Letztes Update: 29.05.2020
Von Verena Grentzenberg, Katharina Pauls und Jan Spittka
Die seit langem erwartete Entscheidung des BGH zur Frage, ob Cookies in Deutschland eine Einwilligung erfordern, ist gefallen: Der BGH (Az. I ZR 7/16) bejaht die Einwilligungs-Pflicht und verpflichtet Website-Betreiber damit, Nutzer um ihre Erlaubnis zu bitten, bevor Cookies auf ihren Endgeräten gespeichert oder ausgelesen werden.
Damit steht fest, dass Nutzer sich darauf einstellen müssen, beim Surfen durch das Internet auf noch mehr Einwilligungs-Abfragen und Cookie-Banner zu stoßen als bisher. Ebenfalls klar ist, dass Website-Betreiber, die sich (zumindest auch) über Werbeeinnahmen finanzieren oder auf Re-Marketing für ihre Produkte bzw. Services angewiesen sind, wohl mit Einbußen rechnen müssen, weil notwendige Einwilligungen nicht erteilt werden. Aber selbst für einfache Analyse-Tools besteht jetzt eine Einwilligungspflicht. Unternehmen, die noch keine Einwilligungen einholen oder sich noch nicht an die strengen Anforderungen für informierte Einwilligungen halten sind gut beraten, ihre Prozesse schnellstmöglich anzupassen – es ist damit zu rechnen, dass Wettbewerber, Datenschutzbehörden, Websitenutzer und nicht zuletzt Verbraucherschutzverbände jetzt tätig werden (letztere allerdings nur, soweit sie klagebefugt sind, siehe hierzu ebenfalls auf unserem Blog).
Cookie consent requirement also applies in Germany
The long-awaited decision of the German Federal Court (BGH) on the question of whether cookies require consent in Germany has been made: The court (case no. I ZR 7/16) affirms the obligation to consent and thus obliges website operators to ask users for their permission before cookies are stored or read on their end devices.
It is thus clear that users must be prepared to encounter even more consent queries and cookie banners when surfing the Internet than before. It is also clear that website operators who (at least also) finance themselves through online advertising or who are dependent on re-marketing for their products or services will probably have to reckon with losses because necessary consent is not given. But even for simple analytics tools there is now a consent requirement. Companies that do not yet obtain consent or do not yet adhere to the strict requirements for informed consent are well advised to adapt their processes as quickly as possible – it is to be expected that competitors, data protection authorities, website users and, not least, consumer protection associations will now take action (the latter, however, only to the extent that they are entitled to sue).
Zum Hintergrund des entschiedenen Rechtsstreits
Grundlage der Entscheidung des BGH ist eine Klage des Verbraucherzentrale Bundesverband e.V. („vzbv“) gegen die Planet49 GmbH („Planet49“).
Planet49 verwendete im Rahmen eines Online-Gewinnspiels Hinweistexte, die mit Ankreuzkästchen versehen wurden. Einer dieser Hinweistexte bezog sich auf einen Webanalysedienst, der mit Hilfe von Cookies Informationen über das Surf- und Nutzungsverhalten der Teilnehmer erhebt. In die Verwendung dieses Dienstes sollten die Gewinnspiel-Teilnehmer einwilligen. Das zum Hinweistext gehörige Ankreuzkästchen war dabei bereits mit einem voreingestellten Häkchen versehen, den die Teilnehmer manuell entfernen mussten, um ihre Einwilligung zu verweigern.
Bevor er selbst urteilte, legte der BGH dem EuGH einige Fragen aus dem Rechtsstreit zur Entscheidung vor. Der EuGH entschied daraufhin,
- dass durch die Verwendung eines voreingestellten Ankreuzkästchens keine wirksame Einwilligung in die Verwendung von Cookies eingeholt werden kann – vielmehr sei hierfür ein aktives Verhalten des Nutzers erforderlich (wie beispielsweise das Ankreuzen eines Kästchens, das zuvor nicht belegt war),
- dass eine Pflicht zur Einholung von Cookie-Einwilligungen unabhängig davon ist, ob mit Hilfe der Cookies personenbezogene Daten verarbeitet werden oder nicht, und
- dass der Nutzer Informationen über die Funktionsdauer der Cookies und darüber, ob Dritte Zugriff auf die Cookies haben, erhalten muss, um eine informierte Einwilligung in die Verwendung von Cookies erteilen zu können.
Zu der Frage, ob in Deutschland derzeit überhaupt Einwilligungen in Cookies erforderlich sind, hat sich der EuGH jedoch nicht geäußert. Diese Frage hatte deshalb nun der BGH zu beantworten.
Rechtlicher Hintergrund der Zweifel am Einwilligungs-Erfordernis
Bisher war es umstritten, ob die auf europäischer Ebene normierte Pflicht zur Einholung einer Cookie-Einwilligung auch in Deutschland gilt. Es lässt sich nämlich argumentieren, dass der deutsche Gesetzgeber das Einwilligungserfordernis aus der ePrivacy-Richtlinie nie ins deutsche Recht überführt hat. Allenfalls kann man diese Anforderung in die Regelungen des deutschen Telemediengesetzes (TMG) hineinlesen. Tatsächlich befasst sich das TMG aber mit der Verarbeitung personenbezogener Daten und speziell der Erstellung von pseudonymen Nutzungsprofilen, aber nicht mit Cookies. Auch ein aktives Einwilligungserfordernis sucht man im TMG vergeblich; dies enthält stattdessen eine Opt-Out-Lösung gegen die Bildung von Nutzungsprofilen. Die deutschen Datenschutzbehörden gingen in ihrer Orientierungshilfe für Anbieter von Telemedien daher bisher davon aus, dass in Deutschland keine Einwilligungspflicht für Cookies besteht. Und auch die Europäische Kommission[1] war der Ansicht, dass die Cookie-Einwilligung aus der ePrivacy-Richtlinie nicht in deutsches Recht umgesetzt wurde.
BGH positioniert sich zum Thema Cookie-Einwilligung
Nichtsdestotrotz geht der BGH in der nun vorliegenden Entscheidung davon aus, dass die Pflicht zur Einholung einer Cookie-Einwilligung auch in Deutschland gilt.
Er stellt klar, dass sich dieses Einwilligungserfordernis aus einer europarechtskonformen Auslegung des TMG ableiten lässt. In der Pressemeldung heißt es hierzu:
„Der richtlinienkonformen Auslegung des § 15 Abs. 3 Satz 1 TMG steht nicht entgegen, dass der deutsche Gesetzgeber bisher keinen Umsetzungsakt vorgenommen hat. Denn es ist anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform erachtete. Mit dem Wortlaut des § 15 Abs. 3 Satz 1 TMG ist eine entsprechende richtlinienkonforme Auslegung noch vereinbar. Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.“
Damit entscheidet sich der BGH für eine sehr weit reichende und klar über den Wortlaut hinausgehende Auslegung – eine Norm, die sich mit der Verarbeitung von personenbezogenen Daten befasst, wird auf Cookies angewendet, und zwar obwohl Cookies nicht zwangsläufig mit einer solchen Verarbeitung einhergehen. Darüber hinaus wird ein bloßes Widerspruchsrecht in ein aktives Einwilligungserfordernis umgedeutet. Das Urteil ist damit weniger von dogmatischen Erwägungen geleitet, als erkennbar vom Willen getragen, europarechtlichen Vorgaben weitestgehend zur Geltung zu helfen, auch wenn der Gesetzgeber untätig bleibt (eigentlich hätte Deutschland das Einwilligungserfordernis nämlich bis Mai 2011 umsetzen müssen).
Damit gibt der BGH nicht nur der Klage des vzbv statt, sondern sorgt generell für weitgehende Auswirkungen auf Website-Betreiber, die Cookies einsetzen. Denn – um sich keinem erheblichen Risiko auszusetzen – müssen sie spätestens jetzt Einwilligungen in die Verwendung der Cookies einholen.
Was sollten Website-Betreiber jetzt tun?
Website-Betreiber müssen nun handeln. Eine Umsetzungsfrist für Unternehmen gibt es im Hinblick auf das Einwilligungserfordernis für Cookies nicht. Vielmehr galt dieses – basierend auf der Interpretation des BGH – de facto schon seit Schaffung des TMG in seiner jetzigen Form.
Sofern bisher keine Einwilligung in die Verwendung von Cookies eingeholt wurde, sollten die bestehenden Prozesse dringend angepasst werden. Es gilt, den Nutzern eine Cookie-Einwilligungserklärung zur Verfügung zu stellen, die den geltenden Anforderungen aus der DSGVO genügt und insbesondere die oben beschriebenen Vorgaben des EuGH umsetzt. Eine Einwilligung ist nunmehr für sämtliche Cookies notwendig, die für den Betrieb der Website nicht zwingend erforderlich sind. Sowohl Analyse-Cookies als auch sämtliche Werbetracking-Cookies sind damit einwilligungspflichtig und dürfen vor der Erteilung der Einwilligung durch den Nutzer nicht auf dessen Endgerät gespeichert oder dort ausgelesen werden. Ausgenommen sind nur sogenannte unbedingt erforderliche Cookies, also Cookies, die in technischer Hinsicht für den sicheren Betrieb der Website benötigt werden. Erst mit Einführung der geplanten ePrivacy-Verordnung besteht Hoffnung, dass Website-Betreiber zumindest bestimmte Website-Analysen wieder ohne Cookie-Einwilligung durchführen können.
Auch Website-Betreiber, die bereits eine Cookie-Einwilligung einholen, sollten ihre Prozesse noch einmal auf Konformität mit den Vorgaben von EuGH und BGH überprüfen.
Im Rahmen der Erstellung der Cookie-Einwilligungserklärung sollten Website-Betreiber darüber hinaus prüfen, ob sie neben der Einwilligung in die Speicherung von Cookies (nur hierauf bezieht sich die Entscheidung des BGH) auch eine Einwilligung in die Datenverarbeitung einholen möchten, die mit Hilfe der Cookies ermöglicht wird. Eine solche Einwilligung in Datenverarbeitung ist nach Auffassung der deutschen Datenschutzbehörden von der „bloßen“ Cookie-Einwilligung nicht umfasst, sondern muss beim Nutzer gesondert abgefragt werden. Die deutschen Datenschutzbehörden verlangen eine solche Einwilligung für bestimmte Tools, die über Cookies funktionieren (siehe Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien). Bisher nicht geäußert haben sich die Behörden aber u. a. zu der Frage, ob Cookie-Einwilligung und Einwilligung in Datenverarbeitung verknüpft werden können. Nicht abschließend geklärt ist auch, ob Nutzer (kostenloser) Online-Angebote dazu verpflichtet werden können, eine Einwilligung in Cookies bzw. Datenverarbeitung zu erteilen.
Es zeigt sich, dass das Thema Cookies auch nach der Entscheidung des BGH in Sachen Planet49 weiterhin komplex und unübersichtlich bleibt. Website-Betreiber sollten sich umfassend informieren und ihre Prozesse an die geltenden Anforderungen anpassen. Nur so kann das Risiko möglicher Rechtsstreitigkeiten – sei es mit der zuständigen Datenschutzbehörde, den Nutzern, Verbraucherschutzverbänden oder Wettbewerbern – verringert werden.
Die Auswirkungen der Entscheidung des BGH sollten nicht unterschätzt werden. Dies gilt insbesondere im Hinblick auf ein Tätigwerden von Wettbewerbern und Verbraucherschutzverbänden.
Ob auch Datenschutzbehörden jetzt ihre Linie ändern, bleibt abzuwarten. Schon bisher vertreten sie ja vehement, dass die mit den Cookies ermöglichten Datenverarbeitungsvorgänge in vielen Fällen einwilligungspflichtig sind. Zwar ist bisher kein Fall bekannt, in dem diese im Zusammenhang mit Cookies und Tracking in Deutschland ein Bußgeld verhängt haben. Dies kann sich auf Grund der großen Aufmerksamkeit, die dieses Thema aktuell erfährt, jedoch durchaus ändern. Wenn mit dem Einsatz von Cookies auch eine rechtswidrige Datenverarbeitung einhergeht, liegt der Bußgeldrahmen bei 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Wenn allerdings „nur“ die Cookie-Einwilligung fehlt, käme allenfalls der niedrigere Bußgeldrahmen des TMG (Bußgelder bis 50.000 EUR) zum Einsatz – tatsächlich aber fehlt es an einer einschlägigen Bußgeldnorm. Und eine richtlinienkonforme Auslegung in Bezug auf Bußgelder wäre nicht mit dem Bestimmtheitsgrundsatz vereinbar (Art. 103 Abs. 2 GG).
[1] vgl. den auf der verlinkten Website abrufbaren „Final report“, S. 63.