Coo­kies – aber nur mit Ein­wil­li­gung?

Das Set­zen von Coo­kies erfor­dert die akti­ve Ein­wil­li­gung des Inter­net­nut­zers. Ein vor­ein­ge­stell­tes Ankreuz­käst­chen genügt dafür nicht.

Coo­kies – aber nur mit Ein­wil­li­gung?

So hat der Gerichts­hof der Euro­päi­schen Uni­on nun ent­schie­den, dass kei­ne wirk­sa­me Ein­wil­li­gung vor­liegt, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, mit­tels Coo­kies durch ein mit einem vor­ein­ge­stell­ten Häk­chen ver­se­he­nes Ankreuz­käst­chen erlaubt wird, und zwar unab­hän­gig davon, ob es sich bei den betref­fen­den Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten han­delt oder nicht. Der Uni­ons­ge­richts­hof hat fer­ner klar­ge­stellt, dass der Diens­te­an­bie­ter dem Nut­zer mit­tei­len muss, wel­che Funk­ti­ons­dau­er die Coo­kies haben und ob Drit­te Zugriff auf sie erhal­ten kön­nen.

Im Aus­gangs­rechts­streit geht es um ein Gewinn­spiel, das von Planet49 über die (heu­te nicht mehr bestehen­de) Web­site www.deinmacbook.de zu Wer­be­zwe­cken ver­an­stal­tet wur­de. Teil­nah­me­wil­li­ge Inter­net­nut­zer muss­ten auf einer Sei­te mit Ankreuz­käst­chen ihren Namen und ihre Adres­se ein­ge­ben. Das Ankreuz­käst­chen, mit dem das Set­zen von Coo­kies erlaubt wur­de, war mit einem vor­ein­ge­stell­ten Häk­chen ver­se­hen. Der Bun­des­ge­richts­hof (Deutsch­land), bei dem eine Kla­ge des Ver­brau­cher­zen­tra­le Bun­des­ver­band e.V. anhän­gig war, hat­te Zwei­fel hin­sicht­lich der Wirk­sam­keit der mit­tels des mit einem vor­ein­ge­stell­ten Häk­chen ver­se­he­nen Ankreuz­käst­chens erlang­ten Ein­wil­li­gung der Nut­zer und hin­sicht­lich des Umfangs der Infor­ma­ti­ons­pflicht des Diens­te­an­bie­ters.

Der Bun­des­ge­richts­hof leg­te dar­auf­hin dem Gerichts­hof der Euro­päi­schen Uni­on ein Vor­ab­ent­schei­dungs­er­su­chen zur Aus­le­gung des Uni­ons­rechts über den Schutz der Pri­vat­sphä­re in der elek­tro­ni­schen Kom­mu­ni­ka­ti­on, nament­lich Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58/​EG des Euro­päi­schen Par­la­ments und des Rates vom 12.07.2002 über die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und den Schutz der Pri­vat­sphä­re in der elek­tro­ni­schen Kom­mu­ni­ka­ti­on (Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on; "ePri­va­cy-Richt­li­nie") 1, Art. 2 Buchst. h der Richt­li­nie 95/​46/​EG des Euro­päi­schen Par­la­ments und des Rates vom 24.10.1995 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und zum frei­en Daten­ver­kehr (ehem. Daten­schutz-Richt­li­nie) 2 und Art. 6 Abs. 1 Buchst. a der Ver­ord­nung (EU) 2016/​679 des Euro­päi­schen Par­la­ments und des Rates vom 27.04.2016 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten, zum frei­en Daten­ver­kehr und zur Auf­he­bung der Richt­li­nie 95/​46 (Daten­schutz-Grund­ver­ord­nung) 3 vor. Hier­in unter­brei­tet er dem Gerichts­hof der Euro­päi­schen Uni­on fol­gen­de Rechts­fra­gen zur Vor­ab­ent­schei­dung:

1. a) Han­delt es sich um eine wirk­sa­me Ein­wil­li­gung im Sin­ne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers gespei­chert sind, durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss?

b) Macht es bei der Anwen­dung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 einen Unter­schied, ob es sich bei den gespei­cher­ten oder abge­ru­fe­nen Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten han­delt?

c) Liegt unter den in Vor­la­ge­fra­ge 1. a) genann­ten Umstän­den eine wirk­sa­me Ein­wil­li­gung im Sin­ne des Art. 6 Abs. 1 Buchst. a DSGVO vor?

2. Wel­che Infor­ma­tio­nen hat der Diens­te­an­bie­ter im Rah­men der nach Art. 5 Abs. 3 der Richt­li­nie 2002/​58 vor­zu­neh­men­den kla­ren und umfas­sen­den Infor­ma­ti­on dem Nut­zer zu ertei­len? Zäh­len hier­zu auch die Funk­ti­ons­dau­er der Coo­kies und die Fra­ge, ob Drit­te auf die Coo­kies Zugriff erhal­ten?

Im Wege eines sol­chen Vor­ab­ent­schei­dungs­er­su­chens kön­nen die Gerich­te der Mit­glied­staa­ten in einem bei ihnen anhän­gi­gen Rechts­streit dem Gerichts­hof der Euro­päi­schen Uni­on Fra­gen nach der Aus­le­gung des Euro­päi­schen Uni­ons­rechts oder nach der Gül­tig­keit einer Hand­lung der Euro­päi­schen Uni­on vor­le­gen. Der Uni­ons­ge­richts­hof ent­schei­det dabei nicht über den natio­na­len Rechts­streit, son­dern nur über die vor­ge­leg­te Rechts­fra­ge. Es ist und bleibt sodann Sache des natio­na­len Gerichts, über die bei ihm anhän­gi­ge Rechts­sa­che im Ein­klang mit der Vor­ab­ent­schei­dung des Uni­ons­ge­richts­hofs zu ent­schei­den. Die­se Ent­schei­dung des Gerichts­hofs der Euro­päi­schen Uni­on bin­det in glei­cher Wei­se auch ande­re natio­na­le Gerich­te, die mit einem ähn­li­chen Pro­blem befasst wer­den.

Mit sei­nem jetzt ver­kün­de­ten Urteil hat der Uni­ons­ge­richts­hof ers­tens fest­ge­stellt, dass der Aus­druck "Ein­wil­li­gung der betrof­fe­nen Per­son" nach Art. 2 Buchst. h der Richt­li­nie 95/​46, auf die Art. 2 Buchst. f der Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on ver­weist, "jede Wil­lens­be­kun­dung, die ohne Zwang, für den kon­kre­ten Fall und in Kennt­nis der Sach­la­ge erfolgt und mit der die betrof­fe­ne Per­son akzep­tiert, dass per­so­nen­be­zo­ge­ne Daten, die sie betref­fen, ver­ar­bei­tet wer­den", bezeich­net. Das Erfor­der­nis einer "Wil­lens­be­kun­dung" der betrof­fe­nen Per­son deu­tet klar auf ein akti­ves und nicht pas­si­ves Ver­hal­ten hin. Eine Ein­wil­li­gung, die durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erteilt wird, impli­ziert aber kein akti­ves Ver­hal­ten des Nut­zers einer Web­site. Die Ent­ste­hungs­ge­schich­te von Art. 5 Abs. 3 der Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on, der nach der Ände­rung durch die Richt­li­nie 2009/​136 vor­sieht, dass der Nut­zer "sei­ne Ein­wil­li­gung" in die Spei­che­rung von Coo­kies "gege­ben" hat, deu­tet dar­auf hin, dass die Ein­wil­li­gung des Nut­zers nun nicht mehr ver­mu­tet wer­den darf und sich aus einem akti­ven Ver­hal­ten des Nut­zers erge­ben muss. Außer­dem sieht die Daten­schutz-Grund­ver­ord­nung nun­mehr aus­drück­lich eine akti­ve Ein­wil­li­gung vor (Art. 6 Abs. 1 Buchst. a DSGVO). Ihr Art. 4 Nr. 11 ver­langt eine Wil­lens­be­kun­dung etwa in Form "einer sons­ti­gen ein­deu­ti­gen bestä­ti­gen­den Hand­lung". Und in ihrem 32. Erwä­gungs­grund wird aus­drück­lich aus­ge­schlos­sen, dass "Still­schwei­gen, bereits ange­kreuz­te Käst­chen oder Untä­tig­keit" eine Ein­wil­li­gung dar­stel­len kön­nen.

Der Uni­ons­ge­richts­hof ist des­halb zu dem Schluss gelangt, dass kei­ne wirk­sa­me Ein­wil­li­gung vor­liegt, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, mit­tels Coo­kies durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss, und dass die Tat­sa­che, dass der Nut­zer der Web­site die Schalt­flä­che für die Teil­nah­me an dem betref­fen­den Gewinn­spiel betä­tigt, nicht aus­reicht, um von einer wirk­sa­men Ein­wil­li­gung des Nut­zers zur Spei­che­rung von Coo­kies aus­zu­ge­hen.

Zwei­tens hat der Gerichts­hof der Euro­päi­schen Uni­on fest­ge­stellt, dass Art. 5 Abs. 3 der Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on den Nut­zer vor jedem Ein­griff in sei­ne Pri­vat­sphä­re schüt­zen soll, unab­hän­gig davon, ob dabei per­so­nen­be­zo­ge­ne Daten oder ande­re Daten betrof­fen sind. Der Begriff der Ein­wil­li­gung ist daher nicht unter­schied­lich aus­zu­le­gen, je nach­dem, ob es sich bei den im End­ge­rät des Nut­zers einer Web­site gespei­cher­ten oder abge­ru­fe­nen Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten han­delt oder nicht.

Drit­tens hat der Uni­ons­ge­richts­hof fest­ge­stellt, dass Art. 5 Abs. 3 der Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on ver­langt, dass der Nut­zer auf der Grund­la­ge von kla­ren und umfas­sen­den Infor­ma­tio­nen, die er u. a. über die Zwe­cke der Ver­ar­bei­tung erhält, sei­ne Ein­wil­li­gung gege­ben hat. Die kla­ren und umfas­sen­den Infor­ma­tio­nen müs­sen den Nut­zer in die Lage ver­set­zen, die Kon­se­quen­zen einer etwai­gen von ihm erteil­ten Ein­wil­li­gung leicht zu ermit­teln, und gewähr­leis­ten, dass die Ein­wil­li­gung in vol­ler Kennt­nis der Sach­la­ge erteilt wird. Anga­ben zur Funk­ti­ons­dau­er der Coo­kies und dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, zäh­len zu den kla­ren und umfas­sen­den Infor­ma­tio­nen, die der Diens­te­an­bie­ter dem Nut­zer einer Web­site zu geben hat.

  1. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58/​EG des Euro­päi­schen Par­la­ments und des Rates vom 12.07.2002 über die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und den Schutz der Pri­vat­sphä­re in der elek­tro­ni­schen Kom­mu­ni­ka­ti­on (Daten­schutz­richt­li­nie für elek­tro­ni­sche Kom­mu­ni­ka­ti­on) 4 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46/​EG des Euro­päi­schen Par­la­ments und des Rates vom 24.10.1995 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und zum frei­en Daten­ver­kehr bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Ver­ord­nung (EU) 2016/​679 des Euro­päi­schen Par­la­ments und des Rates vom 27.04.2016 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten, zum frei­en Daten­ver­kehr und zur Auf­he­bung der Richt­li­nie 95/​46 (Daten­schutz-Grund­ver­ord­nung) sind dahin aus­zu­le­gen, dass kei­ne wirk­sa­me Ein­wil­li­gung im Sin­ne die­ser Bestim­mun­gen vor­liegt, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, mit­tels Coo­kies durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss.
  2. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 5 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO sind nicht unter­schied­lich aus­zu­le­gen, je nach­dem, ob es sich bei den im End­ge­rät des Nut­zers einer Web­site gespei­cher­ten oder abge­ru­fe­nen Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten im Sin­ne der Richt­li­nie 95/​46 bzw. der DSGVO han­delt oder nicht.
  3. Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in der durch die Richt­li­nie 2009/​136 geän­der­ten Fas­sung ist dahin aus­zu­le­gen, dass Anga­ben zur Funk­ti­ons­dau­er der Coo­kies und dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, zu den Infor­ma­tio­nen zäh­len, die der Diens­te­an­bie­ter dem Nut­zer einer Web­site zu geben hat.

Daten­schutz-Richt­li­nie oder DSGVO?[↑]

Vor­ab war vom Uni­ons­ge­richts­hof die Anwend­bar­keit der Daten­schutz-Richt­li­nie 95/​46 und der DSGVO auf den Sach­ver­halt des Aus­gangs­ver­fah­rens zu prü­fen.

Nach Art. 94 Abs. 1 DSGVO wur­de die Daten­schutz-Richt­li­nie 95/​46 mit Wir­kung vom 25.05.2018 durch die­se Ver­ord­nung auf­ge­ho­ben und ersetzt. Die­ses Datum liegt zwar nach dem Datum der letz­ten münd­li­chen Ver­hand­lung vor dem vor­le­gen­den Bun­des­ge­richts­hofs, die am 14.07.2017 statt­fand, und nach dem Datum, an dem der Uni­ons­ge­richts­hof mit dem Vor­ab­ent­schei­dungs­er­su­chen des vor­le­gen­den Gerichts befasst wor­den ist. Der vor­le­gen­de Bun­des­ge­richts­hof hat jedoch aus­ge­führt, da die DSGVO, auf die sich im Übri­gen ein Teil der ers­ten Fra­ge bezie­he, am 25.05.2018 in Kraft getre­ten sei, wer­de sie zum Zeit­punkt der Ent­schei­dung des Aus­gangs­rechts­streits vor­aus­sicht­lich zu berück­sich­ti­gen sein. Außer­dem ist es, wie die deut­sche Regie­rung in der münd­li­chen Ver­hand­lung vor dem Uni­ons­ge­richts­hof dar­ge­legt hat, ange­sichts des­sen, dass das vom Bun­des­ver­band ange­streng­te Ver­fah­ren dar­auf abzielt, dass Planet49 ihr Ver­hal­ten künf­tig unter­lässt, nicht aus­ge­schlos­sen, dass die DSGVO auf­grund der natio­na­len Recht­spre­chung zur rele­van­ten Rechts­la­ge bei Unter­las­sungs­kla­gen in zeit­li­cher Hin­sicht im Rah­men des Aus­gangs­rechts­streits anwend­bar ist; dies zu prü­fen ist Sache des vor­le­gen­den Gerichts 6.

Unter die­sen Umstän­den und in Anbe­tracht der Tat­sa­che, dass nach Art. 94 Abs. 2 DSGVO Ver­wei­se in der Richt­li­nie 2002/​58 auf die Richt­li­nie 95/​46 als Ver­wei­se auf die Ver­ord­nung gel­ten, ist es im vor­lie­gen­den Fall nicht aus­ge­schlos­sen, dass die Richt­li­nie 2002/​58 nach Maß­ga­be der Art der Anträ­ge des Bun­des­ver­bands und des betrof­fe­nen Zeit­raums in Ver­bin­dung mit der (ehe­ma­li­gen) Daten­schutz-Richt­li­nie 95/​46 oder der DSGVO anzu­wen­den ist. Die vor­ge­leg­ten Fra­gen sind daher auf der Grund­la­ge sowohl der (ehe­ma­li­gen) Daten­schutz-Richt­li­nie 95/​46 als auch der DSGVO 2016/​679 zu beant­wor­ten.

Zu den Buchst. a und c der ers­ten Fra­ge[↑]

Mit den Buchst. a und c sei­ner ers­ten Fra­ge möch­te der vor­le­gen­de Bun­des­ge­richts­hof wis­sen, ob Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 bzw. mit Art. 6 Abs. 1 Buchst. a DSGVO dahin aus­zu­le­gen sind, dass eine wirk­sa­me Ein­wil­li­gung im Sin­ne die­ser Bestim­mun­gen vor­liegt, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, mit­tels Coo­kies durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss.

Zunächst ist fest­zu­stel­len, dass nach den Anga­ben in der Vor­la­ge­ent­schei­dung die Coo­kies, die im End­ge­rät eines Nut­zers, der an einem von Planet49 ver­an­stal­te­ten Gewinn­spiel teil­nimmt, gespei­chert wer­den kön­nen, eine Num­mer ent­hal­ten, die den Regis­trie­rungs­da­ten die­ses Nut­zers zuge­ord­net wird, der im Teil­nah­me­for­mu­lar für das Gewinn­spiel sei­nen Namen und sei­ne Adres­se ange­ben muss. Das vor­le­gen­de Gericht fügt hin­zu, auf­grund der Ver­knüp­fung die­ser Num­mer mit die­sen Daten ent­ste­he ein Per­so­nen­be­zug der durch die Coo­kies gespei­cher­ten Daten, wenn der Nut­zer ins Inter­net gehe, so dass es sich bei der Samm­lung der Daten mit­tels Coo­kies um eine Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten han­de­le. Die­se Anga­ben sind von Planet49 bestä­tigt wor­den, die in ihren schrift­li­chen Erklä­run­gen her­vor­ge­ho­ben hat, dass die Ein­wil­li­gung, auf die sich das zwei­te Ankreuz­käst­chen bezie­he, die Samm­lung und Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und nicht von anony­men Infor­ma­tio­nen erlau­ben sol­le.

Nach die­ser Klar­stel­lung ist dar­auf hin­zu­wei­sen, dass Art. 5 Abs. 3 der Richt­li­nie 2002/​58 die Mit­glied­staa­ten dazu ver­pflich­tet, sicher­zu­stel­len, dass die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät eines Nut­zers gespei­chert sind, nur gestat­tet ist, wenn der betref­fen­de Nut­zer auf der Grund­la­ge von kla­ren und umfas­sen­den Infor­ma­tio­nen, die er gemäß der Richt­li­nie 95/​46 u. a. über die Zwe­cke der Ver­ar­bei­tung erhält, sei­ne Ein­wil­li­gung gege­ben hat.

Inso­weit folgt aus den Anfor­de­run­gen sowohl der ein­heit­li­chen Anwen­dung des Uni­ons­rechts als auch des Gleich­heits­grund­sat­zes, dass die Begrif­fe einer Vor­schrift des Uni­ons­rechts, die für die Ermitt­lung ihres Sin­nes und ihrer Trag­wei­te nicht aus­drück­lich auf das Recht der Mit­glied­staa­ten ver­weist, in der Regel in der gesam­ten Uni­on eine auto­no­me und ein­heit­li­che Aus­le­gung erhal­ten müs­sen 7.

Außer­dem sind nach stän­di­ger Recht­spre­chung des Gerichts­hofs bei der Aus­le­gung einer Vor­schrift des Uni­ons­rechts nicht nur ihr Wort­laut und die mit ihr ver­folg­ten Zie­le zu berück­sich­ti­gen, son­dern auch ihr Kon­text und das gesam­te Uni­ons­recht. Die Ent­ste­hungs­ge­schich­te einer Vor­schrift des Uni­ons­rechts kann eben­falls rele­van­te Anhalts­punk­te für ihre Aus­le­gung lie­fern 8.

Zum Wort­laut von Art. 5 Abs. 3 der Richt­li­nie 2002/​58 ist fest­zu­stel­len, dass er zwar aus­drück­lich vor­sieht, dass der Nut­zer zur Spei­che­rung und zum Abruf von Coo­kies auf sei­nem End­ge­rät "sei­ne Ein­wil­li­gung gege­ben" haben muss. Dage­gen ent­hält er kei­ne Anga­ben dazu, wie die Ein­wil­li­gung zu geben ist. Die Wor­te "sei­ne Ein­wil­li­gung gege­ben" legen jedoch eine Aus­le­gung des Wort­lauts nahe, wonach der Nut­zer tätig wer­den muss, um sei­ne Ein­wil­li­gung zum Aus­druck zu brin­gen. Inso­weit geht aus dem 17. Erwä­gungs­grund der Richt­li­nie 2002/​58 her­vor, dass für die Zwe­cke die­ser Richt­li­nie die Ein­wil­li­gung des Nut­zers in jeder geeig­ne­ten Wei­se gege­ben wer­den kann, durch die der Wunsch des Nut­zers in einer spe­zi­fi­schen Anga­be zum Aus­druck kommt, die sach­kun­dig und in frei­er Ent­schei­dung erfolgt; hier­zu zählt auch "das Mar­kie­ren eines Fel­des auf einer Inter­net-Web­site".

Zum Kon­text von Art. 5 Abs. 3 der Richt­li­nie 2002/​58 ist her­vor­zu­he­ben, dass ihr Art. 2 Buchst. f, in dem der Begriff "Ein­wil­li­gung" im Sin­ne der Richt­li­nie defi­niert wird, inso­weit auf die "Ein­wil­li­gung der betrof­fe­nen Per­son" im Sin­ne der Richt­li­nie 95/​46 Bezug nimmt. Im 17. Erwä­gungs­grund der Richt­li­nie 2002/​58 heißt es hier­zu, dass für die Zwe­cke die­ser Richt­li­nie die Ein­wil­li­gung des Nut­zers die­sel­be Bedeu­tung haben soll­te wie der in der Richt­li­nie 95/​46 defi­nier­te und dort wei­ter prä­zi­sier­te Begriff "Ein­wil­li­gung der betrof­fe­nen Per­son".

Nach Art. 2 Buchst. h der Richt­li­nie 95/​46 bezeich­net der Aus­druck "Ein­wil­li­gung der betrof­fe­nen Per­son" "jede Wil­lens­be­kun­dung, die ohne Zwang, für den kon­kre­ten Fall und in Kennt­nis der Sach­la­ge erfolgt und mit der die betrof­fe­ne Per­son akzep­tiert, dass per­so­nen­be­zo­ge­ne Daten, die sie betref­fen, ver­ar­bei­tet wer­den".

Wie der Gene­ral­an­walt in Nr. 60 sei­ner Schluss­an­trä­ge aus­ge­führt hat, deu­tet das Erfor­der­nis einer "Wil­lens­be­kun­dung" der betrof­fe­nen Per­son klar auf ein akti­ves und nicht pas­si­ves Ver­hal­ten hin. Eine Ein­wil­li­gung, die durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erteilt wird, impli­ziert aber kein akti­ves Ver­hal­ten des Nut­zers einer Web­site.

Die­se Aus­le­gung wird durch Art. 7 der Richt­li­nie 95/​46 bestä­tigt, der eine abschlie­ßen­de Lis­te der Fäl­le ent­hält, in denen eine Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten als recht­mä­ßig ange­se­hen wer­den kann 9.

Nach Art. 7 Buchst. a der Richt­li­nie 95/​46 setzt die Recht­mä­ßig­keit einer sol­chen Ver­ar­bei­tung ins­be­son­de­re vor­aus, dass die betrof­fe­ne Per­son ihre Ein­wil­li­gung "ohne jeden Zwei­fel" gege­ben hat. Die­sem Erfor­der­nis kann aber nur ein akti­ves Ver­hal­ten, mit dem die betrof­fe­ne Per­son ihre Ein­wil­li­gung bekun­det, genü­gen.

Inso­weit erscheint es prak­tisch unmög­lich, in objek­ti­ver Wei­se zu klä­ren, ob der Nut­zer einer Web­site dadurch, dass er ein vor­ein­ge­stell­tes Ankreuz­käst­chen nicht abge­wählt hat, tat­säch­lich sei­ne Ein­wil­li­gung zur Ver­ar­bei­tung sei­ner per­so­nen­be­zo­ge­nen Daten gege­ben hat; unklar bleibt jeden­falls, ob die­se Ein­wil­li­gung in Kennt­nis der Sach­la­ge erteilt wur­de. Es kann näm­lich nicht aus­ge­schlos­sen wer­den, dass der Nut­zer die dem vor­ein­ge­stell­ten Ankreuz­käst­chen bei­gefüg­te Infor­ma­ti­on nicht gele­sen hat oder dass er die­ses Käst­chen gar nicht wahr­ge­nom­men hat, bevor er sei­ne Akti­vi­tät auf der von ihm besuch­ten Web­site fort­setz­te.

Schließ­lich ist in Bezug auf die Ent­ste­hungs­ge­schich­te von Art. 5 Abs. 3 der Richt­li­nie 2002/​58 fest­zu­stel­len, dass die ursprüng­li­che Fas­sung die­ser Bestim­mung ledig­lich vor­sah, dass der Nut­zer das Recht haben muss, die Spei­che­rung von Coo­kies zu ver­wei­gern, nach­dem er gemäß der Richt­li­nie 95/​46 kla­re und umfas­sen­de Infor­ma­tio­nen ins­be­son­de­re über die Zwe­cke der Ver­ar­bei­tung erhal­ten hat­te. Durch die Richt­li­nie 2009/​136 wur­de der Wort­laut die­ser Bestim­mung erheb­lich geän­dert, indem die genann­te Fas­sung durch die Wen­dung "sei­ne Ein­wil­li­gung gege­ben hat" ersetzt wur­de. Die Ent­ste­hungs­ge­schich­te von Art. 5 Abs. 3 der Richt­li­nie 2002/​58 deu­tet somit dar­auf hin, dass die Ein­wil­li­gung des Nut­zers nun nicht mehr ver­mu­tet wer­den darf und sich aus einem akti­ven Ver­hal­ten des Nut­zers erge­ben muss.

Ange­sichts der vor­ste­hen­den Gesichts­punk­te liegt eine wirk­sa­me Ein­wil­li­gung im Sin­ne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 somit nicht vor, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, durch ein vom Diens­te­an­bie­ter vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss.

Hin­zu­zu­fü­gen ist, dass die in Art. 2 Buchst. h der Richt­li­nie 95/​46 ange­spro­che­ne Wil­lens­be­kun­dung u. a. "für den kon­kre­ten Fall" erfol­gen muss, was so zu ver­ste­hen ist, dass sie sich gera­de auf die betref­fen­de Daten­ver­ar­bei­tung bezie­hen muss und nicht aus einer Wil­lens­be­kun­dung mit ande­rem Gegen­stand abge­lei­tet wer­den kann.

Im vor­lie­gen­den Fall kann daher ent­ge­gen dem Vor­brin­gen von Planet49 die Tat­sa­che, dass ein Nut­zer die Schalt­flä­che für die Teil­nah­me an dem von die­ser Gesell­schaft ver­an­stal­te­ten Gewinn­spiel betä­tigt, nicht aus­rei­chen, um von einer wirk­sa­men Ein­wil­li­gung des Nut­zers zur Spei­che­rung von Coo­kies aus­zu­ge­hen.

Die vor­ste­hen­de Aus­le­gung ist erst recht im Licht der DSGVO gebo­ten.

Wie der Gene­ral­an­walt in Nr. 70 sei­ner Schluss­an­trä­ge im Wesent­li­chen fest­ge­stellt hat, erscheint der Wort­laut von Art. 4 Nr. 11 DSGVO, wo der Aus­druck "Ein­wil­li­gung der betrof­fe­nen Per­son" im Sin­ne der Ver­ord­nung defi­niert wird, und ins­be­son­de­re ihres Art. 6 Abs. 1 Buchst. a, auf den sich Buchst. c der ers­ten Fra­ge bezieht, noch enger als der Wort­laut von Art. 2 Buchst. h der Richt­li­nie 95/​46, denn er ver­langt eine "frei­wil­lig für den bestimm­ten Fall, in infor­mier­ter Wei­se und unmiss­ver­ständ­lich" abge­ge­be­ne Wil­lens­be­kun­dung der betrof­fe­nen Per­son in Form einer Erklä­rung oder "einer sons­ti­gen ein­deu­ti­gen bestä­ti­gen­den Hand­lung", in der ihr Ein­ver­ständ­nis mit der Ver­ar­bei­tung der sie betref­fen­den per­so­nen­be­zo­ge­nen Daten zum Aus­druck kommt.

Die DSGVO sieht mit­hin nun­mehr aus­drück­lich eine akti­ve Ein­wil­li­gung vor. Hier­zu ist fest­zu­stel­len, dass nach dem 32. Erwä­gungs­grund der Ver­ord­nung die Ein­wil­li­gung u. a. durch Ankli­cken eines Käst­chens beim Besuch einer Inter­net­sei­te zum Aus­druck kom­men könn­te. Dage­gen wird in die­sem Erwä­gungs­grund aus­drück­lich aus­ge­schlos­sen, dass "Still­schwei­gen, bereits ange­kreuz­te Käst­chen oder Untä­tig­keit" eine Ein­wil­li­gung dar­stel­len kön­nen.

Folg­lich liegt eine wirk­sa­me Ein­wil­li­gung im Sin­ne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO nicht vor, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss.

Schließ­lich ist her­vor­zu­he­ben, dass das vor­le­gen­de Gericht den Gerichts­hof nicht mit der Fra­ge befasst hat, ob es mit dem Erfor­der­nis einer "ohne Zwang" (Art. 2 Buchst. h der Richt­li­nie 95/​46) bzw. "frei­wil­lig" (Art. 4 Nr. 11 und Art. 7 Abs. 4 DSGVO) erteil­ten Ein­wil­li­gung ver­ein­bar ist, wenn ein Nut­zer – wie es hier nach den Anga­ben in der Vor­la­ge­ent­schei­dung zumin­dest für das ers­te Ankreuz­käst­chen der Fall zu sein scheint – nur dann an einem Gewinn­spiel teil­neh­men kann, wenn er in die Ver­ar­bei­tung sei­ner per­so­nen­be­zo­ge­nen Daten zu Wer­be­zwe­cken ein­wil­ligt. Unter die­sen Umstän­den braucht der Gerichts­hof die­se Fra­ge nicht zu prü­fen.

Nach alle­dem hat der Uni­ons­ge­richts­hof auf die Buchst. a und c der ers­ten Fra­ge geant­wor­tet, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO dahin aus­zu­le­gen sind, dass kei­ne wirk­sa­me Ein­wil­li­gung im Sin­ne die­ser Bestim­mun­gen vor­liegt, wenn die Spei­che­rung von Infor­ma­tio­nen oder der Zugriff auf Infor­ma­tio­nen, die bereits im End­ge­rät des Nut­zers einer Web­site gespei­chert sind, mit­tels Coo­kies durch ein vor­ein­ge­stell­tes Ankreuz­käst­chen erlaubt wird, das der Nut­zer zur Ver­wei­ge­rung sei­ner Ein­wil­li­gung abwäh­len muss.

Zu Buchst. b der ers­ten Fra­ge[↑]

Mit Buchst. b sei­ner ers­ten Fra­ge möch­te der Bun­des­ge­richts­hof wis­sen, ob Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO unter­schied­lich aus­zu­le­gen sind, je nach­dem, ob es sich bei den im End­ge­rät des Nut­zers einer Web­site gespei­cher­ten oder abge­ru­fe­nen Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten im Sin­ne der Richt­li­nie 95/​46 bzw. der DSGVO han­delt oder nicht.

Wie bereits dar­ge­legt, ergibt sich aus der Vor­la­ge­ent­schei­dung, dass bei der Spei­che­rung der im Aus­gangs­ver­fah­ren in Rede ste­hen­den Coo­kies eine Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten vor­liegt.

Nach die­ser Klar­stel­lung ist jeden­falls fest­zu­stel­len, dass in Art. 5 Abs. 3 der Richt­li­nie 2002/​58 von der "Spei­che­rung von Infor­ma­tio­nen"; und vom "Zugriff auf Infor­ma­tio­nen, die bereits … gespei­chert sind", die Rede ist, ohne die­se Infor­ma­tio­nen näher zu bestim­men oder zu prä­zi­sie­ren, dass es sich bei ihnen um per­so­nen­be­zo­ge­ne Daten han­deln muss.

Die­se Bestim­mung soll damit den Nut­zer vor jedem Ein­griff in sei­ne Pri­vat­sphä­re schüt­zen, unab­hän­gig davon, ob dabei per­so­nen­be­zo­ge­ne Daten oder ande­re Daten betrof­fen sind.

Die­se Aus­le­gung wird durch den 24. Erwä­gungs­grund der Richt­li­nie 2002/​58 bestä­tigt, wonach die in End­ge­rä­ten von Nut­zern elek­tro­ni­scher Kom­mu­ni­ka­ti­ons­net­ze gespei­cher­ten Infor­ma­tio­nen Teil der Pri­vat­sphä­re der Nut­zer sind, die dem Schutz auf­grund der Euro­päi­schen Kon­ven­ti­on zum Schut­ze der Men­schen­rech­te und Grund­frei­hei­ten unter­liegt. Die­ser Schutz erstreckt sich auf alle in sol­chen End­ge­rä­ten gespei­cher­ten Infor­ma­tio­nen, unab­hän­gig davon, ob es sich um per­so­nen­be­zo­ge­ne Daten han­delt, und erfasst ins­be­son­de­re – wie eben­falls aus die­sem Erwä­gungs­grund her­vor­geht – "Hid­den Iden­ti­fiers" oder ähn­li­che Instru­men­te, die ohne das Wis­sen der Nut­zer in deren End­ge­rä­te ein­drin­gen.

Nach alle­dem hat der Uni­ons­ge­richts­hof auf Buchst. b der ers­ten Fra­ge geant­wor­tet, dass Art. 2 Buchst. f und Art. 5 Abs. 3 der Richt­li­nie 2002/​58 in Ver­bin­dung mit Art. 2 Buchst. h der Richt­li­nie 95/​46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a DSGVO nicht unter­schied­lich aus­zu­le­gen sind, je nach­dem, ob es sich bei den im End­ge­rät des Nut­zers einer Web­site gespei­cher­ten oder abge­ru­fe­nen Infor­ma­tio­nen um per­so­nen­be­zo­ge­ne Daten im Sin­ne der Richt­li­nie 95/​46 bzw. der DSGVO han­delt oder nicht.

Zur zwei­ten Fra­ge[↑]

Mit sei­ner zwei­ten Fra­ge möch­te der Bun­de­ge­richts­hof wis­sen, ob Art. 5 Abs. 3 der Richt­li­nie 2002/​58 dahin aus­zu­le­gen ist, dass Anga­ben zur Funk­ti­ons­dau­er der Coo­kies und dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, zu den Infor­ma­tio­nen zäh­len, die der Diens­te­an­bie­ter dem Nut­zer einer Web­site zu geben hat.

Wie sich bereits aus Rn. 46 des vor­lie­gen­den Urteils ergibt, ver­langt Art. 5 Abs. 3 der Richt­li­nie 2002/​58, dass der Nut­zer auf der Grund­la­ge von kla­ren und umfas­sen­den Infor­ma­tio­nen, die er "gemäß der Richt­li­nie [95/​46]" u. a. über die Zwe­cke der Ver­ar­bei­tung erhält, sei­ne Ein­wil­li­gung gege­ben hat.

Wie der Gene­ral­an­walt in Nr. 115 sei­ner Schluss­an­trä­ge her­vor­ge­ho­ben hat, müs­sen die kla­ren und umfas­sen­den Infor­ma­tio­nen den Nut­zer in die Lage ver­set­zen, die Kon­se­quen­zen einer etwai­gen von ihm erteil­ten Ein­wil­li­gung leicht zu bestim­men, und gewähr­leis­ten, dass die Ein­wil­li­gung in vol­ler Kennt­nis der Sach­la­ge erteilt wird. Sie müs­sen klar ver­ständ­lich und detail­liert genug sein, um es dem Nut­zer zu ermög­li­chen, die Funk­ti­ons­wei­se der ver­wen­de­ten Coo­kies zu ver­ste­hen.

In einer Situa­ti­on wie der des Aus­gangs­ver­fah­rens, in der nach den Anga­ben in den dem Gerichts­hof vor­ge­leg­ten Akten die Coo­kies zur Samm­lung von Infor­ma­tio­nen zu Wer­be­zwe­cken für Pro­duk­te der Part­ner des Ver­an­stal­ters eines Gewinn­spiels die­nen, zäh­len Anga­ben zur Funk­ti­ons­dau­er der Coo­kies und dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, zu den kla­ren und umfas­sen­den Infor­ma­tio­nen, die der Nut­zer nach Art. 5 Abs. 3 der Richt­li­nie 2002/​58 erhal­ten muss.

Hier­zu ist fest­zu­stel­len, dass in Art. 10 der Richt­li­nie 95/​46, auf die Art. 5 Abs. 3 der Richt­li­nie 2002/​58 Bezug nimmt, und in Art. 13 DSGVO die Infor­ma­tio­nen auf­ge­führt sind, die die Per­son, bei der die sie betref­fen­den Daten erho­ben wer­den, von dem für die Ver­ar­bei­tung Ver­ant­wort­li­chen erhal­ten muss.

Zu die­sen Infor­ma­tio­nen gehö­ren nach Art. 10 der Richt­li­nie 95/​46 neben der Iden­ti­tät des für die Ver­ar­bei­tung Ver­ant­wort­li­chen und den Zweck­be­stim­mun­gen der Ver­ar­bei­tung, für die die Daten bestimmt sind, wei­te­re Infor­ma­tio­nen, bei­spiels­wei­se betref­fend die Emp­fän­ger oder Kate­go­ri­en der Emp­fän­ger der Daten, sofern sie unter Berück­sich­ti­gung der spe­zi­fi­schen Umstän­de, unter denen die Daten erho­ben wer­den, not­wen­dig sind, um gegen­über der betrof­fe­nen Per­son eine Ver­ar­bei­tung nach Treu und Glau­ben zu gewähr­leis­ten.

Die Dau­er der Ver­ar­bei­tung der Daten zählt zwar nicht zu die­sen Infor­ma­tio­nen, doch geht aus dem Wort "zumin­dest" in Art. 10 der Richt­li­nie 95/​46 her­vor, dass die dor­ti­ge Auf­zäh­lung nicht abschlie­ßend ist. Die Infor­ma­ti­on über die Funk­ti­ons­dau­er der Coo­kies steht aber im Ein­klang mit dem in die­sem Arti­kel auf­ge­stell­ten Erfor­der­nis einer Ver­ar­bei­tung nach Treu und Glau­ben, denn in einer Situa­ti­on wie der des Aus­gangs­ver­fah­rens impli­ziert eine lan­ge oder unbe­grenz­te Funk­ti­ons­dau­er, dass zahl­rei­che Infor­ma­tio­nen über die Nut­zungs­ge­wohn­hei­ten und die Häu­fig­keit etwai­ger Besu­che des Nut­zers auf den Web­sites der Wer­be­part­ner des Ver­an­stal­ters des Gewinn­spiels gesam­melt wer­den.

Die­se Aus­le­gung wird durch Art. 13 Abs. 2 Buchst. a DSGVO bestä­tigt, wonach der für die Ver­ar­bei­tung Ver­ant­wort­li­che, um eine fai­re und trans­pa­ren­te Ver­ar­bei­tung zu gewähr­leis­ten, der betrof­fe­nen Per­son u. a. Infor­ma­tio­nen über die Dau­er, für die die per­so­nen­be­zo­ge­nen Daten gespei­chert wer­den, oder, falls dies nicht mög­lich ist, die Kri­te­ri­en für die Fest­le­gung die­ser Dau­er zur Ver­fü­gung stel­len muss.

Bei den Anga­ben dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, han­delt es sich um eine Infor­ma­ti­on, die zu den in Art. 10 Buchst. c der Richt­li­nie 95/​46 und in Art. 13 Abs. 1 Buchst. e DSGVO auf­ge­führ­ten Infor­ma­tio­nen gehört, denn dort sind aus­drück­lich die Emp­fän­ger oder Kate­go­ri­en von Emp­fän­gern der Daten genannt.

Nach alle­dem ant­wor­te­te der Uni­ons­ge­richts­hof auf die zwei­te Fra­ge, dass Art. 5 Abs. 3 der Richt­li­nie 2002/​58 dahin aus­zu­le­gen ist, dass Anga­ben zur Funk­ti­ons­dau­er der Coo­kies und dazu, ob Drit­te Zugriff auf die Coo­kies erhal­ten kön­nen, zu den Infor­ma­tio­nen zäh­len, die der Diens­te­an­bie­ter dem Nut­zer einer Web­site zu geben hat.

Gerichts­hof der Euro­päi­schen Uni­on, Urteil vom 1. Okto­ber 2019 – C‑673/​17

  1. ABl.2002, L 201, S. 37; in der durch die Richt­li­nie 2009/​136/​EG des Euro­päi­schen Par­la­ments und des Rates vom 25.11.2009, ABl.2009, L 337, S. 11, geän­der­ten Fas­sung[]
  2. ABl.1995, L 281, S. 31[]
  3. ABl.2016, L 119, S. 1[]
  4. in der durch die Richt­li­nie 2009/​136/​EG des Euro­päi­schen Par­la­ments und des Rates vom 25.11.2009 geän­der­ten Fas­sung[]
  5. in der durch die Richt­li­nie 2009/​136 geän­der­ten Fas­sung[]
  6. vgl. zu einer Fest­stel­lungs­kla­ge: EuGH, Urteil vom 16.01.2019, Deut­sche Post, C‑496/​17, EU:C:2019:26, Rn. 38[]
  7. EuGH, Urtei­le vom 26.03.2019, SM [unter alge­ri­sche Kafa­la gestell­tes Kind], C‑129/​18, EU:C:2019:248, Rn. 50; und vom 11.04.2019, Taro­la, C‑483/​17, EU:C:2019:309, Rn. 36[]
  8. EuGH, Urteil vom 10.12 2018, Wight­man u. a., C‑621/​18, EU:C:2018:999, Rn. 47 und die dort ange­führ­te Recht­spre­chung[]
  9. vgl. in die­sem Sin­ne: EuGH, Urtei­le vom 24.11.2011, Aso­cia­ción Nacio­nal de Esta­ble­ci­mi­ent­os Finan­cie­ros de Cré­di­to, C‑468/​10 und C‑469/​10, EU:C:2011:777, Rn. 30; und vom 19.10.2016, Brey­er, C‑582/​14, EU:C:2016:779, Rn. 57[]