BGH-Cookie-Urteil – Daten contra Datenschutz

Ohne Zustimmung kein Tracking, aktives Ja, keine Voreinstellung – mit diesen Begriffen wird das BGH-Urteil vom 28. Mai 2020 (Az. I ZR 7/16) in den Medien zusammengefasst. Es geht um die kleinen Textdateien, die auf den Computern von Nutzern gespeichert werden und die durch ihre Fähigkeit, diese Nutzer wiedererkennbar zu machen bzw. zu tracken, unter anderem in der Werbebranche eine wichtige Rolle spielen. 

In der Verhandlung zum Streit von Verbraucherzentrale Bundesverband (VZBV) und Gewinnspielveranstalter Planet49 ging es nun insbesondere um die Frage, inwiefern für die Cookies, die Nutzerprofile zum Zwecke der Werbung oder des Marketings bilden, eine aktive Zustimmung bzw. Einwilligung nötig ist. Wenngleich das Urteil selbst noch nicht veröffentlicht ist, zeigt der BGH mit seiner Pressemitteilung zum Urteil allen Interessierten die Rechtslage. Das Echo wiederum zeigt, dass sich unterschiedliche Interessen entgegenstehen und auch nach dem Urteil Fragen bleiben.

Vormarkierte Checkbox – Was hat der BGH da entschieden?

Die Beklagte hatte 2013 online ein Gewinnspiel veranstaltet, bei dem zu Werbezwecken auch Cookies gesetzt werden sollten. Teilnehmer fanden im Formular unter anderem zwei Checkboxen – in der einen konnten sie ihr Häkchen setzen (Opt-in), um u.a. Werbeanrufe zu erhalten, in der anderen war eine Zustimmung zur Verwendung von Cookies zu Werbezwecken vorgesehen. Hier war das Häkchen bereits automatisch gesetzt.

Nutzer hätten das Häkchen hier also rausnehmen sollen, wenn die Cookies nicht eingesetzt werden sollten (sog. Opt-out). Zumindest eines der beiden Häkchen musste aber gesetzt werden, um teilnehmen zu können. Unter anderem in der Tatsache, dass die Checkbox vormarkiert war, sah der VZBV ein Problem. Zur Rechtslage nach EU-Recht befragte der BGH den Europäischen Gerichtshof, nach dessen Urteil im Oktober 2019 ein Opt-in für nicht notwendige Cookies nötig sei, der Nutzer also seine Einwilligung aktiv etwa durch das Setzen eines Häkchens geben müsse. 

In Deutschland war die Rechtslage allerdings umstritten: Für die EU-Richtlinie, die das Opt-in fordert, war hierzulande im Gesetz keine konkrete Anpassung gemacht worden. Aus dieser Situation und dem Wortlaut des deutschen Gesetzes folgerten einige Stimmen, dass man im Hinblick auf Werbe-Cookies auch eine Lösung per Opt-out nutzen könne – etwa mit einer vormarkierten Checkbox. Mit diesem ist nach dem BGH-Urteil aber wohl Schluss: Laut der Pressemitteilung sei hier auch die deutsche Rechtslage so auszulegen, wie auf europäischer Ebene vorgesehen: Für eine wirksame Einwilligung darf das Häkchen nicht vorgesetzt sein. Der Nutzer muss es hier aktiv setzen müssen.

Bereits nach dem Urteil des EuGH stellten sich insofern viele Online-Händler auf diese Rechtslage ein. Zuvor war es nicht unüblich, Seitenbesucher mit einem Hinweis in einem Banner zu begrüßen, der über den Einsatz nicht notwendiger Cookies insbesondere im Bereich Marketing und Werbung informierte – aber außer dem Wegklicken keine weitere Aktion zuließ. Gesetzt wurden diese Cookies auch ohne zustimmende Aktion des Nutzers. Solche Lösungen sind nun wie geschildert keine überzeugende Lösung mehr, auch hier kommt es im Hinblick auf nicht notwendige Cookies auf eine Einwilligung an, wie der Händlerbund in seinem Hinweisblatt zeigt. 

Kleines Häkchen, großer Unterschied für die Beteiligten

Was das Urteil mit sich bringt, ist Rechtssicherheit. Der auch in der Vergangenheit wackelige deutsche Sonderweg, Werbe-Cookies einfach erst einmal zu verwenden, es sei denn, der Nutzer widerspricht, ist nun wohl vom Tisch. Eingesetzt werden dürfen sie ab der ordnungsgemäßen Einwilligung des Nutzers – das dürfte jetzt wohl klar sein. Auf der einen Seite wird das Urteil deswegen nun gefeiert: Klarheit und Rechtssicherheit für Nutzer und Unternehmen sieht der Verband der Internetwirtschaft (eco) der Tagesschau zufolge. Verbraucherschützer wie vom VZBV sehen das Urteil als Erfolg. Mehr Entscheidungshoheit und Transparenz für Internetnutzer sei die Folge; die Klarstellung sei lange überfällig, wie das Portal Der Betrieb zitiert. Das deckt sich mit der Aussage des BGH, der den voreingestellten Haken als unangemessene Benachteiligung verstand. 

Auf der anderen Seite stehen Seitenbetreiber und Werbetreibende, die auf die Daten, welche von Werbe-Cookies geliefert werden können, angewiesen sind. Fließen die Daten nicht „von allein“ sondern erst nach Zustimmung, macht das die Sache hier jedenfalls schwieriger, vielleicht auch teurer. Das Urteil treffe Webseitenbetreiber schwer und nerve viele Internetnutzer, erklärte Bitcom-Hauptgeschäftsführer gegenüber der Tagesschau, und führt hierbei auch an, dass unklar bliebe, welche Cookies als nicht unbedingt erforderlich gelten würden. 

Wo das Urteil Rechtssicherheit in einer wichtigen Frage für die Netzwelt bringt, lässt es andere Fragen wie die genannte offen stehen – sie waren ja auch nicht Gegenstand des Verfahrens. Die nächste große Veränderung könnte auf gesetzlicher Seite die E-Privacy-Verordnung bringen, wenn sie denn kommt. Schätzungen zufolge könnte dies erst im Jahr 2023 der Fall sein. Vielleicht bewegt sich zuvor aber auch etwas im deutschen Telemediengesetz.

Davon ab wird sich demnächst der Europäische Gerichtshof damit auseinandersetzen müssen, ob auch Verbände und Mitbewerber gegen DSGVO-Verstöße vorgehen dürfen. Hierzu hat der BGH ebenfalls am 28. Mai den EU-Richtern eine entsprechende Vorlage bereitet, auch in dieser Frage ist die Rechtslage bisher umstritten.