Rechtssache C‑673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V.
gegen
Planet49 GmbH
(Vorabentscheidungsersuchen des Bundesgerichtshofs)
Urteil des Gerichtshofs (Große Kammer) vom 1. Oktober 2019
„Vorlage zur Vorabentscheidung – Richtlinie 95/46/EG – Richtlinie 2002/58/EG – Verordnung (EU) 2016/679 – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Cookies – Begriff der Einwilligung der betroffenen Person – Einwilligungserklärung mittels eines mit einem voreingestellten Häkchen versehenen Ankreuzkästchens“
1. Rechtsangleichung – Telekommunikationssektor – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Richtlinie 2002/58 – Cookies – Einwilligung der betroffenen Person – Begriff – Einwilligungserklärung mittels eines mit einem voreingestellten Häkchen versehenen Ankreuzkästchens – Ausschluss
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 2 Buchst. h; Richtlinie 2002/58 des Europäischen Parlaments und des Rates in der durch die Richtlinie 2009/136 geänderten Fassung, Art. 2 Buchst. f und Art. 5 Abs. 3)
(vgl. Rn. 49-58, 60-63, Tenor 1)
2. Rechtsangleichung – Telekommunikationssektor – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Richtlinie 2002/58 – Cookies – Einwilligung der betroffenen Person – Begriff – Einstufung gespeicherter oder abgerufener Informationen als personenbezogene Daten oder nicht – Keine Auswirkung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 2 Buchst. h; Richtlinie 2002/58 des Europäischen Parlaments und des Rates in der durch die Richtlinie 2009/136 geänderten Fassung, Art. 2 Buchst. f und Art. 5 Abs. 3)
(vgl. Rn. 68-71, Tenor 2)
3. Rechtsangleichung – Telekommunikationssektor – Verarbeitung personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation – Richtlinie 2002/58 – Cookies – Klare und umfassende Informationen, die der Diensteanbieter erteilen muss – Begriff – Funktionsdauer der Cookies – Einbeziehung – Möglichkeit des Zugriffs Dritter auf die Cookies – Einbeziehung
(Richtlinie 2002/58 des Europäischen Parlaments und des Rates in der durch die Richtlinie 2009/136 geänderten Fassung, Art. 5 Abs. 3)
(vgl. Rn. 74-81, Tenor 3)
Zusammenfassung
Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers
Mit Urteil vom 1. Oktober 2019, Planet49 (C‑673/17), hat der Gerichtshof (Große Kammer) entschieden, dass keine wirksame Einwilligung vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein mit einem voreingestellten Häkchen versehenes Ankreuzkästchen erlaubt wird, und zwar unabhängig davon, ob es sich bei den betreffenden Informationen um personenbezogene Daten handelt oder nicht. Der Gerichtshof hat ferner klargestellt, dass der Diensteanbieter dem Nutzer mitteilen muss, welche Funktionsdauer die Cookies haben und ob Dritte Zugriff auf sie erhalten können.
Im Ausgangsrechtsstreit geht es um ein Gewinnspiel, das von Planet49 über die Website www.dein-macbook.de zu Werbezwecken veranstaltet wurde. Teilnahmewillige Internetnutzer mussten auf einer Seite mit Ankreuzkästchen ihren Namen und ihre Adresse eingeben. Das Ankreuzkästchen, mit dem das Setzen von Cookies erlaubt wurde, war mit einem voreingestellten Häkchen versehen. Der Bundesgerichtshof (Deutschland), bei dem eine Klage des deutschen Bundesverbands der Verbraucherverbände anhängig war, hatte Zweifel hinsichtlich der Wirksamkeit der mittels des mit einem voreingestellten Häkchen versehenen Ankreuzkästchens erlangten Einwilligung der Nutzer und hinsichtlich des Umfangs der Informationspflicht des Diensteanbieters.
Das Vorabentscheidungsersuchen betraf im Wesentlichen die Auslegung des Begriffs der Einwilligung im Sinne der Datenschutzrichtlinie für elektronische Kommunikation(1) in Verbindung mit der Richtlinie 95/46(2) und der Datenschutz-Grundverordnung(3).
Der Gerichtshof hat erstens festgestellt, dass der Ausdruck „Einwilligung der betroffenen Person“ nach Art. 2 Buchst. h der Richtlinie 95/46, auf die Art. 2 Buchst. f der Datenschutzrichtlinie für elektronische Kommunikation verweist, „jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden“, bezeichnet. Das Erfordernis einer „Willensbekundung“ der betroffenen Person deutet klar auf ein aktives und nicht passives Verhalten hin. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, impliziert aber kein aktives Verhalten des Nutzers einer Website. Die Entstehungsgeschichte von Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation, der nach der Änderung durch die Richtlinie 2009/136 vorsieht, dass der Nutzer „seine Einwilligung“ in die Speicherung von Cookies „gegeben“ hat, deutet darauf hin, dass die Einwilligung des Nutzers nun nicht mehr vermutet werden darf und sich aus einem aktiven Verhalten des Nutzers ergeben muss. Außerdem sieht die Datenschutz-Grundverordnung nunmehr ausdrücklich eine aktive Einwilligung vor(4). Ihr Art. 4 Nr. 11 verlangt eine Willensbekundung etwa in Form „einer sonstigen eindeutigen bestätigenden Handlung“. Und in ihrem 32. Erwägungsgrund wird ausdrücklich ausgeschlossen, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ eine Einwilligung darstellen können.
Der Gerichtshof ist deshalb zu dem Schluss gelangt, dass keine wirksame Einwilligung vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und dass die Tatsache, dass der Nutzer der Website die Schaltfläche für die Teilnahme an dem betreffenden Gewinnspiel betätigt, nicht ausreicht, um von einer wirksamen Einwilligung des Nutzers zur Speicherung von Cookies auszugehen.
Zweitens hat der Gerichtshof festgestellt, dass Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation den Nutzer vor jedem Eingriff in seine Privatsphäre schützen soll, unabhängig davon, ob dabei personenbezogene Daten oder andere Daten betroffen sind. Der Begriff der Einwilligung ist daher nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht.
Drittens hat der Gerichtshof festgestellt, dass Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation verlangt, dass der Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Die klaren und umfassenden Informationen müssen den Nutzer in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu ermitteln, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zählen zu den klaren und umfassenden Informationen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.