[Update 30.11.2019] Stellungnahmen der Datenschutz-Aufsichtsbehörden ergänzt (s.u.)
[Update 28.05.2020] Den Beitrag zum BGH-Urteil vom 28. Mai 2020 im „Cookie-Verfahren“ finden Sie hier.
[/Updates]
Eine Woche ist es nun schon her, das sogenannte „EuGH-Cookie-Urteil“ (oder auch „Planet49-Urteil“ genannt). Dieses Urteil sowie eine vom Europäischen Gerichtshof (EuGH) erstellte Zusammenfassung des Urteils finden Sie unter 
http://curia.europa.eu/juris/documents.jsf?num=C-673/17.
Das Urteil erging in einem Vorabentscheidungsverfahren. In einem vor dem Bundesgerichtshof (BGH) anhängigen Rechtsstreit des Verbraucherzentrale Bundesverband e. V. gegen die Planet49 GmbH hat der BGH dem EuGH einige Fragen zur Einwilliung in die Nutzung eines Werbecookies vorgelegt.
Wie hat der EuGH entschieden?
Zusammenfassend und kurz lässt sich hier sagen:
- Ein vorangekreuztes Kästchen zur Einholung der Einwilligung ist keine wirksame Einwilligung.
- Für die Nutzung von Werbecookies ist nach Art. 5 Abs. 3 ePrivacy-Richtlinie eine wirksame Einwilligung durch die Nutzerin bzw. den Nutzer Voraussetzung.
Wird jetzt für jedes Cookie eine Einwilligung benötigt?
Nein, nicht für jedes Cookie. So bedarf es für technisch unbedingt erforderliche Cookies (hierzu gehören z.B. Cookies für einen Warenkorb, sofern dieses nach Ende der Sitzung gelöscht werden) keiner Einwilligung der NutzerInnen. Für alle anderen Cookies ist in strikter Anwendung des Art. 5 Abs. 3 noch geltenen ePrivacy-Richtlinie (ePrivRL, Richtlinie 2002/58/EG in der Fassung der RICHTLINIE 2009/136/EG – Cookie-Richtlinie) eine wirksame Einwilligung erforderlich.
Welche Anforderungen werden an eine wirksame Einwilligung gestellt?
Für die Anforderungen an eine wirksame Einwilligung im Sinne der ePrivacy-Richtline sind seit dem 25. Mais 2018 die Anforderungen aus den Art. 7 und 8 der EU-Datenschutz-Grundverordnung (DSGVO) maßgebend. Hierzu gehören insbeisondere die vorherige Information der NutzerInnen und dass die Einwilligung eine aktive Handlung ist.
Was ist zu tun?
Sofern Sie auf Ihrer Website andere als nur technisch unbedingt erforderliche Cookies einsetzen, sollten Sie für diese Cookies eine wirksame Einwilligung einholen. Ein Cookiebanner, der nur „OK“ oder „akzeptiert“ als einzige Möglichkeit zu Anklicken anbieten stellt keine wirksame Einwilligung dar. Es muss die Möglichkeit geben, die nicht technisch unbedingt erforderlichen Cookies abzulehnen und trotzdem die Website zu besuchen.
Und was ändert sich mit der ePrivacy-Verordnung?
Das läßt sich derzeit noch nicht sicher sagen. Im derzeitigen Entwurfsstand findet sich in Art. 8 des Entwurfs der ePrivacy-Verordnung (ePrivVO) eine Nachfolgeregelung für Art. 5 Abs. 3 ePrivRL. Dabei bezieht sich Art. 8 ePrivVO-Entwurf aber nicht nur auf Cookies, sondern auch andere Methoden, mit denen eine Identifizierung des Endgerätes erforderlich ist. Sofern das Cookie oder der Abruf von Informationen zu Hard- und Software nicht technisch unbedingt erforderlich bedarf es Grundsätzlich der Einwilligung der NutzerInnen. Es gibt zwar einige Ausnahmen, aber die Nutzung von Werbecookies oder der Hard- und Software-Informationen zum Tracking gehört nicht zu den genannten Ausnahmen.
Wollen Sie sich ausführlicher informieren?
Wenn Sie sich ausführlicher informieren wollen (z.B. darüber, welche Arten von Cookies datenschutzrechtlich zu unterscheiden sind), empfehle ich Ihnen das von mir erstellte eBook „Das „Cookie-Urteil“ des EuGH vom 01.10.2019 – Stellungnahme und Empfehlungen„, das im EfWeHa-Verlag erschienen ist. Es enthält auch ausführliche Informationen zum Urteil und meine Zusammenfassung des Urteils. Weitere Informationen zu diesem eBook (mit Inhaltsverzeichnis, kurzer Leserobe) und die Bestellmöglichkeit finden Sie unter https://efweha-verlag.de/bd50
(ISBN 978-3-95546-050-1, eBook (PDF-Datei), 36 Seiten DIN A5, 4,90 €)
[Update 30.11.2019] Stellungnahmen der Datenschutz-Aufsichtsbehörden zum EuGH „Cookie-Urteil“ („Planet49-Urteil)
Nachfolgend ist jeweils die Pressmitteilung (Webseite oder PDF-Datei, je nach Angebot) zum „Cookie-Urteil (bzw. „Planet49-Urteil“ verlinkt. Die Links öffnen sich beim Anklicken in einem neuen Tab oder Fenster.
- Bundesbeauftragter für Datenschutz und Informationsfreiheit
- Bayerisches Landesamt für Datenschutzaufsicht
- Berliner Beauftragte für Datenschutz und Informationsfreiheit
- Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
- Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit
- Hessischer Beauftragter für Datenschutz und Informationsfreiheit
- Landesbeauftragte für den Datenschutz Niedersachsen
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
- Landesbeauftragte für Datenschutz und Informationsfreiheit Saarland – Unabhängiges Datenschutzzentrum Saarland
- Sächsischer Datenschutzbeauftragter
- Die Landesbeauftragte für Datenschutz Schleswig-Holstein – Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
- Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Im Mai 2019 hat die Deutsche Datenschutzkonferenz eine – auf Grund von der Rückmeldungen aus einem Konsultationsverfahren überarbeitete Version der im April 2018 erstmals herausgegebenen „Orientierungshilfe für Anbieter von Telemedien“ veröffentlicht. Diese beschäftigt sich ebenfalls mit der mangelhaften Umsetzung der im Jahr 2009 erfolgten Änderungen in deutsches Recht und der Erforderlichkeit von Einwilligungen für Cookies, die dem Werbetracking dienen. [/Update]