Europäischer Gerichtshof entscheidet über Deutsches Cookie-Sonderweg

• Der EuGH wird am Dienstag entscheiden, wie Cookie-Banner in Deutschland aussehen müssen.
• Die EU-Cookie-Richtlinie von 2009 besagt, dass Website-Nutzer aktiv ihre Zustimmung geben müssen.
• In Deutschland machen dies viele Websites anders – unter Hinweis auf ein älteres deutsches Recht.

In den letzten Jahren mussten sich Internetnutzer daran gewöhnen, dass sie ihr Ziel im Internet häufig mit etwas Verspätung erreichen. Dies ist auf Cookies zurückzuführen, kleine Textdateien, die Webseiten im Browser eines Benutzers speichern, um deren Pfad im Internet zu Analyse- oder Marketingzwecken zu verfolgen.

Bevor Benutzer beispielsweise mit dem Inhalt eines Onlineshops interagieren dürfen, werden sie darüber informiert, ob und wie die Website Cookies verwenden möchte. Laut einer Studie von IT-Anwalt Jens Nebel interessiert sich nicht einmal ein Prozent der Nutzer für die genauen Umstände der Datenverarbeitung. In Kürze könnte jedoch auch von Nutzern, die weniger an Datenschutz interessiert sind, erwartet werden, dass sie weiter klicken.

An diesem Dienstag wird der Europäische Gerichtshof entscheiden, wie die europäischen Rechtsvorschriften für Cookie-Banner auszulegen sind. Grund ist ein Fall des Lotterieanbieters “Planet49”. Planet49 hatte die Cookie-Vereinbarung für potenzielle Lottoteilnehmer so gestaltet, dass die Einwilligungserklärungen zur Nutzung der Daten bereits vorab ausgefüllt waren. Alles, was Benutzer tun mussten, war zu klicken, um ihre allgemeine Zustimmung zu bestätigen. Die Klage wurde vom Bundesverband der Verbraucherzentralen und Verbraucherverbände (vzbv) erhoben, und der Bundesgerichtshof hatte den Europäischen Gerichtshof unter anderem gebeten, zu klären, ob diese Art der “Zustimmung” war rechtlich angemessen. Der zuständige Generalanwalt hat diesbezüglich Zweifel.

Die EU-Staaten hätten die Verordnung bis 2011 umsetzen sollen, aber nicht alle haben dies getan.

In der Allgemeinen Datenschutzverordnung (DSGVO) heißt es vergleichsweise konkret: “Schweigen, angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.”

Planet49 ist keineswegs die einzige deutsche Website, die ihre Cookie-Vereinbarung auf diese Weise gestaltet hat. Bei Planet49 waren die bereits zur Genehmigung gesetzten Häkchen zumindest noch entfernbar. Viele Portale und Onlineshops, darunter Check24 und Zalando, informieren ihre Nutzer lediglich unauffällig darüber, dass sie der Cookie-Vereinbarung durch die Nutzung der Website zustimmen. Die Unternehmen verweisen auf das Telemediengesetz 2007 (TMG). Unternehmen dürfen Benutzerdaten verwenden, sofern sie nicht ausdrücklich widersprechen (Opt-out). Seit 2009 gibt es jedoch eine EU-Richtlinie, die das Gegenteil besagt, nämlich dass der Benutzer seine ausdrückliche Zustimmung geben muss (Opt-in). Die DSGVO wiederum definiert “Zustimmung” als Setzen eines Häkchens.

Die Mitgliedstaaten hätten diese EU-Cookie-Richtlinie bis 2011 in nationales Recht umsetzen sollen. In Deutschland entschied der Gesetzgeber jedoch, dass das TMG, das in diesem Punkt der EU-Richtlinie widerspricht, als gesetzliche Regelung ausreichen würde. Viele IT-Anwälte gehen daher davon aus, dass diese eher abenteuerliche deutsche Auslegung der Richtlinie in der Entscheidung des Europäischen Gerichtshofs am Dienstag berücksichtigt wird. Um auf der sicheren Seite zu sein, empfehlen sie ihren Kunden seit einiger Zeit die Opt-In-Lösung.

Es ist jedoch unwahrscheinlich, dass deutsche Websites ihre Cookie-Banner unmittelbar nach dem Urteil ändern. Solange das Telemediengesetz nicht entsprechend geändert wird, können sich Unternehmen vorerst weiterhin auf deutsches Recht berufen. Nutzer, die der Speicherung ihrer Daten nicht zustimmen, müssten rechtliche Schritte gegen die Verwendung ihrer Daten einleiten.

Die Tatsache, dass der deutsche Gesetzgeber diesen Widerspruch zwischen EU-Recht und deutschem Recht so lange toleriert hat, kann auf ein anderes geplantes EU-Recht zurückzuführen sein. Die 2016 angekündigte ePrivacy-Verordnung wird auch verbindliche Bestimmungen zur Verwendung von Cookies enthalten. Und anders als die von Deutschland ignorierte Cookie-Richtlinie würde die eine Regelung auch sofort in den Mitgliedstaaten gelten.