Planet49-Urteil - BGH zu Cookies und zur Forderung einer aktiven Einwilligung

Der Umgang beim Setzen von Cookies ist sehr unterschiedlich. Doch seit dem EuGH-Urteil im letzten Jahr tauchen immer mehr Cookie-Banner auf und viele Unternehmen setzen die Cookies nur nach einer wirksamen Einwilligung. Der BGH hat nun sein abschließendes Urteil gesprochen, welchem wir uns heute widmen und uns an die Auslegung einer bestimmten Norm heranwagen.

Das Planet49-Verfahren haben wir bereits im Blogbeitrag Google Analytics & die aktive Einwilligung kurz thematisiert und auf die Entscheidung hingewiesen. Der BGH hat nun sein Urteil gesprochen und dieses möchten wir Ihnen natürlich nicht vorenthalten. Doch bevor ich Ihnen die Entscheidung erläutere, möchte ich Ihnen eine kurze Zusammenfassung zu diesem Rechtsstreit geben.

Der Rechtstreit Planet49

Das Werbeunternehmen Planet49 GmbH veranstaltete Gewinnspiele zu Werbezwecken und platzierte vor dem „Teilnahme“-Button zwei Ankreuzkästchen mit kurzer Beschriftung. Den ersten Haken konnte der Besucher mittels Opt-in selbst setzen und betraf die Einwilligung in postalische und telefonische Angebote aus dem jeweiligen Geschäftsbereich von Sponsoren und Kooperationspartnern. Entscheidend und Grundlage für den aufkommenden Rechtsstreit war aber das zweite Kästchen, welches bereits angekreuzt war. Durch das zweite, angekreuzte Kästchen waren die Daten der Teilnehmer auch für den Werbepartner Remintrex auslesbar, mithin also für Dritte bestimmt. Daraufhin meinte der Bundesverband der Verbraucherzentralen, dass dieses Kästchen nicht den Anforderungen des Gesetzes gegen den unlauteren Wettbewerb genüge und mahnte das Unternehmen entsprechend ab.

Der Rechtsstreit zog sich bis zum BGH, welcher wiederum meinte, eine Entscheidung insbesondere über die Zulässigkeit des voreingestellten Ankreuzkästchens hinge maßgeblich von der Datenschutzrichtlinie für elektronische Kommunikation in Verbindung mit Art. 2 lit. h der alten Datenschutzrichtlinie 95/46 sowie Art. 6 Abs. 1 lit. a DSGVO ab und legte deshalb dem EuGH Vorlagefragen vor. Hieraus resultierte das sog. Planet49-Urteil des EuGH.

Die stark herbeisehnte Entscheidung

Am 28. Mai war es dann soweit. Der BGH sprach sein Urteil zur Frage, wie mit der Speicherung von Cookies und etwaigen Einwilligungen umzugehen sei. Bitte beachten Sie, dass aktuell nur die Pressemitteilung des BGH vorliegt und somit ein gewisser Interpretationsspielraum im Detail offen ist. Das Urteil mit Entscheidungsgründen werde ich Ihnen zu gegebener Zeit präsentieren.

Der BGH urteilte in seiner Entscheidung, dass im konkreten Fall keine wirksame Einwilligung (durch das bereits angekreuzte Kästchen) in das Analyse-Cookie zur Auswertung von Surf-Verhalten vorlag.

„Die Einholung der Einwilligung mittels voreingestellten Ankreuzkästchens war nach der bis zum 24. Mai 2018 geltenden Rechtslage – also vor Geltung der Verordnung (EU) 2016/679 – im Sinne von § 307 Abs. 3 Nr. 1 BGB mit den wesentlichen Grundgedanken des § 15 Abs. 3 Satz 1 TMG unvereinbar.“

Das vorangekreuzte Kästchen stellt somit sowohl vor Inkrafttreten der DSGVO als auch nach aktueller Rechtslage keine wirksame Einwilligung dar. Diese Entscheidung war durch das Urteil des EuGH schon ein wenig im Voraus zu erahnen. Viel interessanter ist die Auslegung des § 15 Abs. 3 Satz 1 TMG. Um meine Gedankengänge besser verfolgen zu können, anbei der notwendige Gesetzestext:

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.

In § 15 Abs. 3 Satz 1 TMG wird jetzt angeführt, dass ein Recht auf Widerspruch bei Analyse-Cookies ausreiche. Sie werden sich jetzt sicherlich wundern, denn die Ausführungen entsprechen nicht Ihrem Kenntnisstand in Bezug auf die DSGVO. Diese Norm stand und steht in konkretem Widerspruch zu den Anforderungen der Cookie-Richtlinie sowie, sofern personenbezogene Daten betroffen sind, zur DSGVO. Der BGH hat nun laut Pressemitteilung entschieden, dass diese betroffene Norm richtlinienkonform auszulegen sei:

§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.

Natürlich hatte jeder diese Herangehensweise im Ergebnis erwartet, dennoch ist sie beachtlich. Schließlich steht, wie Sie jetzt selbst lesen konnten, in § 15 Abs. 3 Satz 1 TMG genau das Gegenteil.

Nach § 15 Abs. 3 Satz 1 TMG genügt ein Opt-out. Der BGH fordert aber nun eine Einwilligung nach Art. 5 Abs. 3 Satz 1 der Cookie-Richtlinie und wie Sie sicherlich richtig wissen, kann eine Einwilligung nicht mittels Opt-out eingeholt werden. Eine wirksame Einwilligung kann nur mittels Opt-in eingeholt werden. Aber der BGH sagt, dass die Norm richtlinienkonform modifiziert werden kann und somit im vorliegenden Fall auch nach § 15 Abs. 3 Satz 1 TMG nur eine aktive Einwilligung zulässig ist – eine wahre Meisterleistung des BGH.

Der BGH macht schließlich noch Ausführungen zur Definition der Einwilligung in Zeiten der DSGVO im Vergleich zur vorherigen Rechtslage durch die EG-Datenschutzrichtlinie. Beide Auslegungen führen zum selben Ergebnis, dass sowohl nach altem Recht als auch neuem Recht eine voreingestellte Checkbox keine wirksame Einwilligung darstellt.

Unternehmenspräsenz auf Webseiten

Zum Abschluss möchte ich für Sie die gesamte Rechtslage noch einmal zusammenfassen: Für die Nutzung von Cookies auf Ihrer Webseite benötigen Sie grundsätzlich immer eine Rechtsgrundlage. In Bezug auf die DSGVO könnten Sie als Rechtsgrundlage je nach Einzelfall insbesondere die Einwilligung, die Erforderlichkeit für die Erfüllung von Verträgen sowie das berechtigte Interesse als Rechtsgrundlage heranziehen.

Für Cookies, die ein Nutzungsprofil für Werbung, Marktanalyse oder bedarfsgerechte Gestaltung erstellen, gilt eine Einwilligungspflicht nach § 15 Abs. 3 Satz 1 TMG. Neben dem Einholen einer aktiven Einwilligung – ich möchte Sie auch an dieser Stelle nochmals an ein Opt-in erinnern – müssen Sie auch über die Verarbeitung der personenbezogenen Daten informieren.

Sie sind sich unsicher, ob Sie die rechtlichen Vorgaben auf Ihrer Webseite korrekt einhalten? Kontaktieren Sie uns, wir unterstützen Sie bei der Umsetzung eines Cookie-Banners und dem datenschutzkonformen Einsatz von Cookies.