BGH: Opt-in-Pflicht für Werbe- und Marketing-Cookies

Am 1.10.2019 hatte der EuGH entschieden, dass für das Setzen von Cookies die aktive Einwilligung des Nutzers erforderlich ist. Der BGH hatte ihm die entsprechenden Fragen zur Vorabentscheidung vorgelegt. Heute erging das Urteil des BGH in dieser Sache. Für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung ist die Einwilligung des Nutzers erforderlich. Eine Opt-out-Möglichkeit genügt hierfür nicht.

Worum ging es in dem Verfahren?

In dem zur Vorabentscheidung vorgelegten Sachverhalt wollte ein Gewinnspielbetreiber mittels eines vorangekreuzten Kästchens die Erlaubnis der Teilnehmer einholen, um nach der Gewinnspielregistrierung Cookies zu Analysezwecken des Surf- und Nutzungsverhaltens auf deren Endgeräten zu speichern.

Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzfeldern versehene Einverständniserklärungen. Mit Bestätigen des ersten Textes, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, sollte das Einverständnis mit einer Werbung durch Sponsoren und Kooperationspartner der Beklagten per Post, Telefon, E-Mail oder SMS erklärt werden. Dabei bestand die Möglichkeit, die werbenden Sponsoren und Kooperationspartner aus einer verlinkten Liste von 57 Unternehmen selbst auszuwählen. Das Einverständnis konnte nach dem Hinweistext jederzeit widerrufen werden.

Das zweite Ankreuzfeld war mit einem voreingestellten Häkchen versehen und wies folgenden Text auf: „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die [Beklagte], nach Registrierung für das Gewinnspiel Cookies setzt, welches [die Beklagte] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Der voreingestellte Haken konnte entfernt werden. Eine Teilnahme am Gewinnspiel war aber nur möglich, wenn mindestens eines der beiden Felder mit einem Haken versehen war.Der Bundesverband der Verbraucherzentralen (vzbv) mahnte den Gewinnspielbetreiber ab. Er ist der Auffassung, dass die verlangte Einwilligung nicht den gesetzlichen Anforderungen genüge.

EuGH musste entscheiden

Der BGH hatte das Verfahren ausgesetzt und dem EuGH verschiedene Fragen zur Auslegung hinsichtlich der sog. ePrivacy-RL (Datenschutzrichtlinie für elektronische Kommunikation; RL 2002/58/EG), insb. von Art. 5 Abs. 3 und der Wirksamkeit einer Einwilligung in die Setzung von Cookies durch voreingestellte Ankreuzhäkchen, vorgelegt.

Der EuGH (Urt. v. 1.10.2019 – C-673/17) entschied dabei, dass eine Einwilligung gemäß Art. 5 Abs. 3 RL 2002/58 ein aktives Verhalten der Nutzer zur Speicherung und zum Abruf von Informationen auf seinem Endgerät voraussetze. Dies könne nach Ansicht des Gerichts nicht durch eine voreingestellte Opt-out-Funktion ermöglicht werden.

Angesichts der vorstehenden Gesichtspunkte liegt eine wirksame Einwilligung im Sinne von Art. 2 Buchst. f und Art. 5 Abs. 3 der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 somit nicht vor, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, durch ein vom Diensteanbieter voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.

Die Entscheidung des BGH

Der BGH (Urt. v. 28.5.2020 – I ZR 7/16) hat die Revision der Beklagten nun zurückgewiesen, das Berufungsurteil aufgehoben und das erstinstanzliche Urteil wiederhergestellt. Das LG Frankfurt a.M. (Urt. v. 10.12.2014 – 2/6 O 30/14) hatte den Beklagten in erster Instanz zur Unterlassung verurteilt.

Hinsichtlich der Einwilligung in die Speicherung von Cookies stehe dem Kläger ein Unterlassungsanspruch zu. Die in Form einer Allgemeinen Geschäftsbedingung vorgesehene Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, stelle sowohl nach dem im Zeitpunkt der beanstandeten Handlung geltenden Recht als auch nach dem im Entscheidungszeitpunkt geltenden Recht eine unangemessene Benachteiligung des Nutzers dar.

Das Urteil liegt noch nicht im Volltext vor, der BGH hat jedoch bereits eine Pressemitteilung veröffentlicht.

Einwilligung erforderlich

Der BGH stellte klar, dass die Einholung einer Einwilligung mittels einer voreingestellten Ankreuzkästchens nicht ausreicht. § 15 Abs. 3 TMG sei im Hinblick auf Art. 5 Abs. 3 e-Privacy-RL in der Fassung der RL 2009/58/EG dahingehend richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.

Die Einholung der Einwilligung mittels eines voreingestellten Ankreuzkästchens war nach der bis zum 24. Mai 2018 geltenden Rechtslage - also vor Geltung der Verordnung (EU) 2016/679 - im Sinne von § 307 Abs. 2 Nr. 1 BGB mit wesentlichen Grundgedanken des § 15 Abs. 3 Satz 1 TMG unvereinbar. Der beanstandete Einsatz von Cookies durch die Beklagte als Diensteanbieter dient, wie von § 15 Abs. 3 Satz 1 TMG vorausgesetzt, der Erstellung von Nutzerprofilen zum Zwecke der Werbung, indem das Verhalten des Nutzers im Internet erfasst und zur Zusendung darauf abgestimmter Werbung verwendet werden soll. Bei der im Streitfall in den Cookies gespeicherten zufallsgenerierten Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet ist, handelt es sich um ein Pseudonym im Sinne dieser Vorschrift. § 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.

Opt-out ist keine Einwilligung

Der EuGH hatte entschieden, dass eine Opt-out-Möglichkeit des Nutzers keine Einwilligung darstelle. Dem folgte der BGH.

Der Gerichtshof der Europäischen Union hat auf Vorlage durch den Senat entschieden, dass Art. 2 Buchst. f und Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG dahin auszulegen sind, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss. Auf die Frage, ob es sich bei den Informationen um personenbezogene Daten handelt, kommt es nach der Entscheidung des Gerichtshofs in diesem Zusammenhang nicht an.

Richtlinienkonforme Auslegung des § 15 Abs. 3 TMG

Zwar habe der deutsche Gesetzgeber die RL 2009/136/EG nicht umgesetzt, mit dem Wortlaut des § 15 Abs. 3 TMG sei eine richtlinienkonforme Auslegung jedoch möglich.

Der richtlinienkonformen Auslegung des § 15 Abs. 3 Satz 1 TMG steht nicht entgegen, dass der deutsche Gesetzgeber bisher keinen Umsetzungsakt vorgenommen hat. Denn es ist anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform erachtete. Mit dem Wortlaut des § 15 Abs. 3 Satz 1 TMG ist eine entsprechende richtlinienkonforme Auslegung noch vereinbar. Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.

Auch keine wirksame Einwilligung in telefonische Werbung

Auch hinsichtlich der Einwilligung in telefonische Werbung sei die Beklagte zur Unterlassung und Erstattung der Abmahnkosten verpflichtet, so der BGH. Es fehle sowohl nach der im Zeitpunkt der beanstandeten Handlung geltenden Rechtslage, der e-Privacy-RL mit Verweis auf die RL 95/46/EG, als auch nach der Rechtslage im Entscheidungszeitraum, der DSGVO, an einer wirksamen Einwilligung in telefonische Werbung.

Eine Einwilligung wird „in Kenntnis der Sachlage“ im Sinne des Art. 2 Buchst. h der Richtlinie 95/46/EG erteilt, wenn der Verbraucher weiß, dass seine Erklärung ein Einverständnis darstellt und worauf sie sich bezieht. Die Einwilligung erfolgt im Sinne dieser Vorschrift „für den konkreten Fall“, wenn klar wird, die Produkte oder Dienstleistungen welcher Unternehmen sie konkret erfasst. Daran fehlt es im Streitfall, weil die beanstandete Gestaltung der Einwilligungserklärung darauf angelegt ist, den Verbraucher mit einem aufwendigen Verfahren der Auswahl von in der Liste aufgeführten Partnerunternehmen zu konfrontieren, um ihn zu veranlassen, von dieser Auswahl abzusehen und stattdessen der Beklagten die Wahl der Werbepartner zu überlassen. Weiß der Verbraucher mangels Kenntnisnahme vom Inhalt der Liste und ohne Ausübung des Wahlrechts nicht, die Produkte oder Dienstleistungen welcher Unternehmer die Einwilligung erfasst, liegt keine Einwilligung für den konkreten Fall vor. Aus diesen Gründen fehlt es auch an einer Einwilligung "für den bestimmten Fall" im Sinne des Art. 4 Nr. 11 der Verordnung (EU) 2016/679, die insoweit keine Rechtsänderung herbeigeführt hat.

Fazit

Der BGH ist dem Urteil des EuGH gefolgt, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung gem. § 15 Abs. 3 TMG die Einwilligung des Nutzers erforderlich ist. Eine Opt-out-Möglichkeit genügt hierfür nicht. Die Vorschrift müsse richtlinienkonform ausgelegt werden.

Unser Tipp: Eine Lösung, um die Einwilligung in das Setzen von Cookies wirksam einzuholen, bietet der Trusted Shops Consent-Manager.

sergign/Shutterstock.com