Praktische Auswirkungen der Cookie-Entscheidung des BGH

Frage 1: Was genau sagt die Cookie-Entscheidung überhaupt inhaltlich aus?

Der deutsche Gesetzgeber hatte bislang einen Sonderweg beschritten, indem er meinte, dass er mit § 15 Abs. 3 TMG alle europarechtlichen Regelungen erfüllt. § 15 Abs. 3 TMG lautete:

§ 15 Nutzungsdaten:

[…]
(3) Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.

Dies war die Norm, die es der deutschen Werbeindustrie bislang erlaubte, Datenverarbeitungsvorgänge und Werbemaßnahmen auch ohne ausdrückliches Opt-in des Nutzers durchzuführen. Wenn nämlich die Unternehmen anstatt echter Klardaten (z. B. Vor- und Nachname einer Person) lediglich Pseudonyme speicherten, so bedurfte es keiner Einwilligung des Users. Die gesamte Branche des Display-Advertisings, insbesondere die Anbieter aus dem Retargeting, stützten sich auf diese Klausel.

Die Cookie-Entscheidung des BGH stellt nun klar: Die Regelung des § 15 Abs. 3 TMG ist anders zu lesen. Das Gericht verdreht den eigentlichen klaren Wortlaut in das genaue Gegenteil und erklärt wörtlich:

"[…] dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen darf."

Soll heißen: Aufgrund der europarechtlichen Vorgaben ist § 15 Abs. 3 TMG – entgegen seinem ausdrücklichen Wortlaut – ab sofort so zu in interpretieren, dass es auch für die Erstellung von Pseudonymen einer Einwilligungshandlung des Users bedarf.

Frage 2: Einwilligung als einziger Ausweg?

Ist die Einwilligung nun die einzige Möglichkeit, die (neuen) gesetzlichen Vorgaben zu erfüllen?

Antwort: Nein, ganz klar nicht.

Will ein Unternehmen personenbezogene Daten verarbeiten, kann es sich hierfür auf unterschiedliche Rechtfertigungsgründe stützen. Die möglichen Gründe sind nach Art. 6 Abs. 1 DSGVO u. a.:

- Vertrag
- Einwilligung
- berechtigte Interessen

Die berechtigten Interessen stehen in Art. 6 Abs. 1 f) DSGVO und stehen der Einwilligung als gleichberechtigter Grund in nichts nach. Somit kann sich ein Webseiten-Betreiber durchaus auf die berechtigten Interessen stützen und bedarf keiner Einwilligung, wenn er bestimmte Datenverarbeitungsvorgänge auf seiner Homepage vornimmt.

Frage 3: Warum gehen alle den Weg der Einwilligung mit den Cookie-Consent-Tools, wenn es die berechtigten Interessen gibt?

Zunächst muss man einmal festhalten, dass spätestens seit der Cookie-Entscheidung des BGH eine absolute Cookie-Hysterie im deutschsprachigen Web ausgebrochen ist. Eine Vielzahl von Artikeln wurde publiziert, die die Entscheidung ungenau oder gänzlich falsch wiedergeben. Anbieter von bestimmten Tracking-Tools, die in Konkurrenz zu Google Analytics stehen, geben Pressemitteilungen und sonstige Verlautbarungen heraus, die die Rechtslage extrem einseitig darstellen. Und zuletzt sind da die unterschiedlichen Anbieter von Consent-Management-Tools, die durch die BGH-Entscheidung extremes Oberwasser spüren und entsprechend marketingtechnisch in aller Breite unterwegs sind.

Bei vielen Artikeln wird unterschlagen, dass es, wie wir bei der Antwort zu Frage 2 dargestellt haben, durchaus eine Alternative zum Einsatz eines Cookie-Management-Tools gibt, nämlich die berechtigten Interessen nach Art. 6 Abs. 1 f) DSGVO.

Zur Wahrheit gehört aber auch, dass die zulässigen Grenzen der berechtigten Interessen juristisch sehr schwammig sind und bislang keinerlei Gerichtsentscheidungen hierzu vorliegen. Vor allem die Datenschutzbehörden vertreten hier einen sehr restriktiven Standpunkt und sind der Meinung, dass das webseitenübergreifende Tracking sich nicht auf diesen Rechtfertigungsgrund berufen kann, da zu stark in die Belange des Nutzers eingegriffen werde.

Daher gehen viele Webseiten-Betreiber scheinbar auf Nummer sicher und setzen lieber ein Cookie-Tool ein als sich auf die unsicheren berechtigten Interessen zu stützen. Dies ist auch unsere ganz klare Empfehlung, wie wir bereits in unserem vorherigen Artikel² dargelegt haben.

Es ist aber unseriös zu behaupten, dass Cookie-Tools die einzige Möglichkeit sind. Trackt beispielsweise ein Webseiten-Betreiber lediglich lokal und tauscht keine Daten mit Dritten aus, so wird er sich in der Regel auf Art. 6 Abs. 1 f) DSGVO berufen können. Diese Einschätzung teilen grundsätzlich auch die deutschen Datenschutzbehörden.

Frage 4: Sind die Cookie-Tools nun der Heilige Gral, der allen Rechtssicherheit bringt?

Auch wenn es an allen Ecken und Enden des Internets behauptet wird: Cookie-Tools sind keineswegs der Heilige Gral, der zur absoluten Rechtssicherheit führt.

Denn: Die Mehrzahl der Webseiten-Betreiber, die solche Software einsetzen, richtet sich noch nicht einmal im Ansatz nach den gesetzlichen Vorgaben. Eine Vielzahl von Webseiten hat eine Ausgestaltung wie folgt:

Erst wenn der User auf den Link „Verwendung und Ablehnung von Cookies" klickt, erfährt er, dass er auch einzelnen Cookie-Arten zustimmen oder diese ablehnen kann. Bei Betrachtung des ersten Hinweises wird der durchschnittliche User hingegen davon ausgehen, dass er einfach zustimmen muss und keine andere Option hat.

Inzwischen hat es sich etabliert, beim Einsatz von Cookies zwischen unterschiedlichen Arten zu unterscheiden. Traditionell sind dies die Bereiche „Wesentliche Cookies", „Funktionelle Cookies" und „Marketing-Cookies".

Juristisch absoluter Blödsinn ist es, wenn Portale nun in den Bereich „Wesentliche Cookies" praktisch alle Drittanbieter mit umfangreichen Tracking-Technologien (z. B. Google Analytics, Criteo) packen. Denn diese Cookies sind aus rechtlicher Sicht keineswegs wesentlich für den Betrieb der Webseite. Aus ökonomischen Gesichtspunkten mag der Seiten-Betreiber auf die finanziellen Zahlungen dieser Drittanbieter möglicherweise angewiesen sein. Die rechtliche Betrachtung ist aber eine ganz andere.

Der Einsatz eines Cookie-Tools gibt also keineswegs ausreichende Rechtssicherheit. Vielmehr muss der Webseiten-Betreiber stets auch darauf achten, wie genau denn die Ausgestaltung auf seiner Webseite ist.

Aber selbst wenn Sie das Cookie-Tool auf die nur erdenklich rechtlich beste Art und Weise einsetzen: Sie agieren weiterhin nicht rechtskonform, denn mangels ausreichender Transparenz können damit in aller Regel keine wirksamen Einwilligungen eingeholt werden. Wir haben dies bereits einmal ausführlich in einem vorherigen Artikel³ erläutert.

Trotz dieser wenig erfreulichen Rechtslage empfehlen auch wir den Einsatz solcher Tools. Als Webseiten-Betreiber sollte Ihnen aber stets bewusst sein, dass Sie weiterhin juristisch angreifbar sind.

Frage 5: Was ist mit Cookies, die keine personenbezogenen Daten speichern?

Am Horizont der gesamten Diskussion lauert noch ein weiteres, tiefgreifenderes Problem. Das aktuelle Urteil des BGH basiert nämlich auf einer Entscheidung des EuGH.⁴

Und das hat es noch viel wesentlicher in sich: Die Beurteilung des EuGH war nämlich, dass jedes Tracking des User-Rechners einer Einwilligung bedarf, unabhängig davon, ob personenbezogene Daten verarbeitet werden oder nicht.

Bedeutet: Wird sich dieser Standpunkt in der Praxis durchsetzen, bedarf auch das Tracking von nicht personenbezogenen Daten einer Einwilligung.  

Die Diskussion zum Umfang und zur Reichweite dieser Entscheidung ist in der juristischen Welt gerade erst eröffnet worden. Ein Ende mit einem klaren Ausgang ist derzeit nicht absehbar, zumal in absehbarer Zeit die E-Privacy-VO viele neue Regelungen aufstellen wird. Es steht aber in den Sternen, ob und wann diese neue Verordnung kommen wird. Für entsprechendes Chaos und Rechtsunsicherheit ist also auch weiterhin gesorgt.

Frage 6: Neuigkeiten auch für den klassischen Bereich der Werbeeinwilligungen?

Die BGH-Entscheidung wurde in der Öffentlichkeit bislang immer nur zum Themenkreis Cookies wahrgenommen. Nachdem nun die schriftlichen Entscheidungsgründe vorliegen, zeigt sich aber, dass das Urteil auch wichtige neue Aspekte zum Thema klassische Werbeeinwilligung für E-Mail-Marketing enthält.

In dem Fall war die Checkbox wie folgt ausgestaltet:

„[…] Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E-Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier."

Die Checkbox war nicht vorselektiert, sondern musste von dem jeweiligen Teilnehmer manuell aktiviert werden. Eine Teilnahme am Gewinnspiel war nur möglich, wenn das Häkchen gesetzt war. Die Worte „Sponsoren und Kooperationspartner" und „hier" waren mit einem Link zur Sponsorenliste versehen, die 57 Unternehmen, ihre Adresse, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E-Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort „Abmelden" enthielt. Der Liste vorangestellt war folgender Hinweis:

„Durch Anklicken auf dem Link ‚Abmelden‘ entscheide ich, dass dem genannten Partner/Sponsoren kein Werbeeinverständnis erteilt werden darf. Wenn ich keinen oder nicht ausreichend viele Partner/Sponsoren abgemeldet habe, wählt [...] für mich Partner/Sponsoren nach freiem Ermessen aus (Höchstzahl: 30 Partner/Sponsoren)."

Der BGH hat diese Werbeeinwilligung als unzureichend und somit als unwirksam eingestuft.

Angesichts von 57 Werbepartnern war die einzuholende Einwilligung sehr umfangreich und sehr komplex. Zur Rechtswidrigkeit führte hier insbesondere, dass der Ablauf so dargestellt war, dass es für den User außerordentlich mühsam war, sich von einzelnen Werbepartnern abzumelden. Mit anderen Worten: Kein Mensch würde sich manuell abmelden, da er dafür eine Vielzahl von Checkboxen deaktivieren müsste.

Ebenso bewertet es das Gericht als unzulässig, dass der Veranstalter, quasi in Ersatzvornahme, sich vorbehielt, die Werbepartner selbst auszusuchen, wenn der Teilnehmer nicht mindestens 30 Unternehmen ausgewählt hatte. Denn in einem solchen Fall liegt bereits keine wirksame Einwilligung vor, da dem Nutzer dann nicht bekannt ist, welchen Dritten gegenüber er nun eingewilligt hat.

¹ BGH, Urt. v. 28.05.2020 – Az.: I ZR 7/16 = https://bit.ly/2WkSRhX.
^{2, 3} Vgl. Webseite-Boosting #61: RA Dr. Bahr: „Warum alle Cookie-Banner rechtswidrig sind – und dennoch empfehlenswert“.
⁴ EuGH, Urt. v. 01.10.2020 – Az.: C-673/17 = bit.ly/3h20TnK.