Wie das Urteil zum Fall Planet 49 das Transparency & Consent Framework (TCF) verbessert

Nach Jahren des Rechtsstreits fällte der Gerichtshof der Europäischen Union (EuGH) vor einem Jahr ein endgültiges Urteil in der Rechtssache C-673/17, die auch als Fall „Planet49‟ bekannt ist. Im Mai diesen Jahres bestätigte der Bundesgerighthof (BGH) dann diese Urteil, und verbat, das Ankreuzfeld in einer Cookie-Benachrichtigung vorab anzukreuzen, da eine gültige Einwilligungserklärung nur auf einer eindeutig zustimmenden Handlung des Benutzers beruhen könne. Das Urteil hatte Auswirkungen auf die gesamte Werbebranche und veranlasste das Interactive Advertising Bureau (IAB), sein Transparency and Consent Framework (TCF) zu aktualisieren. Wir untersuchen hier, was sich geändert hat.

Zusammenfassung

• Warum beschäftigen sich europäische Gerichte mit Cookie-Einwilligungserklärungen?
• Welche Konsequenzen hat das Urteil für deutsche Webseitenbesitzer?
• Wie hat sich das TCF infolge des Urteils zu Planet49 verändert?
• Welcher Zeitplan gilt für die Aktualisierung von Einwilligungs-Benachrichtigungen?

Warum beschäftigen sich europäische Gerichte mit Cookie-Einwilligungserklärungen?

Worüber haben der EuGH im Oktober 2019, und der BGH im Mai 2020, entschieden? Warum beschäftigen sich europäisches Gerichte mit einem Fall über Cookie-Einwilligungserklärungen einer kleinen Webseite namens Planet 49 - einem deutschen Unternehmen, das einen Online-Lotteriedienst anbot und auf dessen Anmeldeseite zwei Kontrollkästchen verwendete?

Weil Datenschutzfachleute Antworten auf drei Hauptfragen wollten:

• Ist eine Cookie-Einwilligungserklärung durch vorab angekreuzte Kästchen gültig?
• Welche Informationen sollten dem Benutzer zur Verfügung gestellt werden, um eine gültige Einwilligungserklärung zu erhalten?
• Sollte die Einwilligungserklärung nur für Cookies eingeholt werden, die zum Lesen oder Zugreifen auf personenbezogene Daten verwendet werden?

Datenschutzfachleute warteten gespannt auf das Urteil und nahmen an, dass der Europäische Gerichtshof strenge Regeln für die ausdrückliche Einwilligungserklärung bestätigen würde. Bisher stützten sich Marken und Verlage in Deutschland bei der Verwendung von Cookies und Trackern für deutsche Webseitenbesucher meist auf die Rechtsgrundlage des "berechtigten Interesses".

Die Datenschutzfachleute hatten recht. Die Gerichte beantworteten in der Tat einige Fragen über die Einwilligungserklärungen zu Cookies und forderte Webseitenbesitzer dazu auf, Zustimmungsmechanismen für Cookies einzuführen oder anzupassen, um sicherzustellen, dass die neuen Regeln befolgt würden.

Der @BGH_Bund hat das "Planet-49-Urteil" veröffentlicht.
Diensteanbieter dürfen #Cookies zur Erstellung von Nutzungsprofilen für Zwecke der #Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen. #Datenschutz #Urteil #BGHhttps://t.co/lI7Hn2Jpug

— rewis.io (@rewis_io) July 4, 2020

The Federal Court of Justice (BGH) today ruled on the default setting of cookie consents. The decision on the ECJ Planet 49 ruling was long awaitedhttps://t.co/rSnl9pxJ0O

— Astrid Essling (@AstridEssling) May 28, 2020

Um eine gültige Einwilligungserklärung zu erlangen, verbietet das Urteil grundsätzlich vorab angekreuzte Zustimmungskästchen und das Zusammenbündeln von Datensammlungszwecken.  Dies ist unabhängig davon, ob sie für den Zugriff auf personenbezogene oder nicht personenbezogene Daten verwendet werden.

Bevor sie zustimmen können, sollten Benutzer außerdem sowohl über das Ablaufdatum von Cookies als auch über alle Drittparteien informiert werden, die Cookies auf der Webseite lesen oder einrichten.

Der EuGH betonte auch, dass aktives Verhalten mit dem klaren Ziel der Einwilligung erforderlich sei, um eine gültige Einwilligungserklärung einzuholen. Dies sollte nun das Scrollen oder das fortgesetzte Browsing als Einwilligungserklärungs-Modus beenden.

{{discover-our-cmp}}

Welche Konsequenzen hat das Urteil für deutsche Webseitenbesitzer?

Was soll ich als Webseitenbesitzer tun, wenn ich Daten von deutschen Nutzern sammle? Was muss sich konkret ändern, wenn Sie oder Ihr Unternehmen eine Webseite betreiben, die Cookies verwendet?

• Listen Sie alle Cookies auf, die auf Ihrer Webseite sitzen oder gelesen werden, und erfassen Sie deren Ablaufdatum und Kategorie.
• Informieren Sie den Benutzer in Ihrem Cookie-Hinweis, wie Sie Cookies verwenden (geben Sie Informationen über die Cookies und deren Zweck). 
• Stellen Sie sicher, dass Sie auch eine neutrale Auswahlfunktion bei Ihrer Cookie-Einwilligungserklärung anbieten, und sammeln Sie die Einwilligungserklärung nur, wenn der Benutzer aktives Verhalten zeigte (also kein Scrollen oder nur fortgesetztes Browsing). 
• Nutzen Sie nur Cookies, nachdem der Benutzer informiert wurde und zugestimmt hat. 
• Stellen Sie sicher, dass Partner / Drittparteien  auf Ihrer Webseite diese Regeln befolgen.

In Frankreich wurden im Oktober 2020 neue Richtlinien publiziert, die im Gegensatz zum EuGH-Urteil über Planet 49, die Nutzung von Cookies zur Besuchermessung (Analytics) als unbedingt erforderlich, und daher nicht einwilligungsbedürftig einstufen. Mehr erfahren sie auf unserer Seite (auf Französisch) die lokalen Richtlinien beschreibt.

{{request-a-demo}}

Falls Sie eine Consent-Management-Plattform wie die von Didomi verwenden, sollten diese Überprüfungen leicht durchzuführen sein. Plattformen wie unsere erlauben Ihnen, Einwilligung zu sammeln, zu speichern und weiterzugeben - nicht nur für Webseitenbetreiber, sondern auch für Verkäufer, die Teil der globalen Anbieterliste (Global Vendor List, GVL) sind.

Aber was wird sich nun am Industriestandard Transparency and Consent Framework (TCF) ändern, wenn es um die Einwilligungserklärungen der Verbraucher geht?

Wie wird sich das TCF infolge des Urteils verändert?

Während sich viele Akteure der Branche noch im Übergang von TCF Version 1 zu TCF  Version 2 befinden, hat das IAB im Rahmen ihres Transparency and Consent Frameworks eine Änderung ihrer Richtlinien verabschiedet. Diese verfolgt nun die geforderten Änderungen des Urteils zum Fall Planet49.

In den Richtlinien zur "TCF Version 2.1" heißt es:

1. TCF-Anbieter müssen die maximale Aufbewahrungsdauer für Cookies in der GVL angeben und auch bestätigen, ob andere Aufbewahrungs- / Zugriffsmethoden verwendet werden.
2. CMPs müssen auf einer zweiten Ebene der Benutzeroberfläche die maximale Cookie-Aufbewahrungsdauer jedes Anbieters angeben und bestätigen, ob andere Aufbewahrungs- / Zugriffsmethoden verwendet werden.
3. CMPs müssen detaillierte und zweckspezifische Cookie-Aufbewahrungs- und Zugriffsinformationen über jeden Anbieter offenlegen, sofern Anbieter diese Informationen zur Verfügung stellen.
4. TCF-Anbietern ist es untersagt, die maximale Aufbewahrungsdauer zu aktualisieren, falls diese in der GVL als nicht unbefristet angegeben wurde. Die Ausnahme hier ist, wenn ein Benutzer seine Zustimmung erneuert hat.

Optional können Anbieter detaillierte und zweckspezifische Aufbewahrungs- und Zugriffsinformationen offenlegen, falls sie im Detail nachweisen möchten, wie sie die Vorschriften des Urteils einhalten. 

Diese neuen Vorschriften gehen mit neuen technischen Spezifikationen einher. Zusätzliche Informationen über die Cookies von Anbietern werden der GVL hinzugefügt werden (mehr dazu hier).

Welcher Zeitplan gilt für die Aktualisierung zum TCF Version 2.1?

CMPs sollten ihre Benutzeroberfläche aktualisieren, um den neuen Anforderungen bis zum 31. Januar 2021 gerecht zu werden. Webseiten- und App-Betreiber müssen nichts tun, wenn sie mit einer CMP richtig ausgestattet sind.

{{discover-our-cmp}}

Diese Änderungen machen es Webseiten-Eigentümern sehr einfach, Cookie-Informationen über Drittparteien, die dem TCF angehören, offenzulegen.  Dies wird helfen, dem Urteil zu Planet49 Folge zu leisten.

Bitte setzen Sie sich mit unserem Didomi-Team in Verbindung, falls wir Ihnen dabei behilflich sein können.

{{request-a-demo}}