Neues zum Datenschutzrecht

29.5.2020

BGH-Entscheidung: Keine Cookies zu Werbezwecken mit voreingestellten Ankreuzkästchen

Der Bundesgerichtshof (BGH) hat am 28.5.2020 entschieden, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist. Zu diesem Ergebnis gelangt das Gericht im Wege einer richtlinienkonformen Auslegung von § 15 Abs. 3 Satz 1 Telemediengesetz (TMG), der wie folgt lautet:

"Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder … Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht."

Der BGH hat in seinem Urteil (I ZR 7/16 - Cookie-Einwilligung II) außerdem entschieden, dass keine wirksame Einwilligung vorliegt, wenn die Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung durch ein voreingestelltes Ankreuzkästchen erlaubt werden, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Sachverhalt

Das im Ausgangsverfahren verklagte Unternehmen, die Planet49 GmbH, veranstaltete auf einer Website ein Gewinnspiel zu Werbezwecken. Das Online-Teilnahmeformular enthielt oberhalb des Teilnahme-Buttons zwei als Einwilligungserklärungen formulierte Texte, die jeweils mit einem Ankreuzkästchen versehen waren. Eines der Ankreuzfelder war per Voreinstellung angekreuzt und bereits mit einem Häkchen versehen. Diesem Ankreuzfeld war folgender Text zugeordnet:

„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die Planet49 GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Das Wort „hier“ war verlinkt mit weitergehenden Informationen über die Namen und Funktionsweise der gesetzten Cookies. Es wurde ausgeführt, dass die Cookies eine bestimmte Nummer (ID) enthalten, die den Registrierungsdaten der Nutzer zugeordnet wird. Beim Besuch einer Website eines für den eingesetzten Webanalysedienst registrierten Werbepartners wird dort aufgrund eines eingebundenen iFrames des Webanalysedienstes automatisiert das Nutzerverhalten erfasst und zu Werbezwecken ausgewertet.

Vorlage an den EuGH

Der BGH hat das Verfahren mit Beschluss vom 5. Oktober 2017 ausgesetzt und dem Gerichtshof der Europäischen Union (EuGH) verschiedene Fragen zur Auslegung der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG; ePirvacy-Richtlinie), der Datenschutzrichtlinie (Richtlinie 95/46/EG) sowie der Datenschutz-Grundverordnung (DSGVO) hinsichtlich der Wirksamkeit einer Einwilligung in das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen vorgelegt.

Der EuGH hat die Vorlagefragen mit Urteil vom 1.10.2019 (C-673/17; Planet49) nicht nur auf der Grundlage der Richtlinie 95/46/EG , sondern auch auf Basis der DSGVO beantwortet, mit der die Richtlinie 95/46/EG aufgehoben wurde (Art. 95 Abs. 1 DSGVO). Dabei gelangt das Gericht zu gleichen Ergebnissen und sieht seine Auslegung durch die DSGVO bestätigt bzw. im Licht der DSGVO erst recht geboten. Der EuGH hat – nicht wirklich überraschend – entschieden, dass bei einem Ankreuzfeld, das per Voreinstellung angekreuzt und standardmäßig mit einem Häkchen versehen ist, die Voraussetzungen für eine wirksame Einwilligung nicht vorliegen. Überdies hat der EuGH in seiner Entscheidung deutlich gemacht, dass der Nutzer durch klar verständliche und hinreichend detaillierte Information in die Lage versetzt werden muss, die Konsequenzen seiner Einwilligung leicht zu bestimmen und die Funktionsweise der verwendeten Cookies zu verstehen. Daher sind auch Angaben zu Dritten, die Zugriff auf die Cookies erhalten können, und zur Funktions- bzw. Speicherdauer der Cookies zu machen.

Entscheidung des BGH

Der BGH hat den Ausgangsfall unter Berücksichtigung des vorangegangene EuGH-Urteils entscheiden. Hinsichtlich der Einwilligung in die Cookies führt das Gericht laut seiner Pressemitteilung aus, dass § 15 Abs. 3 Satz 1 TMG mit Blick auf die ePrivacy-Richtlinie dahin richtlinienkonform auszulegen ist, so dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.

Unter Verweis auf die EuGH-Entscheidung stellt auch der BGH fest, dass keine wirksame Einwilligung vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss. Auf die Frage, ob es sich bei den Informationen um personenbezogene Daten handelt, kommt es in diesem Zusammenhang nicht an.

Fazit und Praxishinweise

Der BGH hat den Ausgangsfall unter Berücksichtigung des EuGH-Urteils entschieden. Er hat sich für eine dem EuGH-Urteil entsprechende europarechtskonforme Auslegung von § 15 Abs. 3 TMG entschieden. Es lag unter anderem mit Blick auf den Wortlaut von § 15 Abs. 3 TMG nahe, diese Vorschrift für nicht anwendbar zu erklären und den Fall wegen des vorliegenden Personenbezugs auf der Grundlage der DSGVO zu entscheiden. Hierzu sah der BGH keinen Anlass oder er hat sich nicht getraut.

Für die Praxis lässt sich das festhalten, was bereits seit dem EuGH-Urteil vom 1.10.2019 (C-673/17) galt: Die in verschiedensten Ausprägungen sog. Cookie-Banner umgesetzte „Widerspruchslösung“ auf Basis von § 15 Abs. 3 TMG ist endgültig nicht mehr haltbar. Der Einsatz von einwilligungsbedürftigen Cookies kann nicht mehr auf sog. Cookie-Banner gestützt werden, die mit mehr oder weniger konkreten Hinweisen und einem „Okay“-Button versehen sind. Die weitere Nutzung einer Website stellt keine Einwilligung dar, wie sie die ePrivacy-Richtlinie und die DSGVO verlangen.

Der BGH hat sich – im Gegensatz zum EuGH – auch entschieden, dass ein Werbetracking mittels Cookies in jedem Fall einer Einwilligung bedarf. Bis zu dem noch nicht absehbaren Inkrafttreten der ePrivacy-Verordnung (dazu s. Datenschutz-News v. 28.2.2020) kommt für Cookies zu Werbezwecken weiter § 15 Abs. 3 TMG, aber in europarechtskonformer Auslegung, und nicht die DSGVO zum Tragen, wie es die deutschen Aufsichtsbehörden vertreten. Es steht außer Frage, dass das Abmahnrisiko steigt.

Sollten Sie Fragen zum rechtskonformen Einsatz von Cookies und anderen Tracking-Technologien oder zu sonstigen datenschutzrechtlichen Themen haben oder dabei Unterstützung benötigen, können Sie mich gerne kontaktieren.

Zurück zur Übersicht