Der Bundesgerichtshof (BGH) hat in einer Grundsatzentscheidung die bisherige Handhabung von Cookies und Werbeeinwilligungen in Frage gestellt. Cookies dürfen grundsätzlich nur nach vorheriger Einwilligung des Nutzers eingesetzt werden. Für die Einwilligung von Verbrauchern in Telefon-, E-Mail-, SMS-Werbung etc. werden hohe Anforderungen gestellt. Die Entscheidung erfordert eine Überprüfung der bisherigen Cookie-Policies bzw. Werbeeinwilligungen.
Der Bundesgerichtshof (BGH) hat gestern eine Grundsatzentscheidung zur Einwilligung bei Cookies sowie zur Einwilligung in den Erhalt von Telefon-, E-Mail-, SMS-Werbung getroffen:
Art. 5 Abs. 2 der europäischen ePrivacy-Richtlinie sieht vor, dass der Einsatz von Cookies nur gestattet ist, wenn Nutzer auf der Grundlage von klaren und umfassenden Informationen ihre Einwilligung gegeben haben. Ausgenommen hiervon sind lediglich sog. notwendige Cookies, die zur Bereitstellung des vom Nutzer gewünschten Dienstes technisch erforderlich sind (z.B. Speicherung eines Login).
Diese Vorgabe hat Deutschland durch § 15 Abs. 3 des deutschen Telemediengesetzes (TMG) umgesetzt. Danach ist die Nutzung von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung des Angebotes erlaubt, „sofern der Nutzer dem nicht widerspricht“. Dies wurde vor dem Inkrafttreten der DSGVO praktisch einhellig so verstanden, dass ein Einsatz von Cookies durch den Betreiber der Website zu diesen Zwecken ohne vorherige Zustimmung oder Bestätigung durch den Nutzer möglich ist und erst zu unterbleiben hat, wenn und sofern der Nutzer aktiv widerspricht (sog. „Opt-Out“).
Nach dem Inkrafttreten der DSGVO gingen die überwiegende Anzahl der Stellungnahmen in der juristischen Fachliteratur und auch die Datenschutzaufsichtsbehörden der Länder in ihrer „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien“ davon aus, dass § 15 Abs. 3 TMG durch die DSGVO verdrängt wurde. Der Einsatz von Cookies sollte sich vielmehr allein nach der DSGVO richten. Damit war eine Einwilligung nicht zwingend erforderlich, der Einsatz konnte z.B. auch auf berechtigte Interessen des Anbieters gestützt werden.
Der BGH hat nun im Wesentlichen entschieden:
Im Ergebnis gilt damit für den Einsatz von nicht notwendigen Cookies in Deutschland das sog. Opt-In – und zwar auf der Grundlage von § 15 Abs. 3 TMG.
Dies widerspricht diametral der bisherigen von der überwiegenden Fachliteratur und den Datenschutzaufsichtsbehörden vertretene Position zum Einsatz von Cookies – die davon ausging, dass § 15 Abs. 3 TMG ein Opt-Out erlaubt, aber ohnehin seit dem Inkrafttreten der DSGVO am 25.05.2018 von dieser verdrängt wird (vgl. oben).
Mit der Entscheidung des BGH werden die Vorgaben für den Einsatz von Cookies wesentlich geschärft:
Cookie | Bisher (überwiegende Meinung)* | Jetzt (BGH) |
Notwendige Cookies | Keine gesonderte Rechtfertigung nötig. | Keine gesonderte Rechtfertigung nötig. |
Marktforschungs-, Werbe- und Webanalyse Cookies von Anbieter / Website-betreiber | Opt-Out** | Opt-In |
Marktforschungs-, Werbe- und Webanalyse Cookies von Dritten | Opt-in (Aufsichtsbehörden) Opt-out (Teile Fachliteratur)** | Opt-In |
Andere Cookies | Div. Rechtsgrundlagen (abhängig von Einzelfall) | Opt-In*** |
* Unter der Annahme, dass der Einsatz von Cookies Verarbeitung personenbezogener Daten darstellt.
** Verkürzt / Details insb. für Werbung z.T. strittig.
*** In der Pressemitteilung des BGH nicht ausdrücklich angesprochen. Die Anforderungen dürften jedoch erst recht gelten.
Diese verschärften Rahmenbedingungen müssen in der Praxis umgesetzt werden:
Der Handlungsbedarf ist dringend: Compliance (bzw. Non-Compliance) ist unmittelbar nach außen sichtbar. Die Abmahnungen des rechtswidrigen Einsatzes von Cookies wird bereits als Geschäftsmodell betrieben und kann ggf. auch mit Bußgeldern nach der DSGVO geahndet werden.
Wesentliche Handlungsschritte sind:
Nach § 7 Abs. 3 Nr. 2, 3 des Gesetzes gegen den unlauteren Wettbewerb (UWG) darf Werbung mit einem Telefonanruf bzw. unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post (E-Mail, SMS, WhatsApp, Push-Nachricht) gegenüber einem Verbraucher nur erfolgen, wenn er in diese vorher ausdrücklich eingewilligt hat.
Eine solche Einwilligung kann – auch nach der bisherigen Rechtsprechung des BGH – wirksam nur erteilt werden, wenn dem Einwilligenden klar ist, welche Produkte oder Dienstleistungen welcher Unternehmen sie konkret erfasst.
In dem nun vorliegenden Fall hatte der BGH über eine Gestaltung zu entscheiden, wonach das Einverständnis mit einer Werbung durch Sponsoren und Kooperationspartner der Beklagten per Post, Telefon, E-Mail oder SMS erklärt werden sollte. Dabei bestand für den Einwilligenden die Möglichkeit, die werbenden Sponsoren und Kooperationspartner aus einer verlinkten Liste von 57 Unternehmen selbst auszuwählen. Andernfalls sollte der Werbende diese Auswahl treffen.
Dies genüge, so der BGH, nicht:
Diese Ausführungen des BGH klingen selbstverständlich, haben aber potentiell weitreichende Konsequenzen:
Vor diesem Hintergrund besteht auch insofern dringender Handlungsbedarf: Es ist nach außen offensichtlich, ob die entsprechenden Vorgaben eingehalten werden oder nicht. Entsprechend besteht ein hohes Abmahn- und ggf. Bußgeldrisiko.
Umsetzungsschritte können sein:
BGH, Urteil vom 28. Mai 2020 – I ZR 7/16 – Cookie-Einwilligung II. Da die Entscheidungsgründe noch nicht veröffentlicht sind, beruht der Beitrag auf der hier verfügbaren Pressemitteilung des BGH und der dort gegebenen Zusammenfassung der Entscheidung. Der Beitrag enthält Annahmen und Interpretationen. Für seine Inhalt wird keine Gewähr übernommen und er stellt keine rechtliche Beratung dar.