BGH: Cookie-Einwilligung durch vorangekreuztes Kästchen ist unwirksam -

Der BGH hat heute entschieden, dass der Betreiber einer Website nicht durch ein vorangekreuztes Kästchen eine Einwilligung zum Setzen von Tracking-Cookies einholen kann. Der BGH hat damit die erstinstanzliche Verurteilung der Beklagten durch das Landgericht Frankfurt aus dem Jahr 2017 wiederhergestellt (BGH, Urteil I ZR 7/16 vom 28. Mai 2020, Quelle: BGH-Pressemitteilung).

Da LG Frankfurt hatte der Beklagten, der Veranstalterin eines Gewinnspiels, verboten, durch ein vorangekreuztes Kästchen eine Einwilligung zum Setzen von Cookies auf dem eigenen Endgerät einzuholen. Mit den Cookies sollte das Surf- und Nutzungsverhalten auf Webseiten von Werbepartnern ausgewertet werden, um interessengerichtete Werbung auszuspielen. Das OLG Frankfurt wies in der Berufung die Klage teilweise ab. Der BGH legte Fragen zur Einwilligung in Cookies dem EuGH vor, der im Herbst 2019 sein Urteil verkündete.

Das Urteil des BGH enthält Ausführungen sowohl zum damals geltenden Recht – das Gewinnspiel fand schon 2013 statt – als auch zur DS-GVO. Ein Unternehmer kann danach durch ein voreingestelltes Ankreuzkästchen weder nach der Richtlinie 2002/58/EG noch nach der DS-GVO eine wirksame Einwilligung in das Setzen von Tracking Cookies einholen, so der BGH. So hatte auch der EuGH im Vorlageverfahren entschieden.

Der Pressemitteilung lässt sich nicht eindeutig entnehmen, ob nach Ansicht des BGH eine Einwilligung in Cookies an den Anforderungen von Artikel 5 Abs. 3 der Richtlinie zum Datenschutz im elektronischen Geschäftsverkehr 2002/58/EG oder an Artikel 4 Nr. 11, 6 Abs. 1 a) und 7 der DS-GVO zu messen ist. Die Richtlinie 2002/58 gilt neben der DS-GVO fort; sie sollte ursprünglich durch die ePrivacy-Verordnung ersetzt werden, die bis heute noch nicht vorliegt. Art. 5 Abs. 3 der Richtlinie 2002/58 sieht vor, dass Nutzer auf der Grundlage von klaren und umfassenden Informationen ihre Einwilligung gegeben haben müssen. Gem. Art. 4 Nr. 11 DS-GVO ist eine Einwilligung eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willenserklärung in Form einer Erklärung oder sonstigen eindeutigen bestätigenden Handlung.

In Deutschland besteht in Gestalt des § 15 Abs. 3 S. 1 Telemediengesetz (TMG) eine Widerspruchslösung beim Einsatz von Cookies zur Erstellung von Nutzerprofilen zur Werbung oder Marktforschung. Danach können Unternehmen so lange Cookies setzen, bis der Nutzer widerspricht (ein Opt-out erklärt). Der deutsche Gesetzgeber hat diese Regelung weder in den Jahren 2009-2011, als die Richtlinie 2002/58 geändert wurde und das oben genannte Einwilligungserfordernis erhielt, noch 2018 mit Inkrafttreten der DS-GVO geändert.

Der BGH hält jetzt fest, dass die nationale Regelung des § 15 Abs. 3 TMG unionskonform so auszulegen ist, dass der Umstand, dass ein Unternehmer keine wirksame Einwilligung einholt, wie ein Widerspruch (Opt-out) zu sehen ist. Er hat die Beklagte gem. § 1 UKlaG in Verbindung mit § 307 Abs. 1 und Abs. 2 BGB zur Unterlassung verurteilt.

Außerdem hat der BGH der Klage auch bezüglich der Einwilligung in Post-, Telefon-, SMS- und E-Mailwerbung stattgegeben. Um an dem Preisausschreiben teilzunehmen, mussten die Nutzer das Häkchen zum Erhalt solcher Werbung zwingend setzen. Verlinkt waren im Hinweistext 57 Unternehmen, die den Teilnehmern des Gewinnspiels Werbung zusenden durften und von denen sich die Teilnehmer einzeln abmelden konnten.

Der BGH hat dazu festgehalten, dass die Beklagte auf diese Weise keine wirksame Einwilligung in telefonische Werbung einholen konnte. Sie sei daher gem. §§ 1, 3 Abs. 1 Nr. 1 UKlaG i.V.m. mit § 307 Abs. 1 und Abs. 2 BGB sowie gem. § 7 Abs. 2 Nr. 2 Fall 1 UWG zur Unterlassung verpflichtet. Es fehle an einer Einwilligung „für den konkreten Fall“. Denn die beanstandete Gestaltung der Einwilligungserklärung sei darauf angelegt, den Verbraucher mit einem aufwendigen Verfahren der Auswahl von in der Liste aufgeführten Partnerunternehmen zu konfrontieren, um ihn zu veranlassen, von dieser Auswahl abzusehen. Das Verfahren betraf noch die Einwilligung nach der Datenschutzrichtlinie 95/46/EG. Insofern sei mit Geltung der DS-GVO aber keine Rechtsänderung eingetreten, so der BGH.

Anmerkung
Viele Webseiten-Betreiber sind – auch aufgrund eines Hinweises der Landes- und Bundesdatenschutzbeauftragten vom 26. April 2018 – dazu übergegangen, Cookie-Bars oder Popup-Fenster zu implementieren, bei denen mit Schaltflächen, einer Checkbox oder Schiebern eine ausdrückliche Einwilligung in Tracking Cookies abgefragt wird. Der BGH hatte in diesem Verfahren nicht zu entscheiden, ob andere, in vielen Fällen ebenfalls noch gebräuchliche „Cookie Bars“, bei denen ein bloßes Weitersurfen als Einwilligung zum Setzen von Tracking Cookies gewertet wird, den Anforderungen einer wirksamen Einwilligung genügen. Bislang liegt nur die Pressemittteilung des BGH vor. Dass das Urteil in den Entscheidungsgründen zu solchen Lösungen Ausführungen enthalten wird, erscheint unwahrscheinlich, weil Gegenstand des Verfahrens ein Ankreuzkästchen (Checkbox) war.

Die Urteilsgründe des EuGH (Rn 54) deuten darauf hin, dass zum Setzen von Tracking Cookies ein „aktives Verhalten“ des Nutzers genügen kann, welches ohne jeden Zweifel einen Rückschluss auf den Willen des Nutzers zulässt. Noch weiter hat der Generalanwalt beim EuGH die Ansicht vertreten, für ein aktives Verhalten genüge „irgendeine Art von Handlung“, solange sie beweisbar sei. Zweifel könnten jedoch nicht durch ein passives Verhalten beseitigt werden (Schlussanträge, Rn 60, 81, 88).

Eine unscheinbare Cookie Bar, die den Nutzer nicht behindert, dürfte danach keinen eindeutigen Schluss auf den Willen des Nutzers zulassen. Erforderlich und ausreichend wäre möglicherweise eine auffällige oder den Blick auf Teile der Website versperrende entsprechende Cookie Bar, bei der aus einer Mausbewegung oder dem Wegklicken der Wille zum Weitersurfen geschlossen werden kann. In beiden Fällen dürften jedoch vor der „bestätigenden Handlung“ keine Tracking Cookies gesetzt werden. Daher dürfte eine solche Lösung nicht weniger aufwendig umzusetzen sein wie die derzeit den Stand der Technik markierenden Einwilligungslösungen mit einer Checkbox, einem Bestätigungsfeld oder einem Schieber.