Dass der I. Zivilsenat des BGH am 28.05.2020 einen Paukenschlag gesetzt hatte, konnte man beim Blick in die Medien schnell erahnen. Ob Onlinemedium oder TV, nahezu überall wurde unmittelbar nach Veröffentlichung der Pressemitteilung über die Entscheidung in der Sache „Planet49“ berichtet. Mehr als deutlich dürfte deshalb die Kernbotschaft des BGH angekommen sein: Der Einsatz von Cookies zu Werbezwecken ist nur nach aktiver und informierter Einwilligung des Nutzers zulässig. Zur Begründung dieser schlagzeilenträchtigen Grundsatzentscheidung hat der I. Zivilsenat einen sehr interessanten Weg gewählt. Dieser ist für die Praxis von nicht zu unterschätzender Bedeutung, weshalb sich ein genauerer Blick darauf sowie auf eine parallele Entscheidung vom gleichen Tag lohnt.
I. Gegenstand der Entscheidung Planet49
Zunächst aber zur Kernaussage, die im Zentrum der bundesweiten Berichterstattung stand. Mit dem aktiven Einwilligungserfordernis hat der BGH dem Einsatz von Cookies zu Werbezwecken strenge Grenzen gesetzt. Bei Cookies handelt es sich um Textdateien, die auf dem Gerät eines Webseitenbesuchers gespeichert werden. Sie enthalten eine ID, wodurch eine Zuordnung und Wiedererkennung des Gerätes möglich ist, in dem das Cookie gespeichert wurde. Cookies werden entweder vom Webseitenbetreiber selbst oder aufgrund der Implementierung eines externen Dienstes von Dritten gesetzt. In Cookies können Eingaben und Einstellungen auf einer Webseite gespeichert werden, so dass der Besucher diese z.B. nicht bei jedem Besuch einer Webseite erneut angeben muss. Manche Cookies sind aus technischen Gründen notwendig; andere sind hingegen lediglich „nützlich“. Sie ermöglichen etwa die statistische Analyse der Aktivitäten auf der Webseite oder die Anlage von Nutzerprofilen über mehrere Webseiten hinweg, um zielgerichtete Werbung zu schalten. Um letztere ging es in der Entscheidung des BGH.
II. Folgen der Entscheidung des BGH
Für diese Art von Cookies ist jetzt höchstrichterlich geklärt, dass die von vielen Webseitenbetreibern aktuell gelebte Praxis angepasst werden muss. Die weit verbreiteten sog. „Cookie-Banner“ müssen jedenfalls dringend überprüft werden. Es widerspricht definitiv der Entscheidung des BGH, beim Aufruf einer Webseite lediglich über Werbe-Cookies zu informieren und nur eine nachträgliche Abwahlmöglichkeit zur Verfügung zu stellen. Auch widerspricht es einer aktiven Einwilligung, wenn reines Weitersurfen zu einem Akt der Zustimmung „uminterpretiert“ wird. Stattdessen müssen künftig folgende Leitlinien beachtet werden:
- Werbe-Cookies dürfen beim ersten Aufruf einer Webseite nicht automatisch „mitlaufen“. Vielmehr bedarf es einer Zustimmungserklärung des Nutzers, bevor Cookies gesetzt werden dürfen.
- Damit der Nutzer seine Zustimmung im Vorhinein wirksam erklären kann, muss er umfassend informiert werden. Dazu gehört etwa auch die Mitteilung, dass weitere Unternehmen an den mittels Cookies generierten Informationen partizipieren.
- Zustimmung meint eine eindeutige und bewusste Erklärung des Nutzers. Von einer eindeutigen und bewussten Erklärung kann aber gerade nicht ausgegangen werden, wenn über eine vorausgefüllte „Tickbox“ das Einverständnis eingeholt werden soll. Es muss vielmehr ein Prozess implementiert werden, mit dem sichergestellt ist, dass der Nutzer diese Erklärung in voller Kenntnis ihres Inhalts aktiv zum Ausdruck gebracht hat.
- Der Nutzer muss die Einwilligung jederzeit für die Zukunft widerrufen können. Darüber muss er bereits bei Erteilung der Einwilligung informiert werden. Zudem darf der Widerruf nicht unnötig erschwert werden (etwa durch ein „Verstecken“ eines Widerrufbuttons tief im „Kleingedruckten“).
III. Einwilligungserfordernis folgt aus TMG
Begründet hat der I. Zivilsenat das Urteil – und das ist das eigentlich aufsehenerregende Detail der Entscheidung – mit einem „juristischen Kunstgriff“. Denn zu seiner Entscheidung ist er durch Auslegung des § 15 Abs. 3 Satz 1 TMG im Lichte von europarechtlichen Vorgaben gekommen. Diese Vorschrift erlaubt allerdings ihrem Wortlaut zufolge den Einsatz von Cookies zu Werbezwecken, solange der darüber informierte Nutzer nicht widerspricht. Auf Basis dieser an sich eindeutigen Worte hat sich die aktuelle Praxis entwickelt. Der BGH hat sich jedoch darauf bezogen, dass der Gesetzgeber mit dieser Norm die sog. Cookie-Richtlinie aus dem Jahr 2009 umsetzen wollte. Da diese Richtlinie eindeutig eine informierte und aktive Einwilligung des Nutzers verlangt, müsse die Vorschrift im TMG ebenso verstanden werden. Vereinfacht gesagt ist nunmehr also die besagte Vorschrift so zu lesen, als sei dort das Einwilligungserfordernis für den Einsatz von Cookies zu Werbezwecken wörtlich verankert.
IV. Widerspruch zu Aufsichtsbehörden
Mit dieser nicht unumstrittenen Vorgehensweise hat der BGH sich allerdings in Widerspruch zur Ansicht der Datenschutzaufsichtsbehörden gesetzt. Auch letztere vertreten seit über einem Jahr den offiziellen Standpunkt, dass für den Cookie-Einsatz ein strenges Einwilligungserfordernis besteht. Während BGH und Aufsichtsbehörden sich also im Ergebnis einig sind, ist die Begründung unterschiedlich. Denn die Aufsichtsbehörden haben sich auf den Standpunkt gestellt, dass § 15 Abs. 3 Satz 1 TMG seit Inkrafttreten der DSGVO keine Anwendung mehr findet. Stattdessen leiten Sie das Einwilligungserfordernis aus Art. 6 Abs. 1 lit. a DSGVO ab.
Dieser unterschiedliche Begründungsansatz dürfte nun für neue Unsicherheit bei Webseitenbetreibern sorgen. Denn aus Art. 13 Abs. 1 lit. c DSGVO folgt für jeden Webseitenbetreiber, dass er in seiner Datenschutzerklärung nicht nur über den Cookie-Einsatz informiert, sondern auch die diesen legitimierende Rechtsgrundlage angibt. Dem BGH folgend empfiehlt es sich, von nun an die Norm aus dem TMG zu nennen. Ansonsten begeht der Webseitenbetreiber einen formalen Rechtsverstoß, der im schlimmsten Fall zu einer Abmahnung führt.
V. Keine Ausnahme für Werbe-Cookies
Gewarnt sein sollten Webseitenbetreiber darüber hinaus vor dem Versuch, die Vorschriften des TMG nunmehr ebenfalls im Lichte europarechtlicher Vorgaben im Sinne einer Fortgeltung des status quo deuten zu wollen. Zwar enthalten die europarechtlichen Vorgaben eine Ausnahme zum Einwilligungserfordernis. Diese gilt jedoch nur für Cookies, die unbedingt erforderlich sind, damit der Webseitenbetreiber einen ausdrücklich vom Nutzer gewünschten Dienst zur Verfügung stellen kann. Es ist sehr zweifelhaft, ob Cookies zu Werbezwecken als unbedingt erforderlich im Sinne dieser eng zu verstehenden Vorschrift eingestuft werden können.
VI. Handlungsbedarf für sämtliche Unternehmen
Auf rechtssicherem Boden bewegt sich ein Webseitenbetreiber also nur, wenn er für Cookies zu Werbezwecken einen Prozess zur Einholung von Einwilligungen implementiert, der auf den oben beschriebenen Grundsätzen aufbaut. Auf dem Markt gibt es bereits verschiedene „Consent Management Tools“, die diese berücksichtigen. Aber auch diejenigen Anbieter, die bislang bereits (auf Basis der Ansicht der Datenschutz Aufsichtsbehörden) aktiv Einwilligungen eingeholt haben, müssen zumindest in geringem Umfang tätig werden. Denn die Datenschutzerklärung sollte auf die vom BGH vorgegebene Rechtsgrundlage angepasst werden.
VII. Beschränkung der Verbraucherverbände
Ohne Reaktion auf diese Entscheidung drohen Webseitenbetreibern Maßnahmen der Aufsichtsbehörden, Abmahnungen von Wettbewerbern und Klagen von Besuchern der Webseiten auf Unterlassung und Schadensersatz. Hingegen müssen Webseitenbetreiber – zumindest vorerst – keine Unterlassungsklagen durch Verbraucherschutzverbände (die auch im Verfahren Planet49 Ausgangspunkt der Streitigkeit waren) befürchten. Denn im Schatten der Entscheidung zum Cookie-Einsatz hat der BGH in einem anderen Verfahren eine zusätzliche höchst praxisrelevante Entscheidung getroffen.
Er hat den EuGH um Klärung gebeten, ob derartige Verbände wegen Verstößen gegen die Datenschutzgrundverordnung unabhängig von der Verletzung konkreter Rechte einzelner betroffener Personen und ohne Auftrag einer betroffenen Person gegen den Verletzer im Wege einer Klage vor den Zivilgerichten vorgehen können. Bis zu einer Entscheidung des EuGH empfiehlt es sich also für Webseitenbetreiber, im Falle einer derartigen Inanspruchnahme die Klagebefugnis des Verbandes zu bestreiten und das Abwarten der Entscheidung zu beantragen.
Sollten bei Ihnen Unsicherheiten bezüglich der rechtskonformen Gestaltung des Prozesses zur Einholung von Einwilligungen in die Cookie-Nutzung bestehen, beraten wir Sie gerne. Ebenso bieten wir selbstverständlich Hilfestellung, sofern Sie bereits wegen angeblicher Rechtsverstöße im Zusammenhang mit Cookies von Nutzern oder Wettbewerbern in Anspruch genommen werden bzw. von der zuständigen Aufsichtsbehörde kontaktiert wurden.
