Cookies in Zukunft nur noch nach ausdrücklicher Einwilligung?

Alle Welt kennt die nervenden Cookie-Banner auf Websites. Eine echte rechtliche Notwenigkeit gibt es für sie bislang in Deutschland nicht. Der BGH fragt jetzt aber den EuGH: Müssen Nutzer in Zukunft eine ausdrückliche Einwilligung erteilen, bevor eine Website Cookies setzen darf?

Der vzbv mahnte einen Gewinnspielbetreiber ab. Auf der Website des Betreibers gab es folgenden vorangekreuzten Hinweistext:

"Ich bin einverstanden, dass der Webanalysedienst R. bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die P. GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches P. eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch R. ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier."

Das Wort "hier" war dann mit einem längerem Hinweistext verlinkt.

"Bei den gesetzten Cookies mit den Namen ceng_cache, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektivere Werbung ermöglichen.

Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Besuchen Sie anschließend die Webseite eines für R. registrierten Werbepartners (ob eine Registrierung vorliegt, entnehmen Sie bitte der Datenschutzerklärung des Werbepartners), wird automatisiert aufgrund eines dort eingebundenen iFrames von R. erfasst, dass Sie (d.h. der Nutzer mit der gespeicherten ID) die Seite besucht haben, für welches Produkt Sie sich interessiert haben und ob es zu einem Vertragsschluss gekommen ist.

Anschließend kann die P. GmbH aufgrund des bei der Gewinnspielregistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der Website des Werbepartners gezeigten Interessen berücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstverständlich keine E-Mail-Werbung mehr.

Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, in der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespeichert und genutzt. Keinesfalls werden Werbepartner-übergreifende Nutzerprofile erstellt.

Die einzelnen Werbepartner erhalten keine personenbezogenen Daten. Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers. Durch die Cookies können keine Programme ausgeführt oder Viren übertragen werden.

Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an die P. GmbH [Adresse] richten. Es genügt jedoch auch eine E-Mail an unseren Kundenservice [E-Mail-Adresse]."

Der vzbv war der Auffassung, dass die abverlangte Einwilligung nicht den gesetzlichen Anforderungen genüge.

Fehlende Umsetzung der Cookie-Richtlinie

Das Problem an dem Verfahren ist, dass Deutschland die Cookie-Richtlinie nicht umgesetzt hat. Also müssen die bestehenden gesetzlichen Regelungen so ausgelegt werden, dass die Vorgaben der Coockie-Richtlinie erfüllt werden.

Das OLG Frankfurt sah weder in dem Hinweistext in Bezug auf Cookies noch in dem Fakt, dass dieser vorangekreuzt war Probleme.

"Hierzu hat es ausgeführt, die Einwilligungserklärung zur Nutzung von Cookies sei weder angesichts der Voreinstellung eines Häkchens noch in inhaltlicher Hinsicht zu beanstanden. Der Nutzer erkenne, dass er das voreingestellte Häkchen entfernen könne. Die Einwilligungserklärung sei drucktechnisch hinreichend deutlich gestaltet. Sie informiere inhaltlich klar und deutlich über die Art und Weise der Nutzung von Cookies. Die Identität Dritter, die auf die mittels der Cookies erhobenen Informationen zugreifen könnten, müsse nicht offenbart werden."

Gegen diese Entscheidung legte der vzbv Revision zum BGH ein.

Damit der BGH (Beschluss vom 5.10.2017, I ZR 7/16) die Sache aber abschließend entscheiden kann, legte er nun dem EuGH seine Fragen zur Auslegung des europäischen Rechts dem EuGH vor:

"a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG , wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

b) Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?

c) Liegt unter den in Vorlagefrage 1 a) genannten Umständen eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 vor?"

Kommt das explizite Cookie-OptIn?

Der BGH verfolgt bisher eine sehr strenge Rechtsprechung, wenn es um das Thema Einwilligungen geht. Jetzt muss abgewartet werden, wie sich der EuGH in dieser Frage positionieren wird.

Spannend ist auch, dass der BGH bereits eine Frage zur Auslegung der Datenschutzgrundverordnung stellt, die erst ab 25. Mai 2018 gilt. Dadurch kann sich der EuGH schon sehr früh nach diesem Datum mit den neuen Regeln befassen.

Nachweis der Einwilligung?

Sollte wirklich das Einwilligungs-Erfordernis kommen, stellt sich die Frage, wie das praktisch umgesetzt werden soll. Erst nach dem Setzen eines Häkchens dürfte ein Cookie gesetzt werden.

Der Websiten-Betreiber wäre dann aber auch in der Nachweispflicht, wenn es Streit darüber gibt, ob der Kunde eine Einwilligung erklärt hat. Wie aber soll dieser Nachweis geführt werden? Bei einer Einwilligung zur E-Mail-Werbung ist das Double-OptIn-Verfahren dazu geeignet, beim Setzen von Cookies aber nicht.

Diese Frage wird aber in dem laufenden Verfahren nicht geklärt werden. Dazu wird es wahrscheinlich noch weitere Verfahren bedürfen.

Wir werden Sie weiter über den Fall informieren, sobald die Entscheidung des EuGH vorliegt. (mr)