Cookies nur mit aktiver Einwilligung erlaubt

Websites dürfen Cookies zum Tracken und zur Analyse des Besucherverhaltens nur mit ausdrücklicher Einwilligung des jeweiligen Nutzers setzen und anwenden. Mit seinem Urteil vom 28. Mai 2020 (Az.: I ZR 7/16) beendete der Bundesgerichtshof (BGH) einen mehr als sechs Jahre andauernden Rechtsstreit, der große Auswirkungen auf die Gestaltung von Websites hat. Zugleich bestätigte er damit auch die Ansicht der deutschen Datenschutzbehörden.

Kläger im Verfahren war der Bundesverband der Verbraucherzentralen (vzbv). Dieser ging gegen einen Anbieter von Gewinnspielen im Internet vor. Auf dessen Webseite befand sich unter den Eingabefeldern für Daten des Nutzers auch ein Ankreuzfeld, das mit einem voreingestellten Häkchen versehen war. Mit diesem Häkchen sollten sich Nutzer damit einverstanden erklären, dass ein Webanalysedienst eingesetzt wird. Dies bedeutete der Beschreibung auf der Webseite zufolge, dass nach Registrierung für das Gewinnspiel Cookies gesetzt werden, was „eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung“ ermöglichen sollte.

Der BGH hatte sich bereits 2017 mit dem Fall befasst. Dabei hatte das oberste deutsche Gericht die Kernfrage des Verfahrens, nämlich ob die Einwilligung in das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen wirksam ist, dem Europäischen Gerichtshof (EuGH) zur Entscheidung vorgelegt. Dieser hat dann 2019 in seiner Antwort entschieden, dass es hierfür eine ausdrückliche Einwilligung des Nutzers braucht (Az. C-673/17). Eine voreingestellte Zustimmung zum Speichern der Daten auf dem Rechner sei unzulässig.

Unangemessene Benachteiligung

Der BGH hielt sich bei seiner Urteilsfindung an diese Rechtsauffassung. Die Einwilligung hatte sich der Anbieter während des Abnickens der Allgemeinen Geschäftsbedingungen (AGB) eingeholt. Wenn er dort auch ein bereits voreingestelltes Ankreuzkästchen benutze, um die Zustimmung des Nutzers zum Setzen von Tra­cking-Cookies zu gewinnen, stelle dies eine unangemessene Benachteiligung des Verbrauchers dar. Dies gelte dann, wenn die Cookies der Erstellung von Nutzerprofilen zum Zwecke der Werbung dienten, indem das Verhalten des Nutzers im Internet erfasst und zur Zusendung darauf abgestimmter Werbung verwendet werden soll.

Bei der im Streitfall in den Cookies gespeicherten zufallsgenerierten Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet ist, handle es sich um ein Pseudonym. Auf die Frage, ob es sich bei den Informationen um personenbezogene Daten handelt und somit auch die Vorschriften des Datenschutzes anwendbar sind, kommt es nach der Entscheidung des Gerichtshofs in diesem Zusammenhang nicht an. Insofern spielte bei der Entscheidungsfindung die europäische Datenschutzverordnung DSGVO keine Rolle.

Die Pflicht zur vorherigen Einwilligung des Nutzers ergebe sich bereits aus Paragraf 15 Abs. 3 des Telemediengesetzes (TMG). Dort steht zwar explizit, dass Tracking und Profiling dann zulässig ist, wenn „der Nutzer dem nicht widerspricht“. Diese Formulierung sei jedoch im Lichte des Europarechts genau umgekehrt auszulegen: Eine Zustimmung sei grundsätzlich erforderlich.

Daneben stellte der BGH auch noch einmal klar, wie eine rechtswirksame Einwilligung auszusehen hat. Diese müsse „in Kenntnis der Sachlage“ erteilt werden. Das bedeutet, dass der Verbraucher wissen müsse, dass seine Erklärung ein Einverständnis darstellt und worauf sie sich bezieht. Es müsse ersichtlich sein, um welche Produkte oder Dienstleistungen welcher Unternehmen es geht.

Gemischte Reaktionen

Der klagende vzbv begrüßte die Entscheidung erwartungsgemäß. „Will ein Webseitenbetreiber seine Nutzer durchleuchten, muss er sie zuvor nun zumindest um Erlaubnis bitten“, erklärte vzbv-Vorstand Klaus Müller. Das Urteil stehe aber nicht nur für sich selbst. Nun fordert der vzbv, die kundenfreundliche Interpretation über europäische Gesetzgebung verbindlich zu machen. Die seit Jahren überfällige E-Privacy-Verordnung könne klare Regeln schaffen. Den aktuellen Vorschlag der kroatischen Ratspräsidentschaft, der das Nutzer-Tracking aufgrund einer Interessenabwägung zulassen soll, lehnen die Verbraucherschützer aber ab.

Der Branchenverband Bitkom zeigte sich regelrecht entsetzt. Es liege keinesfalls im Interesse der Internetnutzer, wenn diese nun von noch mehr Cookie-Warnungen genervt würden. Für die Internetwirtschaft verursache das Urteil vor allem Aufwand: „Neben den hohen Auflagen der Datenschutz-Grundverordnung müssen die Betreiber von Webseiten jetzt zusätzliche Prozesse und Formulare für ihre Web-Angebote einführen, um Cookies auch künftig nutzen zu dürfen“, befürchtete Bitkom-Hauptgeschäftsführer Bernhard Rohleder.

Dieser Artikel stammt aus c't 14/2020. (hob)