Nun auch der BGH: Unbeschränkte Einwilligungspflicht für technisch nicht erforderliche Cookies in Deutschland

Die Frage, ob in Deutschland der Einsatz technisch nicht notwendiger Cookies auf Webseiten von der Einwilligung des Nutzers abhängig gemacht werden muss, beschäftigt deutsche Gerichte aller Instanzen seit 2014. Nachdem der BGH dem EuGH Fragen zur Auslegung der maßgeblichen Cookie-Richtlinie vorgelegt und der EuGH am 01.10.2019 zugunsten einer EU-weiten Einwilligungspflicht für nicht essentielle Cookies geurteilt hatte, hat der BGH mit Urteil vom 28.05.2020 (Az. I ZR 7/16) der langen Rechtsunsicherheit ein Ende gesetzt: auch in Deutschland sind technisch nicht notwendige Cookies unbeschränkt einwilligungspflichtig. Anderslautende Vorschriften des TMG sind unionsrechtskonform auszulegen. Lesen Sie mehr zum Grundsatzurteil und zu den Konsequenzen für Seitenbetreiber.

I. Sachverhalt, Ausgangslage und Gang des Verfahrens

Angefangen hatte der Rechtsstreit über die Einwilligungspflicht für Cookies, der die deutschen Gerichte seit nunmehr 6 Jahren beschäftigt und am 28.05.2020 endlich seinen Abschluss fand, mit einer Werbekampagne des Anbieters „Planet 49“. Im September 2013 veranstaltete Planet 49 ein Gewinnspiel, für dessen Teilnahme Nutzern ein vorausgefülltes Ankreuzfeld für eine Einwilligung in ein Cookie-Tracking über den Webanalysedienst „Remintrex“ präsentiert wurde.

Der Bundesverband der Verbraucherzentralen sah hierin eine unzureichende Umsetzung der Cookie-Einwilligungspflicht, weil es nach Ansicht des Verbandes für deren Wirksamkeit auf eine aktive Erklärungshandlung ankam. Das Abfragen einer voreingestellten Einwilligung erfülle dies gerade nicht. Gefordert wurde eine Unterlassung.

Nachdem das Landgericht Frankfurt a.M. Planet 49 als Beklagte antragsgemäß zur Unterlassung verurteilt hatte, wurde das Urteil vom OLG Frankfurt a.M. zugunsten der Beklagten aufgehoben. Nach Revision des Klägers zum BGH setzte dieser das Verfahren aus und stellte dem EuGH eine Reihe von Fragen zur Geltung einer Cookie-Einwilligungspflicht und zu den Anforderungen an eine wirksame Cookie-Einwilligung.

Maßgeblicher rechtlicher Streitpunkt war hierbei, dass die europäische Richtlinie 2002/58/EG in ihrer letzten Fassung von 2009 in Art. 5 Abs. 3 eine Pflicht der Mitgliedstaaten vorsah, den Einsatz von technisch nicht notwendigen Cookies von einer individuellen Nutzereinwilligung abhängig zum machen:

Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Diese Opt-In-Pflicht für Cookies war und ist in Deutschland aber nicht ordnungsgemäß umgesetzt worden. Vielmehr ging und geht das deutsche Pendant, der § 15 Abs. 3 TMG, davon aus, dass Cookies generell ohne Einwilligung gesetzt werden dürfen und nur ein Opt-Out ermöglicht werden muss:

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen.

Hier lag nun in rechtlicher Hinsicht die Crux der Entscheidungsfindung. Während sich die Beklagte auf die deutsche Vorschrift berief und argumentierte, zur Einwilligungseinholung überhaupt nicht verpflichtet gewesen zu sein, argumentierte der Kläger mit dem eindeutigen Wortlaut der Richtlinie.

Auf Vorlage des BGH erklärte der EuGH mit Urteil vom 01.10.2019 (Az. C-673/17) alle Cookies, die für den Betrieb einer Webseite nicht zwingend erforderlich sind, für nach EU-Recht einwilligungspflichtig.

Für die Einwilligung komme es nicht darauf an, ob im Sinne der DSGVO durch die Cookies personenbezogene Daten verarbeitet würden oder nicht. Vielmehr knüpfe die Richtlinie 2002/58/EG als eigenständiger Rechtsakt unabhängig von Datenverarbeitungen das bloße Setzen von Cookies als Dateien auf Nutzerendgeräten an die Einwilligungspflicht. Ebenso stellte der EuGH klar, dass die Einwilligung für ihre Wirksamkeit ausdrücklich erteilt werden müsse und mithin eine aktive Nutzerhandlung voraussetze. Einwilligungsfelder dürften deshalb nicht vorausgefüllt sein, sondern der Nutzer müsste sein Häkchen gerade aktiv setzen.

Das ausgesetzte Verfahren hatte der BGH mit Verhandlungstermin vom 30.01.2020 wieder aufgenommen und schließlich am 28.05.2020 – unter Berücksichtigung der Leitsätze des EuGH – sein Urteil gefällt.

Damit hat der BGH dem langwierigen Rechtsstreit über die rechtliche Grundlage einer Cookie-Einwilligungspflicht in Deutschland ein Ende bereitet.

II. Die Entscheidung des BGH: EU-Recht überschreibt TMG hin zu Cookie-Einwilligungspflicht

In seiner Grundsatzentscheidung vom 28.05.2020 (I ZR 7/16) erklärte der BGH abschließend alle Cookies, die für den Betrieb einer Webseite nicht zwingend erforderlich sind, auch in Deutschland für unbeschränkt einwilligungspflichtig.

Hierfür bediente sich der BGH des sog. Grundsatzes der unionsrechtkonformen Auslegung. Der BGH bestätigte, dass § 15 Abs. 3 TMG in seinem Wortlaut mit Art. 5 Abs. 3 der Richtlinie 2002/58/EG (in der Fassung der Richtlinie 2009/136/EG) nicht zu vereinbaren sei. Während die Richtlinie eine Opt-In-Pflicht für technisch nicht notwendige Cookies vorsehe, gehe § 15 Abs. 3 TMG vom Ausreichen eines bloßen Cookie-Opt-Outs (also eines Widerspruchs) aus.

Der BGH entschied daher, dass § 15 Abs. 3 TMG richtlinienkonform dahingehend ausgelegt werden müsse, dass für den Einsatz von technisch nicht notwendigen Cookies die Einwilligung des Nutzers erforderlich sei. Der fehlenden erforderlichen Einwilligung sei der gemäß § 15 Abs. 3 TMG dem Cookie-Tracking entgegenstehende Widerspruch gleichzusetzen.

Der wortlautgemäßen Anwendung der Vorschrift sprach der Senat damit seine Gültigkeit ab und überschrieb sie unter Beachtung des Unionsrechts.

Seit dem 28.05.2020 muss § 15 Abs. 3 TMG richtlinienkonform so angewendet werden, als setze er für den Einsatz technisch nicht erforderlicher Cookies eine Nutzereinwilligung voraus.

Eine Opt-Out-Lösung für Cookies, die nicht zwingend erforderlich sind, ist damit ab sofort offiziell unzulässig und rechtswidrig.

Im Einklang mit dem Urteil des EuGH entschied der BGH sodann, dass eine Cookie-Einwilligung durch ein vorangekreuztes Einwilligungskästchen nicht wirksam abgefragt werden könne. Vielmehr sei ein aktives Setzen des Opt-In-Häkchens erforderlich.

III. Konsequenzen für Seitenbetreiber

Was bereits durch das EuGH-Urteil vom 01.10.2019 unionsweit anklang, steht seit heute, dem 28.05.2020, speziell auch für Deutschland rechtsverbindlich fest: Alle Seitenbetreiber dürfen Cookies, die für den Betrieb einer Webseite nicht zwingend erforderlich sind, nur nach entsprechender aktiver Nutzereinwilligung setzen.

Auf § 15 Abs. 3 TMG als anderslautende Vorschrift können sich deutsche Seitenbetreiber nicht mehr berufen.

Ferner gilt nunmehr rechtsverbindlich, dass die Cookie-Einwilligung durch eine aktive Nutzerhandlung erteilt werden muss. Erst nach deren Vorliegen dürfen die betroffenen Cookies gesetzt werden.

Unzulässig sind damit offiziell bloße Cookie-Banner, die über das Setzen von Cookies informieren und sich mit einen bloßen Klick auf „Ok“ abwinken lassen. Hier kann der Nutzer keine hinreichend informierte Einwilligung erteilen, die das Setzen von Cookies aktiv von seiner Entscheidung abhängig macht.

IV. No excuses: Rechtskonforme Cookie-Consent-Lösung erforderlich

Auch für Deutschland gilt daher (ab heute, dem 28.05.2020 rechtsverbindlich): Seitenbetreiber, die technisch nicht erforderliche Cookies setzen, müssen auf ihren Präsenzen zwingend rechtskonforme Cookie-Lösungen implementieren.

Diese müssen technisch sicherstellen, dass

• für jede cookie-basierte und nicht technisch erforderliche Anwendung eine individuelle Cookie-Einwilligung abgefragt wird
• Cookies dieser Anwendungen erst dann gesetzt werden, wenn der Nutzer hierin jeweils individuell eingewilligt hat
• Nutzer ihre Einwilligungen über entsprechende Optionen jederzeit wieder widerrufen können und dadurch die Cookie-Setzung wieder gestoppt wird

Welche Lösungen für einzelne Shopsysteme den rechtlichen Anforderungen genügen und welche nicht, lesen Sie hier.

V. Mandanten der IT-Recht Kanzlei waren vorbereitet

Für Mandanten der IT-Recht Kanzlei kommt das Grundsatzurteil des BGH nicht unverhofft. Bereits mit dem EuGH-Urteil vom 01.10.2019 war absehbar, dass die Cookie-Einwilligungspflicht europaweit (und mithin auch uneingeschränkt in Deutschland) gilt.

Um Mandanten den rechtssicheren Betrieb ihrer Präsenzen auch in Bezug auf Cookies frühzeitig zu ermöglichen, hat die IT-Recht Kanzlei schon im Herbst 2019 weitläufig zur Implementierung von Consent-Lösungen für Cookies geraten und bietet Mandanten seither verschiedene rechtskonforme Cookie-Consent-Tools entweder völlig kostenlos oder stark vergünstigt an.

VI. Rechtskonforme Cookie-Consent-Tools für Mandanten

Mandanten der IT-Recht Kanzlei haben im Mandantenportal Zugriff auch eine Vielzahl von Angeboten für rechtskonforme Cookie-Consent-Tools (universelle Lösungen und Anwendungen für spezielle Shop-Systeme).

Entweder vollständig und dauerhaft kostenlos oder stark vergünstigt bietet die IT-Recht Kanzlei ihren Mandanten als Zusatzleistung die Möglichkeit an, den erforderlichen Cookie-Consent auf ihren Präsenzen anwender- und kostenfreundlich umzusetzen.

Eine Übersicht aller derzeit zur Verfügung kostenlosen wie auch stark vergünstigten Cookie-Consent-Lösungen findet sich hier.

VII. Was nun zu tun ist

Seitenbetreiber, die bereits einen hinreichenden Cookie-Consent auf ihren Präsenzen eingerichtet haben, müssen nichts weiter tun. Die vom BGH bestätigte Cookie-Einwilligungspflicht setzen sie nämlich bereits ordnungsgemäß um.

Seitenbetreiber, die bisher kein oder kein hinreichendes Cookie-Consent-Tool verwenden, müssen ein solches nun unbedingt unverzüglich einbinden. Ein „deutscher Sonderweg“ für Cookies wurde vom BGH am 28.05.2020 aberkannt, auch hier gilt die Einwilligungspflicht uneingeschränkt.

Freilich muss ein Cookie-Consent-Tool nur dort vorgehalten werden, wo der Betreiber die Cookie-Setzung eigenständig kontrollieren kann. Die Pflicht gilt insofern nicht auf Handelsplattformen (eBay, Amazon, etsy und Co.) und in sozialen Netzwerken (Facebook, Instagram und Co.)

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.