Grundsatzentscheidung des BGH zu Cookie-Einwilligung

Cookies setzen aktive Einwilligung voraus

Ein Beitrag von Rechtsanwalt Thomas Repka

Der Bundesgerichtshof (BGH) hat sich in seinem Urteil vom 28. Mai 2020 (Az. I ZR 7/16) zu einem Dauerbrenner im Internetrecht geäußert und die Anforderungen an eine Cookie-Einwilligung definiert. Die Entscheidung des BGH ist keine Überraschung, schließlich hatte der EuGH bereits in die gleiche Richtung entschieden.

Einwilligung in telefonische Werbung und Cookie-Speicherung

Mit seinem aktuellen Urteil hat der BGH den datenschutzrechtlich geführten Streit um die Bedingungen und Anforderungen an eine wirksame Einwilligung in die Cookie-Nutzung entschieden. Danach ist eine Einwilligung nur dann wirksam, wenn diese aktiv getätigt wurde. Hintergrund war eine Auseinandersetzung zwischen dem Bundesverband der Verbraucherzentralen und einem Anbieter von Online-Gewinnspielen. Im konkreten Fall war bei einem Gewinnspiel ein Haken zur Zustimmung des Einsatzes von Cookies zu Werbezwecken vorausgewählt. Dieser konnte zwar abgewählt werden, dies genügt aus Sicht des BGH aber nicht, um eine wirksame Einwilligung einzuholen. 

Vorlage an den EuGH

Der BGH legte dem Europäischen Gerichtshof (EuGH) mehrere Fragen zur Auslegung der europäischen Richtlinien vor. Daraufhin entschied der EuGH, dass nach europäischem Datenschutzrecht nur eine aktive Einwilligung Verbraucher nicht benachteilige und eine bewusste Entscheidung der Verbraucher sicherstelle. Dies war die Absage an vorausgewählte Checkboxen.
Der BGH schloss sich in seinem jetzigen Urteil der Ansicht des EuGH an und legte das deutsche Telemediengesetz nach den Vorgaben der seit 2018 geltenden EU-Datenschutzgrundverordnung (DSGVO) aus. Das Telemediengesetz steht insoweit im Konflikt mit der DSGVO, da nach deutschem Recht bislang eine sog. Widerspruchslösung bei Cookies vorgesehen war. Die Karlsruher Richter entschieden jetzt, dass das deutsche Recht richtlinienkonform fortzubilden sei. Die reine Möglichkeit durch Entfernen des Hakens zu widersprechen, genügt dementsprechend nicht.

Anforderungen an datenschutzrechtliche Einwilligungen

Eine datenschutzrechtliche Einwilligung muss gem. Art. 7 DSGVO folgende Kriterien erfüllen: 

• Freiwillig: Die Entscheidung zur Zustimmung muss freiwillig erfolgen, d.h. dass eine Website auch ohne Einwilligung in die Cookie-Nutzung nutzbar sein muss.
• Informiert: Dem Nutzer müssen alle relevanten Informationen (z.B. der Zweck der Verarbeitung) klar und transparent zur Verfügung gestellt werden.
• Explizit: Der Nutzer muss seine Zustimmung eindeutig, z.B. durch den Klick auf einen Button, ausdrücken. Dieser darf eben nicht vorausgewählt sein, sondern muss vom Nutzer aktiv angeklickt werden.
• Widerrufbar: Die Zustimmung muss jederzeit widerrufen werden können.
• Granular: Die Zustimmung muss für einzelne Dienste oder Zwecke einzeln abgefragt werden. Damit wird dem datenschutzrechtlichen Grundsatz der Datensparsamkeit Rechnung getragen
• Dokumentiert: Der Verantwortliche der Datenverarbeitung muss die Einwilligung des Nutzers dokumentieren und im Zweifel nachweisen können.

Kritik von allen Seiten

Die Kritik an der Entscheidung des BGH ließ nicht lange auf sich warten. Der Branchenverband Bitkom kritisierte die auch nach dem Urteil immer noch bestehende Rechtsunsicherheit, weil nicht klargestellt sei, welche Art von Cookies von diesen Vorgaben betroffen sind.   Kritiker befürten Abmahnungen wegen Datenschutzverletzungen und Bußgeldverfahren.

Verbraucherschützer und Medienrechtler wie Tobias Gostomzyk von der TU Dortmund hingegen geht die Entscheidung nicht weit genug. Sie sehen keinen echten datenschutzrechtlichen Gewinn für Verbraucher, da in der Praxis Datenschutzerklärungen oft nicht gelesen und schon gar nicht verstanden würden und Einwilligungen oft reflexartig erteilt werden. 

Rechtssicherheit wohl erst durch ePrivacy-Verordnung

Rechtsklarheit wird sich nun insbesondere von der bereits lange angekündigten und ersehnten ePrivacy-Verordnung auf europäischer Ebene erhofft. Mit dieser soll vor allem endlich klargestellt werden, für welche Cookies eine Einwilligung notwendig ist und welche Cookies auf Basis berechtigter Interessen der Webseitenbetreiber und damit auch ohne Einwilligung eingesetzt werden dürfen. Inwieweit hier jedoch kurzfristig eine Einigung erzielt wird, ist nicht abzusehen. Die kroatische Ratspräsidentschaft plädiert dafür, das Nutzer-Tracking auch auf Basis berechtigter Interessen zu erlauben während andere EU-Mitgliedsstaaten und Verbraucherschützer dies scharf ablehnen. Es bleibt also spannend.