6
Dez
2017

BGH legt EuGH Fragen zur Cookie-Einwilligung vor

In einem jüngst ergangenen Vorlagebeschluss hat der Bundesgerichtshof (BGH) dem Gerichtshof der Europäischen Union (EuGH) mehrere Fragen zur Auslegung diverser Richtlinien und Verordnungen vorgelegt, die sich mit der Rechtmäßigkeit des Einsatzes von sogenannten „Cookies“ befassen. Cookies sind kleine Textdateien, die von einer Website Lokal im Endgerät des Internetnutzers gespeichert werden. Beim erneuten Besuch der Internetseite werden vom Cookie Informationen zurück an den Betreiber der Website geschickt. Der Einsatz solcher Cookies erfordert die Einwilligung des Internetnutzers. Welche konkreten Anforderungen an eine wirksame Einholung dieser Einwilligung zu stellen sind, haben nun die Luxemburger Richter zu bewerten (vgl. Beschluss vom 5. Oktober 2017, Az.: I ZR 7/16).

Hintergrund

Die Verwendung von Cookies ist weit verbreitet. Kaum eine Website kommt ohne diese kleinen Textdateien aus. Dabei ist zu unterscheiden zwischen zwingend erforderlichen Cookies, ohne die der jeweilige Online-Service nicht erbracht werden kann, und solchen, die anderen Zwecken dienen, etwa der Nutzeranalyse oder Werbung. In dem vom BGH zu entscheidenden Fall geht es um Letztere Kategorie. Im Rahmen eines Online-Gewinnspiels war folgender Text zu lesen:

Ich bin einverstanden, dass der Webanalysedienst R.   bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die P.   GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches P.   eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch R.   ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

Der Text war mit einem Kästchen versehen, indem das Häkchen bereits gesetzt war. Der Internetnutzer musste also aktiv werden und das Häkchen entfernen, um der Analyse seines Verhaltens durch den in Rede stehenden Analysedienst zu entgehen. Es handelte sich insoweit um ein sogenanntes „Opt-Out-Verfahren“.

In erster Instanz wurde der Beklagten die vorstehende Opt-Out-Lösung untersagt. Die Berufungsrichter erachteten diese Form der Einholung einer Einwilligung dagegen für zulässig. Der BGH hat nun das Revisionsverfahren ausgesetzt und dem EuGH insgesamt vier Vorabentscheidungsfaragen vorgelegt.

Vorlagefragen

1. a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?

b) Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58 in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46 einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?

c) Liegt unter den in Vorlagefrage 1 a) genannten Umständen eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 vor?

2. Welche Informationen hat der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58 vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?

Einschätzung des BGH

Der BGH differenziert in seinem Vorlagebeschluss zwischen der Speicherung personenbezogener Daten und sonstiger Daten. Dies ist insofern sachgerecht als die Regelungen des Tele Mediengesetzes (TMG) über den Kreis personenbezogener Daten hinaus Regelungswirkung entfaltet. Handelt es sich aber um solche Daten, so greifen zusätzlich das Datenschutzrecht und hier ab dem fünf und 12. Mai 2018 insbesondere die Datenschutzgrundverordnung 2016/679 ein.

Zunächst thematisieren die Karlsruher Richter den auf Art. 13 der Richtlinie 2002/58 zurückgehenden § 7 Abs. 2 Nr. 3 UWG, der ohne Einwilligung des Adressaten vorgenommene Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post als unzumutbare Belästigung verbietet. Sie kommen unter Verweis auf frühere Urteile zu dem Schluss, dass Einwilligungsklauseln, die so gestaltet sind, dass der Kunde tätig werden und ein Kästchen ankreuzen muss, wenn er seine Einwilligung nicht erteilen will, nicht dem Begriff der Einwilligung im Sinne der Richtlinie 2002/58 entsprechen.

Das Datenschutzrecht dagegen und hier insbesondere § 4a Abs. 1 BDSG sehe dagegen nicht vor, dass der Betroffene seine Einwilligung gesondert im Sinne eines „Opt-In“ erklären müsse. Das pro-aktive Setzen eines Häkchens sei daher nicht zwingend erforderlich. Daher seien auch in der Vergangenheit Ausgestaltungen als mit § 4a Abs. 1 BDSG vereinbar angesehen worden, in welchen das Verweigern der Einwilligung durch Ankreuzen eines Kästchens (vgl. BGHZ 177, 253 Rn. 5) oder Streichung des Einwilligungstexts (vgl. BGH, NJW 2010, 864 Rn. 2) zum Ausdruck gebracht werden musste.

Schließlich führen die Richter mit Blick auf die neue Datenschutzgrundverordnung 2016/679 aus, dass der europäische Gesetzgeber offensichtlich ein bloßes Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit nicht als hinreichende Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten ansehe. Verwiesen wird dabei insbesondere auf Erwägungsgrund 32 der Verordnung.

Der BGH steht Opt-Out-Lösungen daher ersichtlich kritisch gegenüber.

Fazit

Es ist grundsätzlich zu begrüßen, dass der BGH dem EuGH die vorstehenden Fragen zur rechtmäßigen Nutzung von Cookies nunmehr vorgelegt hat. Die hier anzulegenden Maßstäbe sind seit langem umstritten. Insbesondere scheiden sich die Geister, ob der deutsche Gesetzgeber in Ansehung der sogenannten Cookie-Richtlinie 2009/136 nicht schon längst hätte tätig werden und deren Vorgaben in deutsches Recht hätte umsetzen müssen (vgl. hierzu Rauer/Ettig, ZD 2015, 255). Dessen ungeachtet ist zu hoffen, dass der EuGH die Vorlagefragen des BGH weit interpretiert und nicht nur zwischen „Opt-In“ und „Opt-Out“ differenziert, sondern sich allgemein dazu äußert, ob bereits eine konkludente Einwilligung das Setzen von Cookies in hinreichender Weise gestattet. Erst wenn diese Frage beantwortet ist, erhalten die Betreiber von Websites die Rechtssicherheit, die Sie benötigen.