EuGH Urteil zu Cookies: was müssen Sie für Ihre Website beachten?

Das Verfahren „Planet49“, in dem es um die seit Jahren hoch umstrittenen Cookies geht, hat der Europäische Gerichtshof (EuGH) nun Stellung bezogen (Urteil vom 1. Oktober 2019, Az. C-673/17). Viele interpretieren das Urteil so, dass Tracking Cookies nur noch mit ausdrücklicher Einwilligung der Nutzer gesetzt werden dürfen. Wir haben die wichtigsten Eckpunkte zusammengetragen und in diesem Artikel Zusammengefasst.

EuGH Urteil zu Cookies von Analytics und Co.?

Bisher wurden Verstöße gegen die DSGVO in Österreich noch nicht monetär exekutiert. Dennoch wurde mit Einführung der DSGVO bzw. der ePrivacy Verordnung klar, dass sich viel tun wird – spannend war vor allem, welche Urteile in Sachen Google Analytics, Criteo und Double Click fallen würden.

Seit dem Causa “Planet49” gehen die Meinungen der Medien und der darin zu Wort kommenden Experten weit auseinander. Schuld daran trägt definitiv auch die undeutlich formulierte Pressemitteilung des EuGH im Kapitel „Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers“.

Tracking-Cookies dürfen nach den aktuellen EuGH Urteilen nicht ohne Einwilligung gesetzt werden.

Immer wieder ist von Grauzonen in den Rechtstexten die Rede, ein eindeutiges Urteil gibt es nicht. Wir bei Blue Monkeys haben uns eingehend informiert und interpretieren die Meldungen wie folgt: “Ohne eindeutige Zustimmung/ Einwilligung des Users dürfen keinerlei Tracking-Cookies gesetzt werden. In diesem Fall scheint es auch egal, ob durch die Cookies tatsächlich personenbezogene Daten gespeichert werden, oder ob Daten anonymisiert gesichert werden.”

Welche Cookies dürfen dennoch gesetzt werden?

First Party Cookies, die für die reibungslose Darstellung und Nutzung der Website erforderlich sind, dürfen auch ohne Zustimmung gesetzt werden. Zu diesen zählen z.B.:

• Warenkorb-Cookies
• Cookies für LogIns
• Cookies die eine Länder- oder Sprachauswahl betreffen
• Cookies, die Consent Tools für die Cookie Einwilligung setzen

Wir empfehlen deshalb, Google Analytics & Co. nur noch mit vorheriger Einwilligung über ein Consent Tool einzusetzen. Natürlich bringt dies Herausforderungen in Sachen Ladezeiten und UI/UX mit sich.

Aus diesem Grund möchten wir Ihnen hier unsere Best Practice Beispiele für einen optimalen, konformen Cookie Notice vorstellen.

Cookie Consent nach DSGVO richtig einstellen

Folgende Punkte sollten bei der Einstellung des Cookie Notice beachtet werden:

• Das richtige Consent Tool einsetzen
• Das Tool korrekt einbinden
• Unterschiedliche Auflösungen beachten
• Eine User optimierte Darstellung

Das richtige Consent Tool für WordPress einsetzen

Wir empfehlen bei WordPress das Tool Cookie Notice for GDPR. Letzteres funktioniert nämlich CMS unabhängig. Diese erfüllen alle uns wichtigen und vorgeschriebenen Vorgaben und Funktionalitäten.

Checkliste Cookie Consent Tool

Einwilligung durch den User ohne Vorauswahl!

User müssen aktiv dem Co. dem Setzen von Cookies zustimmen.  Die Auswahl darf nicht per default angekreuzt sein.

Cookies dürfen erst nach der Einwilligung des Nutzers gesetzt werden.

Alle Cookie-Setzungen (bis auf die essentiellen sowie das eigene Cookie des Consent Tools) müssen voreingestellt geblockt werden.

Nennung der Tools im Consent

Es muss in der Einwilligungsbox jedes Tool einzeln benannt sein. Die Einwilligungen dürfen jedoch (nach aktuellem Stand) gruppiert bzw. zusammengefasst werden. Nicht jedes Tool muss separat erklärt werden.

Richtige Funktionalitäten

Der Cookie Notice benötigt ein Zustimmen, ein Ablehnen sowie einen Button, der zu den Datenschutzbestimmungen führt. In diesen muss das Cookie Consent Tool dargestellt werden.

Website muss nutzbar bleiben.

Die Website muss auch ohne Zustimmung des Cookie Hinweises nutzbar sein.

Wenn Sie eine WordPress Seite betreiben empfehlen wir Ihnen das Tool Cookie Notice for GDPR. In diesem Plugin können Sie alle notwendigen Einstellungen vornehmen. Das Tool korrekt einbinden

Über einen Script-Teil können Sie angeben, welche Cookies vorab gesetzt werden dürfen und welche nicht. So kann Code eingegeben werden, der im Header vor dem schließenden Head-Tag verwendet werden soll. Selbiges kann im Body-Tag eingestellt werden.

Durch Aktivieren des Plugins wird der Cookie Notice schließlich eingeblendet. Kleinere Designanpassungen wie Hintergrund, Schrift etc. können ebenfalls angepasst werden.

Unterschiedliche Auflösungen beachten

Überprüfen Sie unbedingt auch die mobile Auflösung des Cookie Consent. Gegebenenfalls müssen Sie Designanpassungen via CSS vorgenommen werden.

Best Practice Cookie Content nach DSGVO

Hier nun drei mögliche Darstellungen für einen User optimierten Cookie Notice, in dem User Experience und Marketing Ziele berücksichtigt wurden.

Variante 1: Ein mittig platzierter Cookie Notice, dessen Zustimmen und Ablehnen Buttons gleichwertig sind.

Variante 2: Ein unten am Bildschirmrand platzierter Cookie Notice, dessen Zustimmen und Ablehnen Buttons gleichwertig sind. 

Variante 3: Ein mittig platzierter Cookie Notice, dessen Ablehnen Button unauffälliger gestaltet ist. 

Variante 4: Ein unten am Bildschirmrand platzierter Cookie Notice, dessen Ablehnen Button kleiner platziert ist. 

Unser Fazit: 

Unsere Erfahrung hat gezeigt, je unauffälliger der Cookie Notice desto weniger wird dieser als störend wahrgenommen. Die Wahrscheinlichkeit, dass User diesem Zustimmen ist jedoch auch äußerst gering. Aus diesem Grund empfehlen wir einen Cookie Notice, der erst nach User Interaktion angezeigt wird, dafür aber mittig platziert ist. Die Einbindung nach User  Interaktion (z. B. Scroll Event, Timer 5 Sek. etc.) hat positive Auswirkungen auf die Ladezeiten Ihrer Website. Die Platzierung in der Mitte des Screens macht es wahrscheinlicher, dass User Ihre Einwilligung geben.

Wichtig: Eine Richtlinie, wo und wie der Cookie Notice zu platzieren ist, gibt es nicht!

Wir beraten Sie gerne

Sollten Sie weitere Informationen zu Tools und Funktionalitäten von Cookie Hinweisen und Tracking Tools benötigen, können Sie sich gerne jederzeit an uns wenden.

Achtung: 

Dieser Text ersetzt keine Rechtsberatung. In diesem Text wurden der Verständlichkeit halber sehr komplexe juristische Sachverhalte zusammengefasst. Dieser Artikel wurde nach bestem Wissen und Gewissen verfasst. Blue Monkeys übernehmen aber keinerlei Haftung für dessen Inhalte. Sollten Sie sich gründlicher informieren wollen, empfehlen wir einen Rechtsanwalt oder Datenschutzexperten zu konsultieren. 

Quellen:

1. https://t3n.de/news/eugh-urteil-voreingestellte-1203506/
2. https://t3n.de/news/hat-eugh-seinem-cookie-urteil-1214919/
3. https://www.e-recht24.de/artikel/datenschutz/11648-eugh-urteil-cookies-einwilligung.html