Datenschutz: Gericht verlangt mehr Klicks

Wenn Webseiten Cookies setzen wollen, müssen die Nutzer künftig ausdrücklich zustimmen.

Der Europäische Gerichtshof in Luxemburg hat am Dienstag ein bedeutsames Urteil zu Cookie-Informationspflichten von Webseitenbetreibern gefällt. In einem vom Bundesgerichtshof (BGH) weitergereichten Rechtsstreit zwischen dem Verbraucherzentrale Bundesverband (VZBV) und der Gewinnspielfirma Planet49 stärkten die Richter dabei die Rechte der Internetnutzer. Ob diese das zu schätzen wissen werden, ist fraglich. Sie müssen in Zukunft nämlich wohl häufiger klicken, um an ihr Ziel zu gelangen.

Dem Gericht zufolge müssen Webseitenbetreiber die Nutzer deutlich ausführlicher über die Sammlung von Nutzerdaten und die Verwendung von Cookies informieren, als sie das heute vielfach tun. Außerdem müssen Nutzer der geplanten Cookie-Nutzung explizit zustimmen. Demnach reicht es nicht, dass Nutzer einmal bestätigen, dass sie die bereitgestellten Cookie-Informationen gelesen und verstanden haben. Nutzer müssten außerdem über Zweck, Dauer und etwaige Weitergabe von Daten informiert werden. Im vorliegenden Fall hatte die Gewinnspielfirma die Häkchen zur Zustimmung der Nutzer zur Cookie-Verwendung bereits vorab ausgefüllt. Der Nutzer musste nur noch auf "Ok" klicken. Diese Art der impliziten Zustimmung (Opt-out) ist den Richtern zufolge jedoch nicht ausreichend. Eine gemäß EU-Regeln notwendige aktive Zustimmung sei nur gegeben, wenn die Nutzer ein Häkchen selbst setzen müssen (Opt-in). Vor allem in Deutschland ist das unüblich - obgleich die europäische Cookie-Richtlinie diese explizite Zustimmung eigentlich bereits seit 2009 fordert.

Grundsätzlich sind Mitgliedsstaaten dazu verpflichtet, solche EU-Richtlinien innerhalb von zwei Jahren in nationales Recht zu überführen. Deutschland war aber der Auffassung, dass die Cookie-Informationspflichten durch das Telemediengesetz von 2007 (TMG) bereits mit EU-Recht konform umgesetzt seien. Eine etwas abenteuerliche Interpretation angesichts der Tatsache, dass das TMG - im Gegensatz zur Forderung der EU-Cookie-Richtlinie - auch mit einer Widerspruchslösung für Nutzer einverstanden war. Das Urteil jetzt kann auch als Ansage an den deutschen Gesetzgeber gewertet werden, das deutsche Recht an die EU-Regeln neu anzupassen. Das könnte allerdings auch der BGH übernehmen. Die Bundesrichter könnten angesichts der klaren Worte aus Luxemburg entweder das TMG für in diesem Punkt nicht anwendbar erklären. Oder sie könnten festlegen, dass das TMG so auszulegen ist, wie es der EuGH nun vorgeschrieben hat. Der VZBV begrüßte das Urteil: Es stärke die digitale Privatsphäre, hieß es in einer Mitteilung der Verbraucherschutzorganisation.

Für Webseitenbetreiber dürfte das Luxemburger Urteil eigentlich nicht überraschend kommen. Die deutsche Datenschutzkonferenz (DSK), deren Mitglieder über die Einhaltung der Datenschutzregeln in Deutschland wachen, hatte bereits vor einiger Zeit klar gemacht, dass sie das TMG für nicht anwendbar hält. Webseitenbetreiber müssten sich stattdessen auf die Datenschutz-Grundverordnung (DSGVO) berufen. Ob die aber deutsche Cookie-Informations-Standards rechtfertigen können, darf bezweifelt werden. Bußgelder von Datenschutzbeauftragten sind damit zumindest im Bereich des Möglichen. Viele IT-Anwälte empfehlen deshalb eigentlich schon länger die mit EU-Recht konforme Einwilligungslösung.