Cookie-Urteil des Europäischen Gerichtshofs und seine Auswirkungen auf die Nutzung von Google Analytics

Der Europäische Gerichtshof (EuGH, Urt. v. 01. Oktober 2019, Az. C-673/17) hat am 01. Oktober 2019 über das Setzen von sogenannten „Cookies“ entschieden. Bei Cookies handelt es sich um Textdateien, die auf Endgeräten ihrer Nutzer vorübergehend („Session-Cookie“) oder dauerhaft („dauerhafter Cookie“) gespeichert werden und durch welche bestimmte Informationen übermittelt werden können. Nach dem Urteil des EuGH kann eine Einwilligung eines Nutzers für das Setzen von Cookies nicht wirksam durch eine voreingestellte Checkbox erteilt werden.

Was ist passiert?

Der Adresshändler und Gewinnspielbetreiber Planet49 GmbH veranstaltete ein Gewinnspiel. Im Rahmen der Anmeldung zum Gewinnspiel holte sich Planet49 von den Teilnehmern Werbeeinwilligungen ein, so auch die Einwilligung zum Setzen von Cookies für eine spätere Zusendung von „interessengerechter Werbung“. Die Checkbox vor dem Einwilligungstext zum Setzen von Cookies war jedoch bereits mittels eines Häkchens voreingestellt. Diese Praxis mahnte der Verbraucherzentrale Bundesverband (vzbv) ab, klagte und bekam nun vor dem EuGH Recht.

Gilt die Entscheidung des EuGH für alle Cookies?

Mit dem Urteil des EuGH dürfen Cookies nunmehr erst nach einer ausdrücklichen und informierten Einwilligung auf Endgeräten der Nutzer gespeichert werden.

Dies gilt jedoch nicht für Cookies, die unbedingt erforderlich sind. Welche Cookies hier konkret gemeint sind, hat bislang weder der EuGH noch ein anderes Gerichts entschieden. Auch die Aufsichtsbehörden haben sich insoweit noch nicht festgelegt. Unbedingt erforderlich dürften reine Session-Cookies sein. Die Speicherung dieser Cookies ist damit auch weiterhin ohne eine Einwilligung des Nutzers zulässig.

Alle anderen Cookies, insbesondere solche für Marketingzwecke, bedürfen hingegen immer einer aktiven Zustimmung des Nutzers.

Das Urteil des EuGH deckt sich insoweit mit der Auffassung der Aufsichtsbehörden. Diese haben im März 2019 eine neue Orientierungshilfe für Anbieter von Telemedien veröffentlicht und eine ausdrückliche Einwilligung des Nutzers in Form eines Opt-in gefordert, sofern Tracking-Mechanismen zum Einsatz kommen, vgl. datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf.

Ist die Nutzung von Google Analytics noch ohne eine ausdrückliche Einwilligung möglich?

Bei Google Analytics handelt es sich um einen Analyse-Dienst. Analyse-Dienste umfassen in der Regel Verfahren, die der statistischen Reichweitenmessung der Website dienen. Um die für die Analyse notwendigen Informationen zu erhalten, werden auf dem Endgerät des Nutzers sogenannte „Performance Cookies“ gespeichert. Performance Cookies enthalten Informationen über die Nutzungsweise der Webseite. Sie sind jedoch nicht zwingend für die Bereitstellung der Website erforderlich.

Zwar erkennen die Aufsichtsbehörden unter bestimmten Voraussetzungen ein berechtigtes Interesse des Websitebetreibers an der bedarfsgerechten Gestaltung der Website an. Dennoch dürfte nach dem Urteil des EuGH für das Setzen der Cookies durch Google Analytics auf den Endgeräten der Nutzer nunmehr eine ausdrückliche Einwilligung des betroffenen Nutzers erforderlich sein.

Mit der Prüfung von Google Analytics sind die Aufsichtsbehörden bereits befasst. Den Aufsichtsbehörden mehrerer Bundesländer sollen insgesamt ca. 200.000 Beschwerden zum Einsatz von Google Analytics auf Websites vorliegen.[i]

Was sollten Sie beim Einsatz von Cookies oder ähnlicher Technologien beachten?

• Sofern Sie Cookies verwenden, die für die Erbringung des Dienstes nicht unbedingt erforderlich sind, ist für die Nutzung dieser Cookies eine ausdrückliche Einwilligung des Nutzers einzuholen. Hierzu zählen auch Cookies im Rahmen des Einsatzes von Google Analytics.
• Die Einwilligung des Nutzers muss in Form eines ausdrücklichen Opt-in erfolgen, d.h. der Nutzer muss aktiv handeln. Eine Voreinstellung oder Erklärung dahingehend, dass mit weiterer Nutzung der Website von einer Einwilligung ausgegangen wird, ist nicht mehr möglich.
• Erst nach erfolgter Einwilligung des Nutzers dürfen die Cookies, die nicht unbedingt erforderlich sind, auf den Endgeräten der Nutzer installiert werden.

Die in diesem Artikel genannten Erfordernisse können nur grob skizzieren, was bei der Nutzung von Cookies zu beachten ist. Insbesondere bei der Gestaltung von eines sogenannten „Cookie-Bannern“ ist ein hohes Maß an Sorgfalt geboten, um datenschutzrechtlichen und allgemein zivilrechtlichen Wirksamkeitsanforderungen zu genügen.

Gerne beraten wir Sie umfassend dazu, wie Sie den Datenschutz bestmöglich bei dem Einsatz von Cookies umsetzen.

Ihre Ansprechpartner in unserem Büro Dresden für diesen Bereich sind:

Heike Nikolov, Rechtsanwältin und Fachanwältin für IT-Recht, zertifizierte Datenschutzbeauftragte
Sandro Hänsel, Rechtsanwalt und Fachanwalt für IT-Recht, zertifizierter Datenschutzbeauftragter

---

[i] Vgl. https://www.datenschutzbeauftragter-info.de/google-analytics-im-fokus-der-aufsichtsbehoerde/ (zuletzt abgerufen am 30.10.2019).