EuGH-Urteil zu Cookies: Auswirkungen aufs digitale Marketing

Das „Cookie-Urteil“ des Europäischen Gerichtshofs (EuGH) dürfte für deutsche Internet-Nutzer, Unternehmen und Werbetreibende einige Änderungen nach sich ziehen. Das gilt insbesondere für datenbasierte Online-Werbung, die mithilfe von Audience-Segmenten, z. B. Retargeting-Listen, ausgesteuert wird.

Das Cookie-EuGH-Urteil in aller Kürze

Im Kern geht es im Urteil vom 1. Oktober 2019 um die Abfrage der Nutzereinwilligung beim Einsatz von Cookies. Bisher werden Nutzer in Deutschland meist lediglich über den Einsatz von Cookies informiert. Dabei wird ein Zustimmungsbanner eingeblendet, mit dem der User dem Cookie-Einsatz zustimmen kann, ohne dass er aktiv ein Häkchen o. Ä. setzen müsste. Er kann die Cookies aber in den erweiterten Optionen ablehnen. Die Methode wird auch „Opt-Out“ genannt.

Das EuGH hat nun erklärt, dass diese Praxis gegen die EU-Richtlinie zur ePrivacy verstößt. Diese verlangt, dass User per „Opt-In“ aktiv dem Einsatz von Cookies zustimmen müssen. Weitere Inhalte des Urteils sind:

• Es ist bei der Cookie-Zustimmung unerheblich, ob es sich bei den auf dem Endgerät gespeicherten Daten um personenbezogene Daten handelt oder nicht.
• In Cookie-Hinweisen muss u. a. angegeben sein, wie lange Cookies aktiv bleiben und wer Zugriff auf die Daten hat.
• Die EU-Richtlinie besagt, dass einzig solche Cookies keiner Einwilligung bedürfen, die für die Grundfunktionalität „unbedingt erforderlich“ sind (womit im Allgemeinen Session-Cookies gemeint sein dürften).

Nach dem EuGH-Urteil – mehr Fragen als zuvor?

Bislang haben sich Webseitenbetreiber und Werbetreibende in Deutschland vor allem am Telemediengesetz orientiert. Durch das EuGH-Urteil ist das TMG (besonders § 15) als gesetzliche Grundlage für den Cookie-Einsatz stärker denn je infrage gestellt. Schon vorher haben Rechtsexperten Konflikte zwischen dem TMG und der EU-ePrivacy-Richtlinie (seit 2009 in aktueller Form in Kraft) sowie der DSGVO gesehen. Wegen des neuen EuGH-Urteils muss der deutsche Gesetzgeber aktiv werden und das nationale Recht mit EU-Recht in Einklang bringen. Einen konkreten Zeitplan hat das zuständige Bundeswirtschaftsministerium bislang nicht vorgelegt.

Darüber hinaus wird aktuell auf EU-Ebene an einer neuen ePrivacy-Verordnung gearbeitet. Diese würde das TMG zwangsläufig ablösen. Anders als Richtlinien wirken EU-Verordnungen unmittelbar in den Mitgliedsstaaten. Auch hier ist bislang unklar, wann die ePrivacy-Verordnung kommen wird (frühestens 2020).

Auch inhaltlich sind noch einige Punkte zur künftigen Handhabe von Cookies und ähnlichen Technologien ungeklärt. Denn das EuGH-Urteil lässt wesentliche Fragen unbeantwortet. Dabei geht es unter anderem darum, für welche Cookies überhaupt eine Einwilligung notwendig ist. Schließlich ist nirgends definiert, welche Cookies „unbedingt erforderlich“ sind. Bei solchen verlangt das EU-Recht keine aktive Einwilligung des Users. Mit Blick darauf sagte auch BVDW-Vizepräsident Thomas Duhr, dass man aus dem Urteil nicht schließen könne, dass jedweder Zugriff einwilligungsbedürftig sei.

Ebenso unklar ist bislang, ob es genügt, wenn Nutzer ihre Zustimmung für Cookie-Gruppen erteilen oder ob sie einzelnen Cookie-Anbietern zustimmen müssen.

Die Folgen für Targeting, Audiences und Web-Werbung

Die Folgen für Werbetreibende und Webseitenbetreiber sind wegen der rechtlichen Unsicherheit aktuell schwer einzuschätzen. Als wahrscheinlich gilt, dass mit Cookies erhobene Daten für Werbedienste nur noch eingeschränkt verfügbar sein werden. Die Erfahrung hat gezeigt, dass die Opt-In-Einwilligung eine große Hürde darstellt – ihr flächendeckender Einsatz dürfte mit einem Einbruch der Cookie-Reichweite einhergehen. Dazu hat im Übrigen auch schon der Browser Firefox beigetragen. Bei neuen Firefox-Usern werden standardmäßig Tracking-Cookies von Drittanbietern blockiert.

Kampagnen auf Grundlage von Audience-Listen dürften damit nur noch eingeschränkt umsetzbar sein. Ähnliches gilt für datengetriebene Attributionsmodelle, die den Sichtkontakt des Nutzers zum Werbemittel berücksichtigen. Die Messung einzelner Werbeleistungen innerhalb der Customer Journey und datenbasierte Budgetallokation könnten in der bisherigen Form nicht mehr anwendbar sein.

Dagegen könnten Warenkorb-, Session- und möglicherweise auch Statistik-Cookies als „unbedingt erforderlich“ eingestuft werden. Für diese wäre folglich keine Einwilligung notwendig.

Wie sieht die Zukunft aus?

Im EU-Ausland kann man mögliche Folgen einer Opt-In-Lösung für die Cookie-Einwilligung bereits beobachten. In den Niederlanden werden beispielsweise mitunter Seiteninhalte geblockt, wenn Nutzer Cookies nicht zugestimmt haben. Allerdings ist ein solches „Pflicht-Opt-In“ rechtlich umstritten. Ein anderes Modell ist die Cookie-freie Webseitennutzung gegen eine erhobene Gebühr.

Mit dem EuGH-Urteil rücken außerdem technische Alternativen zu Cookies in den Vordergrund. Wichtige Stichpunkte für Alternativen sind Fingerprinting und Prebid.js. Aber auch hierfür müssen zunächst die rechtlichen Rahmenbedingungen geklärt sein, denn genau genommen ändert eine neue Technologie, die ebenfalls zum Tracken verwendet wird, nichts an der ursprünglichen Intention des Gesetzes, dass die explizite Zustimmung benötigt wird.

Letztlich kommt es darauf an, dass der Gesetzgeber datenschutzrechtliche Belange ebenso berücksichtigt wie die Interessen von Nutzern und Seitenbetreibern. Denn klar ist auch: Hohe Hürden für automatisierte und individualisierte Webdienste und Werbung dürften dem Interesse vieler Nutzer zuwiderlaufen.