Ein Urteil, das alles verändert?

Oktober 18, 2019

Der EuGH erklärte am 01. Oktober 2019 ein Urteil für gültig, dass sich aus dem „Planet49“ – Verfahren ableitet. Hierbei geht es um das Thema Datenschutz und den Einsatz von Cookies, was uns im Onlinemarketing vor einige Fragen stellt.

Welche Konsequenzen sich daraus für datengetriebenes Marketing ergeben und wie relevant das Urteil am Ende ist, lest ihr in folgendem Beitrag.

Worum geht es bei dem „Planet49“ – Fall?

Das Unternehmen „Planet49“ hatte sich in Augen des Bundesverbands der Verbraucherschutzzentrale einen ziemlichen Fauxpas geleistet, denn es hatte dem User eine Einwilligung von Cookies vorweggenommen, weswegen dieser Anklage gegen das Unternehmen erhob.

„Planet49“ veranstaltete im September 2013 ein Onlinegewinnspiel, bei dem die Teilnahmebedingung daraus bestand, persönliche Daten anzugeben. Unter den dafür vorgesehenen Eingabefeldern wurden Hinweistexte angeführt, die angekreuzt werden mussten, um das Einverständnis zu bestätigen. Damit die Teilnahme an dem Gewinnspiel überhaupt funktionierte, musste das erste der beiden Kästchen mit einem Häkchen gekennzeichnet werden. Dieses gab die Zustimmung zu Angebotsanfragen von einigen Sponsoren und Kooperationspartnern des Gewinnspieles. Zur Anklage kam es durch das zweite Kästchen, bei dem bereits im Vorfeld von „Planet49“ ein Einwilligungshäkchen gesetzt wurde. Dieses Ankreuzfeld besagte, dass der Retargetingdienst Remintrex eingesetzt werden darf, um Planet49 eine Auswertung des Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und dadurch Interessen gerichtete Werbung durch diesen Dienstleister zu ermöglichen.
Der Bundesgerichtshof hatte Zweifel an der Wirksamkeit des zweiten Einwilligungshäkchens, weshalb das Verfahren aussetzte. Dem Europäischen Gerichtshof wurden dennoch einige Fragen vorgelegt, die nun in dem Urteil geklärt wurden

Das Urteil des EuGH:

Laut dem Urteil  des EuGH besteht keine wirksame Einwilligung, wenn der Nutzer ein im Vorhinein angekreuztes Häkchen entfernen muss. Der User muss seine aktive Zustimmung geben. Das würde bedeuten, dass das Opt-Out Verfahren obsolet wird und nur noch das Opt-In Verfahren in Zukunft Gültigkeit haben soll. Hierbei wird auch nicht zwischen personenbezogenen und anonymen Daten unterschieden. Die Richtlinien legen außerdem fest, dass ein Website-Betreiber Angaben zur Funktionsdauer, wie auch dem Zugriff von Dritten auf die Cookies für einen Nutzer bereitstellen muss.

Wie sich „ePrivacy“ dazu äußert:

Hier die Punkte in Kürze:

• Eine aktive Zustimmung durch das Opt-In ist erforderlich und muss für personenbezogene, als auch anonyme Daten verbindlich sein, um Gültigkeit zu finden.

• Eine stillschweigende Einwilligung, die die Betreiber dazu veranlassen, beim Weitersurfen des Users eine fortlaufende Verarbeitung dessen Daten zu betreiben, ist nicht mehr rechtmäßig.

Für die e-Privacy wurde von der EuGH aber im Urteil nicht alles berücksichtigt. Nicht im Urteil beinhaltet waren folgende Punkte:
Wann für eine Seite „erforderliche“ Cookies vorliegen, für die keine spezifische Einwilligung einzuholen ist.
Datenschutzrechtlicher Verantwortungsbereich für das Setzen von 3rd Party Cookies.
Durch andere Rechtsgrundlagen gerechtfertigtes Setzen von Cookies, beispielsweise durch berechtigte Interessen.
Aktive Zustimmung einzelner Onlinemarketingdienstleister oder Dienstleistergruppen seitens der Nutzer, wobei das Angeben von einzelnen Dienstleistern des ganzen Onlinemarketingsystem praktisch unmöglich wäre.

Der BVDW schließt aus dem Urteil Folgendes:

• Es gibt noch keine Festlegung einer generellen Einwilligungspflicht, da weder Alternativen zur aktiven Einwilligung oder alternative Rechtsgrundlagen für den Einsatz von Cookies berücksichtigt werden.

• Die Gültigkeit der rechtskonformen Ausführung in Deutschland ist problematisch, da das Telemediengesetz unter besonderen Bedingungen die Verarbeitung von Daten ohne Einwilligung erlaubt.

• Nach DSGVO besteht in bereits angekreuztem Kästchen und Untätigkeit des Nutzers keine Einwilligung.

• Angaben zur Funktionsdauer und Zugriff auf von 3rd Party Cookies muss bereits nach Art.13 DSGVO nicht in der eigentlichen Einwilligungserklärung stehen und eine Auskunftsgabe kann auch separat aufgenommen werden.

• Dass keine Äußerungen über ein Kopplungsverbot getätigt wurden, also die Möglichkeit einer Verknüpfung von Angebot & Einholung einer Einwilligung, soweit auch andere Möglichkeiten angeboten werden könne, laut EU-Rat dem Anbieter selbst überlassen werden.