Happy Birthday DSGVO - Wie wär’s mit ein paar Cookies?

veröffentlicht am 16. Juni 2019

„Hätte ich Dich heute erwartet, hätt` ich Cookies da …” So oder so ähnlich würde das Krümelmonster wohl im digitalen Zeitalter von Ernie aus der Sesamstraße begrüßt werden. Und Gleiches wird man wohl auch anlässlich des ersten Geburtstages der EU-Datenschutz- Grundverordnung (DSGVO), die seit dem 25. Mai 2018 zur Anwendung kommt, proklamieren dürfen. Denn gerade mal ein Jahr wird die DSGVO angewendet, schon liegt dem EuGH eine entsprechende Anfrage zur Ausgestaltung und Reichweite von Cookies vor.

Die Cookie-Entscheidung des BGH (Beschl. v. 5. Oktober 2017 - I ZR 7/16)

Sachverhalt (sehr stark verkürzt)
Im konkreten Verfahren geht es um die Internetseite eines Gewinnspielanbieters. Um an einem Gewinnspiel teilnehmen zu können, sollten die Teilnehmer weitgehenden Nutzungsbedingungen zustimmen. So sollten die Nutzer u. a. einer Liste von insgesamt 57 Unternehmen erlauben, sie telefonisch, per E-Mail oder per Post zu kontaktieren. Kern des Verfahrens war jedoch eine zweite Klausel, die sog. Cookie-Klausel. Hier wollte sich der Webseitenbetreiber das Recht verschaffen, sog. Cookies im Browser des Nutzers zu setzen, damit Dienstleister „interessengerichtete Werbung” ausspielen könnten. Spannend in diesem Zusammenhang war, dass der Webseitenbetreiber hier die Ablehnungshürde noch mal höher gesetzt hatte: So war das konkrete Kästchen bereits (vor)abgehakt – erst mit einem zusätzlichen Klick konnten Nutzer dann ihre Zustimmung widerrufen.

Entscheidungsgründe
Nach Auffassung des BGH hängt der Erfolg der Revision von der Auslegung des Art. 5 III und des Art. 2 Buchst. f RL 2002/58/EG i. V. m. Art. 2 Buchst. h RL 95/46/EG sowie des Art. 6 I Buchst. a VO (EU) 2016/679 ab. Vor einer Entscheidung über das Rechtsmittel war daher das Verfahren auszusetzen und die Vorabentscheidung des EuGH einzuholen. Die Begründetheit des entsprechenden Klageantrags könne sich aus § 1 UKlaG i. V. m. dem Recht der Allgemeinen Geschäftsbedingungen ergeben. Nach § 307 BGB sind Bestimmungen in Allgemeinen Geschäftsbedingungen unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen.

Eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn eine Bestimmung mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist. Im Streitfall kommt in Betracht, dass die von der Beklagten vorgesehene elektronisch zu erklärende Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, mit wesentlichen Grundgedanken nicht vereinbar ist. Die streitgegenständliche Klausel lautet konkret wie folgt:

„Ich bin einverstanden, dass der Webanalysedienst R bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die P-GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches P eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch R ermöglicht (…);”

Es stellt sich weiter die Frage, ob die Gestaltung der Einwilligung nach den Umständen des Streitfalls eine wirksame Einwilligung darstellt. Denn die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn die betroffene Person ihre Einwilligung für einen oder mehrere bestimmte Zwecke gegeben hat. „Einwilligung” der betroffenen Person ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Nach dem Erwägungsgrund Nr. 32 der VO (EU) 2016/679 spricht nach Auffassung des BGH dafür, dass der Gesetzgeber der Europäischen Union Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit nicht als hinreichende Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten ansieht. Dort heißt es nämlich:

„Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen (…).”

Auch sei der Umfang der Informationspflicht nach Art. 5 III RL 2002/58/EG noch klärungsbedürftig. Zwar sei über einen mit der Einwilligungserklärung verbundenen elektronischen Verweis darauf hingewiesen worden

worum es sich bei Cookies handelt,
dass die ID-Nummer der Cookies den Registrierungsdaten des Nutzers zugeordnet wird,
dass die nachfolgende Nutzung von Internetseiten der für R registrierten Werbepartner erfasst wird und
die durch die Cookies übermittelten Informationen ausschließlich für Werbung der Werbepartner verwendet, keine werbepartnerübergreifenden Nutzerprofile erstellt werden,
dass die Werbepartner keine personenbezogenen Daten erhalten, dass der Nutzer die Cookies jederzeit
löschen kann und
sein Einverständnis jederzeit widerrufen kann.

Nicht informiert wurde darüber aber,

ob auch Dritte auf die auf dem Endgerät des Nutzers gespeicherten Cookies Zugriff haben und für welche Dauer die Cookies aktiv sind,
ob sie sich also nur während der aktuellen Sitzung (sog. Session-Cookies) oder darüber hinaus und gegebenenfalls für welche Zeitdauer in Funktion befinden.

Hierbei handele es sich ebenfalls um für die Aufklärung des Nutzers wichtige Umstände.

Schlussanträge des Generalanwalts

Nun hat der Generalanwalt in seinen Schlussanträgen (21. März 2019 – C-673/17) hierzu seine Auffassung bekanntgegeben. Hier ist der Generalanwalt der Auffassung, dass die Einwilligung freiwillig und in Kenntnis der Sachlage erfolgen muss. Es bedarf hiernach sowohl einer aktiven und einer gesonderten Einwilligung. Für die Zulässigkeit der Verarbeitung von (personenbezogenen) Daten muss die betroffene Person ohne jeden Zweifel ihre Einwilligung gegeben haben. Zweifel können nach Auffassung des Generalanwalts aber nur durch aktives und nicht durch passives Verhalten beseitigt werden. Er schließt daraus, dass es insoweit nicht ausreiche, wenn die Einwilligungserklärung des Nutzers vorformuliert ist und der Nutzer aktiv widersprechen muss, falls er mit der Verarbeitung der Daten nicht einverstanden ist.

Mit dem Erfordernis der aktiven Einwilligung eng verbunden sei dann das Erfordernis der gesonderten Einwilligung. Insoweit erteilt der Generalanwalt der Auffassung der Beklagten eine Absage, wonach diese geltend gemacht hat, dass die betroffene Person eine gültige Einwilligung gerade nicht dadurch erteile, dass sie das Häkchen vor einer vorformulierten Einwilligungserklärung nicht entferne, sondern dadurch, dass sie aktiv die Schaltfläche für die Teilnahme an dem Online-Gewinnspiel anklicke.

Eine Einwilligung sei nur dann freiwillig und in Kenntnis der Sachlage erteilt, wenn dies nicht nur aktiv, sondern auch gesondert geschieht. „Die Aktivitäten eines Nutzers im Internet (Lektüre einer Internetseite, Teilnahme an einem Gewinnspiel, Anschauen eines Videos usw.) und die Erteilung einer Einwilligung können nicht Teil derselben Handlung sein. Insbesondere kann, aus der Perspektive des Nutzers, die Erteilung der Einwilligung nicht als Nebenwirkung der Teilnahme am Gewinnspiel erscheinen. Beide Handlungen müssen insbesondere optisch in gleicher Weise präsentiert werden. Infolgedessen halte ich es für zweifelhaft, dass ein Bündel von Willenserklärungen, zu denen die Erteilung einer Einwilligung gehören würde, mit dem Begriff der Einwilligung im Sinne der Richtlinie 95/46 im Einklang stünde.”

Zusammenfassung

Sollte der EuGH dieser Auffassung folgen, wird der BGH den Rechtsstreit unter Berücksichtigung der Rechtsauffassung des Gerichts entscheiden. Dann wäre der Einsatz von Cookies künftig nur noch nach ausdrücklicher Zustimmung der Nutzer erlaubt. In diesem Kontext muss einem Nutzer ebenfalls unmissverständlich klargemacht werden, ob das, was er im Internet tut, von der Erteilung einer Einwilligung abhängig ist. Ein Nutzer muss ermessen können, in welchem Umfang er bereit ist, seine Daten preiszugeben, um seine Aktivität im Internet zu entfalten. Das bedeutet aber auch, dass jeder Website grundsätzlich eine entsprechende Einwilligung vorgeschaltet werden müsste. Erst danach dürfte überhaupt ein Cookie gesetzt werden. Für Website-Betreiber wäre es dennoch höchste Zeit zu handeln und ihre Cookie-Einwilligungen zu überarbeiten.