Tracking-Cookies nicht ohne Einwilligung

Die Diskussion ist nicht neu. Hatte doch schon der EuGH am 01.10.2019 dazu entschieden. Aber erst die BGH-Entscheidung vom 28.05.2020 (Az. I ZR 7/16) „Einwilligung in Cookies II“ erzwingt die Einwilligung als Voraussetzung für ein Tracking-Cookie. Soweit so wenig überraschend. Unerwartet ist jedoch, dass der BGH trotz Anwendungsbeginn der DS-GVO weiterhin und entgegen der Ansicht der deutschen Datenschutzaufsichtsbehörden die alte Profiling-Regelung des § 15 Abs. 3 TMG und nicht Art. 6 DS-GVO anwenden will. Muss jetzt die Zulässigkeit neu bewertet werden? Müssen jetzt alle Privacy Policies umgeschrieben werden? Bisher liegt nur die Pressemitteilung vor, aber diese enthält die wesentlichen Aussagen. Daneben hat der BGH auch die Anforderungen an eine Werbe-Einwilligung konkretisiert.

Kein Tracking-Cookie ohne aktive Einwilligung – Voraktivierte Häkchen sind keine Einwilligung

Der BGH hat entsprechend der Maßgabe des EuGH (Urt. v. 01.10.2019, Az. C- 673/17) ausgesprochen, dass ein voraktiviertes Häkchen keine Einwilligung darstellt. Erforderlich ist damit ein eigenes aktives Tun des Einwilligenden – beispielsweise das Aktivieren einer Checkbox oder das Anklicken einer Schaltfläche. Dies verwundert nicht. Denn dies ergibt sich auch Explizit aus Erwägungsgrund 32 der DS-GVO.

Praktische Konsequenz: Bisherige Banner auf Internetseiten, die nur über das Setzen von Cookies und das Tracking informierten, genügen eindeutig nicht mehr. Auch Banner, die nur das Akzeptieren, aber nicht das Ablehnen ermöglichen, genügen nicht. Seit der Entscheidung des BGH ist dies Rechtsanwendung „scharf“ geschaltet. Das Abmahnrisiko ist gestiegen.

Warum ist es kein Widerspruch, dass die Entscheidung nicht neu ist, aber dennoch erst jetzt das Abmahnrisiko steigt? Ganz einfach: Durch die Entscheidung des EuGH vom 01.10.2019 war für den BGH verbindlich festgelegt, dass eine Einwilligung eine aktive Handlung voraussetzt. Aber der EuGH hat nicht den Rechtsstreit des BGH entschieden, da der EuGH hierfür nicht zuständig. Erst mit der Entscheidung des BGH wurde diese Auslegung für Deutschland „scharf geschaltet“.

Anwendung des alten § 15 Abs. 3 TMG und Nutzungsprofile nur noch mit Einwilligung?!

In seiner weiteren Entscheidung macht der BGH einen mehrfachen Salto und lässt den Leser nach dem ersten Lesen irritiert zurück. Warum? Der Rechtsstreit bezieht sich nur auf die Rechtslage vor dem Anwendungsbeginn der DS-GVO. Der BGH hatte dem EuGH die Frage gestellt, wie die sog. Cookie-Regelung der Datenschutzrichtlinie 2002/58/EG (auch bezeichnet als ePrivacy-Richtlinie) auszulegen ist und darauf eine Antwort erhalten: Die nach Art. 5 Abs. 3 RiLi 2002/58/EG erforderliche Einwilligung für das Setzen eines Cookies setzt die aktive Handlung als Einwilligung voraus und voraktiviertes Häkchen genügt nicht – so der EuGH.

Allerdings hatte der deutsche diese Cookie-Regelung nicht ins deutsche Recht umgesetzt. Mit anderen Worten: Die Regelung, welche der EuGH ausgelegt hat, existiert im deutschen Recht nicht. Das spricht der BGH in der Pressemitteilung auch explizit an. Der BGH zieht dann die Regelung über die Widerspruchslösung bei pseudonymen Nutzungsprofilen in § 15 Abs. 3 TMG heran, weil der deutsche Gesetzgeber glaubt, damit die Cookie-Regelung umgesetzt zu haben.

Und nun macht der BGH den ersten Salto: Er legt diese Regelung die eindeutig eine Widerspruchslösung vorsieht im Lichte der o.g. Cookie-Regelung dahin aus, dass eine Einwilligung erforderlich ist. Und schwupp: Nach deutschem Recht ist eine Einwilligung in Form einer aktiven Handlung erforderlich.

Kurios ist daran allerdings Folgendes: Die Cookie-Regelung regelt nur das Setzen von Cookies und zwar unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. § 15 Abs. 3 TMG regelt hingegen die Verarbeitung personenbezogene Daten für Nutzungsprofile und in keiner Weise das Setzen von Cookies. Die Auflösung dieser Diskrepanz der Entscheidung ergibt sich vielleicht dann in der Urteilsbegründung.

Der BGH belässt es aber nicht bei dieser Entscheidung zum Recht vor dem Anwendungsbeginn der DS-GVO. Er macht noch einen zweiten Salto: Nach Ansicht des BGH gilt der § 15 Abs. 3 TMG auch neben der DS-GVO weiter. Damit widerspricht er der Auslegung der deutschen Datenschutzaufsichtsbehörden und der überwiegenden bisherigen Rechtsauffassungen. Er begründet das mit der Öffnungsklausel in Art. 95 DS-GVO. Der Ansatz ist zutreffend. Denn dieser regelt die Fortgeltung der Regelungen der Datenschutzrichtlinie 2002/58/EG und damit auch der Cookie-Regelung und entsprechender Umsetzungen im deutschen Recht. Aber: Meines Erachtens liegen die Voraussetzungen des Art. 95 DS-GVO für § 15 Abs. 3 TMG nicht vor. Und überhaupt funktioniert das nur, weil der BGH bereits (siehe oben) den § 15 Abs. 3 TMG entgegen seinem Wortlaut als Einwilligungsregelung ausgelegt hat.

Das ist auch verständlich aus der Sicht des BGH. Wäre er zu einem anderen Ergebnis gekommen, bestünde in Deutschland kein Erfordernis einer Einwilligung in das Setze eines Cookies, bis der deutsche Gesetzgeber ein deutsches Gesetz mit dem Inhalt der Cookie-Regelung aus der Richtlinie geschaffen hätte. Denn ohne Umsetzungsakt wirkt eine Richtlinie nicht zwischen Datenverarbeiter und betroffener Person.

Sie finden, dass das kompliziert klingt? Richtig, das ist auch! Das hätte der deutsche Gesetzgeber (durch eine Anpassung des TMG an die DS-GVO) und zum Teil auch der BGH (durch Verzicht auf die Aussagen zur Geltung unter der DS-GVO) der deutschen Wirtschaft ersparen können.

Konsequenz ganz kurz: Das Setzen eines Tracking-Cookies setzt eine Einwilligung voraus – auch nach deutschem Recht und ohne neues Gesetz. Die Regelung über pseudonyme Nutzungsprofile in § 15 Abs. 3 TMG gilt fort. Hier erscheint mir aber Vorsicht geboten. Denn die Pressemitteilung ist hierzu nicht hinreichend klar.

Was ist jetzt zu tun? Prüfen Sie, ob Ihre Tracking-Methode unter die Regelung fällt. Stellen Sie dann das Einholen einer echten Einwilligung sicher. Prüfen Sie auch die Zulässigkeit des Profilings anhand dieser Rechtslage. Prüfen Sie Ihre Privacy Policy zur Verarbeitung personenbezogener Daten auf Ihrer Internetseite und passen Sie sie ggf. an.

Mehr dazu erfahren Sie im Webinar "Rechtsgültige Einwilligungen einholen".