BGH urteilt zu Cookie-Verwendung: aktive Einwilligung der Nutzer erforderlich

Der EuGH hatte bereits im Oktober 2019 mit der Entscheidung Az. C-673/17 vorgelegt und nun hat der BGH in seiner aktuellsten Entscheidung vom 28. Mai 2020 I ZR 7/16 zur „Cookie-Thematik“ für Recht erkannt, dass Website-Betreiber die aktive Einwilligung der Nutzer benötigen, wenn sie Cookies zur Speicherung und Analyse des Nutzerverhaltens auf ihrer Seite setzen wollen.

Dieses Urteil bedeutet für Website-Betreiber eine entscheidende Änderung der Rechtslage und macht Anpassungen an der Ausgestaltung zahlreicher Websites notwendig. Bisher war auf vielen deutschen Websites der „Cookie-Banner“ das Mittel der Wahl, um dem in Deutschland einschlägigen § 15 Absatz 3 TMG zu entsprechen (wir berichteten).

„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.“

Die meisten bisher verwendeten „Cookie-Banner“ bieten den Nutzern nur die Möglichkeit auf „OK“ zu klicken oder verweisen darauf, dass der Nutzer durch „Weitersurfen“ auf der Website automatisch in die Verwendung von Cookies einwilligt. In manchen Fällen gibt es eine ‚Opt-Out‘ Lösung. Hierbei muss der Nutzer die Cookie-Verwendung explizit ablehnen. Erfolgt keine Ablehnung, gilt die Speicherung von Informationen oder der Zugriff auf Informationen als erlaubt.

Das BGH-Urteil unterbindet diese Vorgehensweise nun. Diese Arten der Widerspruchslösung erlauben es dem Diensteanbieter nicht, Nutzungsprofile zu erstellen.

Nach Vorlage durch den BGH an den EuGH hat dieser im Urteil (Az. C-673/17) in Sachen Planet49 GmbH ./. Bundesverband der Verbraucherverbände festgelegt, ob und auf welche Weise für Cookies und andere Tools eine aktive Einwilligung erfolgen muss. Die Aufgabe solcher Cookies und Analyse-Tools ist es, die Nutzerdaten zu speichern oder Informationen, die im Endgerät des Nutzers gespeichert sind, abzugreifen.

Der EuGH kam in der Entscheidung zu folgenden Erkenntnissen:

• Der Website-Nutzer muss der Verwendung von Cookies und anderen Tracking-Tools aktiv zustimmen.

• Dabei ist es grundsätzlich unerheblich, welche Daten erhoben werden. Die Anforderungen gelten sowohl für die Speicherung und Verwendung personenbezogener Daten als auch anderer Daten.

• Unbedingt erforderliche Cookies dürfen auch ohne explizite Einwilligung weiterhin erhoben werden. Dazu gehören Cookies die für den Betrieb der Website unerlässlich sind, wie z.B. Spracheinstellungen.

• Der Diensteanbieter ist verpflichtet, dem Website-Nutzer gewisse Informationen über die Funktionen der Cookies zu geben, wie z.B. die Funktionsdauer oder der Zweck der Verarbeitung.

Nach der Verkündung des EuGH-Urteils hatte der BGH das Verfahren im Januar 2020 wieder aufgenommen und hat in dieser Sache nun das Urteil verkündet. Entscheidende Änderungen für deutsche Website-Betreiber ergeben sich daraus, dass der BGH es jetzt für möglich hält das deutsche TMG richtlinienkonform auszulegen.

„§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG dahin richtlinienkonform auszulegen, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen darf.“

Somit darf ein fehlender Widerspruch des Website-Nutzers nicht mehr als Zustimmung zur Speicherung seiner Daten oder für den Zugriff auf seine auf seinem Endgerät gespeicherten Informationen gewertet werden. Vielmehr bedarf es jetzt seiner ausdrücklichen und aktiv getätigten Einwilligung.

Für Diensteanbieter gilt es nun, ihre Websites den neuen Vorgaben entsprechend anzupassen und z.B. anstelle eines „Cookie-Banners“ ein sog. „Consent-Tool“ zu implementieren. Voraussetzung ist, dass ein solches Tool auch wirklich erst dann Nutzerdaten abgreift, wenn der Nutzer einer solchen Verwertung seiner Daten ausdrücklich zugestimmt hat.

Zusätzlich müssen dem Nutzer gewisse Informationen vor Abgabe seiner Einwilligung bereitgestellt werden, u.a. welche Daten erhoben werden und zu welchem Zweck diese verwendet werden. Desweiteren muss der Nutzer darüber in Kenntnis gesetzt werden, dass seine Einwilligung freiwillig und zu jedem Zeitpunkt widerrufbar ist.