Das Ende des Online-Marketings in der bisherigen Form
Das Urteil wird die bisherige Praxis des Online-Marketings maßgeblich beeinflussen. Das Setzen von Cookies oder Pixeln, die das Nutzerverhalten tracken, um an Nutzer personalisierte Werbung ausspielen zu können, ist ohne die aktive Einwilligung des Nutzers ebenso wenig möglich wie es künftig auch der Einwilligung des Nutzers in die Nutzung von Analysetools bedürfen wird. Der EuGH unterstreicht in seinem Urteil nämlich, dass es keinen Unterschied macht, ob es sich bei den im Gerät des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht.
Da Webseiten-Besucher in der Regel keine Veranlassung haben werden, dem Setzen von Cookies aktiv zuzustimmen, steht das bisherige System des Online-Marketings in Frage. Von Maßnahmen, nach denen die Nutzung der Webseite von der Zustimmung des Nutzers in das Setzen von Cookies abhängig gemacht werden, kann dabei nur abgeraten werden, weil dies nach Auffassung der Deutschen Datenschutzbehörden gegen das Koppelungsverbot verstößt.
Einsatz unbedingt erforderlicher Cookies bedarf keiner Einwilligung der Nutzer
Aus dem Urteil geht nicht klar hervor, was mit solchen Cookies ist, die für den Betrieb der Webseite unbedingt erforderlich sind, wie Design- oder Mediensteuerungs-Cookies. Unseres Erachtens dürfte das Setzen solcher Cookies auch weiterhin ohne Einwilligung zulässig sein, denn Art. 5 Abs. 3 der ePrivacy-Richtlinie sieht vor, dass es keiner Einwilligung in das Setzen von Cookies bedarf, wenn der Abruf der Information auf der Webseite nur mit Hilfe des Cookies möglich ist. Aber was das im Einzelfall heißt, ist noch nicht klar. Müssen z. B. die Warenkorb-Cookies eines Shops nach der Sitzung gelöscht werden oder dürfen diese dauerhaft auf dem Endgerät des Nutzers gespeichert werden? Was ist mit den Cookies. die die Cookie-Einwilligung speichern? Letztlich wird dies wohl über eine Abwägung im Einzelfall zu entscheiden sein, im Rahmen derer die Interessen der Webseiten-Besucher mit denjenigen des Webseiten-Betreibers in Einklang zu bringen sind (Art. 6 Abs. 1 f DSGVO).
Ist nun mit Abmahnungen wegen einwilligungslosen Cookie-Einsatz zu rechnen?
Ja, das ist nicht auszuschließen (Update vom 19.06.2020: Uns liegt die erste Cookie-Banner-Abmahnung vor). Daneben muss auch damit gerechnet werden, dass die Datenschutzbehörden aktiv werden. Zwar bleibt das Tracking durch Cookies ebenso wie Tracking-Pixel, Plug-Ins, Schnittstellen und Browser-Fingerprinting grundsätzlich erlaubt. Der Einsatz ist aber nur noch mit der aktiven Einwilligung des Nutzers erlaubt. Der Nutzer muss also klicken, bevor er getrackt werden darf. Es ist wohl trotzdem damit zu rechnen, dass wohl auch nach dem Urteil viele Webseiten-Betreiber ihre Besucher tracken werden, bis die sich stellenden Detailfragen geklärt sind.
Gesetzliche Änderung geplant
Die deutschen Regelungen zum Tracking von Nutzern in § 15 Abs. 3 Telemediengesetz waren nach wohl zutreffender Auffassung mit dem Inkrafttreten der DSGVO ohnehin nicht mehr anwendbar und spielen in der Urteilsbegründung des EuGH auch keine Rolle. Das Bundeswirtschaftsministerium hat gleichwohl angekündigt, eine Änderung des Telemediengesetzes vorzubereiten (Update vom 12.02.2021: Bundesregierung beschließt TTDSG). Einen Entwurf will das Ministerium noch im Herbst vorlegen. Hiermit sind aber wohl keine allzu großen Änderungen zu erwarten, denn der deutsche Gesetzgeber muss sich hierbei im Rahmen der Vorgaben des europäischen Richtlienienrechts bewegen, die der EuGH mit seinem Urteil ja nun klar gezeichnet hat. Abzuwarten bleibt insofern, was die längst angekündigte ePrivacy-Verordnung bringen wird, die die ePrivacy-Richlinie, auf der das Urteil beruht, ablösen soll.
