Hintergrund:
Die Rechtslage in Deutschland hinsichtlich der Verwendung von Cookies war lange Zeit umstritten und wenig eindeutig. Das lag nicht zuletzt daran, dass Deutschland die im Jahre 2009 in Kraft getretene ePrivacy-Richtlinie in diesem Punkt nie richtig umgesetzt hatte.
Der Art. 5 Abs. 3 der ePrivacy-Richtlinie fordert jedoch eine explizite Einwilligung des Nutzers bei der Verwendung von Cookies.
- Diese Einwilligung ist zumindest für solche Arten von Cookies notwendig, die zu Marketing-, Werbe-,Tracking-, und Profiling-Zwecken genutzt werden. Zudem muss die Einwilligung durch das Setzen eines Häkchens in ein nicht vorangekreuztes Kontrollkästchen erfolgen (Opt-In-Verfahren).
- Für Cookies, die lediglich dazu verwendet werden, die technische Funktionsfähigkeit der Webseite aufrechtzuerhalten, soll hingegen keine Einwilligung erforderlich sein.
Eine explizite Regelung, die aufzeigt, wann ein Cookie unbedingt erforderlich ist, beinhaltet der Art. 5 Abs. 3 ePrivacy-Richtlinie aber nicht.
Da die ePrivacy-Richtlinie in Deutschland nie richtig umgesetzt wurde, gilt bis dato der § 15 Abs. 3 TMG für die Verwendung von Cookies. Dieser fordert keine aktive Einwilligung des Nutzers, sondern gestattet die Verwendung von Cookies, sofern der Nutzer dem nicht widerspricht (Opt-Out-Verfahren). Hierdurch sind die sogenannte „Cookie-Banner“ entstanden, welche in der Regel auf die Verwendung von Cookies hinweisen und vom Nutzer meist fleißig weggeklickt werden.
Der Fall „Planet49“:
Gegen genau diese Art von Nutzung der Cookie-Banner (Opt-Out) klagte der Verbraucherzentrale Bundesverband (vzbv) im Jahre 2013.
Die Beklagte, ein Unternehmen mit dem Namen „Planet49“, sammelte im Rahmen von Gewinnspielen Daten für Webezwecke. Dafür benutzte das Unternehmen ein vorangekreuztes Kontrollkästchen, durch das die Teilnehmer dem Einsatz von Cookies automatisch zustimmten.
Dagegen klagte der vzbv, da er der Meinung war, dass ein vorangekreuztes Kästchen keine aktive Einwilligung des Nutzers darstellt.
Das Verfahren landete letztendlich beim BGH, der dem europäischen Gerichtshof einige Fragen zur Vorabentscheidung vorlegte. Der EuGH entschied daraufhin, dass eine Einwilligung für Cookies, falls diese erforderlich ist, aktiv durch den Nutzer gesetzt werden muss (EuGH Urteil vom 1. Oktober 2019, Az C-673/17): Ein durch ein voreingestelltes Kontrollkästchen gesetztes Häkchen zählt nicht als aktive Einwilligung. Damit spielte der EuGH den Ball wieder zum BGH.
Grundsätze BGH, Urteil vom 28. Mai 2020 – I ZR 7/16:
Der BGH entschied daraufhin am 28. Mai 2020, dass das TMG in Bezug auf das Einwilligungserfordernis europarechtskonform ausgelegt werden muss. Damit bestätigte der BGH das Urteil des EuGHs und fordert ab sofort eine aktive Einwilligung im Sinne eines Opt-In-Verfahrens.
Demnach muss jeder Website-Betreiber ab jetzt zumindest für Cookies, die der Erstellung von Nutzerprofilen für Zwecke der Werbung und Marktforschung sowie der bedarfsgerechten Gestaltung von Telemedien dienen, eine aktive Einwilligung der Nutzer einholen. Ein vorangekreuztes Kontrollkästchen reicht – Stand jetzt – in Deutschland nicht mehr aus.
Handlungsempfehlung:
- Prüfen Sie, ob Ihre Webseite Cookies benutzt, die dem Einwilligungserfordernis unterliegen.
- Die Einwilligung muss aktiv durch den Nutzer erfolgen. Ein vorangekreuztes Kontrollkästchen reicht als Einwilligung nicht mehr aus.