Die rechtskonforme Nutzung von Cookies gehört zu den Fragen, die Rechtsprechung und Anwender in der unternehmerischen Praxis seit Einführung der DSGVO immer wieder beschäftigt hat. Die jahrelange Debatte hat nunmehr endgültig ein Ende. Denn der BGH hat Farbe bekannt und sich in seiner Entscheidung „Cookie-Einwilligung II“ (Az. I ZR 7/16) abschließend festgelegt:

Werbe-Cookies sind nur zulässig, wenn der Nutzer aktiv seine Einwilligung erteilt (Opt-In). Das gilt jedenfalls dann, wenn der Einsatz von Cookies für Zwecke der Werbung oder Marktforschung erfolgt und hierbei Nutzerprofile erstellt werden. Eine Einwilligung des Nutzers im Wege eines voreingestellten Ankreuzkästchens steht im Ergebnis nicht im Einklang mit dem geltenden Recht und ist daher unwirksam. Im vergangenen Jahr hatte der EuGH (Entscheidung vom 1. Oktober 2019, Az. C-673/17 „planet49“) bereits die Rechte von Verbrauchern und die digitale Privatsphäre gestärkt und bestätigt, dass Marketing-Cookies nur mit vorheriger, ausdrücklicher Einwilligung der Nutzer eingesetzt werden dürfen. Über die Details dieser Entscheidung hatten wir hier berichtet.

Konkret hat der BGH in seinen Leitsätzen der aktuellen Entscheidung ausgeführt:

„§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG dahin richtlinienkonform auszulegen, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen darf. Eine elektronisch zu erklärende Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, genügt diesem Einwilligungserfordernis nicht.“

Soweit § 15 Abs. 3 TMG von „nicht widersprechen“ (also dem Wortlaut nach eher ein Opt-out) spricht, legt der BGH dies aus und setzt den Begriff gleich mit „aktiv einwilligen“. Der BGH hat klargestellt, dass die Bestätigung eines Hinweistextes durch vorangekreuzte Felder keine wirksame Einwilligung darstellt. Dies ist keine Überraschung, weil Art. 4 Nr. 11 DSGVO, Art. 7 DSGVO bereits eine eindeutig bestätigende Handlung fordert. Vorangekreuzte Kästchen sind daher unzulässig. Rein technisch darf das Setzen oder Auslesen eines Cookies demnach erst erfolgen, wenn der Nutzer zugestimmt hat. Die rechtliche Bewertung von Cookies erfolgt nach Auffassung des BGH an der zentralen Vorschrift des § 15 TMG. Eine Einwilligung ist immer dann erforderlich, wenn Cookies genutzt werden zum Zwecke der

  • Werbung/Marktforschung und wenn hierbei
  • Nutzer-/Nutzungsprofile erstellt werden.

Für Unternehmen bedeutet dies in der Praxis Folgendes: Wer bislang das Thema rechtskonforme Nutzung von Cookies mehr oder weniger unbeachtet gelassen hat, sollte spätestens unter Berücksichtigung der aktuellen Linie des BGH größte Vorsicht walten lassen, um nicht ins Visier der Datenschutzbehörden zu geraten. Insoweit empfiehlt es sich, mit Blick auf die Funktionen der eigenen Website genau zu prüfen, welche Tools zur Anwendung kommen und welche Cookies gesetzt werden.

Dabei kann eine Unterteilung in technisch notwendige Cookies (sprich für den Betrieb einer Website zwingend erforderliche Vorgänge) und nicht notwendige Cookies erfolgen. Letztere sind vor allem die auch in der Entscheidung des BGH thematisierten Werbe-Cookies, die das Nutzerverhalten auswerten und als Tracking-Tools Profile anlegen, um Marketing optimieren zu können. Solche Werbe-Cookies dürfen nur dann gesetzt und ausgelesen werden, wenn der Verbraucher aktiv in die Nutzung einwilligt. Der BGH hat hier klar Stellung bezogen und festgehalten, dass Reichweiten- und Nutzungsanalysen, bei denen Nutzungsprofile angelegt werden, unter § 15 Abs. 3 TMG fallen. Dies gilt auch für selbst gehostete Lösungen, wie z.B. Matomo. Die Anwendung von Art. 6 DSGVO und das Abstellen auf ein berechtigtes Interesse an der Verarbeitung personenbezogener Daten ist gesperrt, wenn der oben beschriebene Anwendungsbereich des § 15 TMG eröffnet ist. Eine Ausnahme bilden die technisch notwendigen Cookies. Da Einwilligungen in die Datenverarbeitung jederzeit widerrufbar sind, muss auch der Widerruf gesteuert werden. Widerruft der Nutzer seine Einwilligung, sind Werbe-Cookies unmittelbar zu deaktivieren. Ein rechtskonformer Cookie-Banner, angepasst an die jeweiligen technischen Hintergründe, sollte unbedingt implementiert werden, um Beanstandungsrisiken zu minimieren. Im Ergebnis sollte stets im Einzelfall geprüft werden, welche Maßnahmen erforderlich sind unter Berücksichtigung des tatsächlichen Status Quo.

Autor: Sebastian Keilholz, LL.M.

Wenn Sie Fragen haben oder bei der Unterstützung eines Cookie-Banners Unterstützung benötigen, stehen wir Ihnen jederzeit gerne zur Verfügung.