EuGH-Urteil Planet49: Was die Entscheidung für Cookie-Banner bedeutet

Im Oktober 2019 hat der Europäische Gerichtshof (EuGH) eine Entscheidung getroffen, die die rechtliche Grundlage für Cookie-Banner in Europa nachhaltig verändert hat. Das Urteil in der Rechtssache C-673/17, bekannt als “Planet49-Urteil”, beantwortete mehrere zentrale Fragen zur Wirksamkeit von Cookie-Einwilligungen.

Wer heute einen Cookie-Banner gestaltet, arbeitet im rechtlichen Rahmen, den dieses Urteil wesentlich mitgeprägt hat. Kein Beitrag zu diesem Thema kommt daran vorbei.

Der Ausgangssachverhalt

Planet49 war ein deutsches Online-Gewinnspielunternehmen. Um an einem Gewinnspiel teilzunehmen, mussten Nutzer ein Formular ausfüllen. Darunter befanden sich Checkboxen, eine davon zur Einwilligung in das Setzen von Werbe-Cookies. Diese Checkbox war vorab angekreuzt.

Der Bundesgerichtshof (BGH) legte dem EuGH mehrere Fragen zur Vorabentscheidung vor, unter anderem: Ist eine vorausgefüllte Checkbox eine wirksame Einwilligung?

Die Kernaussagen des Urteils

Keine Einwilligung durch vorausgefüllte Checkboxen. Der EuGH entschied eindeutig: Eine vorausgewählte Checkbox stellt keine aktive Einwilligung dar. Einwilligung bedeutet, dass der Nutzer durch eine unmissverständliche, aktive Handlung zustimmt. Untätigkeit reicht nicht.

Informationspflicht zur Speicherdauer. Der EuGH stellte klar, dass Nutzer vor der Einwilligung über die Laufzeit der Cookies informiert werden müssen. Eine pauschale Zustimmung ohne Kenntnis dieser Details ist keine informierte Einwilligung.

Informationspflicht zu Drittempfängern. Erhalten Dritte Zugriff auf die gespeicherten Daten, müssen diese Dritten vor der Einwilligung benannt werden. Der Nutzer muss wissen, an wen seine Daten weitergegeben werden.

Einwilligungspflicht unabhängig von Personenbezug. Der EuGH stellte fest, dass die ePrivacy-Richtlinie die Einwilligungspflicht beim Zugriff auf das Endgerät unabhängig davon auslöst, ob die gespeicherten Informationen personenbezogen sind oder nicht.

Auswirkungen auf die Praxis

Das Urteil hatte unmittelbare Konsequenzen für die Gestaltung von Cookie-Bannern:

Banner müssen aktive Zustimmung ermöglichen. Ein vorausgefülltes “Alles akzeptieren” oder ein reiner Hinweistext ohne Interaktionsmöglichkeit ist unzulässig. Der Nutzer muss aktiv klicken oder eine andere eindeutige Handlung vornehmen.

Informationen müssen im Banner selbst stehen. Die relevanten Informationen zur Speicherdauer und zu Drittempfängern müssen zugänglich sein, bevor der Nutzer einwilligt. Ein bloßer Link auf die Datenschutzerklärung reicht nicht aus, wenn die wesentlichen Informationen dort nicht ohne Weiteres auffindbar sind.

Stillschweigen und Vorankreuzen sind keine Einwilligung. Dieser Grundsatz gilt für alle Bereiche der DSGVO, wurde durch das Urteil aber für den Cookie-Bereich besonders präzisiert.

Folgerechtsprechung in Deutschland

Der BGH entschied im Mai 2020 auf Basis des EuGH-Urteils, dass das konkrete Vorgehen von Planet49 unzulässig war. Damit war die Rechtslage in Deutschland höchstrichterlich geklärt: Vorausgefüllte Checkboxen und Zustimmungs-durch-Nutzung-Modelle genügen nicht den Anforderungen der DSGVO.

Seitdem haben mehrere deutsche Datenschutzbehörden Bußgelder gegen Website-Betreiber verhängt, deren Cookie-Banner diese Anforderungen nicht erfüllten.

Was das für heutige Cookie-Banner bedeutet

Die Anforderungen des Planet49-Urteils sind heute der Standard für rechtskonforme Cookie-Banner:

• Einwilligung erfordert eine aktive Handlung
• Alle Kategorien müssen vor der Einwilligung beschrieben sein
• Speicherdauer und Drittempfänger müssen transparent sein
• Ablehnen muss genauso einfach sein wie Zustimmen

Wer diese Punkte in seinem Banner umsetzt, befindet sich auf der sicheren Seite. Der Cookie-Generator auf dieser Website erstellt Konfigurationen, die diese Anforderungen berücksichtigen.

Fazit

Das Planet49-Urteil war kein technischer Kleinstschritt, sondern eine grundlegende Weichenstellung. Es hat klargestellt, dass “Einwilligung” im Datenschutzrecht eine echte, aktive und informierte Entscheidung des Nutzers bedeutet. Wer das bei der Gestaltung seines Cookie-Banners ignoriert, riskiert nicht nur Bußgelder, sondern auch den Verlust des Nutzervertrauens.