EuGH, Urt. 1.10.2019 - C-673-17
Jeder muss ein Kreuzchen machen, sonst gibt es keine Cookies
Autor: Rechtsanwalt Dr. Moritz Vohwinkel,Fachanwalt für Gewerblichen RechtsschutzLLR Rechtsanwälte PartmbB, Köln, www.llr.de
Aus: IP-Rechtsberater, Heft 02/2020
Aus: IP-Rechtsberater, Heft 02/2020
Ohne aktives Opt-In ist eine datenschutzrechtliche Einwilligung unwirksam. Zu den erforderlichen Angaben im Rahmen der datenschutzrechtlichen Aufklärung über Cookies zählt auch die Bekanntgabe der Funktionsdauer der Cookies sowie der Kreis derjeniger, die Zugriff auf die Cookies haben.
UWG § 7 Abs. 2. Nr. 2; TMG §§ 12 ff.; BGB § 307; DSGVO Art. 6, Art. 13.
Dass der Teilnehmer ein Webformular absende, bei dem die Einwilligung voreingestellt sei, genüge nicht. Vielmehr müsse der Teilnehmer die Einwilligung aktiv tätigen und daher sein Kreuz selbst setzen. Auch schon vor Geltung der DSGVO sei es erforderlich gewesen, dass die Einwilligung ohne jeden Zweifel erteilt worden ist, was nur bei aktivem Ankreuzen gewährleistet sei. Unter Geltung der DSGVO sei durch deren Art. 6 Abs. 1 lit. a eine freiwillige und unmissverständliche Einwilligung erforderlich. Insoweit stelle der Erwägungsgrund 32 des DSGVO klar, dass „bereits angekreuzte Kästchen“ hierzu nicht ausreichen.
Ferner sei auch die Angabe der Funktionsdauer erforderlich. Diese sei zwar nicht ausdrücklich als Pflichtangabe genannt in Art. 10 RL 94/46 oder in Art. 13 DSGVO. Wenn aber eine lange Nutzungsdauer der Cookies impliziere, dass zahlreiche Daten gesammelt würden (und das nahm der EuGH bei dem Gewinnspiel an), dann gehöre die Angabe über die Nutzungsdauer zu den notwendigen Angaben, um die gem. Art. 10 RL 94/46 und gem. Art. 13 DSGVO geforderte Verarbeitung nach Treu und Glauben durchzuführen.
Der Hinweis auf den Kreis der Nutzungsberechtigten an den Cookies sei bereits nach Art. 10 lit. c RL 94/46 sowie Art. 13 Abs. 1 lit. e DSGVO geboten, die die Nennung der Empfänger der Daten verlange.
UWG § 7 Abs. 2. Nr. 2; TMG §§ 12 ff.; BGB § 307; DSGVO Art. 6, Art. 13.
Das Problem
Der Veranstalter eines Internet-Gewinnspiels hatte in der Eingabemaske für die Daten des Teilnehmers zwei Ankreuz-Kästchen für Einwilligungen in Cookies vorgesehen. Eines dieser Kästchen war so voreingestellt, dass es schon angekreuzt war und aktiv hätte abgewählt werden müssen. Ferner fehlten Angaben zur Funktionsdauer der Cookies und dazu, wer auf die Cookies Zugriff hat. Der BGH hat dem EuGH die Frage vorgelegt, ob diese Art der Einholung von Einwilligungen ausreicht, um die Anforderungen des TMG, UWG und BGB zu erfüllen.Die Entscheidung des Gerichts
Der EuGH hat zu allen drei Aspekten entschieden, dass jeder für sich zur Unwirksamkeit der Einwilligung führt.Dass der Teilnehmer ein Webformular absende, bei dem die Einwilligung voreingestellt sei, genüge nicht. Vielmehr müsse der Teilnehmer die Einwilligung aktiv tätigen und daher sein Kreuz selbst setzen. Auch schon vor Geltung der DSGVO sei es erforderlich gewesen, dass die Einwilligung ohne jeden Zweifel erteilt worden ist, was nur bei aktivem Ankreuzen gewährleistet sei. Unter Geltung der DSGVO sei durch deren Art. 6 Abs. 1 lit. a eine freiwillige und unmissverständliche Einwilligung erforderlich. Insoweit stelle der Erwägungsgrund 32 des DSGVO klar, dass „bereits angekreuzte Kästchen“ hierzu nicht ausreichen.
Ferner sei auch die Angabe der Funktionsdauer erforderlich. Diese sei zwar nicht ausdrücklich als Pflichtangabe genannt in Art. 10 RL 94/46 oder in Art. 13 DSGVO. Wenn aber eine lange Nutzungsdauer der Cookies impliziere, dass zahlreiche Daten gesammelt würden (und das nahm der EuGH bei dem Gewinnspiel an), dann gehöre die Angabe über die Nutzungsdauer zu den notwendigen Angaben, um die gem. Art. 10 RL 94/46 und gem. Art. 13 DSGVO geforderte Verarbeitung nach Treu und Glauben durchzuführen.
Der Hinweis auf den Kreis der Nutzungsberechtigten an den Cookies sei bereits nach Art. 10 lit. c RL 94/46 sowie Art. 13 Abs. 1 lit. e DSGVO geboten, die die Nennung der Empfänger der Daten verlange.