Der Bundesgerichtshof (BGH) hat in einer Grundsatzentscheidung die bisherige Handhabung von Cookies und Werbeeinwilligungen in Frage gestellt. Cookies dürfen grundsätzlich nur nach vorheriger Einwilligung des Nutzers eingesetzt werden. Für die Einwilligung von Verbrauchern in Telefon-, E-Mail-, SMS-Werbung etc. werden hohe Anforderungen gestellt. Die Entscheidung erfordert eine Überprüfung der bisherigen Cookie-Policies bzw. Werbeeinwilligungen.
Der Bundesgerichtshof (BGH) hat gestern eine Grundsatzentscheidung zur Einwilligung bei Cookies sowie zur Einwilligung in den Erhalt von Telefon-, E-Mail-, SMS-Werbung getroffen:
- Für den Einsatz von sog. nicht-notwendigen Cookies ist bereits heute eine vorherige Einwilligung des Nutzers erforderlich. Damit können insbesondere bisher nach Ansicht der Datenschutzaufsichtsbehörden noch zulässige Opt-Out Lösungen nicht mehr eingesetzt werden (Ziff. 1).
- Die für Telefonwerbung und Werbung per elektronischer Post (E-Mail, SMS, etc.) gegenüber Verbrauchern erforderliche Einwilligung muss sicherstellen, dass der Einwilligende weiß, für welche Produkte oder Dienstleistungen welcher Unternehmen konkret geworben werden soll. Viele bisher übliche Gestaltungen dürften den hierfür gestellten hohen Anforderungen nicht genügen (Ziff. 2).
1. Cookies grundsätzlich nur noch mit Einwilligung – endgültiges Ende des Opt-Out
Worum geht es?
Art. 5 Abs. 2 der europäischen ePrivacy-Richtlinie sieht vor, dass der Einsatz von Cookies nur gestattet ist, wenn Nutzer auf der Grundlage von klaren und umfassenden Informationen ihre Einwilligung gegeben haben. Ausgenommen hiervon sind lediglich sog. notwendige Cookies, die zur Bereitstellung des vom Nutzer gewünschten Dienstes technisch erforderlich sind (z.B. Speicherung eines Login).
Diese Vorgabe hat Deutschland durch § 15 Abs. 3 des deutschen Telemediengesetzes (TMG) umgesetzt. Danach ist die Nutzung von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung des Angebotes erlaubt, „sofern der Nutzer dem nicht widerspricht“. Dies wurde vor dem Inkrafttreten der DSGVO praktisch einhellig so verstanden, dass ein Einsatz von Cookies durch den Betreiber der Website zu diesen Zwecken ohne vorherige Zustimmung oder Bestätigung durch den Nutzer möglich ist und erst zu unterbleiben hat, wenn und sofern der Nutzer aktiv widerspricht (sog. „Opt-Out“).
Nach dem Inkrafttreten der DSGVO gingen die überwiegende Anzahl der Stellungnahmen in der juristischen Fachliteratur und auch die Datenschutzaufsichtsbehörden der Länder in ihrer „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien“ davon aus, dass § 15 Abs. 3 TMG durch die DSGVO verdrängt wurde. Der Einsatz von Cookies sollte sich vielmehr allein nach der DSGVO richten. Damit war eine Einwilligung nicht zwingend erforderlich, der Einsatz konnte z.B. auch auf berechtigte Interessen des Anbieters gestützt werden.
Was ist neu?
Der BGH hat nun im Wesentlichen entschieden:
- § 15 Abs. 3 TMG wird nicht durch die DSGVO verdrängt, sondern findet weiterhin Anwendung.
- Die Regelung ist im Lichte der europarechtlichen Vorgaben zu lesen.
- Diese fordern, wie der EuGH zwischenzeitlich entschieden hat (EuGH v. 01.10.2019 – C-673/17, PLANET49), für nicht notwendige Cookies eine vorherige, aktiv vom Nutzer gegebene Einwilligung („Opt-In“).
- Deshalb sei ein Einsatz von nicht notwendigen Cookies auch nach § 15 Abs. 3 TMG nur möglich, wenn und soweit der Nutzer vorher aktiv eingewilligt habe.
Im Ergebnis gilt damit für den Einsatz von nicht notwendigen Cookies in Deutschland das sog. Opt-In – und zwar auf der Grundlage von § 15 Abs. 3 TMG.
Dies widerspricht diametral der bisherigen von der überwiegenden Fachliteratur und den Datenschutzaufsichtsbehörden vertretene Position zum Einsatz von Cookies – die davon ausging, dass § 15 Abs. 3 TMG ein Opt-Out erlaubt, aber ohnehin seit dem Inkrafttreten der DSGVO am 25.05.2018 von dieser verdrängt wird (vgl. oben).
Welche Auswirkungen hat das für die Praxis? Wo besteht Handlungsbedarf?
Mit der Entscheidung des BGH werden die Vorgaben für den Einsatz von Cookies wesentlich geschärft:
| Cookie | Bisher (überwiegende Meinung)* | Jetzt (BGH) |
| Notwendige Cookies | Keine gesonderte Rechtfertigung nötig. | Keine gesonderte Rechtfertigung nötig. |
| Marktforschungs-, Werbe- und Webanalyse Cookies von Anbieter / Website-betreiber | Opt-Out** | Opt-In |
| Marktforschungs-, Werbe- und Webanalyse Cookies von Dritten | Opt-in (Aufsichtsbehörden) Opt-out (Teile Fachliteratur)** | Opt-In |
| Andere Cookies | Div. Rechtsgrundlagen (abhängig von Einzelfall) | Opt-In*** |
* Unter der Annahme, dass der Einsatz von Cookies Verarbeitung personenbezogener Daten darstellt.
** Verkürzt / Details insb. für Werbung z.T. strittig.
*** In der Pressemitteilung des BGH nicht ausdrücklich angesprochen. Die Anforderungen dürften jedoch erst recht gelten.
Diese verschärften Rahmenbedingungen müssen in der Praxis umgesetzt werden:
- In jedem Fall unzulässig sind jetzt die herkömmlichen Cookie-Banner („Mit dem Weitersurfen erklären Sie sich einverstanden, dass Cookies gesetzt werden.“).
- Darüber hinaus sind alle Opt-Out Lösungen für nicht notwendige Cookies unzulässig – auch soweit diese entsprechend der Orientierungshilfe der Aufsichtsbehörden gestaltet sind.
Der Handlungsbedarf ist dringend: Compliance (bzw. Non-Compliance) ist unmittelbar nach außen sichtbar. Die Abmahnungen des rechtswidrigen Einsatzes von Cookies wird bereits als Geschäftsmodell betrieben und kann ggf. auch mit Bußgeldern nach der DSGVO geahndet werden.
Wesentliche Handlungsschritte sind:
- Überprüfung Cookie-Policy: Erfolgt der Einsatz von nicht notwendigen Cookies auf anderen Rechtsgrundlagen als einem Opt-In?
- Umsetzung Opt-In: Rechtskonforme Gestaltung, optimalerweise Einsatz technischer Lösung
2. Werbung per Telefon / E-Mail / SMS etc. nur mit konkreter Einwilligung
Worum geht es?
Nach § 7 Abs. 3 Nr. 2, 3 des Gesetzes gegen den unlauteren Wettbewerb (UWG) darf Werbung mit einem Telefonanruf bzw. unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post (E-Mail, SMS, WhatsApp, Push-Nachricht) gegenüber einem Verbraucher nur erfolgen, wenn er in diese vorher ausdrücklich eingewilligt hat.
Eine solche Einwilligung kann – auch nach der bisherigen Rechtsprechung des BGH – wirksam nur erteilt werden, wenn dem Einwilligenden klar ist, welche Produkte oder Dienstleistungen welcher Unternehmen sie konkret erfasst.
Was ist neu?
In dem nun vorliegenden Fall hatte der BGH über eine Gestaltung zu entscheiden, wonach das Einverständnis mit einer Werbung durch Sponsoren und Kooperationspartner der Beklagten per Post, Telefon, E-Mail oder SMS erklärt werden sollte. Dabei bestand für den Einwilligenden die Möglichkeit, die werbenden Sponsoren und Kooperationspartner aus einer verlinkten Liste von 57 Unternehmen selbst auszuwählen. Andernfalls sollte der Werbende diese Auswahl treffen.
Dies genüge, so der BGH, nicht:
- Die Einwilligung in Werbung mit einem Telefonanruf bzw. unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post müsse den (sehr hohen) Anforderungen an eine informierte Einwilligung nach der DSGVO entsprechen.
- Diese von der Beklagten gewählte Gestaltung der Einwilligungserklärung sei darauf angelegt, den Verbraucher mit einem aufwendigen Verfahren der Auswahl von in der Liste aufgeführten Partnerunternehmen zu konfrontieren, um ihn zu veranlassen, von dieser Auswahl abzusehen und stattdessen der Beklagten die Wahl der Werbepartner zu überlassen.
- Wisse der Verbraucher mangels Kenntnisnahme vom Inhalt der Liste und ohne Ausübung des Wahlrechts nicht, welche Produkte oder Dienstleistungen welcher Unternehmer die Einwilligung erfasst, liege schon keine Einwilligung für den konkreten Fall vor.
Welche Auswirkungen hat das für die Praxis? Wo besteht Handlungsbedarf?
Diese Ausführungen des BGH klingen selbstverständlich, haben aber potentiell weitreichende Konsequenzen:
- Nimmt man den Inhalt der Pressemitteilung des BGH wörtlich, muss möglicherweise durch Gestaltung der Einwilligungserklärung sichergestellt werden, dass der durchschnittliche Betroffene nicht nur wahrnehmen kann, sondern tatsächlich wahrnimmt und versteht, worin er einwilligt.
- Dies wäre das Ende der in der Praxis weiterhin verbreiteten Gestaltungen wie einer „allgemeinen Umschreibung“ der Unternehmen oder Produkte, für die geworben wird, oder der – bisher als zulässig erachtete – Verweis auf eine an anderer Stelle hinterlegten, längeren Listen von Unternehmen und Produkten. Denn auch letztere sieht sich der Einwilligende üblicherweise gerade nicht im Detail an.
- Diese Vorgaben gelten auch für „Alteinwilligungen“ – wie der BGH ausdrücklich klargestellt hat.
Vor diesem Hintergrund besteht auch insofern dringender Handlungsbedarf: Es ist nach außen offensichtlich, ob die entsprechenden Vorgaben eingehalten werden oder nicht. Entsprechend besteht ein hohes Abmahn- und ggf. Bußgeldrisiko.
Umsetzungsschritte können sein:
- Überprüfung der derzeit genutzten Werbeeinwilligungen und Risikoanalyse
- Zukunftssichere Ausgestaltung der Einholung neuer Werbeeinwilligungen, um diese wertvolle Ressource langfristig zu sichern.
- Ggf. Aktualisierung oder Einstellung der Nutzung kritischer Alteinwilligungen
BGH, Urteil vom 28. Mai 2020 – I ZR 7/16 – Cookie-Einwilligung II. Da die Entscheidungsgründe noch nicht veröffentlicht sind, beruht der Beitrag auf der hier verfügbaren Pressemitteilung des BGH und der dort gegebenen Zusammenfassung der Entscheidung. Der Beitrag enthält Annahmen und Interpretationen. Für seine Inhalt wird keine Gewähr übernommen und er stellt keine rechtliche Beratung dar.
