Cookie-Banner, Consent-Walls und Popups sind wie wenig anderes Symbole für jenen Formalismus, der dem Datenschutzrecht stellenweise den Ruf als wirkungsloses bürokratisches Ärgernis eingebracht hat. In seiner Planet49-Entscheidung hat der Gerichtshof der Europäischen Union (EuGH) nun zu dem Einsatz von Cookies durch Webseitenbetreibende Stellung genommen und Anforderungen an die dafür u.U. erforderliche datenschutzrechtliche Einwilligung formuliert.
Dieser Beitrag stellt den Sachverhalt dar, diskutiert die Kernaussagen des Urteils und erörtert den voraussichtlichen Vollzug der Entscheidung durch die deutschen Datenschutzaufsichtsbehörden. Er wirft sodann einen rechtspolitischen Blick auf die Rolle der Einwilligung im Datenschutzrecht und ordnet die Entscheidung in die andauernden Bemühungen um eine neue ePrivacy-Verordnung ein.

Starke Einwilligung, schwacher Datenschutz?

Inhaltsverzeichnis:

I. Sachverhalt

II. Gegenstand und Grenzen der Planet49 Entscheidung

1. Weder Kopplungsverbot

2. Noch Erforderlichkeit von Cookies

III. Die Kernfragen und -antworten

1. Das Ende vorausgefüllter Ankreuzkästchen

a) Beweisbarkeit der Kenntnisnahme
b) Interaktion und Dokumentation

2. Der Personenbezug wird zur Nebensache

a) Unklarheit beim Schutzgut
b) Kein neues Schutzgut
c) Keine Zuständigkeit nationaler Datenschutzaufsicht

3. Informationspflichten: Die praktischen Hürden

a) Bezugspunkt und Verarbeitungsphasen
b) Verpflichteter
c) Vermittelbarkeit

IV. Vollzug durch die deutschen Aufsichtsbehörden

V. Ausblick

I. Sachverhalt

[1] Der Glückspielanbieter Planet49 bot ein Online-Gewinnspiel an. Für dessen Teilnahme war die Angabe bestimmter personenbezogener Daten sowie das Ankreuzen eines ersten Kästchens notwendig, mit dem eine Einwilligung in den Erhalt von Werbung erteilt wurde. Unter dem ersten Ankreuzkästchen befand sich ein weiteres, zweites anklickbares Kästchen, mit dem in das Setzen eines Cookies sowie dessen Auswertung zu Zwecken der personalisierten Online-Werbung durch Dritte eingewilligt wurde. Dieses zweite Kästchen war vorausgefüllt. Eine Teilnahme blieb aber möglich, wenn das zweite Ankreuzkästchen aktiv abgewählt würde.

[2] Planet49 wurde durch den Verbraucherzentrale Bundesverband e.V. (VZBV) abgemahnt. Im Laufe des sich anschließenden Rechtsstreits legte der BGH dem EuGH sinngemäß drei Fragen vor; ¹  er fragte:

• erstens, ob ein vorausgefülltes Ankreuzfeld als wirksame Einwilligung anzusehen sei,
• zweitens, ob sich die Vorgaben des Art. 5 Abs. 3 der ePrivacy-Richtlinie (ePrRL) ²  auch auf nicht-personenbezogene Daten beziehen und
• drittens, welche Informationspflichten beim Setzen von Cookies erfüllt werden müssen

[3] In seiner am 1.10.2019 veröffentlichten Entscheidung ³  hat der EuGH schließlich zu den Fragen Stellung genommen.

II. Gegenstand und Grenzen der Planet49 Entscheidung

[4] Bevor im Folgenden die Antworten entsprechend ihrer Kernaussagen und ihrer Relevanz für die Praxis dargestellt werden, ist ein Hinweis auf den durchaus begrenzten Gegenstand der Entscheidung erforderlich.

1. Weder Kopplungsverbot

[5] Ausdrücklich nicht Gegenstand der Entscheidung war zunächst die Frage, ob die – zur Bedingung für die Teilnahme gemachte – Werbeeinwilligung des ersten Ankreuzkästchens den Anforderungen des Art. 7 Abs. 4 DSGVO (das sog. „Kopplungsverbot“) genügte. ⁴  Das ist bedauerlich, denn zu dem Bedeutungsgehalt des Art. 7 Abs. 4 DSGVO werden weiterhin sehr unterschiedliche Positionen vertreten. ⁵  Die ePrRL kennt ein wie auch immer geartetes „Kopplungsverbot“ nicht. Sie spricht sich in ErwGr 25 vielmehr ausdrücklich gegen eines aus. Demnach kann der Zugriff auf spezifische Website-Inhalte „nach wie vor davon abhängig gemacht werden, dass ein Cookie oder ein ähnliches Instrument von einer in Kenntnis der Sachlage gegebenen Einwilligung abhängig gemacht wird [...]“. Die im Sachverhalt der Planet49-Entscheidung zur Bedingung für die Glückspielteilnahme gemachte Werbeeinwilligung im ersten Kästchen wäre also – jedenfalls gemäß der ePrRL – nicht an einem „Kopplungsverbot“ gescheitert. Gegenstand der Antworten im Planet49-Verfahren war stattdessen einzig das vorausgefüllte, zweite Ankreuzkästchen und die darin enthaltene Einwilligung in das Setzen und Auswerten des Cookies, deren Erteilung gerade nicht Bedingung für die Gewinnspielteilnahme war.

2. Noch Erforderlichkeit von Cookies

[6] Ebenfalls nicht Gegenstand der Entscheidung war die Abgrenzung zwischen einwilligungsfreien, erforderlichen Cookies und einwilligungsabhängigen Cookies. Die ePrRL nimmt in Art. 5 Abs. 3 S. 2 zwar die Speicherung von Informationen oder den Zugriff auf Informationen ausdrücklich von dem Einwilligungserfordernis aus, wenn diese unbedingt erforderlich sind, damit ein Dienst der Informationsgesellschaft zur Verfügung gestellt werden kann. Der EuGH nimmt in Planet49 jedoch nicht Stellung zum Merkmal der unbedingten Erforderlichkeit, sondern setzt schlicht stillschweigend voraus, dass das fragliche Cookie (...)

Hier direkt weiterlesen im juris PartnerModul IT-Recht