ZAP 11/2020, Internetreport / IV. Konsequenzen aus dem EuGH-Urteil

Der BGH muss nun diese Antworten des EuGH auf den konkreten Fall anwenden.

Ungeachtet dessen sollten Unternehmen diese Entscheidung des EuGH zum Anlass nehmen, um die von ihnen – auf ihrer eigenen Website (nicht auf Handelsplattformen, für die deren Betreiber zuständig ist) – verwendeten sog. Cookie-Banner einer Prüfung und evtl. notwendigen Anpassung zu unterziehen. Hierbei sollte neben der Thematik der "voreingestellten Ankreuzkästchen" v.a. beachtet werden, dass der Website-Betreiber dem Internetnutzer Angaben zur Funktionsdauer der verwendeten Cookies und dazu, ob Dritte auf die’Cookies Zugriff erhalten können, zur Verfügung zu stellen hat. Eine solche Anpassung ist auf zahlreichen Websites schon vollzogen worden.

Es ist jedoch nicht bei allen Cookies eine Einwilligung einzuholen.

Die sog. Datenschutzkonferenz hat in ihrer im März 2019 veröffentlichten "Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien" (abrufbar unter https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf; Stand: 14.5.2020) auf S. 9 einen ausführlichen und instruktiven "Hinweis: ‘Cookie-Banner’ & ‘Consent-Tools’" erteilt. Hierin spricht sie von "einwilligungsbedürftigen Datenverarbeitungen". Diesbezüglich führt sie erläuternd aus: "Die Nutzung von Cookies ist nicht per se einwilligungsbedürftig. Entsprechende Banner sollen daher nur eingesetzt werden, wenn tatsächlich eine Einwilligung notwendig ist".

Sofern ein berechtigtes Interesse des Verantwortlichen (also des Website-Betreibers) i.S.d. Art. 6 Abs. 1 S. 1 lit. f DSGVO vorliege, sei eine Einwilligung i.S.d. Art. 6 Abs. 1 S. 1 lit. a DSGVO nicht erforderlich. Eine nutzerfreundliche Wahrnehmung des Online-Angebots (S. 11 der vg. Orientierungshilfe) oder die Bereitstellung besonderer Funktionalitäten, z.B. die Warenkorb-Funktion unter Verwendung eines sog. Session-Identifiers (S. 12 der vg. Orientierungshilfe), stellten beispielsweise berechtigte Interessen dar, die die Verwendung von Nutzungsdaten rechtfertigen könnten. Cookies, die dies ermöglichten, seien insofern notwendige Cookies. Für deren Verwendung brauche man keine Einwilligung.

Die Datenschutzkonferenz spricht in ihrer vorgenannten Orientierungshilfe sog. Consent-Tools an. Hierbei handelt es sich um i.d.R. kostenpflichtige Managementsysteme, mit deren Unterstützung – grob betrachtet – wie folgt vorgegangen werden sollte:

1. Prüfung, welche Cookies eine Website überhaupt verwendet;
2. Feststellung, ob es sich hierbei um notwendige oder einwilligungsbedürftige Cookies handelt;
3. Erstellung eines Consent-Tools, in dem alle verwendeten Cookies – unterteilt nach notwendig oder einwilligungsbedürftig – so transparent dargestellt werden, dass der Internetnutzer vorab seine Einwilligung betreffend die von ihm "gewünschten" einwilligungsbedürftigen Cookies aktiv abgeben kann;
4. Einbindung des Consent-Tools in die eigene Website (Startseite).