Die Entscheidungsgründe des BGH-Urteils zu Planet49

Nach der Verkündung des Urteils im Verfahren gegen Planet49 (Cookie-Entscheidung, wir berichteten) hat der BGH nunmehr seine Entscheidungsgründe veröffentlicht. Diese lassen durchblicken, dass Webseiten-Betreiber in Zukunft für den Einsatz von „nicht-funktionalen“ Cookies um das Erfordernis einer ausdrücklichen Einwilligung nicht mehr herumkommen. Folglich wird die weit verbreitete Praxis, den Webseiten-Nutzer mittels eines Cookie-Banners nur auf den Einsatz von Cookies hinzuweisen, ohne dabei jedoch seine Einwilligung einzuholen, der Vergangenheit angehören.

Das Urteil bietet außerdem neue Erkenntnisse zur rechtskonformen Ausgestaltung von datenschutzrechtlichen Einwilligungserklärungen sowie in Bezug auf die erforderliche Transparenz von Werbeeinwilligungen, die in Kooperation mit Werbepartnern eingeholt werden.

1. Hintergründe der Entscheidung

Die Beklagte des Ausgangsverfahren, Planet49, veranstalte 2013 ein Online-Gewinnspiel, bei dem die Teilnehmer aufgefordert wurden, eine Werbeeinwilligung sowie eine Einwilligung in das Setzen von Cookies und die dadurch verbundene Auswertung ihres Surfverhaltens auf Webseiten von Werbepartnern zu erteilen. Dabei sollten Nutzerprofile zu Werbezwecken erstellt werden, um den Teilnehmer personalisierte Werbung zukommen zu lassen. Beide Einwilligungserklärungen waren mittels einer vorformulierten Erklärung und eines Ankreuzkästchens abzugeben. Über eine Verlinkung im Text der Werbeeinwilligung gelangten die Nutzer zu einer Liste mit insgesamt 57 Werbepartnern, die sie individuell abwählen konnten. Die Einwilligung in den Einsatz von Cookies auf den Endgeräten der Nutzer war im Ankreuzkästchen so voreingestellt, dass diese „automatisch“ erfolgte, wenn das Kästchen nicht aktiv abgewählt wurde (sog. Opt-Out-Verfahren).

Das Urteil des BGH folgt der Vorabentscheidung des EuGH in selber Sache. Dem EuGH wurde die Frage zur Vereinbarkeit von Opt-Out-Verfahren mit den einschlägigen europäischen Datenschutz- und ePrivacy-Bestimmungen vorgelegt. Der EuGH entschied, dass für eine ausdrückliche Einwilligung das aktive Verhalten des Einwilligenden erforderlich ist. Dies sei bei einem bereits vorausgefüllten Ankreuzkästchen (sog. Opt-Out-Verfahren), die der Nutzer schlicht nicht abwählt, nicht der Fall.

Der BGH hatte nun darüber zu entscheiden, in welchem Verhältnis hierzu der in Deutschland geltende § 15 Abs. 3 S. 1 TMG steht. Diese ist der deutsche Umsetzungsakt der ePrivacy-Richtlinie. Nach seinem Wortlaut sieht er für das Setzen von Cookies jedoch nur eine Widerspruchslösung vor.

In den jetzt veröffentlichten Entscheidungsgründen legt der BGH dar, wie die Norm richtlinienkonform im Lichte der ePrivacy-Richtlinie und dem vorangegangenen EuGH-Urteil auszulegen ist.

2. Zusammenfassung und Bewertung der Entscheidungsgründe

Sowohl die Webeeinwilligungen in Bezug auf die Partnerunternehmen von Planet49 als auch die Datenschutzeinwilligung in das Setzen von Cookies waren Gegenstand der BGH-Entscheidung.

2.1 Werbeeinwilligungen bei Telefonwerbung

Für die Durchführung von Telefonwerbung bedarf es einer Einwilligungserklärung im Sinne des § 7 Abs. 2 Nr. 2 UWG, deren Wirksamkeit wiederum anhand einschlägiger unionsrechtlicher Bestimmungen zu bewerten ist. Insbesondere müssen Einwilligungserklärungen zur Telefonwerbung hinreichend konkretisiert sein. Das ist der Fall, wenn für den Erklärenden erkennbar ist, auf welche konkreten Werbetreibenden und welche ihrer Produkte oder Dienstleistungen sich die entsprechende Einwilligung bezieht („für den konkreten Fall“). Im Streitfall fehlte es nach Ansicht des BGH an diesem Merkmal, da der Nutzer erst über einen Link im Text der Einwilligungserklärung zu einer Liste (als so genannter „second layer“) mit 57 aufgeführten Unternehmen gelangte, die schon durch Voreinstellung zu Werbemaßnahmen ermächtigt und erst in einem aufwendigen Verfahren einzeln abzuwählen waren.

Der BGH gelangte zu dem Schluss, dass diese Ausgestaltung geradezu darauf ausgelegt war, den Nutzer von einer eigenen Auswahl der Unternehmen abzuhalten. Zwar käme es nicht allein auf die Länge der Liste an, aber schon der Zeitaufwand, welcher für das Selektieren nötig wäre, stehe außer Verhältnis zu dem dahinterstehenden Gewinnspiel. Vor diesem Hintergrund sei nicht damit zu rechnen, dass ein Nutzer sich die Mühe macht, Kenntnis von sämtlichen Unternehmen zu nehmen und diese gegebenenfalls einzeln abzuwählen. Nach Ansicht des BGH kommt es für die Unwirksamkeit von Werbeeinwilligungen also entscheidend auf die tatsächliche Unkenntnis der Einwilligenden und auf die Intentionen des Webseitenbetreibers an.

2.2 Einwilligungserklärungen für den Einsatz von Cookies

Streitentscheidend für die Cookie-Einwilligungen war, ob und wie der § 15 Abs. 3 S. 1 TMG unionsrechtskonform auszulegen ist. Die Norm bestimmt die Zulässigkeit der Erstellung von Nutzerprofilen zu Werbe- und Marktforschungszwecken sowie zur bedarfsgerechten Gestaltung von Telemedien, sofern kein Widerspruch erfolgt.

Wie bereits erwähnt, ergab die Entscheidung des EuGH, dass eine wortlautnahe Auslegung der Norm im Sinne einer Widerspruchslösung nicht mit Unionsrecht vereinbar sei. Dem folgt der BGH und entschied, dass, sofern Cookies eingesetzt werden, um Nutzerprofile zu Werbe- und Marktforschungszwecken zu erstellen, zwingend eine Einwilligung des betroffenen Nutzers einzuholen ist. Erforderlich ist damit eine ausdrückliche Einwilligungserklärung des Nutzers, die durch aktives Tun ausgedrückt werden muss. Allein das bewusste Weitersurfen auf einer Webseite mit voreingestelltem Ankreuzkästchen wird dem nicht gerecht.

Eine Ausnahme von diesem ausdrücklichen Einwilligungserfordernis besteht allein für das Setzen sogenannter technisch notwendiger oder auch „funktionaler“ Cookies. Solche sind, jedenfalls nach derzeitiger Ansicht der Aufsichtsbehörden, unter anderem Cookies zur Anpassung der Benutzeroberfläche, User-Input-Cookies, Authentifizierungscookies, nutzerorientierte Sicherheitscookies, Multimedia-Player-Sitzungscookies oder Sitzungscookies zur so genannten Lastverteilung. In allen anderen Fällen jedoch bleibt es bei dem Einwilligungserfordernis.

Diese Ausführungen stehen in einem offensichtlichen Widerspruch zum Wortlaut des § 15 Abs. 3 S. 1 TMG („sofern der Nutzer dem nicht widerspricht“), den der BGH im Wege der richtlinienkonformen Auslegung des § 15 Abs. 3 S. 1 TMG auflöst. Das Fehlen einer wirksamen expliziten Einwilligung wird als Vorliegen eines Widerspruchs gemäß § 15 Abs. 3 S. 1 TMG gewertet.

2.3 Verhältnis der einschlägigen TMG- und ePrivacy-Bestimmungen zur DSGVO

Schließlich hatte sich der BGH auch mit der Frage auseinanderzusetzen, ob das zwischenzeitliche Inkrafttreten der DSGVO die oben festgestellte Rechtswidrigkeit des Opt-Out-Verfahrens tangiert. Denn ansonsten hätte der Beklagten das vorgeworfene Verhalten nicht weiter untersagt werden dürfen, wenn es nach derzeitiger Rechtslage rechtmäßig ist.

Der BGH gelangte bei seiner Prüfung zunächst zu dem Schluss, dass DSGVO und TMG als Umsetzungsakt zur ePrivacy-Richtlinie nebeneinander gelten und zur Bewertung von Einwilligungserklärungen in das Setzen von Cookies heranzuziehen sind – die DSGVO allerdings aufgrund ihres beschränkten Anwendungsbereichs nur dann, wenn auch personenbezogene Daten von dem Einsatz der Cookies betroffen sind.

In jedem Fall sei aber der § 15 Abs. 3 S. 1 TMG in seiner richtlinienkonformen Auslegung auch nach Inkrafttreten der DSGVO zu berücksichtigen, und zwar soweit keine personenbezogenen Daten betroffen sind direkt, ansonsten über die Verweisungsnorm in der DSGVO. Folglich bleibt es nach Ansicht des BGH auch bei der Rechtswidrigkeit des Opt-Out-Verfahrens und der Unwirksamkeit von auf dieser Grundlage eingeholten elektronischen Einwilligungserklärungen.

Die in diesem Zusammenhang getroffenen Feststellungen des BGH führen ferner dazu, dass im Falle des Einsatzes nicht-funktionaler Cookies ohne wirksame Einwilligungserklärung die Sanktionsmechanismen und insbesondere auch die Bußgeldvorschriften der DSGVO Anwendung finden, wenn es sich bei dem Einsatz der Cookies zugleich um eine Verarbeitung personenbezogener Daten handelt. Zuständig für die Durchsetzung wären die Datenschutzaufsichtsbehörden der Bundesländer.

Bei einer ausschließlichen Anwendung des TMG, also bei fehlendem Personenbezug der Cookies, ist die Zuständigkeit von Bundesland zu Bundesland unterschiedlich geregelt. In einigen Bundesländern liegt die Zuständigkeit bei (reinen) TMG-Verstößen ebenfalls bei den Datenschutzbehörden, teilweise jedoch bei den Landesmedienanstalten, in Berlin sogar bei den Bezirksämtern. Zudem finden in diesen Fällen nur die (gegenüber der DSGVO erheblich weniger schwerwiegende) Bußgeldvorschrift des § 16 TMG im Falle eines TMG-Verstoßes Anwendung.

3. Handlungsempfehlungen

Webseitenbetreiber sollten überprüfen, ob sie Cookies noch im Opt-out-Verfahren speichern. Ist dies der Fall, sollten die Bertreiber ihre Cookie-Speicherung auf das Opt-in-Verfahren umstellen, also eine Einwilligung des Webseiten-Nutzers einholen, bevor ein nicht-funktionaler Cookie gesetzt wird. Diese Einwilligung muss eindeutig sein und kann etwa durch das Setzen eines Hakens oder die Betätigung eines Schiebeschalters erfolgen.

Zudem muss der Webseiten-Nutzer ausreichend und transparent informiert werden über die Umstände der Verarbeitung. Der Nutzer muss also erklärt bekommen, welcher Cookie zu welchem Zweck gesetzt wird, damit die Einwilligung wirksam ist.