die Vorlagefrage, die der BGH an den EuGH weiterleitete, bezog sich nur darauf, wie die Einwilligung für Cookies auszusehen hätte. Und auch wenn es vor dem Hintergrund der jüngsten Richtlinien und Gesetze sowie Urteile ein wenig an den Haaren herbeigezogen scheint, ist letztendlich noch nicht abschließend geklärt, welche Cookies eine Einwilligung benötigen und welche nicht – Beispiel First Party Cookies und „berechtigtes Interesse“ (siehe unten).

  1. Welche konkreten Folgen hat das Urteil in Deutschland?

Erst einmal hat das Urteil keine konkreten Auswirkungen. Denn der Fall geht jetzt zurück an den Bundesgerichtshof (BGH) und dieser muss eine Entscheidung treffen, wie das Urteil nach deutschem Recht auszulegen ist. Bisher ist in Deutschland noch die alte Regelung nach dem Telemediengesetz (TMG) in Kraft, die auch einen Opt-out erlaubt. Mit dem Urteil des EuGH ist jetzt aber klar: Die bisherige Regelung im TMG ist nicht mit europäischem Recht vereinbar. Eine gute Nachricht für Online-Marketer ist in diesem Zusammenhang, dass die geplante E-Privacy-Verordnung, die eigentlich die DSGVO flankieren sollte, vor kurzem am Widerstand von Ländern wie Deutschland und Polen gescheitert ist. Sie wird jetzt neu verhandelt und frühsten 2022 kommen.

  1. Welche Regelung für Cookies gilt momentan in Deutschland?

Diesbezüglich herrscht Uneinigkeit. Teilweise sind die Datenschutzbehörden (und auch die Gerichte) der Meinung, dass die erhobenen Daten jetzt in erster Linie unter den Vorgaben der DSGVO zu beurteilen sind. Es spielt dann also vor allem eine Rolle, ob die Daten personenbezogen sind oder nicht. Genau diese Unterscheidung hat der EuGH jedoch in seinem Urteil zum Einwilligungsverfahren für Cookies ausdrücklich nicht getroffen.

  1. Was ist ein „berechtigtes Interesse“ nach DSVGO und welche Auswirkungen hat es?

Das „berechtigte Interesse“ ist eines der wichtigsten Schlagworte in der Diskussion, die rund um Cookies und erhobene Daten hierzulande geführt wird. Es stammt aus Art. 6 Abs. 1 lit. F der DSVGO. Hier ist zu lesen, dass die Verarbeitung von personenbezogenen Daten dann rechtmäßig ist, wenn sie für die „Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist. Viele Werbetreibende und Website-Betreiber berufen sich derzeit auf diesen Absatz, ob diese Praxis zulässig ist, war nicht Gegenstand des Verfahrens, zukünftig stehen die Zeichen dafür aber eher schlecht.

Fazit

Darf man also z. B. Google Analytics weiternutzen? Erst einmal droht nach unserer Ansicht keine konkrete Gefahr, wenn man die generell in diesem Zusammenhang empfohlenen Dinge beachtet: die IP anonymisiert, mit Google einen Vertrag zur Auftragsverarbeitung abschließt sowie eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einbindet. Die unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) sind zwar schon seit Mitte 2018 der Meinung, dass rechtskonformes Webtracking nur mit der vorherigen Einwilligung des Nutzers möglich ist, uns ist aber kein deutsches Urteil diesbezüglich bekannt.

Grundsätzlich stellt sich allerdings schon die Frage, ob solche Analysetools vor dem Hintergrund der immer strengeren Regelungen dauerhaft Zukunft haben. Natürlich gibt es für WordPress und andere Content Management Systeme Plugins, die einem die Implementierung von Opt-in-Lösungen erheblich erleichtern. Aber welchen Sinn macht eine aufwendige Datenanalyse, wenn sie nur einen sehr kleinen Teil der Nutzer erfasst?

Für die Online-Marketing-Branche beginnt spätestens mit diesem Urteil eine Reise in das Ungewisse. Was ist zum Beispiel mit Google Ads oder Bing Tracking? Oder den zahlreichen weiteren Verfahren, die mit oder ohne Cookies auf Tracking setzen. Auch wenn sich die Politik sicher bewusst ist, dass Änderungen in diesem Bereich weitreichende Konsequenzen für die Geschäftsmodelle von Seitenbetreibern und Unternehmern haben, ist die Zukunft von Cookies & Co. ungewiss.

Hoffnung macht zumindest, dass die geplante E-Privacy-Verordnung, die eigentlich 2020 kommen sollte, wegen den Bedenken von Ländern wie Deutschland, Polen oder Österreich, neu verhandelt werden muss. Der Vorschlag der finnischen Ratspräsidentschaft wurde von einem Teil der Länder u. a. deshalb abgelehnt, weil er Innovationen im Bereich der datengetriebenen Wirtschaft behindern könnte. Die E-Privacy-Verordnung sollte sich – anders als die DSVGO – gezielt gegen Cookies und Tracking richten.

Wir stehen gerne bei Fragen zu diesem Thema zur Verfügung, können jedoch keine Rechtsberatung geben und empfehlen immer eine Absprache mit dem internen Datenschutzbeauftragten.