Werbe-Cookies erfordern die aktive Einwilligung des Nutzers, Opt-Out genügt nicht

Der zugrundeliegende Sachverhalt

Das Verfahren betrifft ein von der Planet49 GmbH (Planet49) ausgerichtetes Online-Gewinnspiel. Vor Teilnahme an dem Gewinnspiel wurden die Besucher der Webseite, bevor sie die Schaltfläche zur Teilnahme klicken konnten, zunächst aufgefordert, ihren Namen und ihre Adresse einzugeben und zwei Ankreuzfelder auszufüllen.

Mit dem ersten Ankreuzfeld sollte der Nutzer seine Einwilligung in den Erhalt von Werbung durch Sponsoren und Kooperationspartner erklären. Mit Anklicken des zweiten Ankreuzfeldes wurde Planet49 das Setzen von Cookies zur Auswertung von dessen Nutzungsverhalten im Internet gestattet. Das erste Ankreuzfeld war leer, im zweiten Ankreuzfeld hingegen war das Häkchen voreingestellt. Um am Gewinnspiel teilnehmen zu können, musste der Nutzer in jedem Fall ein Häkchen in einem der Ankreuzfelder belassen.

Im Begleittext zum zweiten Ankreuzfeld erhielten die Nutzer knappe Angaben zu den Zwecken der Cookies, zum Anbieter des Webanalysedienstes, zur Möglichkeit, die Cookies jederzeit wieder löschen zu lassen, und zum Setzen der Cookies durch Planet49. Durch Klicken auf eine mit dem Wort "hier" verlinkte Erläuterung erhielten Nutzer weitere Angaben zu den gesetzten Cookies, einschließlich einer kurzen Beschreibung der Funktion von Cookies und der Information, dass das Nutzerverhalten auf Webseiten von Werbepartnern, die sich für den betreffenden Webanalysedienst registriert hatten, ausgewertet wird. Daneben war auf der Webseite zu lesen, dass keine Nutzerprofile für mehrere Werbepartner erstellt würden.

Laut der Verbraucherzentrale Bundesverband sind diese Ankreuzfelder mit deutschem Recht unvereinbar, weshalb das Verfahren letztlich vor dem BGH verhandelt wurde, der den Fall an den EuGH verwies. Das deutsche Gericht hat den EuGH um eine Vorabentscheidung dahingehend ersucht, ob voreingestellte Ankreuzkästchen eine wirksame Einwilligung in Cookies darstellen. Mit seinem Urteil vom Oktober 2019 stellte der EuGH fest, dass voreingestellte Ankreuzkästchen keine wirksame Einwilligung in die Verwendung von Cookies darstellen, und dass eine wirksame Einwilligung im Einklang mit den Einwilligungserfordernissen der Datenschutzgrundverordnung (DS-GVO) zu geschehen hat, was die vom Europäischen Datenschutzausschuss (EDSA) in seiner Stellungnahme vom Mai 2019 vertretene Auffassung vom Zusammenspiel zwischen der ePrivacy-Richtlinie und der DS-GVO bekräftigt. Das Gericht hob ferner hervor, dass eine umfassende Information der Nutzer sowohl über die Gültigkeitsdauer von Cookies als auch die Weitergabe von Informationen an Dritte erforderlich ist. Insgesamt hat das Urteil des EuGH den vom EDSA und den nationalen Datenschutzbehörden bereits früh verfolgten Ansatz bestätigt. Das Gericht stellte fest, dass die Einwilligung in die Verwendung von Cookies und andere Methoden und Techniken zur Auswertung des Online-Nutzungsverhaltens (z. B. Flash-Cookies, Tags, Scripts, Pixel, Device Fingerprinting etc.), obgleich sie den besonderen Rechtsnormen der ePrivacy-Richtlinie unterfällt, auch den in der DS-GVO vorgesehenen Einwilligungserfordernissen zu genügen hat.

Der Bundesgerichtshof folgt dem Urteil des Europäischen Gerichtshofs

Das Urteil des Bundesgerichtshofs wurde angesichts der Ungewissheit darüber, ob Werbe-Cookies wie in den meisten anderen europäischen Ländern eine Einwilligung erfordern, von Betreibern von Webseiten und insbesondere der deutschen Online-Marketing-Branche mit Spannung erwartet. Mit seinem Urteil vom 28. Mai 2020 folgte der Bundesgerichtshof der Entscheidung des Europäischen Gerichtshofs vom Oktober 2019 und den Leitlinien des Europäischen Datenschutzausschusses zur Einwilligung (EDPB Guidelines 05/2020) und stellt klar, dass Ankreuzfelder mit voreingestellten Häkchen keine wirksame Einwilligung in die Nutzung von nicht funktionsbezogenen Cookies darstellen.

Dieses Urteil kommt nicht überraschend. Wichtiger für die Praxis ist aber ein weiterer Punkt: Die Richter stellten außerdem abschließend klar, dass für den Einsatz von Cookies zur Profilerstellung im Zusammenhang mit Online-Marketing eine Einwilligung erforderlich ist. In diesem Zusammenhang enthält das Urteil einige interessante Ausführungen zu den geltenden gesetzlichen Bestimmungen und widerspricht der unlängst von den deutschen Datenschutz-Aufsichtsbehörden vertretenen Ansicht, wonach§ 15 Abs. 3 des Telemediengesetzes seit dem Inkrafttreten der DS-GVO nicht mehr länger anwendbar sei. Der Bundesgerichtshof ist vielmehr der Auffassung, dass die vorgenannte Bestimmung weiterhin anwendbar bleibt und somit nicht durch die DS-GVO verdrängt wird. Ungeachtet des Wortlauts von § 15 Abs. 3 des Telemediengesetzes (wonach pseudonymisierte Nutzerprofile vorbehaltlich einer Widerspruchsmöglichkeit (d. h. ein Opt-Out) für Werbezwecke erstellt werden dürfen) entschied der Bundesgerichtshof jedoch, dass diese Bestimmung im Einklang mit der Cookie-Richtlinie so auszulegen ist, dass sie eine Einwilligung (d. h. ein Opt-In) erforderlich macht.

Die Folgen des Urteils für Unternehmen

Ungeachtet der zum Teil kontroversen Urteilsbegründung des Bundesgerichtshofs schafft das Urteil die lange erwartete Rechtssicherheit im Zusammenhang mit Cookie-basiertem Online-Tracking in Deutschland: Unternehmen müssen eine vorherige Einwilligung im Sinne der DS-GVO einholen. Falls noch nicht geschehen, sollten Betreiber von Webseiten ihre Cookie-Hinweise und Cookie-Banner nun schnellstmöglich umstellen. Konkret heißt dies, dass Website-Betreiber bei der Verwendung von Cookies, für die eine Einwilligung erforderlich ist, Folgendes beachten sollten: 

• Bislang verwendete Mechanismen für Cookie-Einwilligungen sollten daraufhin überprüft werden, ob die Einwilligungen den Anforderungen der DS-GVO entsprechen. Ankreuzfelder mit voreingestellten Häkchen sollten ab sofort nicht weiter verwendet werden.
• Cookie-Overlays und Cookie-Banner sollten auf die Einhaltung gesetzlicher Vorgaben hin überprüft werden, auch im Hinblick auf möglicherweise kritische Layouts oder eine bewusste oder unbewusste Beeinflussung der Nutzer („Nudging“ oder „Dark Pattern“).
• Cookie-Hinweise sollten mit einem besonderen Augenmerk darauf hin überprüft werden, ob sie transparent sind und alle relevanten Informationen für Nutzer enthalten, einschließlich der Gültigkeitsdauer von Cookies sowie Einzelheiten über eine Weitergabe von Informationen an Dritte.

Die Einhaltung dieser Anforderungen ist ab sofort zwingend, um Bußgeldverfahren der Datenschutzbehörden oder Unterlassungserklärungen von Wettbewerbern oder Verbraucherverbänden zu vermeiden. Dies ist umso wichtiger, als viele deutsche Aufsichtsbehörden bereits proaktive Überprüfungen und Untersuchungen in dieser Hinsicht angekündigt haben.

* Zum Zeitpunkt dieser Veröffentlichung lag die vollständige Urteilsbegründung des Gerichts noch nicht vor, weshalb sämtliche Aussagen der Pressemitteilung entnommen sind.