Abschließend geklärt: Tracking-Cookies nicht ohne aktive Einwilligung – Sie müssen jetzt handeln!

Erst der EuGH, jetzt auch der BGH. Mit seinem Urteil vom 28.05.2020 (Az. I ZR 7/16) „Einwilligung in Cookies II“ hat sich der BGH vollumfänglich der Entscheidung des EuGH vom 1.10.2019 angeschlossen, dass eine Pflicht zur Einholung einer informierten, aktiven Einwilligung für Tracking-Cookies besteht. Mit dieser Entscheidung war gerechnet worden. Die Begründung hat indes für Überraschung gesorgt. Offen war die Frage, wie der BGH die Regelung aus § 15 Abs. 3 TMG im Lichte der EuGH Entscheidung beurteilen würde. Trotz Anwendungsbeginn der DS-GVO und entgegen der Ansicht der deutschen Datenschutzaufsichtsbehörden entschied sich der BGH weiterhin für die Anwendung der alten Profiling-Regelung des § 15 Abs. 3 TMG. § 15 Abs. 3 TMG mit seiner bloßen Opt-Out-Lösung muss nach Ansicht des BGH unionsrechtskonform ausgelegt werden.

Die Pressemitteilung des BGH finden Sie hier (Stand des Links: 05.06.2020).

Muss jetzt die Zulässigkeit neu bewertet werden? Müssen nunmehr alle Privacy Policies umgeschrieben werden?

Kein Tracking-Cookie ohne aktive Einwilligung – Keine Einwilligung durch vorausgefüllte Häkchen

In Einklang mit dem Urteil des EuGH (Urt. v. 1.10.2019, Az. C- 673/17) hat der BGH verkündet, dass eine Einwilligung durch ein vorangekreuztes Einwilligungskästchen nicht wirksam abgefragt werden könne. Erforderlich ist vielmehr eine aktive Handlung des Nutzers – beispielsweise das Aktivieren einer Checkbox oder das Anklicken einer Schaltfläche. Dies verwundert nicht, da sich dies auch explizit aus Erwägungsgrund 32 der DS-GVO ergibt.

Konsequenz für Webseitenbetreiber: Bisherige Banner auf Internetseiten, die nur über das Setzen von Cookies und das Tracking informierten, sind nicht ausreichend. Auch Banner, die nur das Akzeptieren, aber nicht das Ablehnen ermöglichen, sind unzulässig. Eine Opt-Out-Lösung für Cookies, die nicht zwingend erforderlich sind, ist damit ab sofort offiziell unzulässig und rechtswidrig. Das Abmahnrisiko ist gestiegen.

Warum besteht darin kein Widerspruch, dass die Entscheidung nicht neu ist, aber dennoch erst jetzt das Abmahnrisiko steigt? Ganz einfach: Durch die Entscheidung des EuGH vom 01.10.2020 war für den BGH verbindlich festgelegt worden, dass Cookies nur nach entsprechender aktiver Nutzereinwilligung gesetzt werden dürfen. Der EuGH hat damit aber nicht den Rechtsstreit des BGH entschieden, da der EuGH hierfür nicht zuständig ist. Erst mit seiner Grundsatzentscheidung vom 28.05.2020 (Az.: I ZR 7/16) erklärte der BGH abschließend alle Cookies, die für den Betrieb einer Webseite nicht zwingend erforderlich sind, auch in Deutschland für unbeschränkt einwilligungspflichtig.

Anwendung des alten § 15 Abs. 3 TMG und Nutzungsprofile nur noch mit Einwilligung?!

Der BGH lässt den Leser nach dem ersten Lesen der Pressemitteilung irritiert zurück, da er in seiner Begründung einen mehrfachen Salto hinlegt. Warum? Der Rechtsstreit bezieht sich nur auf die Rechtslage vor dem Anwendungsbeginn der DS-GVO. Der BGH hatte dem EuGH die Frage gestellt, wie die sog. Cookie-Regelung der Datenschutzrichtlinie 2002/58/EG (auch bezeichnet als ePrivacy-Richtlinie) auszulegen ist. Für die nach Art. 5 Abs. 3 RiLi 2002/58/EG erforderliche Einwilligung komme es nach Ansicht des EuGH nicht darauf an, ob im Sinne der DS-GVO durch die Cookies personenbezogene Daten verarbeitet werden. Vielmehr knüpfe die Richtlinie 2002/58/EG als eigenständiger Rechtsakt das bloße Setzen von Cookies an die Einwilligungspflicht. Der EuGH stellte klar, dass die Einwilligung für ihre Wirksamkeit ausdrücklich erteilt werden müsse, vorangekreuzte Einwilligungskästchen seien nicht ausreichend.

Der deutsche Gesetzgeber hatte allerdings bezüglich dieser Cookie-Regelung keinen Umsetzungsakt vorgenommen. Mit anderen Worten: Die Regelung, welche der EuGH ausgelegt hat, existiert im deutschen Recht nicht. Hierauf weist der BGH in seiner Pressemitteilung explizit hin, zieht dann aber die Regelung über die Widerspruchslösung bei pseudonymen Nutzungsprofilen in § 15 Abs. 3 TMG heran. Denn nach Ansicht des BGH sei anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform halte.

Den ersten Salto macht der BGH wie folgt: Er legt diese Regelung, die eindeutig eine Widerspruchslösung vorsieht im Lichte der o.g. Cookie-Regelung dahin aus, dass eine Einwilligung erforderlich ist. Und schon ist nach deutschem Recht eine Einwilligung in Form einer aktiven Handlung erforderlich. Der BGH hält § 15 Abs. 3 TMG also nach wie vor für anwendbar und legt dar, dass eine richtlinienkonforme Auslegung mit dem Wortlaut der Norm noch vereinbar sei.

Das Bizarre darin: Die Cookie-Regelung regelt nur den Einsatz von Cookies und zwar unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. § 15 Abs. 3 TMG regelt hingegen die Verarbeitung personenbezogener Daten für Nutzungsprofile und in keiner Weise das Setzen von Cookies. Die entsprechenden Urteilsgründe liegen gegenwärtig noch nicht vor. Es bleibt daher abzuwarten, ob sich aus den Urteilsgründen möglicherweise noch etwas anderes ergibt.

Der BGH belässt es aber nicht bei dieser Begründung und macht noch einen zweiten Salto: Nach Ansicht des BGH bleibt § 15 Abs. 3 TMG wegen der möglichen richtlinienkonformen Auslegung und wegen Art. 95 DS-GVO von der DS-GVO unberührt. Dies widerspricht der Auslegung der deutschen Datenschutzaufsichtsbehörden und der überwiegenden bisherigen Rechtsauffassungen, die nach der Geltung der DS-GVO die Anwendung der §§ 11 ff. TMG pauschal abgelehnt hatten. Der BGH argumentiert mit der Öffnungsklausel in Art. 95 DS-GVO, der die Fortgeltung der Regelungen der Datenschutzrichtlinie 2002/58/EG und damit auch der Cookie-Regelung und entsprechender Umsetzungen im deutschen Recht regelt. Aber: Meines Erachtens liegen die Voraussetzungen des Art. 95 DS-GVO für § 15 Abs. 3 TMG nicht vor. Darüber hinaus funktioniert dies nur, weil der BGH bereits (siehe oben) den § 15 Abs. 3 TMG entgegen seinem Wortlaut als Einwilligungsregelung ausgelegt hat.

Die vom BGH vorgenommene richtlinienkonforme Auslegung ist im Ergebnis nachvollziehbar. Denn wäre er zu einer anderen Beurteilung gekommen, bestünde in Deutschland keine Einwilligungspflicht für das Setze eines Cookies, bis der deutsche Gesetzgeber ein deutsches Gesetz mit dem Inhalt der Cookie-Regelung aus der Richtlinie geschaffen hätte. Denn ohne Umsetzung wird die Richtlinie nicht Teil der deutschen Rechtsordnung und wirkt somit nicht zwischen Datenverarbeiter und der betroffenen Person.

Sie finden, dass das kompliziert klingt? Richtig, das ist es auch! Diese Komplexität hätte der deutschen Werbebranche erspart werden können: Entweder wenn der deutsche Gesetzgeber des TMG an die DS-GVO angepasst hätte oder zum Teil durch den BGH, wenn er auf die Aussagen zur Geltung unter der DS-GVO verzichtet hätte.

Bedeutung für die Praxis: Das müssen Sie jetzt tun – auch um Abmahnungen zu vermeiden! 

Der Einsatz von Tracking-Cookies setzt eine Einwilligung voraus – auch nach deutschem Recht und ohne neue gesetzliche Grundlage. Die Regelung über pseudonyme Nutzungsprofile in § 15 Abs. 3 TMG gilt weiterhin. Hierbei ist jedoch Vorsicht geboten, da die Pressemitteilung nicht hinreichend deutlich ist.

Wie müssen Sie nun vorgehen? Sie müssen genau prüfen, ob die von Ihnen verwendetet Tracking-Technologien der Cookie-Richtlinie unterfallen und ob aktive Einwilligungen der Nutzer eingeholt werden. Prüfen Sie die Zulässigkeit des Profilings anhand dieser Rechtslage. Prüfen Sie auch Ihre Privacy Policy zur Verarbeitung personenbezogener Daten auf Ihrer Internetseite und passen Sie sie ggf. an.

Mehr dazu finden Sie in meinem Podcast in der Serie “Otto Schmidt live – Der Podcast” (Stand des Links 05.06.2020).

Dr. Jens Eckhardt
Rechtsanwalt

dmp@derra-d.de