BGH legt EuGH Fragen zu Anforderungen an Cookie-Einwilligung vor – Fragen betreffen auch Auslegung der Datenschutz-Grundverordnung

Um Besuchern auf ihrer Webseite personalisierte Werbung anzeigen zu können, greifen Unternehmen häufig auf die Nutzung von Cookies zurück. Cookies sind Dateien, die von einer besuchten Webseite auf dem Smartphone oder Computer von Nutzern gespeichert werden. Je nach Funktionsweise können sie z.B. für Werbepartner Informationen über das Surfverhalten des Nutzers sammeln und übermitteln.

Welche Anforderungen gelten für eine Cookie-Einwilligung?

Für Unternehmen stellt sich die Frage, ob für die Nutzung dieser Cookies eine ausdrückliche Einwilligung der Nutzer im Sinne eines „Opt-Ins“ erforderlich ist oder ob ein Widerspruchsrecht genügt.

In einem jüngst veröffentlichten Beschluss hat der Bundesgerichtshof zu dieser Thematik vier Fragen zur Auslegung der Datenschutzrichtlinie für elektronische Kommunikation dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt (BGH, Beschluss vom 05.10.2017, Az. I ZR 7/16).

Der Sachverhalt

Im Rahmen eines Internet-Gewinnspiels fragte der beklagte Veranstalter Name und Anschrift des Teilnehmers ab. Unter diesen Textfeldern befanden sich Hinweistexte. Im voreingestelltem Ankreuzfeld fand sich die (angekreuzte) Einwilligungserklärung zum Setzen von Cookies eines Webanalysedienstes. Die Cookies verfolgten den Zweck, künftig den Gewinnspielteilnehmer interessenbasierte Werbung zu zeigen. Weitere Informationen zur Funktion der Cookies und einem Widerruf waren verlinkt. Die Gewinnspielteilnahme selbst war auch ohne diese Einwilligung möglich.

Die Entscheidung des OLG Frankfurt am Main

Das Oberlandesgericht Frankfurt am Main hatte in der Berufungsinstanz die mit einem Häkchen voreingestellte Einwilligungserklärung zur Nutzung von Cookies weder angesichts der Einstellung noch inhaltlich beanstandet. Nutzer würden nach Ansicht des Gerichts auch erkennen, dass das Häkchen entfernt werden könne. In Bezug auf den Umfang der Informationspflicht ließ es das OLG genügen, wenn sämtliche erforderliche Informationen über Cookies nicht bereits in der Erklärung selbst, sondern in einem verlinkten Text wiedergegeben werden (OLG Frankfurt am Main, Urteil vom 17.12.2015, Az. 6 U 30/15 – nicht rechtskräftig). Der Kläger, ein Verbraucherschutzverband, wie auch die Beklagte verfolgen ihre Begehren in der Revision beim Bundesgerichtshof weiter.

Die Vorlagefragen des BGH

Der BGH legt nun dem Europäischen Gerichtshof vier Fragen zur Cookie-Einwilligung vor. Er hält sowohl die Form als auch den Inhalt dieser Cookie-Einwilligung für klärungsbedürftig:

Kann im Sinne der Datenschutzrichtlinie für elektronische Kommunikation durch ein voreingestelltes Ankreuzkästchen in die Speicherung von Informationen oder den Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, wirksam eingewilligt werden (Vorlagefrage Nr. 1a)? Außerdem will der BGH wissen, ob es dabei einen Unterschied macht, wenn es sich bei den Informationen um personenbezogene Daten handelt (Vorlagefrage Nr. 1b). Vorlagefrage Nr. 1c) bezieht sich auf die ab 25. Mai 2018 anzuwendende Datenschutz-Grundverordnung (DS-GVO): Ist eine vorangekreuzte Gestaltung auch eine wirksame Einwilligung im Sinne der DS-GVO?

Die letzte Frage betrifft den Umfang von Informationspflichten: Welche Informationen hat der Diensteanbieter im Rahmen der Einwilligungserklärung zu erteilen (Vorlagefrage Nr. 2)? Explizit fragt der BGH, ob über die Funktionsdauer der Cookies oder auch den Zugriff Dritter auf die Cookies, informiert werden muss.

Hintergrund des Verfahrens:

Welche Anforderungen an eine Einwilligung zur Cookie-Nutzung zu stellen sind, ist bislang nicht unumstritten. Grund dafür ist auch die Ausgestaltung des § 15 Abs. 3 Telemediengesetz (TMG), der für pseudonymes Tracking eine Widerspruchslösung („opt-out“) vorsieht. Der Europäische Gesetzgeber verlangt in Art. 5 Abs. 3 S. 1 der Datenschutzrichtlinie für elektronische Kommunikation wörtlich eine Einwilligung zur Speicherung oder zum Zugriff auf Informationen. Da eine Richtlinie grundsätzlich der Umsetzung in nationales Recht bedarf und nicht unmittelbare Wirkung entfaltet, stellt sich die Frage, wie die nationale Vorschrift des TMG (Widerspruchslösung mittels „opt-out“) mit Blick auf die Datenschutzrichtlinie für elektronische Kommunikation (Erfordernis der Einwilligung) auszulegen ist. Ob ein voreingestelltes Ankreuzkästchen eine wirksame Einwilligung im Sinne der Richtlinie wie auch nach der DS-GVO darstellt, hat nun der EuGH zu klären.

Wichtige Vorschriften

§ 15 Abs. 3 Telemediengesetz (TMG)
„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.“

Art. 5 Abs. 3 S. 1 der Richtlinie 2002/58/EG (neu gefasst durch Richtlinie 2009/136/EG):
„Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.“

Art. 6 Abs. 1 lit. a der EU-Datenschutz-Grundverordnung:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;”

Weiterführende Informationen

BGH, Vorlagebeschluss vom 05.10.2017, Az. I ZR 7/16 >>

Richtlinie 2002/58/EG >>

Richtlinie 2009/136/EG >>

Pressemitteilung vom 23.06.2017 Wettbewerbszentrale moniert Datenschutzverstöße beim Einsatz von Webanalyse Tools – Webseitenbetreiber müssen auf den Einsatz von Tracking Tools hinweisen >>

cki