DSGVO

Urteil

29. Mai 2020

Der Bundesgerichtshof hat am gestrigen Donnerstag zu einer seit langem für Rechtsunsicherheit sorgenden Frage Stellung genommen (BGH, Urteil vom 28.05.2020, Az. I ZR 7/16, „Cookie-Einwilligung II“). In dem Urteil ging es unter anderem um die Frage nach den Anforderungen an eine wirksame Einwilligung für Werbe- und Marketing-Cookies. Dabei handelt es sich nicht um solche Cookies, die zwingend technisch erforderlich sind um den vom Nutzer gewünschten Dienst zur Verfügung zu stellen, sondern um solche, mit denen ein Anbieter das Verhalten des Nutzers im Internet erfasst, ein Nutzerprofil erstellt und ihm hierauf abgestimmte Werbung zusendet.

Das Urteil des BGH erfolgte auf Grundlage einer vorherigen Entscheidung des EuGH (Urteil vom 1.10.2019, Rs. C-673/17). Wir berichteten zur EuGH-Entscheidung. Mit dem BGH-Urteil endet ein Rechtsstreit aus dem Jahr 2013 zwischen dem Bundesverband der Verbraucherzentralen und der Planet 49 GmbH, einer Anbieterin von Online-Gewinnspielen. Planet 49 hatte bei einem Online-Gewinnspiel Einwilligungen der Teilnehmer eingeholt, um auf ihren Geräten Werbecookies zu speichern. Jedoch waren die hierfür erforderlichen Ankreuzkästchen bereits vorausgefüllt. Es galt also zu klären, ob solche sogenannte „Opt-Out“-Lösungen eine zulässige Einwilligung darstellen. Gegenstand des Rechtsstreits war in diesem Zusammenhang auch, ob Werbecookies dem § 15 Abs. 3 TMG unterliegen und somit auch ohne datenschutzrechtliche Einwilligung, welche eine aktive Zustimmung (Opt-In) erfordert, implementiert werden dürfen.

Der BGH hat nun entschieden, dass voreingestellte Einwilligungen (Opt-Outs) unwirksam im Sinne der Art. 6 Abs. 1 lit. a, Art 7 DSGVO  sind. Stattdessen ist für das Setzen von Werbecookies eine informierte, aktive Einwilligung im datenschutzrechtlichen Sinn erforderlich.

Vor diesem Hintergrund besonders interessant sind auch die Ausführungen des BGH zur richtlinienkonformen Anwendung des § 15 Abs. 3 TMG. Denn der eigentliche Wortlaut dieser Norm stand bisher im Widerspruch zu Art. 5 Abs. 3 der ePrivacy-Richtlinie, auf den sich auch der EuGH in seiner Entscheidung vom 01.10.2019 bezieht. Abweichend von Art. 5 Abs. 3 ePrivacy-RL besagt § 15 Abs. 3 TMG, dass der Diensteanbieter unter anderem für Zwecke der Werbung Nutzungsprofile erstellen darf, sofern der Nutzer dem nicht widerspricht. Danach würde also ein Opt-Out des Nutzers genügen. Trotz der vorherrschenden Zweifel an der Europarechtskonformität dieser Norm hielt der deutsche Gesetzgeber bisher an ihr fest, wohingegen die Datenschutzaufsichtsbehörden nach der Geltung der DSGVO erklärt hatten, dass die §§ 11 ff. TMG europarechtswidrig seien und nicht mehr angewendet werden könnten.

Der BGH führt in seinem Urteil aus, § 15 Abs. 3 TMG sei im Hinblick auf Art. 5 Abs. 3 ePrivacy-Richtlinie richtlinienkonform so auszulegen, dass für den Einsatz von Werbe- und Marketingcookies die aktive Einwilligung des Nutzers erforderlich sei und beendet damit die zuvor dargestellte Diskussion. Der richtlinienkonformen Auslegung stehe auch nicht entgegen, dass der deutsche Gesetzgeber bisher keine Umsetzung der ePrivacy-Richtlinie vorgenommen hat, vielmehr sei anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform halte. Der BGH hält § 15 Abs. 3 TMG also nach wie vor für anwendbar und legt dar, dass eine richtlinienkonforme Auslegung mit dem Wortlaut der Norm noch vereinbar sei.

Für die Praxis bedeutet das Urteil des BGH, dass Unternehmen beim Einsatz von nicht zwingend technisch erforderlichen Cookies auf ihren Webseiten vom Nutzer zuvor eine datenschutzkonforme Einwilligung einzuholen haben (Opt-In). Außerdem bleibt § 15 Abs. 3 TMG wegen der möglichen richtlinienkonformen Auslegung und wegen Art. 95 DSGVO von der DSGVO unberührt. Dies widerspricht der Aussage der Aufsichtsbehörden, die nach der Geltung der DSGVO die Anwendung der §§ 11 ff. TMG pauschal abgelehnt hatten. Dennoch können Unternehmen der Einfachheit halber den Wortlaut des § 15 Abs. 3 TMG ignorieren und sich stattdessen direkt an Art. 5 Abs. 3 ePrivacy-RL orientieren. Darüber besteht für Betreiber von Webseiten nun Handlungsbedarf, die Datenschutzhinweise zu überarbeiten und die entsprechenden Einträge im Verzeichnis der Verarbeitungstätigkeiten zu aktualisieren.

Die dargestellten Ausführungen stützen sich lediglich auf die gestrige Pressemitteilung des BGH. Die entsprechenden Urteilsgründe liegen gegenwärtig noch nicht vor. Es bleibt daher abzuwarten, ob sich aus den Urteilsgründen möglicherweise noch etwas anderes ergibt.

Quellen