Kaum ein Urteil hat die Praxis von Cookie-Bannern in Europa so unmittelbar verändert wie die Entscheidung des Europäischen Gerichtshofs (EuGH) vom 1. Oktober 2019 im Verfahren gegen das Unternehmen Planet49 (Rechtssache C-673/17). Was zunächst wie eine Randfrage aus einem Online-Gewinnspiel wirkte, wurde zur Grundsatzentscheidung darüber, was eine gültige Cookie-Einwilligung überhaupt ausmacht.
Der Sachverhalt war unspektakulär: Planet49 veranstaltete ein Online-Gewinnspiel und blendete den Teilnehmern zwei Kästchen ein. Das eine — bereits vorangehakt — betraf die Einwilligung in das Setzen von Cookies zu Werbezwecken durch Werbepartner. Das andere, separat anzuklickende Kästchen betraf die Weitergabe personenbezogener Daten an Sponsoren zu Werbezwecken per Telefon oder E-Mail. Wer am Gewinnspiel teilnehmen wollte, musste das zweite Kästchen aktiv ankreuzen, konnte das erste — vorangehakte — aber einfach so stehen lassen, ohne es überhaupt bewusst wahrzunehmen.
Der Bundesgerichtshof legte die Frage dem EuGH vor: Reicht ein solches, bereits aktiviertes Kästchen als Einwilligung im Sinne der ePrivacy-Richtlinie aus? Die Antwort des Gerichts war eindeutig: Nein. Eine Einwilligung setzt eine aktive, bewusste Handlung des Nutzers voraus — ein Kästchen, das der Nutzer selbst anklicken muss, um zuzustimmen, nicht eines, das er abwählen müsste, um NICHT zuzustimmen. Der Unterschied zwischen "aktiv zustimmen" und "nicht widersprechen" ist genau der Unterschied, um den es in der Geschichte der ePrivacy-Richtlinie seit 2009 ging — und der EuGH bestätigte damit, dass diese Verschärfung auch tatsächlich ernst gemeint war.
Bemerkenswert an der Entscheidung war ein zweiter Punkt: Der EuGH stellte klar, dass es für die Einwilligungspflicht selbst nicht darauf ankommt, ob die im Cookie gespeicherte Information personenbezogene Daten im Sinne der DSGVO darstellt oder nicht. Die ePrivacy-Richtlinie schützt bereits den Zugriff auf das Endgerät als solchen — unabhängig davon, was dabei am Ende inhaltlich gespeichert wird. Das war eine wichtige Klarstellung, weil manche Anbieter zuvor argumentiert hatten, pseudonyme oder rein technische Kennungen fielen gar nicht unter die Einwilligungspflicht.
Drittens verlangte das Gericht, dass Nutzer vor der Einwilligung konkret über die Funktionsdauer der Cookies und darüber informiert werden, ob Dritte Zugriff darauf erhalten. Eine allgemeine, vage gehaltene Information reicht seither nicht — Cookie-Erklärungen müssen so konkret sein, dass ein Nutzer tatsächlich einschätzen kann, worin er einwilligt.
Die praktischen Folgen des Urteils waren unmittelbar spürbar: Vorangehakte Kästchen verschwanden aus europäischen Cookie-Bannern, "Zustimmen"-Schaltflächen mussten durch einen echten, bewussten Klick ausgelöst werden, und die Kategorisierung von Cookies mit genauen Angaben zu Zweck und Laufzeit wurde zum Standard. Datenschutzbehörden in mehreren Mitgliedstaaten überarbeiteten ihre eigenen Leitlinien direkt im Anschluss an die Entscheidung, und sie diente seither als Referenz in zahlreichen weiteren Verfahren — etwa zur Frage, ob ein Banner, das "Ablehnen" absichtlich schwerer zugänglich macht als "Zustimmen", ebenfalls gegen das Erfordernis einer freien, unmissverständlichen Entscheidung verstößt.
Planet49 zeigt damit exemplarisch, wie ein einzelnes Gerichtsverfahren die abstrakten Vorgaben eines Gesetzestextes in konkrete, technische Anforderungen übersetzt — und warum ein Cookie-Banner heute so aussieht, wie er aussieht, statt wie noch vor 2019 üblich.
Bemerkenswert ist außerdem, wie schnell sich die Wirkung des Urteils über den eigentlichen Streitfall hinaus verbreitete: Obwohl es formal nur die Auslegung der ePrivacy-Richtlinie für einen konkreten deutschen Rechtsstreit klärte, orientierten sich Aufsichtsbehörden in ganz Europa an derselben Linie — ein Beleg dafür, wie stark ein einzelnes EuGH-Urteil die Praxis über die Grenzen des Ausgangsverfahrens hinaus prägen kann.