"Gute Beratung setzt einen verlässlichen Informationsfluss voraus. Als vertrauensvoller Partner schaffen wir mehr als nur durchgehende Kostentransparenz."
Newsletter Kanzlei Schiedermair

Newsletter

Einführung

Im November 2019 haben wir über das Urteil des Europäischen Gerichtshofs (EuGH) zur Notwendigkeit einer aktiven Zustimmung zur Verwendung von Cookies auf Unternehmenswebsites informiert (Rechtssache C-673/17 – „Planet49“, Newsletter Nr. 2/2019). Die in dem Newsletter angekündigte abschließende Entscheidung des Bundesgerichtshofs (BGH) in der Streitsache ist nun verkündet worden. Erwartungsgemäß ist der BGH den Vorgaben des EuGH gefolgt (BGH, Urteil vom 28. Mai 2020 – I ZR 7/16, „Cookie-Einwilligung II“). Die Urteilsgründe hat das Gericht noch nicht veröffentlicht. Jedoch gibt auch die zu der Entscheidung verfasste Pressemitteilung schon Anlass, über die Feststellungen der Karlsruher Richter zu informieren.

Sachverhalt und Entscheidung

Ausgangspunkt des Rechtsstreits war die folgende vorformulierte Einwilligungserklärung, die von dem Website-Betreiber Planet49 im Rahmen eines Online-Gewinnspiels abgefragt worden war:

„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches [Planet49] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie bitte Näheres hier.“

Dem Text vorangestellt war ein Ankreuzfeld mit einem voreingestellten Häkchen. Das Häkchen konnte entfernt werden. Über den Begriff „hier“ waren nähere Informationen zu den Cookies abrufbar.

Der Bundesverband der Verbraucherzentralen hatte – neben weiteren Beanstandungen – die Einwilligungserklärung als unlautere Allgemeine Geschäftsbedingung gemäß § 1 Unterlassungsklagengesetz in Verbindung mit § 307 Abs. 1 Satz 1 und Abs. 2 Nr. 1 BGB angegriffen und den Anbieter des Gewinnspiels zur Unterlassung aufgefordert. Der BGH gab der Klage nun nach dem Vorlageverfahren an den EuGH in letzter Instanz statt.

Die Richter stellten fest, dass die beanstandete Einwilligungserklärung mit dem vorangekreuzten Kästchen sowohl nach dem im Zeitpunkt der Veranstaltung des Gewinnspiels geltenden Recht als auch nach dem im Entscheidungszeitpunkt geltenden Recht eine unangemessene Benachteiligung des Nutzers darstellte. Dies, weil für das Setzen der in der Einwilligung angesprochenen Cookies vorab ein Opt-in hätte eingeholt werden müssen, was durch die vorangekreuzte Erklärung aber nicht wirksam eingeholt wurde. Die für die Erstellung von Nutzungsprofilen einschlägige Regelung in § 15 Abs. 3 Satz 1 Telemediengesetz (TMG) sei gemäß den Vorgaben der ePrivacy-Richtlinie dahingehend auszulegen, dass eine aktive Einwilligung in die Verwendung von Cookies, die der Nutzungsanalyse für Zwecke der Werbung oder Marktforschung dienten, eingeholt werden müsste. Ein vom Nutzer zwar abzuwählendes, aber voreingestelltes Ankreuzkästchen sei keine wirksame (aktive) Einwilligung.

Rechtliche Bewertung des BGH-Urteils

Mit der Entscheidung der Karlsruher Richter ist die jahrelange Diskussion über das Verständnis der ePrivacy-Richtlinie und deren Umsetzung durch das deutsche TMG beendet. Während § 15 Abs. 3 TMG Websitebetreibern das Erstellen von Nutzungsprofilen für Zwecke der Werbung (unter Einsatz von Cookies) erlaubt, solange der betroffene Website-Besucher dem nicht widersprach, verlangt die europäische ePrivacy-Richtlinie:

„Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen […]seine Einwilligung gegeben hat.“

Schon vor Geltung der Datenschutz-Grundverordnung, spätestens aber mit deren Inkrafttreten ging die nahezu einhellige Meinung dahin, dass eine Einwilligung gemäß der ePrivacy-Richtlinie nur durch eine aktive Zustimmungshandlung (z.B. Ankreuzen eines Kästchens) erklärt werden könne. Dies hatte nun zuletzt der EuGH in dem Vorlageverfahren „Planet49“ bestätigt. § 15 Abs. 3 TMG ist gleichwohl seit Inkrafttreten der ePrivacy-Richtlinie vom deutschen Gesetzgeber nicht angepasst worden und erklärt die Analyse von Nutzerverhalten bis zu einem etwaigen Widerspruch, also einem Opt-out, durch den Betroffenen für rechtmäßig.
Der BGH löste den eklatanten Widerspruch zwischen europäischer Richtlinie und nationalem Gesetz nun durch eine richtlinienkonforme Auslegung der deutschen Norm und stellte fest:

„Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.“

Mit anderen Worten: Wenn der Websitebetreiber kein Opt-in in die Nutzung von Tracking-Cookies nachweisen kann, ist dies als Widerspruch des Nutzers im Sinne des § 15 Abs. 3 TMG zu werten.

Die richtlinienkonforme Auslegung in dem Sinne, dass in das Widerspruchserfordernis des § 15 Abs. 3 TMG ein Einwilligungserfordernis „hineingelesen“ wird, ist sehr weit hergeholt, kommt aber wenig überraschend und schafft Klarheit für alle Websitebetreiber, die Tracking-Tools auf Ihrer Website einsetzen.

Konsequenzen für die Praxis

Mit der Rechtsklarheit einher geht allerdings ein dringender Handlungsbedarf für viele Websitebetreiber. Die immer noch weit verbreiteten Cookie-Banner, die eine Einwilligung in das Setzen von Cookies bei bloßer Weiternutzung der Website fingieren, entsprechen nicht (mehr) den gesetzlichen Vorgaben. Sie können insbesondere, und dies ist eine besondere Brisanz der BGH-Entscheidung, als unlautere Allgemeine Geschäftsbedingung angegriffen werden, und zwar durch Wettbewerber und Verbraucherschutzverbände. Die Gefahr der Beanstandung droht also nicht mehr nur durch Datenschutzaufsichtsbehörden.

Einige Fragen sind auch nach dem Urteil aus Karlsruhe noch offen. Dazu werden vermutlich auch die Entscheidungsgründe keine Klarheit bringen. So stellt sich insbesondere die Frage, ob das Einwilligungsbedürfnis auch für eigenentwickelte Tools gilt, bei denen keine Informationen an einen Drittanbieter übermittelt werden. Für solche Tools hatte die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe für Anbieter von Telemedien (von März 2019) noch die Möglichkeit einer Rechtfertigung über das berechtige Interesse (und nicht die Einwilligung) angedeutet. Das dürfte sich nach den Urteilen des EuGH und des BGH kaum aufrecht erhalten lassen, denn die ePrivacy Richtlinie unterscheidet nicht danach, wer die Informationen aus dem Endgerät verarbeitet und ob Drittanbieter neben dem Betreiber der Website eingebunden sind. Die Richtlinie erfasst vielmehr sämtliche technischen Mittel, mit denen Informationen aus Nutzer-Endgeräten gezogen werden können, gleich wer Zugriff auf diese Informationen hat und ob es sich bei den Informationen um personenbezogene Daten im Sinne der Datenschutz-Grundverordnung handelt.

Ohne Einwilligung gestattet ist laut der Richtlinie nur die Speicherung oder der Zugriff auf im Endgerät bereits gespeicherte Informationen, wenn dies für die Bereitstellung und den Betrieb der Website „unbedingt erforderlich“ ist. Hieran knüpft sich die zweite offene Frage, nämlich die Zuordnung von Cookies als für den Betrieb der Website „unbedingt erforderlich“. Was hierunter fällt, ist bislang weder in der Rechtsprechung noch von den Aufsichtsbehörden abschließend geklärt worden. Insbesondere die Einordnung von Komfortfunktionen wie etwa Sprach- oder vergleichbaren Einstellungen wird hier im Einzelfall vorzunehmen sein.

Im Zusammenhang mit den technisch notwendigen Cookies stellt sich schließlich die Frage, ob auch über das Setzen nur technisch notwendiger Cookies auf der Startseite mit einem Banner informiert werden muss oder ob hierfür die Hinweise in der Datenschutzerklärung genügen. Auch dazu gibt es gegensätzliche Ansichten und müssen die weiteren Entwicklungen abgewartet werden.

 

Gerne unterstützen wir Sie auch weiterhin bei Ihren datenschutzrechtlichen Fragen. Wir freuen uns auf die Zusammenarbeit mit Ihnen. Kommen Sie gut durch diese schwierige und herausfordernde Zeit und, vor allem, bleiben Sie gesund!

Ihr SCHIEDERMAIR Datenschutz-Team


Sollten Sie bezüglich dieses Newsletters Fragen haben, wenden Sie sich gerne an folgende Ansprechpartner:

Dr. Jörg Buschbaum, LL.M. (NZ)
Verena Hechenblaikner, LL.M.
Dr. Katrin Stadler
Stephanie G. Hartung
Mona Baron

Wir möchten darauf hinweisen, dass die allgemeinen Informationen in diesem Newsletter eine Rechtsberatung im Einzelfall nicht ersetzen.