CURIA - Documents

DOMSTOLENS DOM (Store Afdeling)

1. oktober 2019 (*)

»Præjudiciel forelæggelse – direktiv 95/46/EF – direktiv 2002/58/EF – forordning (EU) 2016/679 – behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor – cookies – begrebet den registreredes samtykke – erklæring om samtykke ved hjælp af et forudafkrydset felt«

I sag C-673/17,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Bundesgerichtshof (forbundsdomstol, Tyskland) ved afgørelse af 5. oktober 2017, indgået til Domstolen den 30. november 2017, i sagen

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV

mod

Planet49 GmbH,

har

DOMSTOLEN (Store Afdeling),

sammensat af præsidenten, K. Lenaerts, vicepræsidenten, R. Silva de Lapuerta, afdelingsformændene J.-C. Bonichot, M. Vilaras, T. von Danwitz, C. Toader, F. Biltgen, K. Jürimäe og C. Lycourgos samt dommerne A. Rosas (refererende dommer), L. Bay Larsen, M. Safjan og S. Rodin,

generaladvokat: M. Szpunar,

justitssekretær: kontorchef D. Dittert,

på grundlag af den skriftlige forhandling og efter retsmødet den 13. november 2018,

efter at der er afgivet indlæg af:

– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV ved Rechtsanwalt P. Wassermann,

– Planet49 GmbH ved Rechtsanwälte M. Jaschinski, J. Viniol og T. Petersen,

– den tyske regering ved J. Möller, som befuldmægtiget,

– den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato F. De Luca,

– den portugisiske regering ved L. Inez Fernandes, M. Figueiredo, L. Medeiros og C. Guerra, som befuldmægtigede,

– Europa-Kommissionen ved G. Braun, H. Kranenborg og P. Costa de Oliveira, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 21. marts 2019,

afsagt følgende

Dom

1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 2, litra f), og af artikel 5, stk. 3, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EUT 2002, L 201, s. 37), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009 (EUT 2009, L 337, s. 11) (herefter »direktiv 2002/58«), sammenholdt med artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31) og med artikel 6, stk. 1, litra a), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46 (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).

2 Denne anmodning er blevet indgivet i forbindelse med en sag mellem på den ene side Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (forbundssammenslutning af forbrugerforeninger, Tyskland) (herefter »Bundesverband«) og på den anden side Planet49 GmbH, som er et selskab, der udbyder onlinekonkurrencer, vedrørende samtykke fra deltagere i en salgsfremmende konkurrence afholdt af dette selskab til overførsel af deres personoplysninger til selskabets sponsorer og samarbejdspartnere og til lagring af oplysninger og adgang til oplysninger, der er lagret i disse brugeres terminaludstyr.

Retsforskrifter

EU-retten

Direktiv 95/46

3 Artikel 1 i direktiv 95/46 fastsætter:

»1. Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.

2. Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.«

4 Dette direktivs artikel 2 bestemmer:

»I dette direktiv forstås ved:

a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet

b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse

[…]

h) »den registreredes samtykke« enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.«

5 Det nævnte direktivs artikel 7 fastsætter:

»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:

a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke

[…]«

6 Samme direktivs artikel 10 har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige eller dennes repræsentant skal give den person, hos og om hvem der indsamles oplysninger, mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:

a) den registeransvarliges og eventuelt dennes repræsentants identitet

b) formålene med den behandling, hvortil oplysningerne er bestemt

c) alle yderligere informationer som f. eks.

– modtagerne eller kategorierne af modtagere

– om det er obligatorisk eller frivilligt at besvare spørgsmålene samt mulige følger af ikke at svare

– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.«

Direktiv 2002/58

7 17. og 24. betragtning til direktiv 2002/58 lyder således:

»(17) I dette direktiv bør samtykke givet af en bruger eller en abonnent, hvad enten sidstnævnte er en fysisk eller en juridisk person, have samme betydning som den registreredes samtykke, således som defineret og yderligere fastlagt i direktiv [95/46]. Samtykke kan gives ved ethvert passende middel, der muliggør en frit givet, specifik og informeret angivelse af brugerens ønsker, herunder ved at afkrydse en rubrik, når man besøger et internetwebsted.

[…]

(24) Terminaludstyr for brugere af elektroniske kommunikationsnet og alle oplysninger, der er lagret på sådant udstyr, er en del af brugernes privatsfære, der kræver beskyttelse i henhold til den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder [, undertegnet den 4. november 1950 i Rom]. Såkaldt spionsoftware, såkaldte web bugs, skjulte identifikatorer og andre tilsvarende anordninger kan komme ind i brugerens terminal uden dennes viden for at skaffe adgang til oplysninger, for at lagre skjulte oplysninger eller for at spore brugerens aktiviteter og kan alvorligt krænke disse brugeres privatliv. Brugen af sådanne anordninger til andet end lovlige formål bør kun være tilladt med de pågældende brugeres viden.«

8 Artikel 1 i direktiv 2002/58 fastsætter:

»1. Dette direktiv tager sigte på en harmonisering af nationale bestemmelser, der er nødvendig for at sikre et ensartet niveau i beskyttelsen af de grundlæggende rettigheder og frihedsrettigheder og navnlig retten til privatliv og fortrolighed i forbindelse med behandling af personoplysninger inden for den elektroniske kommunikationssektor, og for at sikre fri omsætning af sådanne oplysninger og af elektronisk kommunikationsudstyr og elektroniske kommunikationstjenester i [Den Europæiske Union].

2. Med henblik på at nå de i stk. 1 omhandlede mål specificerer og supplerer dette direktivs bestemmelser direktiv [95/46]. […]«

9 Dette direktivs artikel 2 bestemmer:

»Medmindre andet angives, gælder i dette direktiv de definitioner, der er fastsat i direktiv [95/46] og Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og -tjenester (rammedirektivet) [EFT 2002, L 108, s. 33].

Følgende definitioner anvendes også:

a) »bruger«: en fysisk person, som anvender en offentligt tilgængelig elektronisk kommunikationstjeneste i privat eller forretningsmæssigt øjemed, uden nødvendigvis at abonnere på den pågældende tjeneste

[…]

f) »samtykke«: givet af bruger eller abonnent svarer til den registreredes samtykke i direktiv [95/46]

[…]«

10 Det nævnte direktivs artikel 5, stk. 3, fastsætter:

»Medlemsstaterne sikrer, at lagring af oplysninger eller opnåelse af adgang til oplysninger, der allerede er lagret i en abonnents eller brugers terminaludstyr, kun er tilladt på betingelse af, at abonnenten eller brugeren har givet sit samtykke hertil efter i overensstemmelse med direktiv [95/46] at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen. Dette er ikke til hinder for teknisk lagring eller adgang til oplysninger, hvis det alene sker med det formål at overføre kommunikation via et elektronisk kommunikationsnet eller er absolut påkrævet for at sætte udbyderen af en informationssamfundstjeneste, som abonnenten eller brugeren udtrykkelig har anmodet om, i stand til at levere denne tjeneste.«

Forordning 2016/679

11 32. betragtning til forordning 2016/679 fastsætter:

»Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved vedkommende accepterer, at personoplysninger om vedkommende behandles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundtlig erklæring. Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der tydeligt i denne forbindelse tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke. Samtykke bør dække alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til.«

12 Denne forordnings artikel 4 bestemmer:

»I dette direktiv forstås ved:

1) »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

2) »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse

[…]

11) »samtykke« fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling

[…]«

13 Den nævnte forordnings artikel 6 bestemmer:

»1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.

[…]«

14 Samme forordnings artikel 7, stk. 4, fastsætter:

»Ved vurdering af, om samtykke er givet frit, tages der størst muligt hensyn til, bl.a. om opfyldelse af en kontrakt, herunder om en tjenesteydelse, er gjort betinget af samtykke til behandling af personoplysninger, som ikke er nødvendig for opfyldelse af denne kontrakt.«

15 Artikel 13, stk. 1 og 2, i direktiv 2016/679 har følgende ordlyd:

»1. Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[…]

e) eventuelle modtagere eller kategorier af modtagere af personoplysningerne […]

[…]

2. Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

a) det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

[…]«

16 Denne forordnings artikel 94 bestemmer:

»1. Direktiv [95/46] ophæves med virkning fra den 25. maj 2018.

2. Henvisninger til det ophævede direktiv gælder som henvisninger til denne forordning. Henvisninger til Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv [95/46], gælder som henvisninger til Det Europæiske Databeskyttelsesråd oprettet ved denne forordning.«

Tysk ret

17 I henhold til § 307, stk. 1, første punktum, i Bürgerliches Gesetzbuch (den tyske borgerlige lovbog, herefter »BGB«) »[er] [b]estemmelser i almindelige forretningsbetingelser […] ugyldige, hvis den, der gør dem gældende, i strid med god forretningsskik stiller medkontrahenten uforholdsmæssigt ringe«.

18 BGB’s § 307, stk. 2, nr. 1, fastsætter, at i tvivlstilfælde »anses en bestemmelse for at stille kunden uforholdsmæssigt ringe, når den er uforenelig med de grundlæggende tanker bag de lovbestemmelser, som fraviges«.

19 § 12 i Telemediengesetz (lov om elektroniske medier) af 26. februar 2007 (BGBl. 2007 I, s. 179) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »TMG«), fastsætter:

»(1) En tjenesteudbyder kan kun indsamle og anvende personoplysninger til tilrådighedsstillelse af elektroniske medier, hvis denne lov eller en anden retsforskrift, der udtrykkeligt vedrører elektroniske medier, tillader det, eller hvis brugeren har givet sit samtykke hertil.

(2) En tjenesteudbyder kan kun anvende personoplysninger, der er indsamlet med henblik på tilrådighedsstillelse af elektroniske medier til andre formål, hvis denne lov eller en anden retsforskrift, der udtrykkeligt vedrører elektroniske medier, tillader det, eller hvis brugeren giver sit samtykke hertil.

(3) Medmindre andet er bestemt, skal den gældende lovgivning om beskyttelse af personoplysninger finde anvendelse, selv om de pågældende oplysninger ikke behandles automatiseret.«

20 I henhold til TMG’s § 13, stk. 1, skal tjenesteudbyderen ved anvendelsens begyndelse i almindelig forståelig form informere brugeren om arten og omfanget af samt formålet med indsamlingen og anvendelsen af personoplysninger, medmindre denne ikke allerede er blevet informeret herom. I automatiserede procedurer, hvor det senere er muligt at identificere brugeren, og hvor indsamlingen og anvendelsen af personoplysningerne forberedes, skal brugeren informeres ved denne procedures begyndelse.

21 Ifølge ordlyden af TMG’s § 15, stk. 3, kan tjenesteudbyderen til reklameformål, markedsanalyser eller til konfiguration af elektroniske medier oprette brugerprofiler ved anvendelse af pseudonymer, forudsat at brugeren, der er informeret om sin ret til at gøre indsigelse, ikke gør indsigelse.

22 Ifølge den definition, der er anført i § 3, stk. 1, i Bundesdatenschutzgesetz (forbundslov om databeskyttelse) af 20. december 1990 (BGBl. 1990 I, s. 2954) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »BDSG«) »[er] personoplysninger enkeltoplysninger om personlige eller materielle forhold vedrørende en bestemt eller identificerbar fysisk person (den berørte)«.

23 Ifølge den definition af indsamling, der er anført i BDSG’s § 3, stk. 3, betyder dette begreb fremskaffelse af oplysninger om den berørte.

24 BDSG’s § 4a, stk. 1, første punktum, der gennemfører artikel 2, litra h), i direktiv 95/46, bestemmer, at samtykket kun er gyldigt, hvis det udspringer af den berørtes frie afgørelse.

Tvisten i hovedsagen og de præjudicielle spørgsmål

25 Den 24. september 2013 afholdt Planet49 en salgsfremmende konkurrence på internetwebstedet www.dein-macbook.de.

26 De internetbrugere, der ønskede at deltage i denne konkurrence, skulle angive deres postnummer, hvilket sendte dem videre til en internetside, hvorpå de skulle skrive deres navn og adresse. Under felterne til adressen fandtes to tekster, som var forsynet med afkrydsningsfelter. Den første tekst, hvis felt (herefter »det første afkrydsningsfelt«) ikke var forudafkrydset, lød således:

»Jeg er indforstået med, at sponsorer og samarbejdspartnere via post eller telefonisk eller via e-mail/sms informerer mig om tilbud inden for deres respektive forretningsområder. Disse kan jeg selv fastlægge her, ellers foretager arrangøren valget. Jeg kan til enhver tid tilbagekalde mit samtykke. Yderligere oplysninger herom kan findes her.«

27 Den anden tekst, hvis felt (herefter »det andet afkrydsningsfelt«) var forudafkrydset, lød således:

»Jeg er indforstået med, at webanalysetjenesten Remintrex anvendes hos mig. Dette har til følge, at konkurrencearrangøren, [Planet49], efter registrering til konkurrencen installerer cookies, hvilket gør det muligt for Planet49 at foretage en analyse af min surf- og anvendelsesadfærd på reklamepartneres websites og dermed åbner mulighed for interessemålrettet reklame ved hjælp af Remintrex. Jeg kan til enhver tid slette disse cookies. Læs mere her.«

28 Det var kun muligt at deltage i den salgsfremmende konkurrence, hvis der som minimum blev sat et kryds i det første afkrydsningsfelt.

29 Det elektroniske link under den tekst, der ledsagede det første afkrydsningsfelt, under ordene »sponsorer og samarbejdspartnere« og »her« førte til en liste med 57 virksomheder med angivelse af deres adresse, det pågældende forretningsområde og den kommunikationsform, der blev benyttet til reklamen (e-mail, post eller telefon). Efter navnet på hver virksomhed stod det understregede ord »frameld«. Over listen stod følgende oplysning:

»Ved at klikke på linket »frameld« beslutter jeg, at der ikke må gives reklamesamtykke til den pågældende partner/sponsor. Hvis jeg ikke har fravalgt nogen eller tilstrækkeligt mange partnere/sponsorer, vælger Planet49 for mig partnere/sponsorer efter eget skøn (maksimalt antal: 30 partnere/sponsorer).«

30 Ved aktivering af det elektroniske link under den tekst, der ledsagede det andet afkrydsningsfelt, under ordet »her«, blev følgende information vist:

»De installerede cookies med navnene ceng_cache, ceng_etag, ceng_png og gcr er små filer, som lagres på din harddisk af den browser, du anvender, og som formidler bestemte informationer, der giver en mere brugervenlig og effektiv reklame. Cookierne indeholder et bestemt tilfældigt genereret nummer (ID), som samtidig er knyttet til dine registreringsdata. Når du efterfølgende besøger en hjemmeside tilhørende en reklamepartner, som er registreret for Remintrex (det fremgår af den pågældende reklamepartners databeskyttelseserklæring, om en sådan registrering foreligger), registreres det automatisk på grundlag af en heri integreret iFrame fra Remintrex, at du (dvs. brugeren med det lagrede ID) har besøgt siden, hvilket produkt du har vist interesse for, og om der er blevet indgået en kontrakt.

Efterfølgende kan [Planet49] på grundlag af det samtykke til reklame, som du afgav i forbindelse med registreringen til konkurrencen, sende dig reklamemails, som tager hensyn til de interesser, du har udvist på reklamepartnerens hjemmeside. Hvis du tilbagekalder reklametilladelsen, modtager du naturligvis ikke flere e-mailreklamer.

De oplysninger, som formidles via cookierne, anvendes udelukkende til reklame, hvor reklamepartnerens produkter præsenteres. Oplysningerne indsamles, lagres og anvendes separat for hver enkelt reklamepartner. Der oprettes aldrig brugerprofiler på tværs af reklamepartnere. De enkelte reklamepartnere modtager ingen personoplysninger.

Hvis du ikke længere har interesse i anvendelsen af cookierne, kan du til enhver tid slette dem fra din browser. Du kan finde en vejledning til dette i din browsers funktion [»hjælp«].

Cookierne kan ikke udføre programmer eller overføre vira.

Du kan naturligvis til enhver tid tilbagekalde dette samtykke. Du kan sende din tilbagekaldelse skriftligt til [Planet49] [adresse]. Det er dog også tilstrækkeligt at sende en e-mail til vores kundeservice [e-mailadresse].«

31 Det fremgår af forelæggelsesafgørelsen, at cookies er filer, som udbyderen af et internetwebsted placerer på brugeren af dette websteds computer og som udbyderen kan få adgang til igen, når brugeren aflægger et nyt besøg på webstedet, for at lette navigationen på internettet eller transaktioner eller for at opnå oplysninger om denne brugers adfærd.

32 I forbindelse med en formel henvendelse, som ikke førte til noget resultat, gjorde Bundesverband, der er opført på listen over organisationer, der kan anlægge sag i henhold til artikel 4 i Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (lov om søgsmål med nedlæggelse af påstand om forbud i forbindelse med overtrædelser af lovgivningen om forbrugerrettigheder og andre love) af 26. november 2001 (BGBl. 2001 I, s. 3138), gældende, at de erklæringer om samtykke, som Planet49 anmodede om ved hjælp af det første og det andet afkrydsningsfelt, ikke opfyldte de betingelser, der er fastsat ved BGB’s § 307, sammenholdt med § 7, stk. 2, nr. 2, i Gesetz gegen den unlauteren Wettbewerb (lov om bekæmpelse af illoyal konkurrence) af 3. juli 2004 (BGBl. 2004 I, p. 1414), i den affattelse, der finder anvendelse på tvisten i hovedsagen, og TMG’s § 12 ff.

33 Bundesverband anlagde sag ved Landgericht Frankfurt am Main (den regionale ret i første instans i Frankfurt am Main, Tyskland), i det væsentlige med påstand om, at Planet49 blev pålagt at ophøre med at anmode om sådanne samtykkeerklæringer, og om, at dette selskab blev pålagt at betale et beløb på 214 EUR med tillæg af renter fra den 15. marts 2014.

34 Landgericht Frankfurt am Main (den regionale ret i første instans i Frankfurt am Main) gav delvist medhold i søgsmålet.

35 Efter at Planet49 havde appelleret denne afgørelse til Oberlandesgericht Frankfurt am Main (den regionale appeldomstol i Frankfurt am Main, Tyskland), fandt denne ret, at Bundesverbands påstand – som tilsigtede, at Planet49 skulle ophøre med i aftaler med forbrugere om salgsfremmende konkurrencer at anvende en tekst som den, der fremgår af nærværende doms præmis 27, hvor det andet afkrydsningsfelt var forudafkrydset – ikke kunne tages til følge, dels fordi brugeren havde kendskab til muligheden for at vælge dette felt fra, dels fordi feltet fremstod med en tilstrækkeligt klar typografi og gav informationer om måderne for anvendelsen af cookies, og det ikke var nødvendigt at redegøre for identiteten af tredjemænd, der kunne få adgang til de indhentede oplysninger.

36 Bundesgerichtshof (forbundsdomstol, Tyskland), der skal træffe afgørelse i den revisionsappel, som Bundesverband har iværksat, er af den opfattelse, at udfaldet af tvisten i hovedsagen afhænger af fortolkningen af bestemmelserne i artikel 5, stk. 3, og artikel 2, litra f), i direktiv 2002/58, sammenholdt med bestemmelserne i artikel 2, litra h), i direktiv 95/46 og i artikel 6, stk. 1, litra a), i forordning 2016/679.

37 Idet Bundesgerichtshof (forbundsdomstol), henset til disse bestemmelser, er i tvivl om, hvorvidt Planet49’s indhentelse af samtykke hos brugere af internetwebstedet www.dein-macbook.de ved hjælp af det andet afkrydsningsfelt er gyldigt, og om omfanget af den oplysningspligt, der er fastsat i artikel 5, stk. 3, i direktiv 2002/58, har den besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»1) a) Er der tale om et gyldigt samtykke som omhandlet i artikel 5, stk. 3, og artikel 2, litra f), i direktiv [2002/58][…], sammenholdt med artikel 2, litra h), i direktiv [95/46][…], når lagringen af oplysninger eller adgang til oplysninger, som allerede er lagret på brugerens terminal[udstyr], tillades ved hjælp af et [et forudafkrydset felt][…], som brugeren skal vælge fra for at nægte [at give] sit samtykke?

b) Gør det en forskel i forbindelse med anvendelsen af artikel 5, stk. 3, og artikel 2, litra f), i direktiv [2002/58][…], sammenholdt med artikel 2, litra h), i direktiv [95/46][…], om de oplysninger, der lagres eller hentes, er personoplysninger?

c) Foreligger der under de omstændigheder, der er nævnt i [det første] spørgsmål […][, litra] a), [et gyldigt] samtykke som omhandlet i artikel 6, stk. 1, litra a), i forordning […] 2016/679?

2) Hvilke oplysninger skal tjenesteudbyderen give brugeren i forbindelse med de klare og fyldestgørende oplysninger, der skal gives i henhold til artikel 5, stk. 3, i direktiv [2002/58][…]? Omfatter disse også cookiernes funktionsvarighed og spørgsmålet om, hvorvidt tredjemand får adgang til cookierne?«

Om de præjudicielle spørgsmål

Indledende bemærkninger

38 Indledningsvis skal det undersøges, om direktiv 95/46 og forordning 2016/679 finder anvendelse på de i hovedsagen omhandlede faktiske omstændigheder.

39 Direktiv 95/46 er med virkning fra den 25. maj 2018 blevet ophævet og erstattet af forordning 2016/679, jf. denne forordnings artikel 94, stk. 1.

40 Denne dato ligger ganske vist efter datoen for det sidste retsmøde, der blev afholdt for den forelæggende ret, hvilket møde fandt sted den 14. juli 2017, og efter den dato, hvorpå Domstolen blev forelagt den nævnte rets anmodning om præjudiciel afgørelse.

41 Den forelæggende ret har imidlertid anført, at det, henset til, at forordning 2016/679, som en del af det første spørgsmål i øvrigt vedrører, trådte i kraft den 25. maj 2018, er sandsynligt, at der skal tages hensyn til denne forordning, når tvisten i hovedsagen skal behandles. Som den tyske regering har anført i retsmødet for Domstolen, er det desuden ikke udelukket, at forordning 2016/679 finder anvendelse ratione temporis inden for rammerne af tvisten i hovedsagen, for så vidt som den sag, som Bundesverband har anlagt, tilsigter, at Planet49’s adfærd stoppes for fremtiden, på grund af den nationale retspraksis vedrørende den relevante retlige situation på området for søgsmål, hvori der er nedlagt påstand om pålæg af ophør, hvilket det tilkommer den forelæggende ret at efterprøve (jf. for så vidt angår et anerkendelsessøgsmål dom af 16.1.2019, Deutsche Post, C-496/17, EU:C:2019:26, præmis 38).

42 Under disse omstændigheder, og henset til det forhold, at henvisninger i direktiv 2002/58 til direktiv 95/46 i medfør af artikel 94, stk. 2, i forordning 2016/679 gælder som henvisninger til den nævnte forordning, er det ikke udelukket, at direktiv 2002/58 i det foreliggende tilfælde finder anvendelse samtidig med enten direktiv 95/46 eller med forordning 2016/679, alt efter Bundesverbands påstande og den omhandlede periode.

43 De forelagte spørgsmål skal således besvares på grundlag af både direktiv 95/46 og forordning 2016/679.

Det første spørgsmål, litra a) og c)

44 Med det første spørgsmål, litra a) og c), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 2, litra h), i direktiv 95/46 og artikel 6, stk. 1, litra a), i forordning 2016/679, skal fortolkes således, at det samtykke, der er omhandlet i disse bestemmelser, er gyldigt afgivet, når lagring af oplysninger eller adgang til oplysninger, som allerede er lagret på brugeren af et internetwebsteds terminaludstyr, via cookies, tillades ved hjælp af et forudafkrydset felt, som brugeren skal vælge fra for at nægte at give sit samtykke.

45 Indledningsvis skal det præciseres, at ifølge de angivelser, der fremgår af forelæggelsesafgørelsen, indeholder de cookier, som kan placeres i terminaludstyret hos en bruger, der deltager i den salgsfremmende konkurrence afholdt af Planet49, et nummer, der er knyttet til registreringsoplysningerne for denne bruger, som skal indføre sit navn og sin adresse i formularen for at deltage i denne konkurrence. Den forelæggende ret har tilføjet, at der ved sammenknytningen af dette nummer og disse oplysninger opstår en personrelatering af de oplysninger, der er lagret af cookierne, når brugeren benytter internettet, således at indsamlingen af disse oplysninger ved hjælp af cookies indebærer en behandling af personoplysninger. Dette er blevet bekræftet af Planet49, som i sine skriftlige bemærkninger har fremhævet, at samtykket vedrørende det andet afkrydsningsfelt skal tillade indsamling og behandling af personoplysninger og ikke anonyme informationer.

46 Efter denne præcisering skal det bemærkes, at medlemsstaterne i overensstemmelse med artikel 5, stk. 3, i direktiv 2002/58 sikrer, at lagring af oplysninger eller opnåelse af adgang til oplysninger, der allerede er lagret i en brugers terminaludstyr, kun er tilladt på betingelse af, at brugeren har givet sit samtykke hertil efter i overensstemmelse med direktiv 95/46 at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen.

47 I denne henseende skal det bemærkes, at det følger af såvel kravene om en ensartet anvendelse af EU-retten som af lighedsprincippet, at en bestemmelse i EU-retten, som ikke indeholder nogen udtrykkelig henvisning til medlemsstaternes ret med henblik på at fastlægge dens betydning og rækkevidde, normalt skal undergives en selvstændig og ensartet fortolkning i hele Unionen (dom af 26.3.2019, SM (barn, der er sat under den algeriske kafala-ordning), C-129/18, EU:C:2019:248, præmis 50, og af 11.4.2019, Tarola, C-483/17, EU:C:2019:309, præmis 36).

48 Det fremgår desuden af Domstolens faste praksis, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd og de mål, den forfølger, men også til den sammenhæng, hvori den indgår, og til EU-rettens bestemmelser som helhed. En EU-retlig bestemmelses tilblivelse kan ligeledes give relevante elementer med henblik på dens fortolkning (dom af 10.12.2018, Wightman m.fl., C-621/18, EU:C:2018:999, præmis 47 og den deri nævnte retspraksis).

49 Hvad angår ordlyden af artikel 5, stk. 3, i direktiv 2002/58, skal det bemærkes, at selv om denne bestemmelse udtrykkeligt fastsætter, at brugeren skal have »givet sit samtykke« til placeringen af cookies og til, at disse cookies får adgang til dennes terminaludstyr, indeholder den nævnte bestemmelse derimod ingen angivelser om måden, hvorpå dette samtykke skal gives. Ordene »givet sit samtykke« kan imidlertid være genstand for en ordlydsfortolkning, hvorefter en handling fra brugerens side er nødvendig for at udtrykke dennes samtykke. I denne henseende fremgår det af 17. betragtning til direktiv 2002/58, at en brugers samtykke med henblik på dette direktiv kan gives ved ethvert passende middel, der muliggør en frit givet, specifik og informeret angivelse af brugerens ønsker, bl.a. »ved at afkrydse en rubrik, når man besøger et internetwebsted«.

50 Hvad angår den sammenhæng, som artikel 5, stk. 3, i direktiv 2002/58 indgår i, skal det fremhæves, at dette direktivs artikel 2, litra f), som definerer »samtykke« som omhandlet i dette, i denne henseende henviser til »den registreredes samtykke«, der fremgår af direktiv 95/46. 17. betragtning til direktiv 2002/58 præciserer, at samtykke givet af en bruger med henblik på dette direktiv bør have samme betydning som den registreredes samtykke, således som defineret og yderligere præciseret ved direktiv 95/46.

51 Sidstnævnte direktivs artikel 2, litra h), definerer »den registreredes samtykke« som »enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.

52 Som generaladvokaten har anført i punkt 60 i forslaget til afgørelse, peger kravet om en viljes-»tilkendegivelse« fra den registreredes side tydeligt på en aktiv og ikke passiv adfærd. Et samtykke givet ved hjælp af et forudafkrydset felt indebærer imidlertid ikke en aktiv adfærd fra brugeren af et internetwebsteds side.

53 Denne fortolkning underbygges af artikel 7 i direktiv 95/46, der fastsætter en udtømmende liste over de tilfælde, hvor en behandling af personoplysninger kan anses for at være lovlig (jf. i denne retning dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 og C-469/10, EU:C:2011:777, præmis 30, og af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 57).

54 Navnlig fastsætter artikel 7, litra a), i direktiv 95/46, at den registreredes samtykke kan gøre en sådan behandling lovlig, for så vidt som der »ikke hersker tvivl om«, at den registrerede har givet dette samtykke. Kun en aktiv adfærd fra denne person med henblik på at tilkendegive sit samtykke kan opfylde dette krav.

55 I denne henseende er det praktisk umuligt objektivt at afgøre, om brugeren af et internetwebsted faktisk har givet sit samtykke til behandlingen af sine personoplysninger ved ikke at fravælge et forudafkrydset felt, og under alle omstændigheder, om dette samtykke er blevet givet på informeret måde. Det kan nemlig ikke udelukkes, at den nævnte bruger ikke har læst den information, der ledsager det forudafkrydsede felt, eller at denne ikke har forstået dette felt, inden fortsættelsen af aktiviteten på det besøgte internetwebsted.

56 Hvad endelig angår tilblivelsen af artikel 5, stk. 3, i direktiv 2002/58, skal det konstateres, at den oprindelige affattelse af denne bestemmelse alene fastsatte et krav om, at brugeren havde »ret til at nægte«, at der blev placeret cookies efter i overensstemmelse med direktiv 95/46 at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen. Direktiv 2009/136 har indført en væsentlig ændring i ordlyden af denne bestemmelse, idet den har erstattet dette udtryk med ordene »givet sit samtykke«. Tilblivelseshistorien for artikel 5, stk. 3, i direktiv 2002/58 synes således at indikere, at det ikke længere på forhånd kan formodes, at brugeren giver samtykke, og at dette skal følge af en aktiv adfærd fra dennes side.

57 Henset til ovenstående elementer er det samtykke, der er omhandlet i artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 2, litra h), i direktiv 95/46, derfor ikke givet gyldigt, når lagring af oplysninger eller adgang til oplysninger, som allerede er lagret på brugeren af et internetwebsteds terminaludstyr, tillades ved hjælp af et af tjenesteudbyderen forudafkrydset felt, som brugeren skal vælge fra for at nægte at give sit samtykke.

58 Det skal tilføjes, at den viljestilkendegivelse, der er omhandlet i artikel 2, litra h), i direktiv 95/46, bl.a. skal være »specifik«, således forstået, at den skal vedrøre præcis den pågældende behandling af oplysninger og ikke kan udledes af en viljeserklæring, der har en anden genstand.

59 I det foreliggende tilfælde bemærkes – i modsætning til det, som Planet49 har gjort gældende – at det forhold, at en bruger trykker på knappen for at deltage i en salgsfremmende konkurrence, som dette selskab har afholdt, derfor ikke kan være tilstrækkeligt for at lægge til grund, at brugeren gyldigt har givet sit samtykke til placering af cookies.

60 Den ovenstående fortolkning gælder så meget desto mere i lyset af forordning 2016/679.

61 Som generaladvokaten i det væsentlige har konstateret i punkt 70 i forslaget til afgørelse, er ordlyden af artikel 4, nr. 11), i forordning 2016/679, som definerer »samtykke [fra den registrerede]« med henblik på denne forordning og navnlig dennes artikel 6, stk. 1, litra a), der er omhandlet i det første spørgsmål, litra c), nemlig endnu strengere end ordlyden af artikel 2, litra h), i direktiv 95/46, for så vidt som den kræver en viljeserklæring fra den registrerede, der er »frivillig, specifik, informeret og utvetydig«, og som tager form af en erklæring eller »klar bekræftelse«, der markerer dennes accept af behandlingen af personoplysninger, som vedrører den pågældende.

62 Et aktivt samtykke er således nu udtrykkeligt fastsat ved forordning 2016/679. Det skal i denne henseende bemærkes, at ifølge 32. betragtning til denne forordning kan der gives udtryk for samtykke bl.a. ved at sætte kryds i et felt ved besøg på et websted Den nævnte betragtning udelukker derimod udtrykkeligt, at »tavshed, forudafkrydsede felter eller inaktivitet« kan udgøre samtykke.

63 Det følger heraf, at det samtykke, der er omhandlet i artikel 2, litra f), og i artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 4, nr. 11), og artikel 6, stk. 1, litra a), i forordning 2016/679 ikke er gyldigt afgivet, når lagring af oplysninger eller adgang til oplysninger, som allerede er lagret på brugeren af et internetwebsteds terminaludstyr, tillades ved et forudafkrydset felt, som brugeren skal vælge fra for at nægte at give sit samtykke.

64 Endelig skal det fremhæves, at den forelæggende ret ikke har forelagt Domstolen spørgsmålet om, hvorvidt den omstændighed, at en brugers samtykke til behandling af dennes personoplysninger til reklameformål udgør en betingelse for dennes mulighed for at deltage i en salgsfremmende konkurrence – således som det, idet mindste for så vidt angår det første afkrydsningsfelt ifølge de oplysninger, der fremgår af forelæggelsesafgørelsen, synes at være tilfældet i den foreliggende sag – er forenelig med kravet om et »frivilligt« samtykke som omhandlet i artikel 2, litra h), i direktiv 95/46, og i artikel 4, nr. 11), og artikel 7, stk. 4, i forordning 2016/679. Under disse omstændigheder har Domstolen ikke anledning til at undersøge dette spørgsmål.

65 Henset til samtlige ovenstående betragtninger skal det første spørgsmål, litra a) og c), besvares med, at artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 2, litra h), i direktiv 95/46, og med artikel 4, nr. 11), og 6, stk. 1, litra a), i forordning 2016/679, skal fortolkes således, at det samtykke, der er omhandlet i disse bestemmelser, ikke er gyldigt afgivet, når lagring af oplysninger eller adgang til oplysninger, som allerede er lagret på brugeren af et internetwebsteds terminaludstyr, via cookies tillades ved hjælp af et forudafkrydset felt, som denne bruger skal vælge fra for at nægte at give sit samtykke.

Det første spørgsmål, litra b)

66 Med det første spørgsmål, litra b), ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 2, litra h), i direktiv 95/46, og artikel 4, nr. 11), samt artikel 6, stk. 1, litra a), i forordning 2016/679, skal fortolkes forskelligt, alt efter om de lagrede eller konsulterede oplysninger i brugeren af et internetwebsteds terminaludstyr udgør personoplysninger som omhandlet i direktiv 95/46 og forordning 2016/679 eller ej.

67 Som det blev anført i nærværende doms præmis 45, fremgår det af forelæggelsesafgørelsen, at den i hovedsagen omhandlede placering af cookies indebærer en behandling af personoplysninger.

68 Efter denne præcisering skal det under alle omstændigheder konstateres, at artikel 5, stk. 3, i direktiv 2002/58 henviser til »lagring af oplysninger« og til »opnåelse af adgang til oplysninger, der allerede er lagret«, uden at kvalificere disse oplysninger eller at præcisere, at disse skal være personoplysninger.

69 Som generaladvokaten har anført i punkt 107 i forslaget til afgørelse, har denne bestemmelse således til formål at beskytte brugeren mod indgreb i dennes privatsfære, uanset om dette indgreb vedrører personoplysninger eller ej.

70 Denne fortolkning underbygges af 24. betragtning til direktiv 2002/58, hvorefter alle oplysninger, der er lagret på brugere af elektroniske kommunikationsnets terminaludstyr, er en del af brugernes privatsfære, der kræver beskyttelse i henhold til den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. Denne beskyttelse finder anvendelse på alle oplysninger, der er lagret på dette terminaludstyr, uafhængigt af, om der er tale om personoplysninger eller ej, og den tilsigter bl.a., således som det fremgår af samme betragtning, at beskytte brugerne mod risikoen for, at skjulte identifikatorer eller andre tilsvarende anordninger kommer ind i disse brugeres terminal uden deres viden.

71 Henset til ovenstående betragtninger skal det første spørgsmål, litra b), besvares med, at artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, sammenholdt med artikel 2, litra h), i direktiv 95/46, og artikel 4, nr. 11), samt artikel 6, stk. 1, litra a), i forordning 2016/679, ikke skal fortolkes forskelligt, alt efter om de lagrede eller konsulterede oplysninger i brugeren af et internetwebsteds terminaludstyr udgør personoplysninger som omhandlet i direktiv 95/46 og forordning 2016/679 eller ej.

Det andet spørgsmål

72 Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 5, stk. 3, i direktiv 2002/58 skal fortolkes således, at de oplysninger, som tjenesteudbyderen skal give brugeren af et internetwebsted, omfatter oplysninger om cookiernes funktionsvarighed og om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.

73 Som det allerede fremgår af nærværende doms præmis 46, kræver artikel 5, stk. 3, i direktiv 2002/58, at brugeren har givet sit samtykke efter »i overensstemmelse med direktiv [95/46]« at have modtaget klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen.

74 Som generaladvokaten har fremhævet i punkt 115 i forslaget til afgørelse, indebærer klare og fyldestgørende oplysninger, at brugeren er i stand til uden besvær at bestemme følgerne af det eventuelle samtykke og at sikre, at dette samtykke gives med fuldt kendskab til følgerne. Oplysningerne skal være let forståelige og tilstrækkeligt detaljerede til, at brugeren kan forstå, hvordan de cookies, som anvendes, fungerer.

75 I en situation som den i hovedsagen omhandlede, hvori cookierne ifølge de angivelser, som fremgår af de sagsakter, der er indgivet til Domstolen, tilsigter at indsamle oplysninger til reklameformål vedrørende arrangøren af en salgsfremmende konkurrences samarbejdspartneres varer, indgår oplysninger om cookiernes funktionsvarighed og om tredjemands mulighed for at få adgang til disse cookies blandt de klare og fyldestgørende oplysninger, der skal gives til brugeren i overensstemmelse med artikel 5, stk. 3, i direktiv 2002/58.

76 I denne henseende skal det bemærkes, at artikel 10 i direktiv 95/46, som artikel 5, stk. 3, i direktiv 2002/58 henviser til, og artikel 13 i forordning 2016/679 fastsætter de oplysninger, som den registeransvarlige/dataansvarlige skal give den person, hos hvilken denne indsamler de oplysninger, der vedrører denne person.

77 Disse oplysninger omfatter i medfør af artikel 10 i direktiv 95/46 navnlig, ud over den registeransvarliges identitet og formålene med den behandling, hvortil oplysningerne er bestemt, alle yderligere informationer som f.eks. modtagerne eller kategorierne af modtagere, for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne.

78 Selv om varigheden af behandlingerne af oplysningerne ikke fremgår blandt disse oplysninger, fremgår det imidlertid af udtrykket »mindst« i artikel 10 i direktiv 95/46, at disse oplysninger ikke er opregnet udtømmende. Informationerne om cookiernes funktionsvarighed skal anses for at være omfattet af kravet om en rimelig behandling af de oplysninger, der er fastsat i denne artikel, idet en lang eller ubegrænset varighed i en situation som den i hovedsagen omhandlede indebærer, at der vil blive indsamlet adskillige oplysninger om brugerens navigationsvaner og eventuelle antal besøg på arrangøren af de salgsfremmende konkurrencers samarbejdspartneres websteder.

79 Denne fortolkning understøttes af artikel 13, stk. 2, litra a), i forordning 2016/679, der fastsætter, at den dataansvarlige for at sikre en rimelig og gennemsigtig behandling skal give den registrerede oplysninger vedrørende bl.a. det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum.

80 Hvad angår tredjemands mulighed for at få adgang til cookierne eller ej er der tale om oplysninger, der er omfattet af de oplysninger, der er nævnt i artikel 10, litra c), i direktiv 95/46, og i artikel 13, stk. 1, litra e), i forordning 2016/679, eftersom disse bestemmelser udtrykkeligt nævner modtagerne eller kategorierne af modtagere af oplysningerne.

81 Henset til ovenstående betragtninger skal det andet spørgsmål besvares med, at artikel 5, stk. 3, i direktiv 2002/58 skal fortolkes således, at de oplysninger, som tjenesteudbyderen skal give brugeren af et internetwebsted, omfatter oplysninger om cookiernes funktionsvarighed og oplysninger om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.

Sagsomkostninger

82 Da sagen i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:

1) Artikel 2, litra f), og artikel 5, stk. 3, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009, sammenholdt med artikel 2, litra h), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og med artikel 4, nr. 11), og artikel 6, stk. 1, litra a), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46 (generel forordning om databeskyttelse), skal fortolkes således, at det samtykke, der er omhandlet i disse bestemmelser, ikke er gyldigt afgivet, når lagring af oplysninger eller adgang til oplysninger, som allerede er lagret på brugeren af et internetwebsteds terminaludstyr, via cookies tillades ved hjælp af et forudafkrydset felt, som denne bruger skal vælge fra for at nægte at give sit samtykke.

2) Artikel 2, litra f), og artikel 5, stk. 3, i direktiv 2002/58, som ændret ved direktiv 2009/136, sammenholdt med artikel 2, litra h), i direktiv 95/46, og med artikel 4, nr. 11), samt artikel 6, stk. 1, litra a), i forordning 2016/679, skal ikke fortolkes forskelligt, alt efter om de lagrede eller konsulterede oplysninger i brugeren af et internetwebsteds terminaludstyr udgør personoplysninger som omhandlet i direktiv 95/46 og forordning 2016/679 eller ej.

3) Artikel 5, stk. 3, i direktiv 2002/58, som ændret ved direktiv 2009/136, skal fortolkes således, at de oplysninger, som tjenesteudbyderen skal give brugeren af et internetwebsted, omfatter oplysninger om cookiernes funktionsvarighed og oplysninger om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.

Underskrifter

* Processprog: tysk.