Skip to content

BfDI und Berliner Datenschutzbeauftragte: Personenbezogenes Webtracking nur mit Einwilligung - Cookie-Banner die lediglich auf Einsatz von Google Analytics und Co. hinweisen genügen nicht

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Berliner Beauftragte für Datenschutz und Informationsfreiheit haben nochmals ihre Ansicht bekräftigt, dass personenbezogenes Webtracking nur mit ausdrücklicher Einwilligung zulässig ist und es nicht genügt, wenn in einem Cookie-Banner auf den Einsatz hingewiesen wird.

Die Pressemitteilung des BfDI:

Personenbezogenes Webtracking nur mit Einwilligung

Wenn Anbieter von in Websites eingebundenen Dritt-Diensten die dort erhobenen Daten auch für eigene Zwecke nutzen, muss hierfür vom Websitebetreiber eine explizite Einwilligung der Nutzerinnen und Nutzer eingeholt werden.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, fordert daher Website-Betreiber auf, ihre Websites umgehend auf entsprechende Dritt-Inhalte und Tracking-Mechanismen zu überprüfen: Wer Angebote einbindet, die wie zum Beispiel Google Analytics rechtlich zwingend eine Einwilligung erfordern, muss dafür sorgen, von seinen Websitenutzern eine datenschutzkonforme Einwilligung einzuholen. Dass dies nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen funktioniert, sollte hoffentlich mittlerweile jedem klar sein. Jeder Websitebetreiber sollte sich daher genau damit auseinandersetzen, welche Dienste bei ihm eingebunden sind und diese notfalls deaktivieren, bis er sichergestellt hat, dass ein datenschutzkonformer Einsatz gewährleistet werden kann.

Hierbei unterstützen kann die bereits im Frühjahr von den Datenschutz-Aufsichtsbehörden des Bundes und der Länder veröffentlichte „Orientierungshilfe für Anbieter von Telemedien“. In dieser wird im Einzelnen herausgearbeitet, unter welchen Bedingungen ein Tracking von Website-Besucherinnen und -Besuchern zulässig ist. Ältere Veröffentlichungen der Aufsichtsbehörden, beispielsweise zum Thema Google Analytics, gelten nicht mehr, da sich die Rechtslage und die Verarbeitungsprozesse mitunter stark verändert haben.


Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Datenschutzbeauftragte: Google Analytics und ähnliche Dienste nur mit Einwilligung nutzbar

Webseiten-Betreiber benötigen eine Einwilligung der Besucherinnen und Besucher ihrer Webseiten, wenn darin Dritt-Dienste eingebunden werden sollen, bei denen der Anbieter dadurch erlangte personenbezogene Daten auch für eigene Zwecke nutzt. Dazu gehört auch das Produkt Google Analytics, wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, betont.

Bereits im Frühjahr haben die Datenschutz-Aufsichtsbehörden die „Orientierungshilfe für Anbieter von Telemedien“ veröffentlicht und im Einzelnen herausgearbeitet, unter welchen Bedingungen ein Tracking von Webseiten-Besucherinnen und -Besuchern zulässig ist. Trotzdem erhält die Berliner Datenschutzbeauftragte weiterhin eine Vielzahl von Beschwerden über Websites, die die Orientierungshilfe missachten.

Analyse-Tools, die Daten über das Nutzungsverhalten an Dritte weitergeben, dürfen danach jedenfalls in den Fällen, in denen diese Dritten die Daten auch zu eigenen Zwecken verwenden, nur mit Einwilligung genutzt werden. Gleiches gilt, wenn das Verhalten der Webseiten-Besucherinnen und -Besucher im Detail nachvollzogen und aufgezeichnet werden kann, etwa wenn Tastatureingaben, Maus- oder Wischbewegungen erfasst werden. Als zulässig angesehen werden kann es demgegenüber, wenn eine Webseiten-Betreiberin eine Reichweitenerfassung durchführt und dafür die Zahl der Besucherinnen und Besucher pro Seite, die Geräte und die Spracheinstellungen erhebt, auch wenn ein Auftragsverarbeiter dies erledigt. Ein Auftragsverarbeiter darf allerdings die Daten nicht zu eigenen Zwecken verwenden, wie es sich mittlerweile der Anbieter von Google Analytics vorbehält.

Maja Smoltczyk:
„Viele Webseiten-Betreiber berufen sich bei der Einbindung von Google Analytics auf alte, durch fortlaufende Produktveränderungen längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für Berliner Webseitenbetreiber, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Webseiten Besuchenden zu eigenen Zwecken zu verwenden. Die Einbindung von Google Analytics erfordert daher eine Einwilligung, die den Anforderungen der Datenschutz-Grundverordnung genügt. Die meisten der sogenannten Cookie-Banner, die wir in der Praxis sehen, erfüllen die gesetzlichen Anforderungen nicht.

Webseiten-Betreiber in Berlin sollten ihre Webseite umgehend auf Dritt-Inhalte und Tracking-Mechanismen überprüfen. Wer Funktionen nutzt, die eine Einwilligung erfordern, muss entweder die Einwilligung einholen oder die Funktion entfernen. Eine Einwilligung ist nur dann wirksam, wenn die Nutzerin oder der Nutzer der konkreten Datenverarbeitung eindeutig und informiert zustimmt. Ein sogenannter Cookie-Banner, der davon ausgeht, dass reines Weitersurfen auf der Webseite oder Ähnliches eine Einwilligung bedeuten sollen, ist unzureichend. Dasselbe gilt für voraktivierte Kästchen bei Einwilligungserklärungen. Diese Wertung der Datenschutz-Grundverordnung ist eindeutig, und der Europäische Gerichtshof hat sie in seinem Urteil vom 1. Oktober 20192 ausdrücklich bestätigt.“

Was eine wirksame Einwilligung ist, wird in Artikel 4 Nummer 11 der DatenschutzGrundverordnung (DSGVO) definiert. Danach ist eine „‘Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Nach Erwägungsgrund 32 DSGVO sind Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person daher nicht als Einwilligung anzusehen.

Maja Smoltczyk:
„Uns liegen bereits zahlreiche Beschwerden und Hinweise über die unzulässige Einbindung von Dritt-Inhalten vor. Wir prüfen diese und haben bereits viele Verfahren gegen Unternehmen eingeleitet. Diese Zahl wird sich künftig noch erheblich erhöhen. Webseiten-Betreiberinnen und -Betreiber, die unzulässig Dritt-Inhalte einbinden, müssen nicht nur mit datenschutzrechtlichen Anordnungen rechnen, sondern sollten auch berücksichtigen, dass die DSGVO für derartige Verstöße hohe Geldbußen androht.“

Internet World Business-Beitrag von Rechtsanwalt Marcus Beckmann - Fragen bleiben offen - Die Cookie-Entscheidung des EuGH beendet die Diskussion nicht

In Ausgabe 21/2019, S. 15 der Zeitschrift Internet World Business erschien ein Beitrag von Rechtsanwalt Marcus Beckmann mit dem Titel "Fragen bleiben offen - Die Cookie-Entscheidung des EuGH beendet die Diskussion nicht".

Siehe auch zum Thema: EuGH: Setzen von Cookies erfordert aktive Einwilligung des Internetnutzers - Es reicht nicht wenn voreingestellte Checkbox abgewählt werden kann

EuGH: Setzen von Cookies erfordert aktive Einwilligung des Internetnutzers - Es reicht nicht wenn voreingestellte Checkbox abgewählt werden kann

EuGH
Urteil vom 01.10.2019
C-673/17
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. / Planet49 GmbH


Der EuGH hat entschieden, dass das Setzen von Cookies ein aktive Einwilligung des Internetnutzers erfordert. Es reicht nicht, wenn eine voreingestellte Checkbox abgewählt werden kann.

Nicht von der Pflicht zur Einwilligung erfasst, sind nach Art. 5 Abs. 3 S. 2 der Richtlinie 2002/58/EG solche Cookies, bei denen"der alleinige Zweck die Durchführung oder Erleichterung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder, soweit dies unbedingt erforderlich ist, um einen vom Teilnehmer oder Nutzer ausdrücklich gewünschten Dienst der Informationsgesellschaft zur Verfügung zu stellen."

Die Pressemitteilung des EuGH:

Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers - Ein voreingestelltes Ankreuzkästchen genügt daher nicht

Der deutsche Bundesverband der Verbraucherverbände wendet sich vor den deutschen Gerichten dagegen, dass die deutsche Planet49 GmbH bei Online-Gewinnspielen zu Werbezwecken ein Ankreuzkästchen mit einem voreingestellten Häkchen verwendet, mit dem Internetnutzer, die an einem solchen Gewinnspiel teilnehmen möchten, ihre Einwilligung in das Speichern von Cookies erklären. Die Cookies dienen zur Sammlung von Informationen zu Werbezwecken für Produkte der Partner der Planet49 GmbH.

Der Bundesgerichtshof (Deutschland) ersucht den Gerichtshof um die Auslegung des Unionsrechts über den Schutz der Privatsphäre in der elektronischen Kommunikation.

Mit seinem heutigen Urteil entscheidet der Gerichtshof, dass die für die Speicherung und den Abruf von Cookies auf dem Gerät des Besuchers einer Website erforderliche Einwilligung durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt wird.

Es macht insoweit keinen Unterschied, ob es sich bei den im Gerät des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Das Unionsrecht soll den Nutzer nämlich vor jedem Eingriff in seine Privatsphäre schützen, insbesondere gegen die Gefahr, dass „Hidden Identifiers“ oder ähnliche Instrumente in sein Gerät
eindringen.

Der Gerichtshof stellt klar, dass die Einwilligung für den konkreten Fall erteilt werden muss. Die Betätigung der Schaltfläche für die Teilnahme am Gewinnspiel stellt deshalb noch keine wirksame Einwilligung des Nutzers in die Speicherung von Cookies dar.

Der Gerichtshof stellt ferner klar, dass der Diensteanbieter gegenüber dem Nutzer hinsichtlich der Cookies u. a. Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter machen muss.


Tenor der Entscheidung:

1. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in der durch die Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung) sind dahin auszulegen, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

2. Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in der durch die Richtlinie 2009/136 geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 bzw. mit Art. 4 Nr. 11 und Art. 6 Abs. 1 Buchst. a der Verordnung 2016/679 sind nicht unterschiedlich auszulegen, je nachdem, ob es sich bei den im Endgerät des Nutzers einer Website gespeicherten oder abgerufenen Informationen um personenbezogene Daten im Sinne der Richtlinie 95/46 bzw. der Verordnung 2016/679 handelt oder nicht.

3. Art. 5 Abs. 3 der Richtlinie 2002/58 in der durch die Richtlinie 2009/136 geänderten Fassung ist dahin auszulegen, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, zu den Informationen zählen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.


Den Volltext der Entscheidung finden Sie hier:




LG Köln: Kein automatischer Verlust des Widerrufsrechts beim Kauf von Videos im Google Play Store - Google muss vorher informieren und Verbraucher ausdrücklich zustimmen

LG Köln
Urteil vom 21.05.2019
31 O 372/17


Das LG Köln hat entschieden, dass kein automatischer Verlust des Widerrufsrechts beim Kauf von Videos im Google Play Store eintritt. Google muss vorher informieren und der Verbraucher ausdrücklich durch eine eigenständige Erklärung, die nicht automatisch mit der Erklärung "Kaufen" bzw. "Ausleihen" verknüpft sein darf, zustimmen.

Aus den Entscheidungsgründen:

Der Kläger hat hinsichtlich der mit Antrag zu 1.1. angegriffenen Gestaltung des Bestellvorgangs von Video-Inhalten einen Unterlassungsanspruch nach § 2 Abs. 1 UKIaG iVm. § 312 d Abs. 1. Art. 246a § 1 Abs. 3 Nr. 2 EGBGB.

Hiernach hat der Unternehmer in Fällen, in denen das Widerrufsrecht des Verbrauchers nach § 356 Absatz 4 und 5 BGB vorzeitig erlöschen kann, den Verbraucher über die Umstände, unter denen dieser ein zunächst bestehendes Widerrufsrecht verliert, zu informieren. Nach § 356 Abs. 5 BGB erlischt bei einem Vertrag Ober die Lieferung von nicht auf einem körperlichen Datenträger befindlichen digitalen Inhalten das Widerrufsrecht, wenn der Unternehmer mit der Ausführung des Vertrags begonnen hat, „nachdem der Verbraucher ausdrücklich zugestimmt hat, dass der Unternehmer mit der Ausführung des Vertrags vor Ablauf der Widerrufsfrist beginnt, und seine Kenntnis davon bestätigt hat, dass er durch seine Zustimmung mit Beginn der Ausführung des Vertrags sein Widerrufsrecht verliert".

Dass die vorgenannten Regelungen auf den hier streitgegenständlichen Bestellvorgang der von der Beklagten im Google Play Store Movies bereitgestellten digitalen Inhalte Anwendung finden, stellt die Beklagte nicht in Abrede.

Die konkrete Ausgestaltung des von der Beklagten eingerichteten Bestellvorgangs trägt den Vorgaben der Art. 246a § 1 Abs. 3 Nr. 2 EG BGB, § 356 Abs. 5 BGB indes nicht hinreichend Rechnung. Zwar erteilt die Beklagte den Hinweis, dass der Nutzer mit dem Anklicken des mit „KAUFEN“ bzw. „AUSLEIHEN“ überschriebenen Buttons zustimme, dass seine Bestellung sofort ausgeführt wird und er damit das gesetzliche Widerrufsrecht verliert. Zurecht moniert der Kläger aber, dass diese Informationserteilung ebenso wie die vom Nutzer eingeholte Erklärung über die Ausführung des Vertrags vor Ablauf der Widerrufsfrist unmittelbar mit der Erklärung über den Abschluss des Erwerbsvorgangs verknüpft wird. Eine „ausdrücklichen Zustimmung“ iSd. § 356 Abs. 5 BGB ist hierin nicht zu erkennen.


Den Volltext der Entscheidung finden Sie hier:

Internet World Business-Beitrag von Rechtsanwalt Marcus Beckmann - Angekreuzt git nicht - Vorab markierte Checkboxen stellen keine wirksame Einwilligung dar

In Ausgabe 8/2019, S. 15 der Zeitschrift Internet World Business erschien ein Beitrag von Rechtsanwalt Marcus Beckmann mit dem Titel "Angekreuzt git nicht - Vorab markierte Checkboxen stellen keine wirksame Einwilligung dar".

Zum Thema: EuGH-Generalanwalt: Keine datenschutzrechtliche Einwilligung wenn Checkbox voreingestellt angekreuzt ist - Diensteanbieter muss bei Cookies über Funktionsdauer und Zugriff Dritter informieren

EuGH-Generalanwalt: Keine datenschutzrechtliche Einwilligung wenn Checkbox voreingestellt angekreuzt ist - Diensteanbieter muss bei Cookies über Funktionsdauer und Zugriff Dritter informieren

EuGH-Generalanwalt
Schlussanträge vom 21.03.2019
C‑673/17
Planet49 GmbH gegen Bundesverband der Verbraucherzentralen und Verbraucherverbände –Verbraucherzentrale Bundesverband e. V

Der EuGH-Generalanwalt kommt zu dem Ergebnis, dass keine wirksame datenschutzrechtliche Einwilligung vorliegt, wenn die dafür vorgesehene Checkbox voreingestellt bereits angekreuzt ist und der Nutzer diese abwählen muss, wenn er die Einwilligung nicht erteilen möchte. Zudem hat ist der EuGH-Generalanwalt der Ansicht, dass ein Diensteanbieter bei Cookies über Funktionsdauer und einen etwaigen Zugriff Dritter informieren muss.

Die Schlussanträge sind für den EuGH nicht bindend. Überwiegend folgt dieser aber dem EuGH-Generalanwalt.

Schlussanträge:

1. In einer Situation wie der des Ausgangsverfahrens, in der die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, und in der die Einwilligung nicht gesondert gegeben wird, sondern gleichzeitig mit der Bestätigung der Teilnahme an einem Online-Gewinnspiel, liegt keine wirksame Einwilligung im Sinne der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vor.

2. Das Gleiche gilt für die Auslegung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 4 Nr. 11 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46 (Datenschutz-Grundverordnung).

3. Bei der Anwendung der Art. 5 Abs. 3 und 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 macht es keinen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt.

4. Zu den klaren und umfassenden Informationen, die ein Nutzer nach Art. 5 Abs. 3 der Richtlinie 2002/58 von einem Diensteanbieter erhalten muss, zählen die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten oder nicht.

Den Volltext der Schlussanträge finden Sie hier:


LG Nürnberg: Freundschaftsportal StayFriends - Unzulässige Datenschutzbestimmungen - Voreingestellte Einwilligung in Veröffentlichung auf Suchmaschinen und Drittseiten unwirksam

LG Nürnberg
Urteil vom 18.04.2018
7 O 6829/17


Das LG Nürnberg hat entschieden, dass die Datenschutzbestimmunen des Freundschaftsportals StayFriends in Teilen unzulässig und zugleich Widersprüchlich sind. Zudem sah der Anmeldevorgang vor, dass die Option für die Einwilligung dafür, dass die Daten des Nutzers in Suchmaschinen und auf Drittseiten veröffentlicht werden, voreingestellt war, so dass der Nutzer diese Option hätte abwählen müssen. Die Einwilligung muss aber durch ein aktives Handeln des Nutzers erfolgen.

Den Volltext der Entscheidung finden Sie hier:

EuGH: Bei Online-Verkauf von Flugtickets darf eine Reiserücktrittsversicherung nur per Opt-In dazugebucht werden - automatische Zusatzleistungen mit Opt-Out unzulässig

EuGH
Urteil vom 19.07.2012
C-112/11
ebookers.com

Der EuGH hat völlig zu Recht entschieden, dass der Anbieter beim Online-Verkauf von Flugtickets eine Reiserücktrittsversicherung nur nach Opt-In des Kunden (z.B. aktive Betätigung einer Checkbox) dazubuchen darf. Der Portalbetreiber hatte den Bestellvorgang so konfiguriert, dass eine Reiserücktrittsversicherung automatisch dazugebucht wurde und der Kunde lediglich die Möglichkeit hatte, diese Option abzuwählen (Opt-Out).

Dies Grundsätze gelten, auch wenn sich die Entscheidung des EuGH auf Flugreisen beschränkt, richtigerweise ebenso für andere Angebote. Zusätzliche Leistungen müssen vom Kunden aktiv bestellt werden. Gleiches gilt etwa für die Zustimmungserklärung, zukünftig Werbung erhalten zu wollen (z.B. Newsletter-Anmeldung).

Den Volltext der Entscheidung finden Sie hier:


OLG Hamm: Formularmäßige Erklärung des Nutzers bzw. Kunden in AGB, zukünftig Werbung erhalten zu wollen, ist wettbewerbswidrig

OLG Hamm
Urteil vom17.02.2011
I-4 U 174/10
Opt-In in AGB

Das OLG Hamm hat entschieden, dass eine formularmäßig Erklärung des Nutzers/Kunden in AGB, zukünftig Werbung per Email, Telefon oder Fax erhalten zu wollen, wettbewerbswidrig ist. Das Gericht betont, in den Entscheidungsgründen, dass ein Opt-In nur im Wege eine gesonderten Willenserklärung erfolgen kann. Folglich ist eine formularmäßige Einwilligungserklärung in den Vertragsbedingungen unwirksam und – so zutreffend das OLG Hamm - wettbewerbswidrig. Zudem führt das Gericht aus, dass ein Verstoß gegen die datenschutzrechtlichen Bestimmungen vorliegt.

Den Volltext der Entscheidung finden Sie hier: