Source: https://www.dpc-datenschutz.de/bgh-einwilligung-in-cookies-von-webseiten/
Timestamp: 2020-08-13 13:50:50+00:00

Document:
BGH: Einwilligung in Cookies von Webseiten
Am vergangenen Donnerstag verkündete der Bundesgerichtshof (BGH) ein entscheidendes Urteil in Sachen Cookies. Im Mittelpunkt steht die Ausgestaltung von wirksamen Einwilligungserklärungen in telefonische Werbung sowie in die Speicherung von Cookies (Urteil vom 28.05.2020, Az.: I ZR 7/16, “Cookie-Einwilligung II”). Zuvor hatte der BGH das Verfahren ausgesetzt, um dem Europäischen Gerichtshof (EuGH) im Rahmen eines Vorabentscheidungsverfahrens einige Fragen zur Auslegung des EU-Rechts vorzulegen. Dessen Antwort war das „Planet49“-Urteil des EuGHs (Urteil vom 01.10.2019, Az.: C-673/17). Welche Anforderungen der BGH nach den Vorgaben des EuGH an die Einwilligung in Cookies von Webseiten stellt, lesen Sie in diesem Beitrag.
Hinweis: Dieser Beitrag beruht auf der Pressemitteilung des BGH. Die auf den Urteilsgründen beruhende Begründung der Entscheidung finden Sie am Ende des Beitrages (“Update”).
Cookies sind kleine Textdateien, die von sehr vielen modernen Webseiten im Browser der Webseitenbesucher abgespeichert werden. Diese Cookies können technisch nützliche bzw. notwendige Informationen wie die Sprachauswahl oder Auflösung des Bildschirmes beinhalten. Daneben gibt es auch Cookies, die zur Marketingprofilbildung oder Tracking insbesondere durch Übermittlung von User-Daten bspw. an US-Internetkonzernen genutzt werden. Weitere Aspekte umfasst dieser Beitrag.
Das BGH-Urteil betrifft fast alle in Deutschland ansässigen Betreiber von Webseiten. Nahezu jedes Unternehmen verfügt über eine Webseite und sehr viele setzen Cookies ein. Diese Unternehmen sollten sich von ihren Webmastern erläutern lassen, welche Cookies wozu eingesetzt werden und entscheiden, ob dies weiter erfolgen soll. Wenn ja, ist die vom BGH aufgezeigte rechtliche Voraussetzung zu erfüllen: Eine ausdrückliche, aktive, vorherige und informierte Einwilligung = Opt-In. (Übrigens: Wir empfehlen ein Double-Opt-in).
Damit erfolgt eine grundlegende Abkehr von der bislang praktizierten Opt-Out-Methode. Wer sich der neuen Rechtslage nicht schnell anpasst, riskiert privatrechtliche Abmahnungen oder Bußgelder von Datenschutzaufsichtsbehörden. In Nachbarländern wurden schon Bußgelder in Höhe von mehreren 10.000 Euro verhängt und auch die deutschen Aufsichtsbehörden haben bereits ein schärferes Vorgehen angekündigt.
Die Entscheidung des BGHs betrifft verschiedene Anforderungen an wirksam erteilte Einwilligungen eines Nutzers. Im konkreten Fall handelte es sich um die Anmeldung zu einem Gewinnspiel. Innerhalb des Prozesses waren zwei Einwilligungserklärungen mit Ankreuzkästchen zu passieren.
Zum Einsatz von Telefonwerbung war eine Liste mit zahlreichen Unternehmen, die mit dem Anbieter zusammenarbeiten, hinterlegt. Der Nutzer konnte nun selbst entscheiden, welche Unternehmen ihn später kontaktieren dürfen. Fand keine Auswahl statt, so übernahm dies der Anbieter für den User.
Für den Einsatz eines Webanalysedienstes stand ein bereits vonseiten des Webseitenbetreibers voreingestelltes und in AGB gebettetes Ankreuzkästchen zur Verfügung. Mit diesem erklärte der Nutzer seine Einwilligung in die Ausspielung des Cookies. Wollte er sie hingegen widerrufen bzw. gar nicht erst erteilen, musste er das Kästchen abwählen.
Um an dem Gewinnspiel teilnehmen zu können, musste mindestens eines der Kästchen angekreuzt sein. Die Teilnahmemöglichkeit war also an eine Einwilligung gekoppelt, weshalb ein Verstoß gegen das Kopplungsverbot zur Debatte stand.
Auf der Basis des Urteils des EuGH fiel nun die Entscheidung des BGH aus. Sowohl vor Inkrafttreten der DSGVO (Zeitpunkt des Geschehens) als auch zum jetzigen Zeitpunkt stellen die oben beschriebenen Vorgehensweisen keine rechtmäßige Einholung von Einwilligungen dar.
Eine Einwilligung muss mittels einer eindeutigen aktiven Handlung des Nutzers, freiwillig, unmissverständlich sowie bezogen auf den konkreten Fall und auf der Grundlage verständlicher Informationen über die Datenverarbeitung, in die eingewilligt werden soll, abgegeben werden.
Wird hingegen vom Nutzer verlangt, dass er aus einer umfangreichen Liste die Unternehmen streicht, von denen er keinerlei Werbung erhalten möchte, liegt keine Einwilligung für den konkreten Fall vor. Der Anbieter macht sich hier zunutze, dass wohl kaum ein Nutzer die Zeit und Geduld aufwendet und seine „Einwilligung“ bearbeitet. Folglich handelt der Nutzer nicht in informierter Weise (Unkenntnis).
Ebenso fehlt es an den Voraussetzungen, wenn das Feld für das Kreuz, welches die Einwilligung darstellen soll, bereits im Vorhinein ohne Zutun des Nutzers vorgegeben ist. Dann liegt keine eindeutige sowie aktive Handlung vor. Stattdessen muss Energie aufgewendet werden, um diese voreingestellte Einwilligung abzuwählen.
Update (07.07.2020):
Die Entscheidungsgründe zum Urteil des BGH liegen nun vor. Demzufolge ergibt sich das Einwilligungserfordernis aus § 15 Abs. 3 Telemediengesetz (TMG), obwohl es dem Wortlaut der Norm zufolge eines Widerspruchs des Nutzers bedarf. Mittels teleologischer Auslegung (d. h. dem Sinn und Zweck entsprechend) sowie richtlinienkonformer Rechtsfortbildung wird daraus jedoch das Einwilligungserfordernis. Denn dieses ergibt sich aus Art. 5 Abs. 3 S. 1 der Richtline 2002/58/EG, welcher durch § 15 Abs. 3 TMG auf nationaler Ebene umgesetzt wurde. Diesem Einwilligungserfordernis wurde der beklagte Webseitenbetreiber im Sachverhalt nicht gerecht. Es mangelte an der aktiven, für den konkreten Fall vorgenommenen Zustimmungshandlung des Nutzers.
Werden Marketing- bzw. Tracking-Cookies auf Webseiten eingesetzt, stellt die Frage nach rechtmäßig eingeholten Einwilligungen hierfür immer noch ein Problem für viele Anbieter dar. Wer hier auf Lücke setzt, muss spätestens jetzt nach dem Urteil des BGHs mit hohen Bußgeldern der Aufsichtsbehörden oder Abmahnungen rechnen. Wollen Sie stattdessen einen DSGVO-konformen Informationstext auf Ihrer Webseite integrieren, melden Sie sich gern bei uns. Wir beraten/unterstützen Sie gern.
PrevVorigerDatenschutz bei Wiedereröffnungen in Brandenburg
NächsterPersonenbezogene DatenNächster

References: BGH 
 BGH 
 EuGH 
 BGH 
 EuGH 
 BGH 
 BGH 
 § 15
 Art. 5
 § 15