In Zusammenarbeit mit der Rechtsanwaltskanzlei AGOR legal mbH, haben wir für Sie eine erste Einschätzung zum BGH-Urteil vom 28. Mai 2020 – I ZR 7/16 – Cookie-Einwilligung II aufbereitet. Das Verfahren ist Ihnen vermutlich unter dem Begriff Planet49 geläufig. Im Rahmen dieser kurzen Einschätzung wird sich auf die Entscheidungen in Bezug auf die Tracking-Technologien konzentriert. An dieser Stelle möchten wir darauf hinweisen, dass bisher nur die Pressemitteilung des BGH publiziert wurde. Der Urteilstext liegt noch nicht vor, der jedoch für eine detaillierte juristische Analyse und Auseinandersetzung notwendig ist.
Hintergründe des BGH-Urteils
Am 28. Mai 2020 erging das Urteil im Fall „Planet 49“ durch den Bundesgerichtshof (BGH). Bei dem Verfahren ging es um den Gewinnspielanbieter „Planet49“. Das Unternehmen führt Online-Gewinnspiele durch, wobei dabei zu Werbezwecken ein Ankreuzkästchen mit einem voreingestellten Häkchen verwendet wurde, mit dem Internetnutzer ihre Einwilligung in die Speicherung von Cookies erklärten. Dagegen wandte sich der deutsche Bundesverband der Verbraucherverbände.
Kernaussagen des BGH-Urteils
Der BGH bestätigt die Auffassung des EuGH aus dem Herbst zu der Frage, ob es sich bei einem vorausgewählten Kästchen (voreingestelltes Häkchen) um eine wirksame Einwilligung handelt. Dies verneint er ebenfalls, weil das Vorankreuzen eines Cookie-Einwilligungsfeldes keine rechtskonforme Einwilligung nach der DSGVO darstellt, da Einwilligung in diesem Fall nicht freiwillig erfolgt. Diese Bestätigung ist nicht überraschend und war zu erwarten.
Spannender hingegen ist der Umgang des BGH mit § 15 Abs. 3 TMG. Die Auslegung folgt nicht den Haltungen der Werbewirtschaft, aber auch nicht den Haltungen der deutschen Aufsichtsbehörden. Der BGH beendet damit die langjährige juristische Debatte, indem er den §15 Abs. 3 S. 1 TMG mit Blick auf Art. 5 Abs. 3 S. 1 der aktuellen E-Privacy-Richtlinie dahingehend richtlinienkonform auslegt, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung eine Einwilligung des Nutzers erforderlich ist. Damit sagt der „Neue“ § 15 Abs. 3 TMG, unter der Leseart des BGH aus, dass für das Abrufen und Speicherung von Daten im Endgerät des Nutzers in der Regel eine Einwilligung abgegeben werden muss, es sei den es liegt eine Ausnahmeregelung aus Art. 5 Abs. 3 S. 2 ePrivacy-RL vor. („Unbedingte Erforderlichkeit“)
Fazit für die Praxis
Jeder Webseitenverantwortliche muss sich nun endgültig mit durchdachten und schlüssigen Einwilligungsmodellen auseinandersetzen.
Die Prüfung von Trackingtechnologien im Onlineumfeld muss zukünftig sowohl unter Berücksichtigung und Prüfung der Erforderlichkeit im Sinne des Art. 5 Abs. 3 ePrivacy-RL als auch unter der Berücksichtigung der Anforderungen der DSGVO erfolgen. Damit bleibt jedoch weiterhin offen, welche Trackingtechnologien als „unbedingt erforderlich“ im Sinne des Gesetzes anzusehen sind. Stand heute gibt es zu dieser Auslegung noch keine (höchstrichterliche) Rechtsprechung.
Zusammenfassend lässt sich für die Praxis folgendes festhalten
Der Einsatz von Cookies ohne die ausdrückliche Einwilligung der Nutzer ist grundsätzlich nicht rechtskonform. Die Speicherung von Daten oder der Zugriff auf Informationen, welche im Endgerät eines Nutzers verfügbar sind, dürfen nur mit einer expliziten Einwilligung des Nutzers verarbeitet werden (Opt-In). Es genügt nicht, lediglich auf die Verarbeitung von Cookies über einen Banner hinzuweisen und in der Datenschutzerklärung ein „Opt-Out“ anzubieten. Dies gilt insbesondere für Tracking und Werbe-Cookies von Drittanbietern, die für die eigentliche Funktion der Webseite nicht zwingend notwendig sind. Beispiele: Google-Analytics, Double-Click, Google AdSence.
Keine Einwilligung benötigt man für Cookies, die unbedingt erforderlich sind, damit der elektronische Dienst (z.B. Website, App, Shop) überhaupt bereitgestellt werden kann (Art. 5 Abs. 3 ePrivacy-RL). Beispiele: Session-Cookies, Cookies für Warenkorb, Login oder Spracheinstellungen.
(Leider) streitig bzw. noch ungeklärt bleibt, ob einfache Analyse-Cookies, mit denen man Besucherströme auf Webseiten nachvollziehen und damit die Angebote entsprechend optimieren kann, als „unbedingt erforderlich“ angesehen werden können. Dazu zählt beispielsweise Matomo (ehemals Piwik). Für die Bejahung der Erforderlichkeit im Sinne des Gesetzes sprechen gute Argumente, es bleibt jedoch ein Restrisiko.
Juristische Debatten die durch das BGH-Urteil angestoßen wurden
Die Uminterpretation des § 15 Abs. 3 TMG und die durchaus interessante Methodik der Gesetzesauslegung des BGH wird verschiedenste juristische Debatten mit sich bringen. Unterm Strich wird dies voraussichtlich, für die Praxis, wenig hilfreich sein. Zudem bleibt weiterhin offen, wie das BMWI auf das Urteil reagieren wird, welche indirekten Einflüsse das Urteil auf die weitere Ausgestaltung der ePrivacy-Verordnung, unter der deutschen Ratspräsidentschaft, haben wird und wie zukünftig mit den gleichwertigen Rechtsgrundlagen zur Einwilligung (Art. 6 Abs. 1 S. 1 lit. a), dem Berechtigten Interesse (Art. 6 Abs. 1 S. 1 lit. f) und dem Vertrag (Art. 6 Abs. 1 S. 1 lit. b) der DSGVO, unter Berücksichtigung der Richtlinien umzugehen ist. Die Frage nach der Vollzugszuständigkeit für Bußgelder unter dem TMG ist auch nicht abschließend geklärt und national, je nach Bundesland, unterschiedlich geregelt.
Bei Fragen steht Ihnen Ihr AGOR-Berater/ Datenschutzbeauftragter gerne unter seinen persönlichen Kontaktdaten zur Verfügung.
Gerne können Sie sich auch an unsere Experten zu diesem Thema David Pfau, Managing Consultant AGOR AG (Mobil: 0151-58379450, dpfau@agor-ag.com) und Justyna Rulewicz, Geschäftsführende Partnerin AGOR legal Rechtsanwaltsgesellschaft mbH (Mobil: 0172-7933337, rulewicz@agor-legal.com) wenden.
