Consent für Cookies – zum BGH-Urteil vom 28. Mai 2020 (AZ I ZR 7/16)

Nach der Grundsatzentscheidung des EuGH vom 1. Oktober 2019 hat nun der Bundesgerichtshof eine abschließende Entscheidung im Fall des Bundesverbands der Verbraucherzentralen gegen eine Anbieterin von Online-Gewinnspielen gefällt. 

1. Was war die Sachlage? 
Die Webseitenbetreiberin hatte im September 2013 bei der Teilnahmemöglichkeit für ein Gewinnspiel unter anderem eine vorangekreuzte Einwilligung vorgesehen (sog. Opt-Out). 

Mit dieser Erklärung willigte der Nutzer in das Setzen von Cookies zur Analyse seines Surf- und Nutzungsverhaltens auf Webseiten von Werbepartnern und in die Einblendung von Werbung durch einen Drittanbieter ein. Über die Cookies wurde jedem Nutzer eine zufallsgenerierte Nummer zugewiesen, durch welche dieser bei Besuch der Webseite oder der von registrierten Werbepartnern wiedererkannt wurde.

Wegen dieser und einer anderen Erklärung bei Registrierung für das Gewinnspiel hatte der Bundesverband die Webseitenbetreiberin auf Unterlassung und Ersatz von Abmahnkosten verklagt. Über die Revision war das Verfahren zum BGH gelangt. Der Bundesgerichtshof hat das Verfahren ausgesetzt, um dem Europäischen Gerichtshof verschiedene Fragen zur Auslegung hinsichtlich der Wirksamkeit einer Einwilligung in das Setzen von Cookies vorzulegen. Hierzu war ein Urteil des EuGH am 1. Oktober 2019 C-673/17 (http://curia.europa.eu/juris/liste.jsf?language=de&num=C-673/17) ergangen.

2. Wie hat der Bundesgerichtshof entschieden?
Hinsichtlich der voreingestellten Einwilligung in die Speicherung von Cookies hat der BGH den Unterlassungsanspruch des Klägers bestätigt.

Eine über „Opt-out“ eingeholte Einwilligungserklärung widerspricht § 15 Abs. 3 S. 1 TMG nach heutiger und damaliger Rechtslage. Denn für die hier stattfindende Profilbildung durch Pseudonym setzt § 15 Abs. 3 S. 1 TMG die Einwilligung des Nutzers voraus. Ein voreingestellter Ankreuzkästchen genügt diesen Erfordernissen nicht. Dadurch, dass der deutsche Gesetzgeber nach Inkrafttreten der DS-GVO keinen Umsetzungsbedarf sah, hielt er § 15 Abs. 3 S. 1 TMG für richtlinienkonform. Der Hinweis auf den Widerspruch des Nutzers sei dergestalt zu verstehen, dass auch für solche Maßnahmen eine Einwilligung des Nutzers erforderlich ist. Insofern liegt in der vorangeklickten Einwilligung ein Verstoß gegen § 307 Abs. 2 Nr. 1 BGB vor, der zur Unwirksamkeit des Einwilligungstextes führt.

3. Was ist neu an dieser Entscheidung?
Die Entscheidung legt einen jahrelangen Streit zum angeblichen Widerspruch zwischen den Regelungen des § 7 UWG, Art. 6 DS GVO und § 15 Abs. 3 S. 1 TMG bei. Aus der Formulierung des § 15 TMG, dass Profilbildung erlaubt sei, „sofern der Nutzer nicht widerspricht“ wurde überwiegend gefolgert, dass die Einholung einer ausdrücklichen Einwilligung gegenüber dem Nutzer nicht erforderlich sei. Vielmehr wurde die Information des Nutzers, verbunden mit einer Möglichkeit, der Datenerhebung zu widersprechen, als genügend angesehen. 

Nunmehr ist klargestellt, dass eine solche Ausnahme im Bereich der Profilbildungen nicht existiert. Vielmehr ist stets eine Einwilligung des Nutzers für solche Trackingmaßnahmen einzuholen.

4. Was ist zu veranlassen?
Im Zusammenhang mit dem Urteil des BGH und dem EuGH gibt es für alle, die Tracking- und Werbe-Cookies auf ihrer Webseite einsetzen, einige Schritte zu ergreifen:

1. Datenbestand: Alle Dienste, die auf eine Opt-Out-Lösung nach § 15 Abs. 3 TMG gesetzt haben, haben ohne entsprechende Einwilligung unzulässige Daten erhoben. Ergo müssen diese Daten gelöscht werden.
2. Cookie-Check: Jeder Webseitenbetreiber sollte eine Analyse vornehmen, welche Cookies welcher Anbieter er auf seiner Webseite einsetzt. Technisch erforderliche Cookies, wie z.B. Cookies für Warenkorbeinstellungen, zur Einholung einer Einwilligung, für Spracheinstellungen etc., bedürfen keiner Einwilligung. Technisch erforderlich heißt laut dem Urteil des EuGH, alles, was zur Erbringung des jeweiligen Dienstes zwingend erforderlich ist. Dazu zählen Tracking-, und Marketing-Cookies, noch dazu von Drittanbietern, sicherlich nicht.
3. Consent-Management: Nur wer die Wahl hat, kann eine freiwillige Einwilligung erteilen. Zwar kann ich versuchen, die Erteilung einer Einwilligung durch farbliche Kennzeichnung oder größeren Button positiv zu beeinflussen. Es muss in jedem Fall jedoch eine einfache Möglichkeit bestehen, Cookies abzulehnen. Auch muss sichergestellt sein, dass Cookies erst nach Erteilung der Einwilligung gesetzt werden.
4. Keine fingierten Erklärungen: Unsere Empfehlung nach vermeiden sollte man auch sogenannte fingierte Erklärungen, beispielsweise die Erteilung einer Einwilligung durch bloße Nutzung der Webseite. Dies steht zivilrechtlich bereits im Widerspruch zu § 308 Nr. 5 BGB. Im Hinblick auf die DS-GVO fehlt es unserer Auffassung nach an einer aktiven Einwilligung.

Gerne sind wir Ihnen bei der Umsetzung der neuen rechtlichen Vorgaben behilflich.

Ansprechpartnerin
Dr. Karolin Nelles LL.M., Schindhelm Rechtsanwaltsgesellschaft mbH, Frankfurt am Main