Vor Ort: Aus der Cookie-Verhandlung des BGH

Heute hat der Bundesgerichtshof (BGH) zum Thema Cookies weiterverhandelt. Anfang Oktober 2019 fiel in dieser Sache das Urteil des Europäischen Gerichtshofs (EuGH): Will für das Setzen von Cookies eine Einwilligung eingeholt werden, so kann das wirksam nicht mittels einer vormarkierten Checkbox geschehen - die Einwilligung muss aktiv gegeben werden. Das Urteil wühlte die digitale Gesellschaft auf und sorgte für Verunsicherung. Viele Fragen, die für alle Beteiligten und besonders die Online-Branche offen waren, sind es nach dem Urteil des EuGH auch weiterhin. So weiß man nun, dass eine vormarkierte Checkbox jedenfalls nicht ausreicht.

Das liefert jedoch auch keine verbindliche Antwort darauf, welche Möglichkeiten insgesamt für das Einholen von Einwilligungen möglich sind, oder inwiefern man sich auch auf das berechtigte Interesse als Alternative stützen kann. Auch eine verbindliche Einordnung in Cookie-Arten, die überhaupt einwilligungsbedürftig sind, bringt der EuGH nicht mit. Das liegt jedoch auch daran, dass er hiernach vom BGH nicht gefragt wurde. Denn so überhaupt kam es erst zu dem Verfahren: Beim BGH war ein Streit zwischen dem Verbraucherzentrale Bundesverband und Planet49, einem Gewinnspielveranstalter, verhandelt worden. Für die Richter ergaben sich Fragen zur Auslegung der europäischen E-Privacy-Richtlinie, weshalb der EuGH angerufen wurde. Dieser hat im Wege des sogenannten Vorabentscheidungsverfahrens dann Antworten geliefert und das Verfahren damit wieder an den BGH gegeben. 

Problem: Umsetzung der E-Privacy-Richtlinie in Deutschland

Schon seit 2009 regelt die E-Privacy-Richtlinie, dass Cookies, die für die Nutzung einer Website nicht erforderlich sind, nur mit der Einwilligung des Betroffenen gesetzt werden dürfen. Weil es sich dabei um ein Gesetz in Form einer europäischen Richtlinie handelt, gilt es in den Mitgliedstaaten nicht einfach selbst, sondern muss durch die nationalen Gesetzgeber ins deutsche Recht umgesetzt werden. Während die E-Privacy-Richtlinie eine aktive Einwilligung (Opt-in) vorsieht, spricht das deutsche Telemediengesetz (TMG) aber von einer Widerrufslösung (Opt-out), durch die Betroffene also tätig werden müssen, wenn sie gerade keine Cookies zulassen wollen. Eine korrekte Umsetzung ins deutsche Recht gab es also eigentlich nicht, Rechtsunsicherheiten sind vorprogrammiert. 

Bevor sich der BGH an den EuGH wandte, ließ er schon verlautbaren, die Einwilligungslösung „vormarkierte Checkbox" als unwirksamen Teil der entsprechenden AGB zu betrachten, falls man – wie geschehen – am EuGH feststellen würde, dass diese nicht richtlinienkonform ist. Auf die Opt-out-Lösung des deutschen TMG kann man sich nicht berufen, weil dieses Gesetz der Richtlinie nach ausgelegt werden müsse, hieß es weiter. 

Wollte der Gesetzgeber eine Einwilligungslösung?

In der Verhandlung heute ging es in den Vorträgen der Parteien in erster Linie um die Situation im deutschen Recht und damit die Frage, anhand welcher gesetzlichen Grundlage im TMG der Fall nun zu beurteilen sei, und inwiefern § 15 Abs. 3 TMG, der für pseudonymisierte Daten die Widerrufsmöglichkeit vorsieht, anhand der EU-rechtlichen Vorgaben ausgelegt werden kann. Wie es seitens der Verbraucherzentrale Bundesverband hieß, habe der Gesetzgeber „seine Hausaufgaben" mit der Umsetzung ins deutsche Recht womöglich nicht richtig gemacht: Die klare Vorgabe der E-Privacy-Richtlinie, eine aktive Einwilligung einholen zu müssen, ist nicht mit dem Wortlaut des Gesetzes an dieser Stelle vereinbar.

Der unionsrechtskonformen Auslegung stehe das aber nicht im Wege. Aus entsprechenden Mitteilungen des Gesetzgebers ergebe sich schließlich, dass er die Anforderungen des Unionsrechts als in Deutschland umgesetzt erachte und hier kein weiterer Handlungsbedarf bestünde. Wenn man sich nun fragt, ob eine richtlinienkonforme Auslegung möglich ist, „dürfe der Wille des Gesetzgebers nicht vergessen werden" hieß es seitens des vorsitzenden Richters zu Beginn der Verhandlung. Insofern ist nicht irrelevant, ob der Gesetzgeber nur eine Fehlvorstellung davon hatte, dass tatsächlich keine Änderungen nötig sind, oder er Anpassungen bewusst vermieden hat.  

Braucht es eine Einwilligung? Urteil folgt...

Seitens Planet49 wurde angeführt, dass § 15 Abs. 3 TMG nur pseudonymisierte Cookies anbelange, während man es hier im Fall jedoch mit solchen zu tun habe, die ohne weiteres einen Rückschluss auf die Identität des Betroffenen ließen. § 15 Abs. 3 TMG sei somit womöglich gar nicht anwendbar. 

Während es also vor dem EuGH hinsichtlich der Einwilligung in das Setzen von Cookies darum ging, ob eine vormarkierte Checkbox eine wirksame Einwilligung nach den Vorgaben der E-Privacy-Richtlinie darstellen kann, geht es vor dem BGH nun darum, ob diese angesichts der gesetzlichen Lage in Deutschland in diesem Fall hätte eingeholt werden müssen. Viel mehr als dass die Auslegung des deutschen Rechts gewissermaßen eine „Hürde" darstellt und auch das Verhältnis zur DSGVO nicht ganz einfach ist, ließen die Richter jedoch nicht verlauten. Für die Verkündung eines Urteils hat der BGH nun den 28. Mai 2020 bekannt gegeben.