Die Auswirkungen der aktuellen EuGH Urteile zu Cookies, Einwilligung und Google Analytics für Webseitenbetreiber

Vorabinformation zum EuGH-Urteil zu Cookies

Der Europäische Gerichtshof (EuGH) hat am 1. Oktober 2019 entschieden: wenn Internetnutzer dazu bereit sind, personenbezogene Daten preiszugeben, müssen sie dies dem Websitebetreiber künftig durch einen Klick aktiv mitteilen. Das von deutschen Verbraucherschützern erstrittene Urteil verursacht neue datenschutzrechtliche Umstellungen für Webseitenbetreiber.

In der Entscheidung des EuGH ging es um „Cookies”-Hinweise, also jene im Netz ständig auftauchenden Hinweise auf kleine Textdateien, die Informationen über den Nutzer, seinen Computer und die verwendete Software enthalten können. Teils werden diese Dateien benutzt, damit überhaupt eine Navigation auf der Seite möglich ist, teils, um Nutzer wiederzuerkennen, und auch, um Informationen über das Verhalten der Nutzer zu erlangen und entsprechend Werbung zu schalten.

Die im Folgenden zur Verfügung gestellten Informationen basieren größtenteils auf einem Artikel, welchen eRecht24 am 02.10.2019 ihren eRecht24 Premium-Mitgliedern und -Agenturen (wie F/X Web Consulting) zur Verfügung gestellt hat. F/X Web Consulting übernimmt keinerlei Haftung für die Korrektheit und Vollständigkeit dieser Informationen. Dieser Artikel stellt auch keine rechtliche Beratung dar (die wir auch gar nicht leisten dürften) und kann eine solche auch nicht ersetzen. Wenden Sie sich deshalb im Zweifelsfall bitte an einen auf Internetrecht spezialisierten Juristen.

Inhalt

1. Google Analytics und Cookies vor der DSGVO
2. Google Analytics nach der DSGVO
3. Tracking-Cookies nach den aktuellen EuGH-Urteilen
4. Welche Möglichkeiten für eine Einwilligung empfiehlt eRecht24?
5. Die Anpassung der Datenschutzerklärung nicht vergessen
6. Checkliste für Consent Tools
7. Was mache ich, wenn mir keine der Lösungen zusagt?
8. Ab wann/bis wann muss die Einwilligungslösung auf Webseiten umgesetzt werden?
9. Gibt es denn wirklich keine Lösung ohne Einwilligung?
10. Was macht eRecht24?

1. Google Analytics und Cookies vor der DSGVO

Vor der DSGVO war die rechtssichere Einbindung von Google Analytics möglich. Was Cookies angeht, gab es in Deutschland (aus sehr komplizierten juristischen Gründen, die wir hier nicht erläutern) die Auffassung, dass bei Third Party Cookies ein Opt-Out genügt. Man informierte den Nutzer per Cookie-Banner, hat die Cookies aber trotzdem gesetzt. Der Nutzer musste dann irgendwie widersprechen.

Das geht aber nach den letzten EuGH-Urteilen nun nicht mehr.

2. Google Analytics nach der DSGVO

Mit Einführung der DSGVO wurde darauf verwiesen, dass diese Frage erst durch die ePrivacy-Verordnung geregelt wird und sich Webseitenbetreiber bis dahin auf das berechtige Interesse in Art. 6 Abs. 1 lit. f DSGVO zu setzen. eRecht24 waren aber bereits erste Bußgeldandrohungen von Datenschutzbehörden im Zusammenhang mit Google Analytics, Criteo und Double Click bekannt geworden. Es wurden noch keine Bußgelder verhängt. Es handelte sich bisher lediglich um Androhungen von Bußgeldern durch die Bayerischen und Niedersächsischen Datenschutzbehörden.

Auch die anstehende ePrivacy-Verordnung wird Third Party Tracking Cookies nicht mehr unbegrenzt ohne Einwilligung zulassen. Das berechtigte Interesse wird bei Google Analytics also nicht helfen.

3. Tracking-Cookies nach den aktuellen EuGH Urteilen

Es gab in den letzten Wochen mehrere Urteile des EuGH, in der diese Fragen behandelt wurden.

Kurz zusammengefasst: Tracking-Cookies dürfen nicht mehr ohne echte Einwilligung der Nutzer gesetzt werden. Dabei ist es wohl egal, ob in den Cookies tatsächlich personenbezogene Daten gespeichert werden oder ob nur anonyme Daten gespeichert werden.

Es sind aber nicht alle Cookies betroffen. Weiter ohne Einwilligung erlaubt sind so genannte First Party Cookies, die für eine Webseite erforderlich sind.

Das sind beispielsweise

• Warenkorb-Cookies
• Cookies für Logins
• Cookies die eine Länder- oder Sprachauswahl betreffen
• Cookies, die Consent Tools für die Cookie Einwilligung setzen

Im Wesentlichen geht es bei der aktuellen Diskussion also um Marketing- und Tracking-Cookies. eRecht24 empfiehlt deshalb, Google Analytics & Co. nur noch mit vorheriger Einwilligung über ein Consent Tool einzusetzen.

4. Welche Möglichkeiten für eine Einwilligung empfiehlt eRecht24?

Usercentrics

eRecht24 bietet allen eRecht24 Premium-Nutzern eine Consent-Lösung von Usercentrics an, das für viele Webseiten unabhängig von einem CMS die Einwilligungen abfragt. Die Lösung ist unter “Cookie Einwilligung” bereits im eRecht24 Projekt-Manager integriert.

Das Tool deckt die wichtigsten Dienste wie Google Analytics ab. Das Tool ist ohne Zusatzkosten exklusiv in eRecht24 Premium enthalten. Da die Lösungen von Usercentrics in der Regel mehrere hunderte Euro im Monat kosten, können eRecht24 Premium-Nutzer so viel Geld sparen. Die Vereinbarung mit Usercentrics gilt aber deshalb auch nur für eRecht24 Premium Nutzer.

Ausnahme: eRecht24 Premium-Agentur-Mitglieder wie F/X Web Consulting können diese Lösung auch für die Webseiten Ihrer Kunden ohne Zusatzkosten über den eRecht24 Projekt-Manager nutzen. Da das Tool unabhängig von einem CMS auf möglichst vielen Webseiten funktioniert, benötigt man für die korrekte Einbindung allerdings etwas Programmierungs-Know-How.

Falls Sie diese Möglichkeit nutzen möchten, nehmen Sie bitte Kontakt mit F/X Web Consulting auf.

Borlabs Cookie

Wenn Sie mit WordPress arbeiten und ein PlugIn nutzen wollen, empfiehlt eRecht24 Borlabs Cookie. eRecht24 hat mit Benjamin Bornschein, dem CEO und Entwickler von Borlabs Cookies, einen Rabatt von bis zu 45% für eRecht24 Premium Nutzer vereinbart. Auch hier war Voraussetzung, dass der Rabatt nur für eRecht24 Premium Nutzer gilt.

Ausnahme: eRecht24 Premium-Agentur-Mitglieder wie F/X Web Consulting können dieses Rabatt-Angebot auch für die Webseiten Ihrer Kunden nutzen.

Falls Sie diese Möglichkeit nutzen möchten, nehmen Sie bitte Kontakt mit F/X Web Consulting auf.

Consent Management Provider (CMP)

Das Tool Consent Management Provider funktioniert ebenfalls unabhängig von einem bestimmten CMS. Es gibt eine kostenlose Variante für bis zu 10.000 Page Views/ Monat. Wir verhandeln auch hier mit dem Anbieter Jan Winkler über einen exklusiven Rabatt für Premium Nutzer für die kostenpflichtigen Versionen:

5. Die Anpassung der Datenschutzerklärung nicht vergessen

Wenn Sie die hier vorgestellten Tools nutzen, dann müssen Sie auch Ihre Datenschutzerklärung anpassen. Wir nehmen einen entsprechenden Passus zu diesen Diensten in den nächsten Tagen in unseren Datenschutz-Generator auf.

6. Checkliste für Consent Tools

• Die Einwilligung muss durch den Nutzer gesetzt werden und darf nicht schon per default angekreuzt sein
• Das Tool muss vor der Einwilligung alle Cookies (bis auf das eigene Cookie des Consent Tools) blocken
• Cookies dürfen erst nach der Einwilligung des Nutzers gesetzt werden
• Es muss in der Einwilligungsbox jedes Tool einzeln benannt sein
• Die Einwilligungen können (nach aktuellem Stand) in Gruppen zusammengefasst sein und müssen nicht für jedes Tool einzeln erklärt werden
• Stellen Sie Ihr Consent Tool in Ihrer Datenschutzerklärung dar

7. Was mache ich, wenn mir keine der Lösungen zusagt?

Egal ob aus technischen, wirtschaftlichen oder rechtlichen Überlegungen:

Wenn Sie keine Lösung auf dem Markt finden, die ihren Ansprüchen gerecht wird bleibt nur, eine Lösung für Ihre Webseiten und Dienste selbst entwickeln zu lassen.

8. Ab wann/bis wann muss die Einwilligungslösung umgesetzt werden?

Das aktuelle EuGH Urteil (Werbeeinwilligung Planet49) vom 01. Oktober 2019 entscheidet den ursprünglichen Fall nicht, dieser geht erst einmal zurück zum BGH. Genau wie der EuGH-Fall zum Facebook Button (Fashion ID) erst einmal zurück zum OLG Düsseldorf geht.

Aber: Die deutschen Gerichte werden sich in ihren Urteilen an die Vorgaben des EuGH halten. Und die Datenschutzbehörden werden wohl ebenfalls dieser Auffassung folgen.

Deswegen gibt es hier keine festen Fristen für die Umsetzung. Sie sollten sich aber nicht zu viel Zeit lassen, da seit dem 01. Oktober 2019 die Meinung des EuGH (zumindest teilweise) klar ist.

Nur teilweise deshalb, weil das gesamte Urteil des EuGH Urteils zu Cookie Einwilligungen erst in einigen Tagen im Original vorliegen wird.

9. Gibt es denn wirklich keine Lösung ohne Einwilligung?

Doch. Aber mit viel händischem Aufwand und nicht ohne juristisches Risiko.

So ist zum Beispiel eine Frage, ob Tracking ohne Einwilligung etwa über lokal eingebundene Dienste wie Matomo weiter möglich ist. Oder ob die EuGH-Urteile auch einen Dienst wie eTracker betrifft, der aktuell davon ausgeht, dass für das Tracking keine gesonderte Einwilligung nötig ist.

Hinzu kommen dann aufwändige händische Lösungen für Ihre Seite bzw. Ihr individuelles CMS, die die eine ungefragt Datenübertragung durch die unzähligen Tools und PlugIns auf Webseiten einzeln verhindern. Ein Beispiel, wie die Umsetzung dann für eine WordPress-Seite aussehen kann, finden Sie hier:
https://raidboxes.de/dsgvo-wordpress-technische-massnahmen/

10. Was macht eRecht24?

• Wir haben die DSGVO konsequent dazu genutzt, Dienste zu entfernen, die ungefragt auf Nutzerdaten zugreifen.
• Was Social Media, Likes und Shares auf Facebook, Twitter, LinkedIn, Xing & Co. angeht, nutzen wir ausschließlich unser eigenes Safe Sharing Tool. Hier werden beim „Betreten“ der Webseite keine Daten an die Social Media Plattformen übertragen.
• Was das Tracking angeht haben uns dazu entschlossen, Google Analytics aktuell nicht zu nutzen.
• Wir prüfen, ob die Lösung von eTracker perspektivisch auch ohne Einwilligung nutzbar ist.
• Wir werden auf den Seiten von eRecht24 für die Dienste, die eine Einwilligung benötigen, ebenfalls die Lösung von Usercentrics einsetzen.