EuGH-Urteil zur Einwilligungspflicht bei Cookienutzung

01.10.2019

Der Europäische Gerichtshof (EuGH) hat sich am heutigen 01. Oktober 2019 dafür ausgesprochen, dass vor einer Cookie-Nutzung eine Einwilligung des Betroffenen eingeholt werden muss. Das Bedeutet im Klartext: ohne Einverständniserklärung des Webseitenbesuchers ist das Setzen von Cookies (bis auf wenige Ausnahmen) nicht datenschutzkonform.

NOVIDATA Updates

Newsletter Datenschutz & IT-Sicherheit

Mit unserem Newsletter erhälst du aktuelle Informationen zu den Themen Datenschutz & IT-Sicherheit regelmäßig bequem in dein Postfach!

Jetzt anmelden

Bisher war es gängige Praxis, auf das Setzen von Cookies in Form eines Cookiebanners hinzuweisen. Häufig liest man dabei folgenden oder ähnlichen Text: "Diese Webseite verwendet Cookies. Durch die weitere Nutzung akzeptieren Sie das Setzen von Cookies."

Die Cookies werden dabei bereits beim ersten Betreten der Webseite gespeichert. Der Benutzer willigt nicht vorab ein und hat, im Bestfall, die Möglichkeit eines Opt-Outs (z.B. Widerspruch gegen Besucheranalyse).

Dieser "bequemen" Praktik hat der EuGH in seinem Urteil im Fall "planet49" nun einen Riegel vorgeschoben. Nach Ansicht des EuGHs sind die bis dato eingesetzten Einwilligungsbanner nicht ausreichend. Vielmehr dürfen Cookies (mit Ausnahme technisch notwendiger Cookies) erst nach einer ausdrücklichen und informierten Einwilligung auf den Geräten der Webseitenbesucher gespeichert werden.

 

Was bedeutet das für die Praxis?

 

  • Beim Betreten einer Seite dürfen Cookies (mit wenigen Ausnahmen) nicht automatisch gesetzt werden
  • Der Besucher muss, sofern Cookies gesetzt werden sollen, darüber klar und transparent informiert werden
  • Der Besucher sollte auf die Freiwilligkeit und das Widerrufsrecht der Einwilligung hingewiesen werden
  • Der Besucher muss aktiv (z.B. mittels einer Checkbox) in die jeweils einzelne Verarbeitung einwilligen
  • Sofern Cookies von Dritten gesetzt werden, müssen diese namentlich genannt werden
  • Die Checkbox für eine Einwilligung darf nicht vorab ausgefüllt sein
  • Eine reine Opt-Out-Lösung ist nicht ausreichend

 

Welche Ausnahmen gelten?

 

Ohne explizite Einwilligung dürfen in Zukunft nur noch Cookies automatisch gesetzt werden, die für den Betrieb einer Webseite technisch notwendig sind. Dies kann z.B. der Fall sein bei:

 

  • Warenkorbfunktion von Onlineshops
  • Sprachauswahl
  • Loginfunktion einer Community
  • Cookies, die eine Einwilligung oder einen Widerruf speichern

 

Muss die Webseite nun umgebaut werden?

 

Bisher konnten sich deutsche Unternehmer auf das Telemediengesetz (TMG) berufen. Hiernach war eine Opt-Out-Lösung ausreichend, auch wen dies nicht den Vorgaben der EU-Cookierichtlinie entsprach. Mit dem Urteil des EuGH wird sich dies wohl ändern, obwohl final noch das Urteil des BGH abgewartet werden muss. Wer kein Risiko (Abmahnungen oder Bußgelder) eingehen möchte, sollte seine Webseite entsprechend umbauen. Google Analytics (ohne Einwilligung) dürfte Geschichte sein, ebenso der Einsatz von Google Maps oder ähnlichen Diensten, die Cookies setzen.

 

Ungeklärte Fragen

 

Leider gibt es, wie so oft, nach wie vor viele ungeklärte Detailfragen. Muss beispielsweise jedes einzelne Cookie bestätigt werden oder kann in die Verwendung von Cookies auch thematisch gebündelt (z.B. Werbung, Personalisierung) eingewilligt werden? Wie genau werden technisch notwendige Cookies definiert? Während man sich bei Besucheranalysen oder Social-Media-Plugins in der Regel klar gegen eine technische Notwendigkeit ausspricht, bleibt die konforme Einbindung von CDNs oder Schriftbibliotheken, die u.a. auch Cookies speichern können, ungeklärt. Wir werden wohl doch auf die finale ePrivacy-Verordnung warten müssen. Vielleicht ist heute aber auch guter Moment, um über Alternativen nachzudenken. So lässt sich eine Besucheranalyse auch (sogar ohne das Setzen von Cookies) mittels einer Open-Source-Software Matomo realisieren. 


Datenschutz & IT-Sicherheit

Externer Datenschutzbeauftragter & Externer Informationssicherheitsbeauftragter

Schulungen & Workshops

Professionelle Inhouse und Online-Schulungen zu  
Datenschutz, IT-Sicherheit & Hinweisgeberschutz

Hinweisgeberschutzgesetz

Interne Meldestelle & Digitales 
Hinweisgebersystem NOVIBLOWER.PRO

Newsletter

Stets auf dem aktuellsten Stand mit 
unserem regelmäßigen Newsletter

Hinweis

Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Ich übernehme daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.


Weitere Artikel

29.02.2024

In unserer schnelllebigen Arbeitswelt, wo Sicherheit und Datenschutz ganz oben auf der Prioritätenliste stehen sollten, ist es unerlässlich, dass du als Mitarbeiter ein Grundverständnis für sicherheitsrelevante Protokolle hast. Das gilt besonders für den Umgang mit unbekannten Personen in deinem Büro. Von physischen Bedrohungen bis hin zum Datendiebstahl – die Gefahren sind vielfältig und erfordern klare Strategien, um sie effektiv zu bekämpfen. Im Folgenden Artikel geht es also um das Sicherheitsbewusstsein am Arbeitsplatz und die Frage, wie du dich bei Unbekannten richtig verhältst.

Mehr erfahren ...
16.02.2024

Die Europäische Union hat die NIS2-Richtlinie eingeführt, um die Cybersicherheit innerhalb ihrer Mitgliedstaaten zu stärken und die Widerstandsfähigkeit kritischer Infrastrukturen gegenüber Cyberangriffen zu erhöhen. Diese aktualisierte Richtlinie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie (NIS1) erheblich und bringt neue Verpflichtungen und Anforderungen für eine breitere Palette von Unternehmen mit sich.

Mehr erfahren ...
05.02.2024

In der heutigen digital vernetzten Welt eröffnet der Fortschritt in der Künstlichen Intelligenz (KI) nicht nur bahnbrechende Möglichkeiten für Innovation und Effizienz, sondern birgt auch neuartige Risiken. Ein jüngstes Ereignis aus Hongkong illustriert, wie KI-gestützte Technologien, insbesondere Deepfakes, in die Hände von Cyberkriminellen geraten und zu beispiellosen Bedrohungen führen können.

Mehr erfahren ...
20.01.2024

Unter Phishing, einer Wortschöpfung aus den beiden Begriffen Password und Fishing, verstehen wir unterschiedliche Angriffsmethoden, die darauf abzielen, durch gefälschte E-Mails, Websites, Programme aber auch Telefonanrufe an Zugangsdaten zu gelangen.

Mehr erfahren ...

Externer Datenschutzbeauftragter

Sie benötigen einen externen Datenschutzbeauftragten für Ihr Unternehmen? Wir beraten Sie gerne. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an.

Unverbindliches Angebot anfordern
Inhalt wird geladen ...