Am 17. April 2025 stehen die Themen Datenschutz und Cookie-Einwilligung erneut im Fokus der rechtlichen Debatte in Deutschland und der EU. Ein aktuelles Urteil des Bundesgerichtshofs (BGH) hat die Opt-In-Pflicht für Werbe- und Marketing-Cookies bekräftigt, was Personen und Unternehmen dazu zwingt, sich aktiv mit Cookies einverstanden zu erklären, bevor diese auf ihren Geräten eingesetzt werden. Diese Entscheidung steht in direktem Zusammenhang mit einem vorausgehenden Urteil des Europäischen Gerichtshofs (EuGH) vom 1. Oktober 2019, das die Notwendigkeit klarer und informierter Einwilligungen für Cookies festlegte. Laut FAU müssen Nutzer in der Lage sein, die Verwendung von Cookies ausdrücklich zu akzeptieren oder abzulehnen.
Ein zentrales Thema ist die Klage der Verbraucherzentrale Bundesverband (vzbv) gegen das Unternehmen „planet49“. Diese richtete sich gegen die Verwendung eines vorangehakten Kontrollkästchens zur Zustimmung für Cookies, was nach dem EuGH als nicht ausreichend gilt. Passive Einwilligungen, wie das Nichtentfernen eines Häkchens, sind demnach ungültig. Dieser neue Rechtsrahmen verlangt, dass Cookies nur mit ausdrücklicher Einwilligung verarbeitet werden, es sei denn, sie sind unbedingt erforderlich, wie etwa Warenkorb-Cookies oder solche zur Speicherung des Login-Status.
Unklare Definition erforderlicher Cookies
Die Gesetzgebung lässt jedoch im Hinblick auf die genaue Definition, welche Cookies als unbedingt erforderlich gelten, Fragen offen. Marketing- und Statistik-Cookies fallen nicht unter diese Kategorie. Insgesamt betrifft das EuGH-Urteil nicht nur Cookies, sondern alle Technologien, die Daten auf Nutzergeräten speichern. Das deutsche Telemediengesetz erlaubt die Erstellung von Nutzungsprofilen, allerdings nicht ohne die zuvor erwähnte Einwilligung.
Eine Herausforderung, die sich aus diesen Entwicklungen ergibt, ist die Gestaltung von Cookie-Einwilligungen. Diese müssen klar und informativ sein, wobei Nutzer über Art, Zweck und Lebensdauer der Cookies in Kenntnis gesetzt werden müssen. Zwangs-Opt-Ins sind in der Regel unzulässig. So empfehlen Datenschutzbehörden, auf vorangehakten Kästchen zu verzichten, was potenziell die Nutzerfreundlichkeit und die rechtlichen Anforderungen gleichermaßen beeinflusst.
Die ePrivacy-Verordnung im Fokus
Im Kontext der europäischen Datenschutzgesetzgebung steht zudem die ePrivacy-Verordnung (ePVO) zur Diskussion. Das Gesetzgebungsverfahren ist noch nicht abgeschlossen, und es haben sowohl Mitgliedstaaten als auch Wirtschaftsverbände Änderungswünsche geäußert. Wie ePrivacy-Update berichtet, müssen sich die EU-Kommission, das EU-Parlament und der Rat der Europäischen Union noch über den endgültigen Inhalt verständigen. Der Zeitpunkt einer Einigung bleibt unklar, jedoch trägt der aktuelle Entwurf unter österreichischer Ratspräsidentschaft bereits zur Diskussion bei.
Der Artikel 6 Absatz 2a der ePVO, der die Datenverarbeitung für „kompatible Zwecke“ einführt, könnte weitreichende Auswirkungen haben. Metadaten, wie beispielsweise besuchte Webseiten oder geografische Standorte, könnten künftig ohne ausdrückliche Einwilligung der Nutzer verarbeitet werden. Diese Regelung erfordert eine kritische Prüfung in Anbetracht der Privatsphäre der Nutzer, während gleichzeitig eine Streichung von Artikel 10, der ursprünglich Browserlösungen zur Einholung von Einwilligungen vorsah, auf der Agenda steht.
Insgesamt zeigt sich, dass die rechtlichen Rahmenbedingungen für den Datenschutz sowohl in Deutschland als auch in der EU noch im Fluss sind. Die anstehenden Entscheidungen werden maßgeblichen Einfluss auf die Umsetzung von Cookie-Einwilligungen und den Schutz der Privatsphäre der Nutzer haben.
