Source: https://www.iww.de/dr/quellenmaterial/id/197860
Timestamp: 2019-12-12 18:33:20
Document Index: 142398832

Matched Legal Cases: ['Art. 5', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 6', '§ 307', '§ 12', '§ 13', '§ 15', 'Art. 5', 'Art. 2', 'Art. 2', 'Art. 5', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 6', '§ 307', '§ 7', '§ 12', 'Art. 4', '§ 15', 'Art. 5', 'Art. 2', 'Art. 2', 'Art. 13', '§ 7', 'BGH', 'BGH', '§ 12', 'Art. 7', '§ 4', '§ 4', 'Art. 2', 'BGH', 'BGH', '§ 3', '§ 12', '§ 1', '§ 3', '§ 12', '§ 12', '§ 12', '§ 12', '§ 3', '§ 4', 'BGH', 'BGH', '§ 4', 'BGH', 'BGH', 'Art. 5', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 6', 'Art. 5', '§ 4', '§ 307', '§ 7', '§ 12', 'Art. 267', '§ 1', '§ 307', '§ 307', '§ 307', '§ 15', 'Art. 5', 'Art. 5', 'Art. 2', 'Art. 13', '§ 7', '§ 12', 'Art. 7', '§ 4', '§ 3', '§ 12', '§ 3', 'Art. 4', 'Art. 4', '§ 13', 'Art. 10']

28.11.2017 · IWW-Abrufnummer 197860
Bundesgerichtshof: Beschluss vom 05.10.2017 – I ZR 7/16
Richtlinie 2002/58/EG Art. 5 Abs. 3 und Art. 2 Buchst. f
Richtlinie 2009/136/EG Art. 2 Nr. 5
Richtlinie 95/46/EG Art. 2 Buchst. h
Verordnung (EU) 2016/679 Art. 6 Abs. 1 Buchst. a
BGB § 307 Bd
TMG § 12 Abs. 1 , § 13 Abs. 1 , § 15 Abs. 3
a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG , wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?
Der I. Zivilsenat des Bundesgerichtshofs hat auf die mündliche Verhandlung vom 14. Juni 2017 durch den Vorsitzenden Richter Prof. Dr. Büscher, die Richter Dr. Kirchhoff, Prof. Dr. Koch, Dr. Löffler und Feddersen
II. Dem Gerichtshof der Europäischen Union werden zur Auslegung der Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation, ABl. Nr. L 201 vom 31. Juli 2002, S. 37) in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 zur Änderung der Richtlinie 2002/22/EG über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und -diensten, der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation und der Verordnung (EG) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz (ABl. Nr. L 337 vom 18. Dezember 2009, S. 11) geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. Nr. L 281 vom 23. November 1995, S. 31) sowie des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DatenschutzGrundverordnung, ABl. Nr. L 119/1 vom 4. Mai 2016, S. 1) folgende Fragen zur Vorabentscheidung vorgelegt:
Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für R. registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von R. erfasst, dass Sie (d.h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist. Anschließend kann die P. GmbH aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E-Mail-Werbung mehr. Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen Daten. Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers. Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden. Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an die P. GmbH [Adresse] richten. Es genügt jedoch auch eine E-Mail an unseren Kundenservice [E-Mail-Adresse].
Der Kläger hat geltend gemacht, die von der Beklagten verlangten Einverständniserklärungen genügten nicht den Anforderungen des § 307 BGB in Verbindung mit § 7 Abs. 2 Nr. 2 UWG und §§ 12 ff. TMG . Eine vorgerichtliche Abmahnung ist ohne Erfolg geblieben.
bb) Die Richtlinie 2009/136/EG war nach ihrem Art. 4 Abs. 1 bis zum 25. Mai 2011 durch die Mitgliedstaaten umzusetzen. Der deutsche Gesetzgeber hat keine Umsetzungsakte vorgenommen, insbesondere die in § 15 Abs. 3 TMG vorgesehene Widerspruchslösung nicht geändert (vgl. Moos,K&R 2012, 635 f.; Rauer/Ettig, ZD 2016, 423, 424; Schmidt/Babilon, K&R 2016, 86, 89). Die Revisionserwiderung macht geltend, zahlreiche Mitgliedstaaten hätten Art. 5 Abs. 3 der Richtlinie 2002/59/EG in der durch die Richtlinie 2009/136/EG geänderten Fassung dahingehend umgesetzt, dass die Nutzung mittels Cookies erhobener Daten einer "Opt-out"-Regelung unterliege, die den Widerspruch des Nutzers erfordere. Die Revision des Klägers verweist darauf, dass andere Mitgliedstaaten dazu "Opt-In"-Regime geschaffen hätten, die eine vorherige Einwilligung erforderten.
cc) Art. 2 Satz 2 Buchst. f der Richtlinie 2002/58/EG verweist für die Definition der Einwilligung auf Art. 2 Buchst. h der Richtlinie 95/46/EG . Danach erfordert die Einwilligung eine "Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt".
Es ist denkbar, dass Dritte aus einer Reihe von Gründen Informationen auf der Endeinrichtung eines Nutzers speichern oder auf bereits gespeicherte Informationen zugreifen wollen, die von legitimen Gründen (wie manchen Arten von Cookies) bis hin zum unberechtigten Eindringen in die Privatsphäre (z.B. über Spähsoftware oder Viren) reichen. Daher ist es von größter Wichtigkeit, dass den Nutzern eine klare und verständliche Information bereitgestellt wird, wenn sie irgendeine Tätigkeit ausführen, die zu einer solchen Speicherung oder einem solchen Zugriff führen könnte. Die Methoden der Information und die Einräumung des Rechts, diese abzulehnen, sollten so benutzerfreundlich wie möglich gestaltet werden. Ausnahmen von der Informationspflicht und der Einräumung des Rechts auf Ablehnung sollten auf jene Situationen beschränkt sein, in denen die technische Speicherung oder der Zugriff unverzichtbar sind, um die Nutzung eines vom Teilnehmer oder Nutzer ausdrücklich angeforderten Dienstes zu ermöglichen. Wenn es technisch durchführbar und wirksam ist, kann die Einwilligung des Nutzers zur Verarbeitung im Einklang mit den entsprechenden Bestimmungen der Richtlinie 95/46/EG über die Handhabung der entsprechenden Einstellungen eines Browsers oder einer anderen Anwendung ausgedrückt werden. (...)
Nach der Rechtsprechung des Bundesgerichtshofs zur Anwendung des auf Art. 13 der Richtlinie 2002/58/EG zurückgehenden § 7 Abs. 2 Nr. 3 UWG , der ohne Einwilligung des Adressaten vorgenommene Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post als unzumutbare Belästigung verbietet, ist die erforderliche Einwilligung vorhergehend und ausdrücklich zu erteilen. Danach ist der in Erwägungsgrund 17 der Richtlinie 2002/58/EG verwendete Begriff "spezifische Angabe" mit Blick auf den in ihren Erwägungsgründen 5 und 6 zum Ausdruck kommenden Schutzzweck, die Privatsphäre des Betroffenen vor neuen Risiken durch öffentliche Kommunikationsnetze zu schützen, dahingehend auszulegen, dass eine gesonderte, nur auf die jeweilige Einwilligung bezogene Zustimmungserklärung des Betroffenen erforderlich ist. Einwilligungsklauseln, die so gestaltet sind, dass der Kunde tätig werden und ein Kästchen ankreuzen muss, wenn er seine Einwilligung nicht erteilen will ("Opt-out"-Erklärung), entsprechen danach nicht dem Begriff der Einwilligung im Sinne der Richtlinie 2002/58/EG (BGHZ 177, 253 Rn. 27; vgl. auch BGH, Beschluss vom 14. April 2011 - I ZR 38/10 , MMR 2011, 458 Rn. 8; Urteil vom 25. Oktober 2012 - I ZR 169/10 , GRUR 2013, 531 Rn. 21 = WRP 2013, 767 - Einwilligung in Werbeanrufe II).
aa) Nach § 12 Abs. 1 TMG darf der Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit das Telemediengesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Diese Vorschrift setzt das in Art. 7 Buchst. a der Richtlinie 95/46/EG vorgesehene Verbot mit Erlaubnisvorbehalt für die Verarbeitung personenbezogener Daten um (vgl. Schmitz in Hoeren/Sieber/Holznagel, Multimedia-Recht, 44. EL Januar 2017, Teil 16.2 Rn. 29). § 4a Abs. 1 Satz 1 BDSG bestimmt, dass die Einwilligung nur wirksam ist, wenn sie auf der freien Entscheidung des Betroffenen beruht. Satz 4 der Vorschrift sieht vor, dass die Einwilligung, soll sie zusammen mit anderen Erklärungen schriftlich erteilt werden, besonders hervorzuheben ist. § 4a Abs. 1 BDSG setzt Art. 2 Buchst. h der Richtlinie 95/46/EG um (vgl. BGH, Urteil vom 16. Juli 2008 - VIII ZR 348/06 , BGHZ 177, 253 Rn. 21 ).
bb) Personenbezogene Daten sind nach der Definition in § 3 Abs. 1 des Bundesdatenschutzgesetzes , das gemäß § 12 Abs. 3 TMG zur Bestimmung der im Telemediengesetz verwendeten, aber nicht definierten Begriffe anzuwenden ist (vgl. Dix in Simitis, BDSG, 8. Aufl., § 1 Rn. 170), Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Nach der Begriffsbestimmung in § 3 Abs. 3 BDSG ist Erheben das Beschaffen von Daten über den Betroffenen. Das Verwenden im Sinne des § 12 Abs. 1 TMG ist weit zu verstehen und umfasst sowohl das Nutzen als auch das Verarbeiten von personenbezogenen Daten (Spindler/ Schuster, Recht der elektronischen Medien, 3. Aufl., § 12 TMG Rn. 2). Der Abruf von Daten, bei denen ein Personenbezug vorhanden ist, mithilfe von Cookies, die auf dem Endgerät des Nutzers gesetzt worden sind, stellt eine Erhebung von Daten im Sinne des § 12 Abs. 1 TMG dar (vgl. Hoeren in Kilian/ Heussen, Computerrechts-Handbuch, 33. EL Februar 2017, Teil 14 Rn. 20; Rauer/Ettig, ZD 2016, 423, 424).
cc) Der Abruf von Daten aus den von der Beklagten verwendeten Cookies unterliegt danach dem Einwilligungserfordernis des § 12 Abs. 1 TMG , weil es sich hierbei um personenbezogene Daten handelt. Die Cookies enthalten nach dem Inhalt der im Streitfall von der Beklagten erteilten Information eine Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet wird, der sich mit Namen und Adresse in das bereitgestellte Webformular einzutragen hat. Durch die Verknüpfung der Nummer (ID) mit den vom Nutzer eingegebenen Registrierungsdaten entsteht ein Personenbezug der durch die Cookies gespeicherten Daten über die Internetnutzung (vgl. Dammann in Simitis, BDSG, 8. Aufl., § 3 Rn. 65).
dd) In der Rechtsprechung des Bundesgerichtshofs ist es für die Wirksamkeit der Einwilligung nach § 4a Abs. 1 BDSG bisher nicht als erforderlich angesehen worden, dass der Betroffene sie gesondert (im Sinne eines "Opt-in") erklärt, indem er eine zusätzliche Unterschrift leistet oder ein dafür vorgesehenes Kästchen zur positiven Abgabe der Einwilligungserklärung ankreuzt ( BGH, Urteil vom 16. Juli 2008 - VIII ZR 348/06 , BGHZ 177, 253 Rn. 21; Urteil vom 11. November 2009 - VIII ZR 12/08 , NJW 2010, 864 Rn. 20 ff.). Deshalb sind Gestaltungen als mit § 4a Abs. 1 BDSG vereinbar angesehen worden, in welchen das Verweigern der Einwilligung durch Ankreuzen eines Kästchens (vgl. BGHZ 177, 253 Rn. 5 ) oder Streichung des Einwilligungstexts (vgl. BGH, NJW 2010, 864 Rn. 2) zum Ausdruck gebracht werden muss.
Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen(...).
Verkündet am: 5. Oktober 2017
VorschriftenArt. 5 Abs. 3, Art. 2 Buchst. f der Richtlinie 2002/58/EG, Art. 2 Nr. 5 der Richtlinie 2009/136/EG, Richtlinie 2002/22/EG, Richtlinie 2002/58/EG, Verordnung (EG) Nr. 2006/2004, Art. 2 Buchst. h der Richtlinie 95/46/EG, Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679, Richtlinie 95/46/EG, Art. 5 Abs. 3 der Richtlinie 2002/58/EG, § 4 UKlaG, § 307 BGB, § 7 Abs. 2 Nr. 2 UWG, §§ 12 ff. TMG, Art. 267 Abs. 1 Buchst. b, Abs. 3 AEUV, § 1 UKlaG, § 307 Abs. 1 BGB, § 307 Abs. 1 Satz 1 BGB, § 307 Abs. 2 Nr. 1 BGB, § 15 Abs. 3 TMG, Richtlinie 2009/136/EG, Art. 5 Abs. 3 Satz 2 der Richtlinie 2002/58/EG, Art. 5 Abs. 3 der Richtlinie 2002/59/EG, Art. 2 Satz 2 Buchst. f der Richtlinie 2002/58/EG, Art. 13 der Richtlinie 2002/58/EG, § 7 Abs. 2 Nr. 3 UWG, § 12 Abs. 1 TMG, Art. 7 Buchst. a der Richtlinie 95/46/EG, § 4a Abs. 1 BDSG, § 3 Abs. 1 des Bundesdatenschutzgesetzes, § 12 Abs. 3 TMG, § 3 Abs. 3 BDSG, Verordnung (EU) 2016/679, Art. 4 Nr. 11 der Verordnung (EU) 2016/679, Art. 4 Nr. 1 und 2 der Verordnung (EU) 2016/679, § 13 Abs. 1 Satz 1 TMG, Art. 10 Buchst. b und c der Richtlinie 95/46/EG