Source: https://www.ratgeberrecht.eu/wettbewerbsrecht-aktuell/neues-zum-thema-cookies-und-einwilligung.html
Timestamp: 2020-08-06 00:46:29+00:00

Document:
Cookies ohne Einwilligung nicht rechtskonform
Die rechtliche Diskussion zum Thema Cookies ist um ein Kapitel reicher. Sowohl der EUGH als auch der BGH haben sich nunmehr zu dem langjährigen Streitpunkt (Einwilligung, oder nicht) geäußert. Dies wird die Diskussion zumindest für ein paar Monate beruhigen. Das Urteil des BGH wird aber schmerzhaft in die Marketingstruktur einiger Online-Händler eingreifen.
Aufgrund dieser Entscheidung muss bei Cookies, egal ob personenbezogene Daten betroffen sind oder nicht, die technisch nicht notwendig sind, insbesondere bei Cookies für Zwecke der Werbung oder Marktforschung, eine Einwilligung des Nutzers eingeholt werden.
Die EU-Kommission beschäftigt sich zwischenzeitlich weit über zwei Jahren mit dem Erlass einer „Cookie-Verordnung“ die die Diskussion wieder aufleben lassen könnte. Zudem bleiben auch nach den Urteilen bestimmte Punkte fraglich, die wiederrum in Zukunft mit Sicherheit gerichtlich geklärt werden.
Nachdem der EUGH die vom BGH im sog. „Planet49“- Verfahren erbetene Vorabentscheidungsanfrage mit dem Urteil vom 01.10.2019, Az. C-672/17, beantwortete, hat nunmehr der BGH in seinem Urteil vom 28.05.2020, Az. I ZR 7/16, die Auslegungen des EUGH übernommen. Nach der kurzen Presseerklärung vom 28.05.2020 liegt nunmehr das Urteil im Volltext vor. Die Problemstellung im Bereich Cookies war hier, dass die sog. „Cookie-Richtlinie“ (Richtlinie 2002/58/EG in der am 25.11.2009 geänderten Fassung) in Art. 5 Abs. 3 für die Speicherung bzw. das Auslesen von Cookies eine Einwilligungserfordernis festlegt. In § 15 Abs. 3 des deutschen nationalen Telemediengesetz (TMG) wird aber lediglich ein Widerrufsrecht gefordert. Diese „Schere“ hat der BGH nunmehr durch eine richtlinienkonforme Auslegung geschlossen. Demnach ist § 15 Abs. 3 TMG dahingehend auszulegen, dass jeglichen Speichern oder Auslesen von Informationen von einem Endgerät, welches technisch für die Erbringung des Telemediendienstes nicht erforderlich ist, nur mit der Einwilligung des Nutzers erfolgen darf.
Die seit der Geltung der DSGVO teilweise vertretene Auffassung, dass der § 15 Abs. 3 TMG keine Geltung mehr habe und daher die DSGVO mit Ihren Vorgaben und Rechtsgrundlagen (beispielsweise ein berechtigtes Interesse) zur Verarbeitung von personenbezogenen Daten gelte, teilt der BGH somit nicht. Er geht sogar weiter. Ebenfalls geklärt wurde vom EUGH, ob die Einwilligungspflicht nur für Informationen gilt, die personenbezogene Daten betreffen, oder jegliche Informationen, also auch beispielsweise pseudonymisierte Daten. Die Einwilligungspflicht des richtlinienkonform ausgelegten § 15 Abs. 3 TMG gilt demnach für alle Informationen. Somit wäre also auch ein Cookie ohne Einwilligung nicht rechtskonform, wenn die „verfolgte“ Person nicht oder nur mit einem hohen Aufwand zu identifizieren wäre.
Dies wird vermutlich der zukünftige „Zankapfel“ werden. Oberflächlich sind dies die Cookies, die für den Betrieb einer Website und deren Funktionen erforderlich sind. Unstreitig sind dies beispielsweise Cookies, die zur Nutzung des Warekorbes oder für Spracheinstellungen gesetzt werden und nach der Sitzung gelöscht werden („Session“). Was ist aber beispielsweise mit Cookies von Google-Maps. Sind diese für den Betrieb erforderlich?
Wie muss aber eine solche Einwilligung eingeholt werden?
Die sog. „Cookie-Richtlinie“ verweist in Bezug auf die erforderliche Einwilligung wiederrum auf die Definition des Art. 4 Nr.11 DSGVO. Demnach ist eine Einwilligung
„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;“
Der BGH führt in seiner Entscheidung hier zudem den Erwägungsgrund 32 der DSGVO an. Demnach
Der BGH hat hierbei nicht geklärt, wie beispielsweise ein Cookie-Banner ausgestaltet werden muss. Er hat einzig geklärt, dass es sich bei einem schon aktivierten „OPT-In“- Kästchen, welches der Nutzer deaktivieren kann, nicht um eine wirksame Einwilligung im Sinne des § 15 Abs. 3 TMG handelt.
Was sind die Eckpunkte einer wirksamen Einwilligung?
Klar dürfte sein, dass die Cookies nicht vor der Einwilligung durch den Nutzer gesetzt oder ausgelesen werden dürfen. Zudem müsste beachtet werden, dass die technischen Gegebenheiten jederzeit einen Widerruf der Einwilligung für die Zukunft ermöglichen müssen. Der Widerruf der Einwilligung muss auch so einfach sein, wie die Erteilung der Einwilligung.
Schwieriger wird es im Weiteren aber bei den Informationspflichten. Die Einwilligung muss vor allem in Kenntnis der Sachlage und der Zwecke erfolgen. Ob die momentan teilweise genutzten Cookie-Manager bei denen ein hervorgehobener Button „ALLE AKZEPTIEREN“ mit einem kurzen Hinweis zu den Cookies eingeblendet wird und ein fast zu übersehender Button „individuelle“ Einstellungen diese Vorgaben erfüllen, ist jedoch fraglich. Legt man hier die Vorgaben an eine Einwilligung gemäß DSGVO an, besteht die Gefahr, dass die notwendige Transparenz für eine wirksame Einwilligung hier fehlen wird.
Der noch andauernde Streitpunkt, ob Datenschutzverstöße wettbewerbsrechtlich abgemahnt werden können, spielt bei den Cookies nunmehr vorerst keine Rolle mehr, da das TMG vornehmlich zur Anwendung kommt. Dass Verstöße gegen Regelungen des TMG wettbewerbsrechtlich angegangen werden können ist unstreitig. Daneben sieht auch das TMG empfindliche Bußgelder für Verstöße vor. Sollten durch die Cookies zudem auch personenbezogene Daten verarbeitet worden sein, könnte - rein theoretisch - auch die Anwendung der DSGVO ins Spiel kommen, die weitaus höhere Bußgelder vorsieht.

References: EUGH 
 BGH 
 BGH 
 EUGH 
 BGH 
 BGH 
 EUGH 
 Art. 5
 § 15
 BGH 
 § 15
 § 15
 BGH 
 § 15
 Art. 4
 BGH 
 BGH 
 § 15