Die BGH-Entscheidung zu Cookies. Was jetzt?

​veröffentlicht am 29. Juni 2020; Autor: Gabor Hadnagy

Der BGH hat in der Rechtssache „Planet 49” sein Urteil gesprochen. Infolgedessen sind für Webseitenbetreiber konkrete Anforderungen beim Einsatz von Cookies zu beachten. Insbesondere die Art und Weise der Einholung von Einwilligungen beim Einsatz von Cookies sollte nun auf den Prüfstand gestellt werden.
 

Vorgeschichte

2013 veranstaltete Planet 49 ein Gewinnspiel auf der Seite www.dein-macbook.de. Im Rahmen dieses Gewinnspiels fragte das Unternehmen zum einen die persönlichen Daten des Teilnehmers ab sowie die Einwilligung zur Nutzung von Cookies zur Auswertung des Surf- und Nutzverhaltens auf Webseiten von Werbepartnern. Auf diese Weise sollte bei den Nutzern zielgerichtete Werbung platziert werden. Das Ankreuzkästchen zur Einholung der Einwilligung war bereits voraktiviert (opt-out).

Der Verbraucherzentrale Bundesverband (vzbv) sah darin einen Datenschutzverstoß und klagte. Das Verfahren ging zunächst bis zum Bundesgerichtshof (BGH), bis dieser im Oktober 2017 die Revision aussetzte und beim Europäischen Gerichtshof (EuGH) ein Vorabentscheidungsverfahren (Rechtssache C-673/17) einleitete.

Der EuGH stellte im Rahmen dieses Vorabentscheidungsverfahrens unter anderem fest, dass keine wirksame Einwilligung vorliegt, wenn der betroffene Nutzer bei Verweigerung seiner Einwilligung ein bereits vorangekreuztes Kästchen abwählen muss. Im Umkehrschluss bedeutet das, dass eine wirksame Einwilligung erst nach aktiver Erteilung (opt-in) anzunehmen ist. Dabei kommt es nicht unbedingt auf den Personenbezug an (personenbezogene Daten). Dies wird durch die ebenfalls gültige und in diesem Zusammenhang zu beachtende e-privacy-Richtlinie durch Art. 5 Abs. 3, die bis zur Umsetzung der e-privacy-Verordnung noch Gültigkeit behält, verdeutlicht.

Sodann wurde die Sache wieder dem BGH vorgelegt, der am 28. Mai 2020 ein endgültiges Urteil fällte.

 

 

Ergebnis des Urteils: Keine Überraschung, aber Rechtssicherheit

Der BGH entschied unter Berücksichtigung des EuGH-Urteils und gab dem Kläger (vzbv) Recht.

Eine Einwilligung in die Nutzung von Cookies ist in Anlehnung an das gefällte Urteil nur dann wirksam, wenn der Nutzer hierfür seine Einwilligung aktiv abgibt. Cookie‑Banner mit Hinweistexten und der Möglichkeit, diese einfach wegzuklicken, genügen diesen Anforderungen nicht. Ebensowenig kann eine Einwilligung bereits durch eine vorangekreuzte Checkbox erteilt werden. Dies, so stellte der BGH zudem fest, war bereits vor Umsetzung der DSGVO nicht mit dem „wesentlichen Grundgedanken des § 15 Abs. 3 Telemediengesetz (TMG)” vereinbar.

Der BGH weist zudem darauf hin, dass die deutschen Gesetze mit den EU‑Anforderungen anhand des § 15 TMG bereits im Einklang stehen. Konkret ist in diesem Zusammenhang die seit 2009 gültige Cookie-Richtlinie gemeint. Im Ergebnis bedarf es keiner weiteren Umsetzung seitens des deutschen Gesetzgebers. Vielmehr sind die an die Einwilligung getroffenen Maßstäbe nun anzuwenden und die sogenannten Cookie-Banner gegebenenfalls anzupassen.

 

Was müssen Webseitenbetreiber beim Einsatz von Cookies jetzt beachten?

Auch auf den Websites der Sozial- und Gesundheitswirtschaft, bei Sozialunternehmen, Krankenhäusern und Pflegeeinrichtungen, ist die Verwendung von Cookies eine Selbstverständlichkeit. Sie werden nach diesem Urteil vom Webseitenbesucher immer dann eine Einwilligung einholen müssen, wenn auf der Website Cookies eingesetzt werden, die als technisch nicht notwendig einzustufen sind.

Technisch notwendige Cookies sind solche, die für die Zurverfügungstellung von Diensten erforderlich sind und die Grundfunktionen gewährleisten. Hierunter sind unter anderem User-Input-Cookies zu verstehen. Diese speichern temporär Nutzereingaben. Die alleinige Nutzung von technisch notwendigen Cookies macht (noch) keine vorherige Einwilligung erforderlich.

Als technisch nicht notwendig werden alle Cookies verstanden, die für die Funktionsfähigkeit der Webseite nicht zwingend erforderlich sind. Bekannte Beispiele sind Cookies zu Analysezwecken (Google Analytics) oder Social-Media-Plugins (Facebook, Twitter etc.). Für diese Cookies ist eine vorherige Einwilligung des Users erforderlich. Diese ist bereits vor dem setzen der Cookies einzuholen. Es genügt nicht, lediglich einen Hinweistext im Rahmen eines Banners einzublenden. Gleiches gilt für Cookie-Banner, die sich beim weiterscrollen von selbst ausblenden. Es ist ein aktives Einholen der Einwilligung notwendig, beispielsweise mittels Ankreuzkästchen. Die Einwilligung darf nicht durch die Voreinstellungen (vordefinierter Haken) beeinflusst werden.

Unabhängig von einer ggf. erforderlichen Einwilligung müssen hinsichtlich der Cookies immer die Informationspflichten nach den Artikeln 13 und 14 DSGVO erfüllt werden. Auch beim Einsatz von technisch notwendigen Cookies ist also über die Verarbeitung zu informieren.

Rödl & Partner unterstützt eine Vielzahl von Unternehmen der Gesundheits- und Sozialwirtschaft gezielt und mit tiefer Branchenkenntnis dabei, die Anforderungen des Datenschutzes zuverlässig und möglichst unaufwändig umzusetzen.