25. Juni 2020
Cookie Einwilligung
Datenschutzrecht

BGH: Cookie‑Nutzung nur nach aktiver Einwilligung

Ein voreingestelltes Häkchen im Cookie‑Banner stellt eine unangemessene Benachteiligung des Nutzers dar und ist somit keine wirksame Einwilligung.

Nachdem der Europäische Gerichtshof sich im letzten Jahr bereits positionierte (EuGH, Urteil v. 1. Oktober 2019 – C-673/17), zieht nunmehr auch der BGH nach: Wer Cookies auf seiner Website zur Erhebung und Auswertung von Daten nutzen möchte, der muss eine aktive Einwilligung des Nutzers hierfür einholen (BGH, Urteil v. 28. Mai 2020 – I ZR 7/16). Eine Vorauswahl darf nicht getroffen werden. Zu diesem Schluss kommt der erste Zivilsenat aus Karlsruhe durch europarechtskonforme Auslegung der einschlägigen deutschen Gesetze (§ 15 Abs. 3 Satz 1 Telemediengesetz – TMG).

VZBV bemängelt bloßes Opt-out bei Abfrage der Cookie-Nutzung

Der Verbraucherzentrale Bundesverband e.V. (vzbv) wandte sich mit seiner Klage unter anderem gegen eine mit vorausgewähltem Ankreuzfeld versehene Einverständniserklärung, die die Beklagte (Planet49 GmbH) im September 2013 auf ihrer Website im Zuge eines Glückspiels veröffentlichte.

Neben dem vorangekreuzten Feld befand sich folgender Text:

Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die Planet49 GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.

In der bisher veröffentlichten Pressemitteilung des BGH heißt es zum Sachverhalt weiter:

In der mit dem Wort „hier″ verlinkten Erläuterung wurde darauf hingewiesen, dass die Cookies eine bestimmte, zufallsgenerierte Nummer (ID) erhalten würden, die den Registrierungsdaten des Nutzers zugeordnet seien, der sich mit Namen und Adresse in das bereitgestellte Webformular eingetragen habe. Falls der Nutzer mit der gespeicherten ID die Webseite eines für Remintrex registrierten Werbepartners besuchen würde, sollte sowohl dieser Besuch erfasst werden als auch, für welches Produkt sich der Nutzer interessiert und ob es zu einem Vertragsschluss kommt.

Der voreingestellte Haken konnte zwar entfernt werden, eine Teilnahme am Gewinnspiel war jedoch nur dann möglich, wenn der Nutzer entweder der Cookie‑Nutzung oder der Übersendung von Werbung zustimmte.

Vorinstanzen uneinig, EuGH klärt: Voreingestelltes Ankreuzkästchen keine wirksame Einwilligung

Das Landgericht Frankfurt a.M. gab der Klage des vzbv zunächst statt (Urteil v. 10. Dezember 2014 – 2/6 O 30/14), die Berufung der Beklagten vor dem OLG Frankfurt hatte jedoch Erfolg (Urteil v. 17. Dezember 2015 – 6 U 30/15). Über die Revision entschied nun der BGH, nachdem der Fall zwischenzeitlich dem EuGH zur Vorabentscheidung vorgelegt wurde (BGH, Beschluss v. 5. Oktober 2017 – I ZR 7/16).

Der EuGH entschied, dass die einschlägigen europäischen Normen (Art. 4 Abs. 3 Satz 1 der Datenschutzrichtlinie für elektronische Kommunikation (2002/58/EG) in der durch Art. 2 Nr. 5 RL 2009/136/EG geänderten Fassung) so auszulegen seien, dass keine wirksame Einwilligung vorliege, wenn die Speicherung von Informationen mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt werde, das der Nutzer zur Verweigerung seiner Einwilligung abwählen müsse.

Die spannende und vom BGH nunmehr zu entscheidende Frage war, wie und ob diese Auslegung der europäischen Richtlinien durch den EuGH in das deutsche Recht „übersetzt“ werden kann. Die in Deutschland einschlägige Norm für die Frage nach der Einwilligung in die Nutzung von Cookies ist § 15 Abs. 3 Satz 1 TMG. Dort heißt es:

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.

Richtlinienkonforme Auslegung als Schlüssel für den BGH

Die beanstandete Nutzung von Cookies diene, so der BGH, der Erstellung von Nutzerprofilen zum Zwecke der Werbung, indem das Nutzerverhalten im Internet erfasst und zur Übermittlung darauf abgestimmter Werbung via E-Mail, Post oder Telefon verwendet werde. Bei den in den Cookies gespeicherten nutzerbasierten Informationen handele es sich um Pseudonyme im Sinne des § 15 Abs. 3 Satz 1 TMG. Eine anderweitige Umsetzung der einschlägigen Vorschriften der Richtlinien ins deutsche Recht gebe es nicht, sodass § 15 TMG für die Entscheidung maßgebend sei.

Die Norm spricht lediglich davon, dass der Nutzer dem Einsatz der Nutzungsprofile nicht widersprochen haben dürfe. Man könnte bei isolierter Betrachtung also durchaus auf die Idee kommen, dass auch eine Zustimmung in Gestalt eines vorangekreuzten Kästchens ausreichen könnte. Ebenso könnte man auf die Idee kommen, dass § 15 Abs. 3 Satz 1 TMG europarechtswidrig ist, da das Europarecht eine aktive Einwilligung verlangt, das deutsche Recht hingegen einen fehlenden Widerspruch ausreichen lässt.

Beides lehnt der BGH in seiner Entscheidung ab. Seine Lösung lautet „richtlinienkonforme Auslegung“:

§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.

Der Gesetzgeber kann sich also zurücklehnen – einen Umsetzungsakt hält der BGH nicht für erforderlich. Die richtlinienkonforme Auslegung des § 15 TMG sei mit dem Wortlaut der Norm „noch vereinbar“:

Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.

Da es sich bei der von der Beklagten eingeholten Einwilligung um Allgemeine Geschäftsbedingungen handele und die Form der Einwilligung wesentlichen Grundgedanken der gesetzlichen Regelung (d.h. § 15 Abs. 3 Satz 1 TMG) widerspreche, sei die Einwilligung gemäß § 307 Abs. 1 Satz 1 und Abs. 2 Nr. 1 BGB unwirksam.

Auch unter DSGVO können von Nutzern abzuwählende, voreingestellte Ankreuzkästchen nicht als Einwilligung verstanden werden

Der zu entscheidende Sachverhalt stammt aus dem Jahre 2013 – fast fünf Jahre bevor die in Datenschutzfragen europaweit mittlerweile allgegenwärtige Datenschutz‑Grundverordnung (DSGVO) anfing zu gelten. Somit musste der BGH seiner Entscheidung auch die 2013 geltende Rechtslage zugrunde legen. Doch was gilt heute? Wäre die Entscheidung des BGH unter Einbeziehung der DSGVO anders ausgefallen?

Auch hierauf liefern die Karlsruher Richter eine eindeutige Antwort: Nein! Die Anwendung der DSGVO hätte zu keinem anderen Urteil geführt:

An dieser Rechtslage hat sich seit dem (…) ersten Geltungstag der [DSGVO], nichts geändert, weil diese Verordnung (…) die Fortgeltung des § 15 Abs. 3 Satz 1 TMG (…) unberührt lässt. (…). Der Gerichtshof der Europäischen Union hat auf Vorlage durch den Senat auch mit Blick auf Art. 4 Nr. 11 der Verordnung (EU) 2016/679 entschieden, dass ein vom Nutzer abzuwählendes, voreingestelltes Ankreuzkästchen keine wirksame Einwilligung darstellt.

Praxistipp: Cookie-Banner rechtskonform ausgestalten

Der BGH bestätigt mit seiner Entscheidung, was spätestens seit dem EuGH‑Urteil aus dem letzten Jahr jedem klar sein musste: Eine Einwilligung zur Nutzung von Cookies muss aktiv gesetzt werden und eine Vorauswahl jeglicher Façon ist dafür unzureichend. Auch solche Cookie‑Banner, die lediglich auf die Nutzung von Cookies hinweisen und überhaupt keine oder nur versteckt Auswahlmöglichkeiten für den Einsatz von Cookies bieten, verstoßen gegen geltendes Recht. Nutzt man sie trotzdem, muss mit kostenpflichtigen Abmahnungen durch Verbraucherverbände und empfindlichen Bußgeldern unter der Geltung der DSGVO gerechnet werden.

Durch das Urteil werden die Anforderungen an die rechtskonforme Ausgestaltung von Cookie‑Bannern für Betreiber von Websites erhöht. Jedoch herrscht nunmehr zumindest in Bezug auf die früher sehr verbreiteten Banner mit vorausgewählter Einwilligung oder bloßen Hinweisen Rechtssicherheit. Wer umfangreich tracken möchte, der benötigt eine Einwilligung durch Opt‑in des Nutzers.

Gleichwohl verbleibt ein gewisser Spielraum. Sogenannte technisch notwendige Cookies dürfen nämlich auch ohne aktive Einwilligung verwendet werden – zumindest nach der Stellungnahme der Artikel‑29‑Datenschutzgruppe, dem Vorgänger des Europäischen Datenschutzausschusses (EDSA). Welche Cookies im Einzelnen als technisch notwendig einzustufen sind, muss im Einzelfall geprüft werden – Grenzfälle sind dabei durchaus möglich.

Auf der sicheren Seite ist man mit Bannern (oder ähnlichen Ausgestaltungen), die dem Nutzer eine Auswahl anzeigen und bei denen sämtliche Felder für nicht technisch notwendige Cookies von vornherein nicht ausgewählt sind. Diese sind jedoch häufig denkbar nutzerunfreundlich, insbesondere bei nicht optimierter Darstellung auf Smartphones oder sonstigen mobilen Endgeräten. Dies muss jedoch derzeit in Kauf genommen werden, wenn Abmahnungen und schlimmstenfalls DSGVO‑Bußgelder vermieden werden sollen.

Aufgrund der verbleibenden Unsicherheit wäre es sinnvoll und wünschenswert, dass der EDSA einheitliche Leitlinien für den Einsatz von Cookies formuliert. Dies wäre sowohl im Sinne der betroffenen Unternehmen als auch der Aufsichtsbehörden und würde zudem eine unionsweit homogene Praxis sicherstellen.

Tags: Ankreuzkästchen Banner Cookie Einwilligung Opt in Opt-out