EuGH erklärt Cookie-Banner mit Opt-Out für unzulässig

Mit Urteil vom 01.10.2019 hat der EuGH entschieden, dass ein Webseitenbesucher keine wirksame Einwilligung zum Setzen von Cookies erteilt hat, wenn dies in einem Ankreuzkästchen bereits voreingestellt erlaubt war.

Nahezu alle Webseiten setzen sog. „Cookies“. Cookies sind Informationen, die im Endgerät des Webseitenbesuchers (PC, Smartphone etc.) gespeichert werden. In einigen Fällen sind sie notwendig, um eine Webseite richtig darzustellen („technisch notwendige Cookies“). Meist werden sie jedoch gesetzt, um das Verhalten des Webseitenbesuchers zu analysieren (Beispiel: Google Analytics) oder zu Werbezwecken auszuwerten. 

Erfolgt die Speicherung der Cookies nicht zur Wahrung der berechtigten Interessen des Webseitenbetreibers oder eines Dritten – was abgesehen von technisch notwendigen Cookies in der Regel nicht der Fall ist –, ist gemäß Art. 6 Abs. 1 DSGVO eine Einwilligung des Webseitenbesuchers erforderlich.

Diese Einwilligung wird üblicherweise über ein Ankreuzkästchen (eine sog. Checkbox) in einem Cookie-Banner eingeholt.

Bei der Gestaltung dieses Ankreuzkästchens bestehen grundsätzlich zwei Möglichkeiten: Opt-in oder Opt-out. Der Unterschied ist, dass das Ankreuzkästchen beim Opt-in leer ist und der Webseitenbesucher seine Einwilligung aktiv durch Anklicken des Kästchens bzw. das Setzen eines Häkchens erteilen muss. Beim Opt-out ist das Häkchen gesetzt – die Einwilligung also bereits erteilt – und der Webseitenbesucher müsste – will er keine Einwilligung erteilen – das Häkchen durch Anklicken des Kästchens entfernen.

Obwohl der Gesetzgeber bereits in Erwägungsgrund 32 der DSGVO explizit ausgeführt hatte, dass bereits angekreuzte Kästchen keine Einwilligung darstellen, verwenden viele Webseitenbetreiber nach wie vor das Opt-out.

Dieser Praxis hat der EuGH nunmehr eine Absage erteilt und entschieden, dass die für die Speicherung und den Abruf von Cookies auf dem Endgerät des Webseitenbesuchers erforderliche Einwilligung durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt wird.

Webseitenbetreiber sollten daher dringend ihre Webseiten prüfen und ggf. vom Opt-out zum Opt-in wechseln.