Was bedeutet das BGH-Urteil zu Cookies?
Das BGH-Urteil zu Cookies liegt jetzt vor. Am 01.10.2019 hatte der Europäische Gerichtshof (EuGH) entschieden, dass Internetanbieter die Einwilligung ihrer Nutzer für Cookies nur dann wirksam einholen, wenn der Nutzer aktiv zustimmen kann (Urteil vom 1.10.2019 – C-673/17). Diese Entscheidung resultiert aus einer Vorlage des Bundesgerichtshofs (BGH) im Verfahren planet 49. Nachdem der EuGH die Sache an den BGH zurückgeleitet hatte, fällte dieser jetzt am 28.05.2020 sein Urteil (Az. I ZR 7/16).
Der Fall
Es geht um einen Sachverhalt aus dem Jahre 2013, also aus der Zeit vor Inkrafttreten der Datenschutzgrundverordnung (DSGVO). Ein Unternehmen hatte ein Internet- Gewinnspiel veranstaltet, wobei das Onlineformular für die Teilnahme wie folgt gestaltet war:
Unter den Feldern für die Eingabe des Namens und der Adresse befanden sich zwei mit Ankreuzfeldern versehene Einverständniserklärungen. Der erste Text betraf die Einwilligung für den Erhalt von Werbung von Sponsoren und Kooperationspartnern:
„Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E-Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier:“
Über einen Link konnten diese aus einer Liste von insgesamt 57 Unternehmen ausgewählt werden. Die Checkbox zu der Einwilligungserklärung war nicht vorab aktiviert.
Die zweite Einwilligungserklärung betraf das Setzen von Cookies zur Auswertung des Surf- und Nutzungsverhaltens des Gewinnspielteilnehmers auf den Websites der Sponsoren und Kooperationspartner:
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die [Beklagte], nach Registrierung für das Gewinnspiel Cookies setzt, welches [der Beklagten] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
In den Cookies wurden zufallsgenerierte Nummern (IDs) gespeichert, die die Registrierungsdaten der Nutzer pseudonomisiert zugeordnet wurden.
Die Checkbox zu diesem Text war vorab aktiviert.
Die Vorlage an den EuGH und die Entscheidung
Da der Rechtsstreit verschiedene Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation, der Datenschutzrichtlinie sowie der Datenschutzgrundverordnung betraf, setzte der BGH sein Verfahren im Herbst 2017aus legte diese Fragen dem EuGH zur Entscheidung vor:
Kann eine Einwilligung wirksam erteilt werden, wenn die Häkchen der Checkbox vorab bereits aktiviert sind? Und wie wäre die Frage nach der DSGVO zu beurteilen?
Gelten die rechtlichen Anforderungen auch für nicht-personenbezogene Daten (z. B. Cookies, hidden identifers)?
Müssen genauere Infos zu den Cookies (Funktionsdauer, Zugriff durch Dritte usw.) in der Datenschutzerklärung platziert werden?
Der EuGH entschied am 01.10.2019, dass Internetanbieter die Einwilligung ihrer Nutzer für Cookies nur dann wirksam einholen, wenn der Nutzer aktiv zustimmen kann (Urteil vom 1.10.2019 – C-673/17). Wir berichteten darüber hier in unserem Blog.
Die Antworten zu den Vorlagefragen fielen so aus:
- Keine wirksame Einwilligung, wenn Häkchen in Checkbox vorab eingestellt sind und der Nutzer dieses erst abwählen muss (Art. 5 III EUPrivacyRiLI 2002/58). Auch die Anforderungen an Einwilligungen nach der neuen DSGVO sind so zu verstehen. Opt-out unzulässig
- Die rechtlichen Anforderungen gelten auch für Cookies, die Daten ohne Personenbezug sammeln.
- Es gehören umfassende Infos zu den Cookies (Funktionsdauer, Zugriff durch Dritte usw.) in die Datenschutzerklärung.
Das BGH-Urteil zu Cookies
Der BGH bestätigte die erstinstanzliche Verurteilung des werbenden Unternehmens. Dieses war vom Landgericht Frankfurt (Urteil vom 10.12.2014, Az. 2-6 O 30/14) verurteilt worden es zu unterlassen, in Gewinnspielvereinbarungen mit Verbrauchern
– den ersten Einwilligungstext zu den Sponsoren und Kooperationspartnern einzubeziehen,
– die Einwilligung zum Setzen von Cookies mit dem zweiten Text einzuholen und dabei ein voreingestelltes Ankreuzfeld zu verwenden.
Die Gründe im BGH-Urteil zu Cookies
Zum ersten Einwilligungstext bezüglich der werblichen Ansprachen entschied der BGH, dass es sowohl nach der im Zeitpunkt der beanstandeten Handlung geltenden Rechtslage als auch nach der jetzt geltenden DSGVO an einer wirksamen Einwilligung in telefonische Werbung fehlt.
Eine Einwilligung werde „in Kenntnis der Sachlage“ im Sinne des Art. 2 der europäischen Datenschutzrichtlinie erteilt, wenn der Verbraucher wisse, dass seine Erklärung ein Einverständnis darstelle und worauf sie sich beziehe. Die Einwilligung erfolge im Sinne dieser Vorschrift „für den konkreten Fall“, wenn klar werde, welche Produkte oder Dienstleistungen der werbenden Unternehmen sie konkret erfasse.
Daran fehle es im Streitfall, weil die Einwilligungserklärung den Verbraucher mit einem aufwendigen Verfahren zur Auswahl von Partnerunternehmen auf einer umfangreichen Liste konfrontiere. Er solle dadurch veranlasst werden, von der Auswahl abzusehen und stattdessen dem werbenden Unternehmen die Wahl der Werbepartner überlassen.
Im Übrigen liege keine Einwilligung für den konkreten Fall vor, da nicht sichergestellt sei, dass der Verbraucher den Inhalt der Liste zur Kenntnis nehme und sich über die Produkte oder Dienstleistungen der einzelnen Unternehmen informiere.
Insgesamt fehle es daher auch an einer Einwilligung „für den bestimmten Fall“ im Sinne des Art. 4 Nr. 11 DSGVO, die insoweit keine Rechtsänderung gegenüber der vorherigen Rechtslage herbeigeführt habe.
Zum zweiten Einwilligungstext in Bezug auf die Cookies verurteilte der BGH ebenfalls zur Unterlassung. Sowohl nach alter als auch nach neuer Rechtslage liege wegen des voreingestellten Ankreuzkästchens keine wirksame Einwilligung vor.
Das Vorgehen des werbenden Unternehmens sei nicht mit dem wesentlichen Grundgedanken des § 15 Abs. 3 Satz 1 Telemediengesetz (TMG) vereinbar. Dieser regele die Erstellung von pseudonomisierten Nutzerprofilen zu Werbezwecken, um dem Nutzer personalisierte Werbung zukommen zu lassen. Die Vorschrift sei dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich sei. Diese Einwilligung werde jedoch mit dem EuGH nicht wirksam eingeholt, wenn das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt werde, das der Nutzer zur Verweigerung seiner Einwilligung abwählen müsse.
Bewertung der BGH-Entscheidung
Die Begründung zur Auslegung des § 15 Abs. 3 TMG ist nicht nachvollziehbar, denn darin ist ausdrücklich eine Opt-Out-Regelung getroffen und das Anlegen von pseudonomisierten Nutzerprofilen zu Werbezwecken gerade nicht unter ein Einwilligungserfordernis gestellt worden.
Die Vorschrift lautet wie folgt:
„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.“
Fazit zum BGH-Urteil zu Cookies
Bei aller Kritik an der vorgenommenen Auslegung des § 15 Abs. 3 TMG werden die Unternehmen das BGH-Urteil zu Cookies akzeptieren und ihre Werbemaßnahmen darauf ausrichten müssen:
- Einwilligungen dürfen nicht über vorab aktivierte Checkboxen eingeholt werden.
- Das Verfahren zur Auswahl von Sponsoren und Drittunternehmen muss zumutbar sein.
- Werbe-Cookies dürfen nur mit vorheriger Einwilligung der Nutzer gesetzt werden.
Das To Do für Unternehmen nach den Cookie-Urteilen
Zunächst ist zu unterscheiden (siehe dazu unseren Blogbeitrag hier) zwischen
- rein funktionale Cookies, die ohne Einwilligung auf der Grundlage eines überwiegenden berechtigten Interesses eingesetzt werden dürfen und
- Werbe-Cookies, also allen Cookies, die zu Marketingzwecken genutzt werden. Bei diesen Cookies ist ausnahmslos eine Einwilligung einzuholen.
Checkliste für den Einsatz von Marketing-Cookies
Unternehmen müssen
- die Informationen zu Cookies, der jeweiligen Dauer und Funktionen, zum Widerrufsrecht, zur Rechtsgrundlage usw. in der Datenschutzinformation ergänzen,
- die Einwilligung für Werbe-Cookies z. B. über ein Banner einholen, ohne dass dieses vorab etwa über vorab angeklickte Checkboxen o. ä. aktiviert ist,
- die technische Aktivierung der Cookies zurückstellen, bis die erforderliche Einwilligung erteilt ist. Daten dürfen vorher nicht übertragen werden.
Wie geht es weiter?
Das Telemediengesetz basiert letztlich auf der ePrivacy-Richtlinie, denn es ist die Umsetzung dieser Richtlinie. Die ePrivacy-Richtlinie ist – anders als die EU-Datenschutzrichtlinie nach Art. 94 DSGVO – bislang nicht aufgehoben. Sie gehört zu den Regelungen, die mit Inkrafttreten der geplanten ePrivacy-Verordnung wegfallen werden. Es bleibt zu hoffen, dass die ePrivacy-Verordnung klare Regelungen für die Werbe-Wirtschaft auch zu Cookies und Webseitenanalyse treffen wird. Allerdings stehen die Chancen nicht sehr gut, wie die bisherige Diskussion dazu gezeigt hat. Zum Stand des Gesetzgebungsverfahrens zur ePrivacy-Verordnung veröffentlicht der BVWD regelmässig hilfreiche Informationen.
Bildnachweis für diesen Beitrag: © Alexander Limbach – stock. adobe. com
Das könnte Sie ebenfalls interessieren: