Am 28. Mai 2020 hat der Bundesgerichtshof (BGH) den Streit um die wirksame Einwilligung in das Setzen von Cookies entschieden (Urteil vom 28. Mai 2020 – I ZR 7/16 – Cookie-Einwilligung II, Planet49).

Die wichtigsten Punkte zu der Entscheidung nach Veröffentlichung der Pressemitteilung fassen wir hier in Kürze zusammen. Auf juristische Ausführungen verzichten wir an dieser Stelle.

Urteil ist nicht nur für Cookies relevant

Die Entscheidung betrifft nicht nur Cookies. Sie betrifft jegliche Speicherung von Daten in einem Endgerät. Damit sind auch und besonders nicht-personenbezogene Daten wie etwa Informationen aus den Endgeräten selbst erfasst (z.B. Browser-Einstellungen, Mobile Identifier, Hardware).

Zusammenfassung für die Praxis

  1. Nach dem Urteil steht nunmehr fest, dass eine wirksame Einwilligung in das Setzen (Speichern) von Cookies nicht vorliegt, wenn etwaige Kästchen vorangekreuzt oder Schalter vorausgewählt sind.
  2. Eine Einwilligung ist nur dann wirksam, wenn sie eindeutig und durch eine aktive Handlung vorgenommen wird, sodass daraus die Zustimmung zur Datenverarbeitung deutlich wird (sog. Opt-In). Hierfür genügt das Abwählen einer vorausgewählten Einstellung nicht. Damit funktionieren die sog. Opt-Out-Lösungen nicht mehr. Sie sind rechtswidrig.
  3. Weil eine wirksame Einwilligung immer voraussetzt, dass sie informiert abgegeben und für den bestimmten Fall erteilt wird, liegt nach Ansicht des BGH eine Einwilligung „in Kenntnis der Sachlage“ und „für den konkreten Fall“ nicht vor, wenn bei einer Werbeeinwilligung nicht klar werde, welche Produkte oder Dienstleistungen welche Unternehmen die Einwilligung konkret erfasst.
  4. Diese Vorgaben haben zur Folge, dass die Gestaltung von Einwilligungen mit dem Ziel den Nutzer „in die richtige Richtung zu lenken“, also die Abgabe der Einwilligung durch die Gestaltung selbst zu fördern, nicht zulässig ist (sog. „dark pattern“).

Ausnahme für das Einwilligungserfordernis

Eine Ausnahme für das Einwilligungserfordernis zur Speicherung von Informationen in den Endgeräten besteht nur, soweit dies unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst der Informationsgesellschaft zur Verfügung zu stellen („zwingend erforderlich“). Wann dies genau der Fall sein soll, wird die zukünftige Diskussion maßgeblich bestimmen und hängt von dem konkreten Einzelfall ab.

Die zwingende Erforderlichkeit kann aber unproblematisch bei Nutzereinstellungen (z.B. Sprache der Website), Authentifizierung (Log-In) oder Warenkorbfunktionen angenommen werden.
Das Tracking zu Werbezwecken und zur Profilbildung ist nach Ansicht des BGH hingegen nicht zwingend erforderlich, sodass hierfür auch eine Einwilligung mittels Opt-In erforderlich ist. Im Ergebnis wird auch der Einsatz von Webanalsystools, die lediglich den Besucherstrom auf der Website analysieren, nur noch mit einer Einwilligung möglich sein.

Es bleibt abzuwarten, was sich zu dieser Diskussion und Abgrenzung aus der Urteilsbegründung der BGH-Entscheidung entnehmen lässt.

Gestaltungshinweise für den „Cookie-Banner“

Bei der Gestaltung der entsprechenden Banner und Hinweise für die Webseite ist darauf zu achten, dass diese möglichst transparent formuliert sind, dabei aber nicht überfrachtet werden. Hier bietet sich ein sogenanntes Ebenenmodell an, bei dem man in den verschiedenen (Gestaltungs-)Ebenen entsprechende Einstellungen vornehmen und Informationen zur Verfügung stellen kann.

Die Gestaltung und Implementierung sollte idealerweise im Zusammenwirken mit den Verantwortlichen für Marketing, Recht und IT in Ihrem Unternehmen erfolgen. Es muss auch technisch sichergestellt sein, dass die Daten mit den Informationen (Cookies) tatsächlich erst dann auf dem Endgerät gespeichert werden, wenn der Nutzer eingewilligt hat. Dies wird letztlich nur mit einem sog. „Consent-Tool“ umzusetzen sein.

Der Text der Einwilligung muss sorgfältig erarbeitet werden. Denn der Einwilligungstext stellt auch eine allgemeine Geschäftsbedingung dar und unterliegt damit der AGB-Kontrolle, insbesondere dem Transparenzgebot.

Nach alledem entsprechen die schlichten Cookie-Banner mit einem einfachen Hinweis auf den Einsatz von Cookies oder auf die Durchführung von Tracking mit ggf. voreingestellten Haken nicht mehr den Anforderungen an eine wirksame Einwilligung. Auch der bloße Hinweis, dass man durch das Weitersurfen auf der Website dem Setzen von Cookies zustimmt, ist rechtswidrig.

Zum Zeitpunkt des Verfassens dieser Mitteilung liegt allein die Pressemitteilung des BGH vor. Die Entscheidungsgründe werden in Kürze erwartet. Ob sich daraus dann Ergänzungen ergeben, bleibt abzuwarten.

Update (19.7.2020)

Inzwischen ist auch die Entscheidung im Volltext veröffentlicht worden. Interessierte Leser finden Sie hier. Leider ergeben sich daraus keine eindeutigen Ausführungen dazu, wann ein Cookie oder andere Tracking-Technologien als zwingend erforderlich einzuordnen sein könnten.