Opt-in oder opt-out? Unter anderem über diese Frage hat bald der Bundesgerichtshof (BGH) bezüglich Cookies zu entscheiden. Das Urteil dürfte für alle diejenigen interessant sein, die selbst Cookies verwenden, beispielsweise zwecks statistischer Auswertungen des Nutzerverhaltens auf einer eigenen Website. Darüber berichtete kürzlich das Fachinfo-Magazin mkg-online.
Cookie-Rechtsfall geht durch alle Instanzen, bis zum BGH
Am 28. Mai 2020 ist ein BGH-Urteil (Az. I 49 7/16) in Sachen Cookies zu erwarten. Die Karlsruher Richter haben hierbei die Frage zu klären, wie eine User-Einwilligung bei Cookie-Verwendung erteilt werden muss. Planet49, ein Online-Glücksspielanbieter, setzte das Einverständnis der Verbraucher mittels gesetztem Kreuz bereits voraus, dass Cookies akzeptiert werden. Der Verbraucherzentrale Bundesverband e.V. (vzbv) klagte gegen diese Praxis.
Im besagten Fall führte Planet49 GmbH ein Gewinnspiel zu Werbezecken durch. Den Besuchern präsentierte man hierbei in zwei Checkboxen die üblichen Einwilligungen bzw. Zustimmungen. Diese zeigte man oberhalb des sich anschließenden Teilnehmen-Buttons an. Bei der ersten Checkbox, einer Einwilligung zur Post- und Telefonwerbung der Kooperationspartner und Sponsoren des Gewinnspiels, war das Häkchen nicht gesetzt. Die Teilnehmer mussten hier folglich die Aktivierung selbst vornehmen, insofern sie ihre Einwilligung erteilten (opt-in-Variante). Bei der zweiten Checkbox hatte man den Text bereits angekreuzt. Das Unternehmen entschied sich hier also für eine opt-out-Lösung. Die Box enthielt den folgenden Text:
„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter nach Registrierung für das Gewinnspiel Cookies setzt, welches Planet49 eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“
Steht Anwendung der opt-out-Variante bezüglich Cookie-Zustimmung im Widerspruch zum Gesetz gegen den unlauteren Wettbewerb (UWG)?
Die Verbraucherzentrale Bundesverband e.V. (vzbv) ist der Meinung, dass die bereits angekreuzte Checkbox Nr. 2 durch die voreingestellte Aktivierung das Gesetz gegen den unlauteren Wettbewerb (UWG) unterlaufen würde. Zunächst mahnten sie den Sachverhalt ab. Es schloss sich darauf folgend ein Rechtsstreit an, der alle Instanzen, bis zum BGH durchlief.
Die Kritik der Klägerseite richtet sich aber genauso auch an den Gesetzgeber. Dieser hätte eine ausreichende Anpassung des Telemediengesetzes (TMG) an die maßgebende EU-Richtlinie verpasst, so das Argument.
Dem widersprach Planet49 jedoch. Sie meinen, dass die Regelung des TMG auch die Widerspruchslösung mit vorangekreuztem Kästchen zulassen würde und daher eine bewusste und zulässige Entscheidung des deutschen Gesetzgebers gewesen sei.
Der BGH brachte für die Bewertung die EU-Datenschutzrichtlinie für elektronische Kommunikation ein. Er rief infolge den EuGH zwecks Beurteilung an und legte mehrere Fragen zur Beantwortung vor.
Stellt eine solche bereits angekreuzte Checkbox, welche derartige Cookies setzt, eine nach den vorgenannten Rechtsgrundlagen „wirksame Einwilligung“ dar,
macht es einen Unterschied, ob das Cookie „personenbezogene Daten“ verarbeitet oder nicht,
ist die vorliegende Einwilligung nach DSGVO wirksam und
welche Informationen sind für eine wirksame Einwilligung konkret zu erteilen.
EuGH-Entscheidung gründet auf ePrivacy-Richtlinie
Am 1. Oktober 2019 hat der Gerichtshof der Europäischen Union (EuGH) im Fall Planet49 entschieden, dass die einzige Form der gültigen Einwilligung zur Verarbeitung von Nutzerdaten in der EU die explizite Einwilligung ist.
Das heißt aber auch, dass die Zustimmung von den Nutzern der Website aktiv und spezifisch erteilt werden muss, indem sie selbst ein Kästchen ankreuzen. Der EuGH hat also die Frage bereits vorab geklärt: Eine Einwilligung ist stets ein Opt in, kein Opt out. Zudem gelten die Informationspflichten nach Art. 12, 13 DSGVO durch den Webseitenbetreiber auch für Cookies. Unter Verweis auf Art. 5 Abs. 3 der EU-Datenschutzrichtlinie für elektronische Kommunikation (ePrivacy-Richtlinie) sind Einwilligungen auch für Cookies einzuholen:
“Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG* u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.
Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.”
Das heißt im Klartext, dass man technisch erforderliche Speicherungen von Informationen, wie Cookies, auch ohne Einwilligung setzen kann. Allerdings ist über deren Einsatz aber ausreichend zu informieren. Hingegen bei technisch für den Betrieb der Seite nicht erforderlichen Cookies, wie Webtracking durch bzw. über Dritte, Werbung usw. sind einwilligungspflichtig.
Bald besteht Handlungsbedarf bei Webseitenbetreibern
Diese Regelung bezüglich des Art. 5 Abs. 3 der EU-Datenschutzrichtlinie für elektronische Kommunikation, hat jedoch der deutsche Gesetzgeber nie in nationales Recht umgesetzt. Der BGH selbst hält eine richtlinienkonforme Auslegung des TMG für möglich. Demgemäß könnte das heißen, dass der BGH „für Cookies, für die die Richtlinie keine Ausnahme vorsieht, generell eine Einwilligung nach den Vorgaben der DSGVO fordern wird.“
Webseitenbetreiber sollten dementsprechend ihre bisherige Vorgehensweise bezüglich einer Einwilligung in die Cookie-Nutzung daraufhin überprüfen. Ferner sollten sie nochmals feststellen, welche Cookies sie zu welchem Zweck nutzen und auf ihre rechtliche Zulässigkeit hin kontrollieren.
Das Internet wird nicht mehr das gleiche sein
Das Fachinfo-Magazin MKG schätzt ein, dass eine kommende ePrivacy-Verordnung, die auch die Einwilligung zur Nutzung von Cookies neu regeln wird, frühestens 2023/2024 unmittelbar anwendbar wird.
„Für die unklare Situation in Deutschland ist daher festzuhalten, dass die Analyse des Nutzerverhaltens und Erstellung von Profilen zu Werbezwecken mittels Cookies in jedem Fall eine Einwilligung voraussetzen muss. Dass aber auch Reichweitenmessungen oder z.B. die reine Abrechnung des Erfolgs von Online-Werbung wegen der Nichterteilung von Einwilligungen durch die Nutzer in jedem Fall kaum noch möglich sein sollen, geht auch unter Einbeziehung der Abwägung der betroffenen Interessen an der digitalen Realität vorbei. […]
Zu hoffen ist, dass diese Änderung nicht nur eine Übernahme der Leitsätze des EuGH-Urteils bedeutet, sondern unter Abwägung der Interessen der Beteiligten die Möglichkeit zur Gestaltung rechtlicher Vorgaben nutzt, die zumindest einige der nervigen Cookie-Banner entbehrlich machen.“
Mit dem zu erwartenden BGH-Urteil gehen somit auch weitreichende Konsequenzen einher und das nicht nur bezüglich des Datenschutzes, sondern auch in Bezug auf die Funktionsweise des Internets.
Tarnkappe.info
(*) Alle mit einem Stern gekennzeichneten Links sind Affiliate-Links. Wenn Du über diese Links Produkte oder Abonnements kaufst, erhält Tarnkappe.info eine kleine Provision. Dir entstehen keine zusätzlichen Kosten. Wenn Du die Redaktion anderweitig finanziell unterstützen möchtest, schau doch mal auf unserer Spendenseite oder in unserem Online-Shop vorbei.
Am 1. Oktober 2019 hat der Gerichtshof der Europäischen Union (EuGH) im Fall Planet49 entschieden, dass die einzige Form der gültigen Einwilligung zur Verarbeitung von Nutzerdaten in der EU die explizite Einwilligung ist.
Diese Regelung bezüglich des Art. 5 Abs. 3 der EU-Datenschutzrichtlinie für elektronische Kommunikation, hat jedoch der deutsche Gesetzgeber nie in nationales Recht umgesetzt. Der BGH selbst hält eine richtlinienkonforme Auslegung des TMG für möglich. Demgemäß könnte das heißen, dass der BGH „für Cookies, für die die Richtlinie keine Ausnahme vorsieht, generell eine Einwilligung nach den Vorgaben der DSGVO fordern wird.“
