Seit dem Urteil des Europäischen Gerichtshofs (EuGH) im Oktober 2019 zur Einwilligung in Cookies haben immer mehr Unternehmen auf Cookie Walls gesetzt. Die ermöglichen es dem Website-Betreiber, Nutzern den Zugriff auf die Inhalte der Website zu verweigern, wenn diese nicht in die Verarbeitung ihrer personenbezogenen Daten durch Internet Cookies und Tracking Tools einwilligen. Der Europäische Datenausschuss (EDSA) positioniert sich nun klar: Cookie Walls sind - wenige Einzelfälle ausgenommen - unzulässig.

Tracking Cookies - was bisher geschah…

Mit dem EuGH-Urteil (Az. C-673/17) ist eine "aktive Willensbekundung" erforderlich, um eine datenschutzrechtliche Einwilligung einzuholen. Passives Verhalten in Form eines "Opt-Out" von einer voreingestellten Zustimmung reicht nicht. Vielmehr muss der User aktiv und selbst seine Einwilligung, beispielsweise durch Setzen eines Häkchens, erklären ("Opt-In").

Das Urteil schlug hohe Wellen, vor allem in Deutschland. So betonte der Bundesverband der Informationswirtschaft Bitkom in einer Pressemitteilung, dass nach der Einführung der EU-Datenschutzgrundverordnung (DSGVO) ein großer Umstellungsaufwand auf die Website-Betreiber zukam, der durch das neue Urteil des Europäischen Gerichtshofs weiter erhöht würde. Auch der Bundesverband Digitale Wirtschaft (BVDW) sprach seine Bedenken aus, da das Urteil nicht klarstelle, wann genau eine Einwilligung notwendig sei.

Vor allem deutsche Unternehmen, die bislang auf die "Opt-Out"-Lösung gesetzt hatten, mussten sicherzustellen, auch in Zukunft die Einwilligungserklärungen ihrer Website-User in die Verarbeitung ihrer personenbezogenen zu erhalten. Ohne Einwilligung sind die bislang von den Unternehmen umfangreich durchgeführten Analysen über die Website-Nutzung zur Verbesserung des Websiteauftritts und zu Marketingzwecken nicht mehr zulässig. Deshalb setzten einige deutsche Unternehmen auf Cookie Walls. Doch auch dieser Weg scheint nun in einer Sackgasse zu enden.

Zum Einsatz von Cookie Walls äußerten sich als erstes die Datenschutzbehörden anderer europäischer Länder. So veröffentlichte die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens "AP") bereits im März 2019, dass eine Kopplung von Internet Cookies und Website-Nutzung nicht mit der DSGVO vereinbar sei. Die Einwilligung könne in diesem Fall nicht als "freiwillig" angesehen werden. Zustimmung fand diese Rechtsansicht auch in Großbritannien und Frankreich. Demgegenüber blieben die deutschen Datenschutzbehörden beim Thema Cookie Walls zunächst verhalten.

Cookie Walls - Datenschützer sprechen Klartext

Am 5. Mai 2020 stellte nun auch der EDSA, bestehend aus den Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten und des Europäischen Datenschutzbeauftragten, in seiner Orientierungshilfe zur Einwilligung nochmals klar, dass die Nutzung von Websites nicht von der Einwilligung in Internet und Tracking Cookies abhängen sein dürfte. Damit ist es grundsätzlich unzulässig, Cookie Walls einzusetzen.

Dieser Ansicht schließt sich auch der Bundesdatenschutzbeauftragte in seiner Pressemitteilung an. Zulässig seien Cookie Walls ausnahmsweise nur dann, "wenn ein vergleichbarer Dienst auch ohne Tracking angeboten wird, beispielsweise als bezahlter Dienst." Das bedeutet, eine Cookie Wall ist zulässig, wenn es einen vergleichbaren alternativen Zugang zur Website gibt. Dieser kann unter anderem in einem Paywall-Modell von einer Bezahlung abhängig gemacht werden. Diese neuesten Entwicklungen dürften insbesondere der deutschen Regierung nicht gefallen, die sich im Rahmen des Gesetzgebungsverfahrens zur ePrivacy-Verordnung mehrfach für die Zulässigkeit von Cookie Walls einsetzte. Ursprünglich sollte gerade die ePrivacy-Verordnung zu einer europäischen Harmonisierung und Rechtsklarheit, auch in dieser Frage, führen. Dem kommen nun die europäischen Datenschutzbehörden zuvor.

Seit 2017 werden Vorschläge von der EU-Kommission und dem Europäischen Rat zur ePrivacy-Verordnung hin und her gespielt und jedes Mal aufs Neue verworfen. Zuletzt wurde der Entwurf der finnischen Ratspräsidentschaft mit 14 Gegenstimmen im November 2019 abgelehnt. Am 21. Februar 2020 wurde von der neuen kroatischen Präsidentschaft ein Vorschlag eingereicht, der ebenfalls, und besonders von Deutschland, kritisiert wird. Ein Ende des Gesetzgebungsverfahrens ist somit weiterhin nicht in Sicht.

Die Orientierungshilfe des EDSA und die Stellungnahme des Bundesdatenschutzbeauftragten machen jedoch deutlich, dass Cookie Walls aus Sicht der Datenschutzbehörde keine Lösung sind. Vor allem deutsche Unternehmen müssen sich deshalb erneut umorientieren. (jd)