Nachdem der EuGH in seiner Entscheidung vom 01.10.2019 zu der Richtlinie 2002/58/EG (sog. Cookie-Richtlinie) festgestellt hat, dass Cookies, die technisch für die Nutzung der Website nicht erforderlich sind (bspw. Webanalyse- oder Tracking-Dienste) nur dann auf dem Endgerät des Nutzers abgelegt werden dürfen (d. h. gesetzt werden), wenn hierfür eine Einwilligung des Nutzers vorliegt (EuGH, Urteil vom 01.10.2019 – Az. C-673/17; Rechtssache Planet49; wir berichteten in unserem Newsletter 04/2019), liegt nun die mit Spannung erwartete Entscheidung des BGH in dieser Sache vor (veröffentlicht wurde bislang allerdings nur eine offizielle Pressemitteilung, die Urteilsbegründung liegt noch nicht vor).
Kontext der Entscheidung
Die Besonderheit der Entscheidung des BGH lag darin, dass der deutsche Gesetzgeber die vom EuGH in der o. g. Entscheidung zugrunde gelegten Regelungen der Cookie-Richtlinie – diese macht in Art. 5 Abs. 3 den „Zugriff auf Informationen, die bereits im Endgerät des Teilnehmers oder Nutzers gespeichert sind“, ausdrücklich von dessen Einwilligung abhängig – in § 15 Abs. 3 Telemediengesetz (TMG) umgesetzt hatte bzw. davon ausging, diese dort hinreichend umgesetzt zu haben. Auf Grund der Formulierung des § 15 Abs. 3 Satz 1 TMG („Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.“) wurde lange Zeit vertreten, dass die gesetzlichen Vorgaben bereits dann eingehalten sind, wenn dem Nutzer die Möglichkeit eingeräumt wurde, der (weiteren) Verwendung von Cookies zu widersprechen (sog. Opt-out). Die o. g. Entscheidung des EuGH ließ sich durchaus so verstehen, dass der deutsche Gesetzgeber die Vorgaben der Cookie-Richtlinie gerade nicht korrekt umgesetzt hat. Vor diesem Hintergrund blieb abzuwarten, wie der BGH diese Entscheidung bei der Auslegung von § 15 Abs. 3 TMG beachten würde.
Entscheidung des BGH
In seiner Entscheidung vom 28.05.2020 bestätigt der BGH – über eine richtlinienkonforme Auslegung des § 15 Abs. 3 TMG – die Rechtsauffassung des EuGH, indem er feststellt, dass
- für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist und
- keine wirksame Einwilligung vorliegt, wenn das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird.
Zugleich führt der BGH aus, dass sich an dieser Rechtslage auch unter der seit dem 25.05.2018 einschlägigen Datenschutz-Grundverordnung (DS-GVO) nichts ändert (der der Entscheidung des BGH zugrunde liegende Sachverhalt ereignete sich zu Zeiten vor der DS-GVO), da ein vom Nutzer abzuwählendes, voreingestelltes Ankreuzkästchen auch nach den Regelungen der DS-GVO keine wirksame Einwilligung darstellt.
Rechtsfolgen für die Praxis
Damit steht fest, dass die Verwendung von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung – und damit wohl die Verwendung der allermeisten technisch nicht notwendigen Cookies – nur auf der Grundlage einer wirksamen Einwilligung des Nutzers zulässig ist.
Damit rückt die Frage in den Fokus, wie eine solche Einwilligung – u. a. auch unter Berücksichtigung der umfangreichen Informationspflichten – wirksam eingeholt werden kann. Das gängige Mittel zur Einholung einer Einwilligung ist das sog. Cookie-Banner, dass in unterschiedlichsten Ausprägungen anzutreffen ist. Da nun auch der BGH eine eindeutige bestätigende Handlung fordert, ist klar, dass jedenfalls Cookie-Banner, die lediglich auf eine Opt-out-Möglichkeit hinweisen, nicht ausreichend sind. Noch nicht geklärt ist allerdings, ob es ausreichend ist, über das Cookie-Banner sämtliche, nicht näher benannten Cookies zu akzeptieren oder ob es – wie bspw. die dänische Datenschutzbehörde meint – erforderlich ist, separate Einwilligungen einzuholen.
TIPP: Angesichts der o. g. Entscheidung des BGH sollte jeder, der eine Website betreibt, auf der Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung verwendet werden, prüfen, ob hinsichtlich des Einwilligungserfordernisses Anpassungsbedarf besteht. Bei dieser Prüfung und der Vornahme erforderlicher Anpassungsmaßnahmen sollte keine Zeit verschwendet werden, schließlich hat die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz in ihrem Aktionsplan 2020 u. a. verstärkte und auch mit den übrigen Landesdatenschutzbehörden koordinierte Kontrollen in Bezug auf die Umsetzung der datenschutzrechtlichen Vorgaben für das Tracking auf Websites angekündigt.
Für ergänzende Erläuterungen steht Ihnen Herr Rechtsanwalt Patrick Steinhausen gerne zur Verfügung.