Das beim EuGH hängige Vorabentscheidungsverfahren in der Rechtssache C-673/17 verdeutlicht die – insbesondere seit Inkrafttreten der Datenschutz-Grundverordnung (Verordnung 2016/679) – präsenten Fragen im Bereich der Datenverarbeitung. Dem Verfahren liegt ein von der Planet49 GmbH online veranstaltetes Gewinnspiel zugrunde, bei dem Internetnutzer in Deutschland durch Aktivierung eines Kontrollkästchens ihre Zustimmung erteilten, von Firmen mit Werbeangeboten kontaktiert zu werden. Daneben enthielt das Onlineformular einen weiteren Hinweistext mit einem vorab angekreuzten Zustimmungsfeld, durch das die Teilnehmer in die Setzung von Cookies einwilligten. Während für ersteres die Angabe von persönlichen Daten erforderlich war, ermöglichte letzteres Planet49 die Auswertung des Surf- und Nutzungsverhaltens auf Websites ihrer Werbepartner sowie interessengerichtete Werbung.
Das vorlegende Gericht möchte unter anderem wissen, ob mit einem vorab aktivierten Ankreuzkästchen eine wirksame Einwilligung i.S.v. Art. 5 Abs. 3 und Art. 2 lit. f der RL 2002/58/EG i.V.m. Art. 2 lit. h der RL 95/46/EG für den Zugriff auf Informationen oder deren Speicherung vorliegen kann. Generalanwalt Szpunar betont in den Schlussanträgen das Erfordernis einer aktiven Einwilligung, um eine wirksame Zustimmung annehmen zu können. Eine solche aktive Einwilligung sei bei einer vorformulierten Einwilligungserklärung, bei welcher der Nutzer widersprechen muss, falls er mit der Datenverarbeitung nicht einverstanden ist, zu verneinen. Müsse ein Nutzer ein Zustimmungsfeld hingegen selbst ankreuzen, so könne im Gegensatz zu vorab angekreuzten Kästchen mit grosser Wahrscheinlichkeit von einer freiwilligen und in Kenntnis der Sachlage getroffenen Entscheidung ausgegangen werden. Die aktive Zustimmung müsse zudem gesondert erteilt werden, sodass sie nicht gleichzeitig Teil einer anderen Aktivität im Internet – wie der Teilnahme an einem Gewinnspiel – sein könne. Hinzu komme, dass der Nutzer wissen müsse, ob und in welchem Umfang sich die Erteilung seiner Einwilligung auf seine (sonstige) Aktivität im Internet auswirkt. Vorliegend stimmt der Nutzer per Klick auf die Teilnahme am Gewinnspiel gleichzeitig der Setzung von Cookies zu, was problematisch sei, sofern er so nicht darüber informiert wurde, dass die Einwilligung keine Teilnahmevoraussetzung für das Gewinnspiel war. Die Anforderungen an das Erfordernis der aktiven und gesonderten Einwilligung stützt GA Szpunar mit Verweis auf die ErwGr. 32 und 43 der DSGVO und die Arbeit der Artikel-29-Datenschutzgruppe.
GA Szpunar schlägt dem EuGH vor, dass es bei der Einwilligung nach Art. 5 Abs. 3 und Art. 2 lit. f der RL 2002/58/EG i.V.m. Art. 2 lit. h der RL 95/46/EG keinen Unterschied machen soll, ob es sich bei den mittels Cookies abgerufenen Informationen um personenbezogene Daten handelt oder nicht. § 15 Abs. 3 des deutschen Telemediengesetzes, bei dem bei nicht personenbezogenen Daten fehlender Widerspruch für die Zustimmungserteilung genügt, erfülle folglich die Anforderungen des Unionsrechts nicht.
Obwohl sich die Fragen des vorlegenden Gerichts nur auf das zweite Ankreuzfeld beziehen, äussert sich GA Szpunar – insofern unverbindlich – zum ersten Zustimmungsfeld, das die Verarbeitung personenbezogener Daten betrifft. Das Kriterium der aktiven Einwilligung sei dort unproblematisch, da das Feld nicht vorausgefüllt war. Um die Anforderungen der gesonderten Einwilligung zu erfüllen, empfiehlt er anstelle eines Zustimmungsfeldes separate Schaltflächen, die für die Erteilung des Einverständnisses angeklickt werden müssen. Wegen des sog. Koppelungsverbots in Art. 7 Abs. 4 der DSGVO haben nationale Gerichte insofern zu prüfen, ob die Einwilligung in die Verarbeitung personenbezogener Daten für die Teilnahme am Gewinnspiel erforderlich sei.
Als weiterer Punkt wird der EuGH zu klären haben, welche Informationen der Dienstanbieter dem Nutzer zu erteilen hat, der nach Art. 5 Abs. 3 der RL 2002/58/EG klare und umfassende Informationen erhalten muss. GA Szpunar hebt hervor, dass namentlich aufgrund der technischen Komplexität von Cookies und der asymmetrischen Informationsverteilung zwischen Anbieter und Nutzer von letzterem kein hoher Kenntnisstand bezüglich der Funktionsweise von Cookies erwartet werden könne. Der Nutzer müsse dank der Informationen in der Lage sein, die Auswirkungen seiner Handlungen zu beurteilen, was voraussetzt, dass die gegebenen Informationen nicht mehrdeutig oder auslegungsbedürftig sind. Deshalb sei es erforderlich, dass der Nutzer sowohl über die Funktionsdauer der Cookies als auch über die Frage, ob Dritte Zugriff auf die Cookies erhalten, aufgeklärt werde.
Stellungnahme des Lehrstuhls
Unser Lehrstuhl teilt die Ansicht des Generalanwalts mit Blick auf die gängige Praxis des Vorankreuzens auf Formularen grundsätzlich vollumfänglich. Dies gilt insbesondere für die Bestellung von Zusatzleistungen, die dem Kunden häufig nicht hinreichend bewusst ist. Die auf diese Art oft "erschlichenen" Zustimmungen müssen sowohl aus vertragstheoretischer als auch verhaltensökonomischer Sicht regelmässig bedenklich anmuten.
Allerdings ist mit spezifischem Blick auf die Cookie-Problematik – bei der in Teilen bisweilen eher theoretische als praktische Schutzbedürfnisse befriedigt werden – nicht zu verkennen, dass der Einsatz von Cookies erwartbar auch künftig unnötig erschwert werden dürfte. Folgt der EuGH den Schlussanträgen, würden die mittlerweile bekannten Cookie-Pop-Ups den Anforderungen der wirksamen Einwilligung wohl häufig nicht mehr genügen.
Während der Zeitpunkt des Inkrafttretens und der genaue Inhalt der e-Privacy Verordnung noch unklar sind, hat der EuGH nun faktisch die Möglichkeit, die Opt-In-Pflicht für Cookies früher als erwartet einzuführen.