Cookies: Ja, ich will! Der Bundesgerichtshof zur Notwendigkeit einer Einwilligung bei Cookies

Cookies: Ja, ich will! Der Bundesgerichtshof zur Notwendigkeit einer Einwilligung bei Cookies.
Im Oktober 2019 ging ein Aufschrei durch das Internet. Die Befürchtungen reichten vom „Aus der Cookies“ bis hin zum „Ende des Online-Marketings“. Grund dafür war ein Urteil des Europäischen Gerichtshofs (EuGH) über das rechtmäßige Setzen von Cookies. Ganz so überraschend und destruktiv für die Internetbranche war das Urteil dann nicht. Doch was fehlte, war eine Entscheidung des Bundesgerichtshofes, wie in Deutschland nun künftig mit Cookies umzugehen ist. Dieses Urteil wurde nun Ende Mai gefällt.

Was war passiert?

Ein Unternehmen hatte sich bei einem Online-Gewinnspiel via eines Hinweistextes die Zustimmung eingeholt, dass es zu Werbezwecken das Surf- und Nutzerverhalten der Teilnehmer analysieren dürfte. Die entsprechende Checkbox zur Einwilligung war bereits vorangekreuzt. Der Verbraucherzentrale Bundesverband e.V. sah dies als rechtswidrig an. Der Streit landete vor Gericht und wurde zuletzt dem EuGH vorgelegt. Dieser entschied, dass Cookies nur dann gesetzt werden dürfen, wenn eine aktive Einwilligung des Webseiten-Besuchers vorliegt. Dabei ist es irrelevant, ob das Cookie personenbezogene Daten verarbeitet. Geschützt werde die „Integrität des Endgerätes“ und damit auch solche Informationen, die sich auf dem Endgerät des Webseitenbesuchers befinden. Allein dann, wenn die Cookies technisch notwendig sind, bedürfe es keiner Einwilligung. Wir berichteten hier darüber. Der Rechtsstreit ging zurück an den BGH, der nun letztendlich ein Urteil über den Fall sprechen sollte.

Was gilt denn nun?

Die Gretchenfrage, wie mit Cookies umzugehen ist, ist jedoch nicht allein anhand des Urteils des EuGHs lösbar. Die nationalen Vorschriften sehen die Frage der Einwilligung weitaus gelassener. Das einschlägige Telemediengesetz (TMG) besagt in § 15 TMG, dass Cookies dann gesetzt werden dürfen, solange der Nutzer nicht widerspricht. Der EuGH verlangt also ein klassisches Opt-In, der deutsche Gesetzgeber aber nur ein Opt-Out.

Und nun standen die Webseitenbetreiber vor einem Dilemma. Wie sind die Vorgaben zu Cookies umzusetzen und was darf ich jetzt eigentlich noch? Dabei ist nicht nur unklar gewesen, ob nun generell eine Einwilligung erforderlich ist. Auch welche Cookies hiervon betroffen und welche als technisch notwendig zu klassifizieren sind, steht nicht zweifelsfrei fest.

Dabei hätte alles so einfach sein können. Bereits seit Jahren wird auf die sogenannte ePrivacy-Verordnung gewartet. Diese soll den Schutz der Privatsphäre im digitalen Raum und gerade das gesamte Thema „Cookies und Tracking“ regeln. Die Vorgaben wären dann auch direkt für Deutschland anwendbar und würden insbesondere auch die entsprechenden Regelungen des TMG ablösen. Doch die Verordnung lässt auf sich warten und noch immer ist ungewiss, wann diese endlich erlassen wird.

Bis dahin sollte nun der BGH Stellung beziehen, ob das TMG noch Anwendung findet und wie auf nationaler Ebene mit Cookies künftig umzugehen ist.

Das sagt der BGH

Nach Ansicht des BGHs findet das TMG weiterhin Anwendung und muss allein „europarechtskonform“ ausgelegt werden. Abseits dieser juristischen Fachsimpelei bedeutet das erstmal Folgendes: Cookies bedürfen einer aktiven Zustimmung des Webseitenbenutzer. Aber: Der BGH hat sich in der Pressemitteilung erstmal nur zu Cookies, die der Erstellung von Nutzerprofilen zu Werbezwecken dient, geäußert. Diese bedürfen eindeutig einer Einwilligung des Webseitenbesuchers, bevor solche Cookies gesetzt werden dürfen. Eine vorangekreuzte Check-Box genügt diesen Anforderungen nicht.

Das sagt der BGH nicht

Genau genommen lässt sich noch nicht sagen, wozu der BGH keine Ausführungen gemacht hat. Denn das betreffende Urteil mitsamt Begründung liegt noch nicht vor und der Pressemitteilungen kann nicht viel entnommen werden. Insbesondere steht noch die Frage aus, wie mit Cookies umzugehen ist, die nicht zu Werbezwecken eingesetzt werden. Gerade bei Cookies zur Reichweitenmessung und Webanalyse scheiden sich die Geister. Insbesondere der Einsatz von Google Analytics oder Matomo muss sich an dieser Frage messen lassen.

Auch steht noch eine Antwort auf die Frage aus, wie detailliert die Einwilligung zu erfolgen hat. Muss für jedes einzelne Cookie eine Einwilligung eingeholt werden oder genügt die Zustimmung zu einer Cookie-Gruppierung, wie zum Beispiel „Funktionale Cookies“ oder „Cookies zu Werbezwecken“?

Antworten auf diese Fragen gehen hoffentlich aus der (noch zu veröffentlichenden) Urteilsbegründung des BGH hervor.

Wie geht es weiter?

Derzeit ist in Bezug auf Cookies noch vieles unklar. Inwieweit das Urteil des BGHs noch Licht ins Dunkle bringen wird, bleibt abzuwarten. Letztendlich wird wohl erst die ePrivacy-Verordnung Gewissheit bringen, ob und wie Cookies einsetzbar sind.

Klar ist allerdings, dass Banner, die lediglich auf die Verwendung von Cookies hinweisen und deren Einsatz man durch Nutzung der Webseite zustimmt, rechtswidrig sind. Wenn Sie derzeit auf der ganz sicheren Seite stehen wollen, holen Sie für alle Cookies, die nicht technisch notwendig sind, eine Einwilligung ein. Der Teufel steckt hier allerdings im Detail. Sowohl bei der Frage, welche Cookies davon umfasst sind sowie wie die Einwilligung eingeholt werden kann, sollten Sie entsprechende Experten für Datenschutz hinzuziehen. Wir beraten Sie hierzu gern!