Keine wirksame Cookie-Einwilligung durch vormarkiertes Kästchen

Eine Einwilligung zur Verwendung von Cookies einholen, die wirksam ist? Das ist eine gute Idee. Dies mit einer vormarkierten Checkbox umsetzen? Eher nicht. Dass solch eine Einwilligung aktiv geschehen muss und ein Opt-out die rechtlichen Anforderungen nicht erfüllt, stellte der EuGH im Oktober 2019 in seinem Urteil unter anderem fest – zumindest angesichts der gesetzlichen Lage auf Ebene der EU. 

Das Urteil, mit dem die Richter einige Fragen des Bundesgerichtshofes im Hinblick auf den Streit zwischen dem Verbraucherzentrale Bundesverband (VZBV) und dem Gewinnspielveranstalter Planet49 beantwortete, führte zu einer angespannten Stimmung in der Digitalwelt: Muss jetzt immer eine Einwilligung eingeholt werden? Verbietet sich die Lösung via Opt-out auch nach deutschem Recht? Was bewirkt der inhaltliche Unterschied, der zwischen den Regelungen auf EU-Ebene und jenen in Deutschland besteht? Fragen über Fragen, auf die verbindliche Antworten bislang mitunter ausstehen. 

Was jedoch feststeht: Der Europäische Gerichtshof hat zwar einige Fragen des Bundesgerichtshofes mit Blick auf die europäische Rechtslage beantwortet, den Fall selbst aber wie üblich und vorgesehen, nicht selbst entschieden (EuGH, Urteil v. 1.10.2019, Az. C-673/17). Das war dann wieder die Aufgabe des BGH. Hier verhandelte man Ende Januar 2020 bereits mündlich, ohne jedoch Ergebnisse zu präsentieren. Die kamen nun mit der Urteilsverkündung am heutigen Tag (BGH, Urteil v. 28.05.2020, Az. I ZR 7/16). 

Nach dem EuGH ist vor dem BGH – Der letzte Stand und die Erwartungen

Ob aber überhaupt eine Einwilligung eingeholt werden müsse oder beispielsweise auch das berechtigte Interesse in diesem Fall als Rechtfertigungsgrundlage ausreiche, blieb beim EuGH ebenso unbeantwortet wie die Frage, welche Möglichkeiten für das Einholen der Einwilligung noch in Frage kommen. Dazu kommt, dass sich die deutsche Rechtslage, wo sie der europäischen entsprechen oder sich an ihr orientieren müsste, doch etwas abweichend zeigt. So liest man im Telemediengesetz noch immer von einer Opt-Out-Lösung, was im Gegensatz zur europäischen Rechtslage steht. Wie die Richter bei der mündlichen Verhandlung im Januar äußerten, stelle die Auslegung der deutschen Gesetze insofern eine gewisse Hürde dar. 

BGH fällt Urteil: Vorangekreuzte Checkbox führte nicht zu wirksamer Einwilligung

Zum Zeitpunkt, als 2013 die Einwilligung mit dem voreingestellten Ankreuzkästchen eingeholt werden sollte, entsprach die Lösung nicht der geltenden Rechtslage im Hinblick auf AGB-Recht und die Regelung im Telemediengesetz, so heißt es in der veröffentlichten Pressemitteilung des BGH vom 28.05.2020. In der Frage, wie es also um die Differenz zwischen europäischer und deutscher Rechtslage steht, gelangen sie zu dem Ergebnis, dass die deutsche Regelung, § 15 Abs. 3 TMG, richtlinienkonform dahingehend auszulegen sei, „dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist“, wie es in der PM heißt, und berufen sich dabei weiter auf die entsprechende Aussage des EuGH zu der Auslegung des EU-Rechts.

Hier sah man die Lösung, dass der Nutzer mit einem vormarkierten Kästchen gerade tätig werden muss, wenn er seine Einwilligung verweigern möchte (Opt-out) als nicht ausreichend an. Entsprechendes gelte auch nach der deutschen Rechtslage. „Der richtlinienkonformen Auslegung des § 15 Abs. 3 Satz 1 TMG steht nicht entgegen, dass der deutsche Gesetzgeber bisher keinen Umsetzungsakt vorgenommen hat. Denn es ist anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform erachtete“, heißt es weiter in der Pressemitteilung.

Hier ist zwar von einer Widerspruchslösung die Rede, unter der viele Juristen das – nach dem EuGH-Urteil nicht ausreichende – Opt-out-Modell ebenfalls als zulässig ansahen und vielleicht noch ansehen. Allerdings könne im Fehlen einer (wirksamen) Einwilligung eben jener Widerspruch gesehen werden, der der Erstellung eines Nutzerprofils entgegensteht. An der Rechtslage ändere sich durch das Inkraftreten der DSGVO nichts.

Ein Opt-out reichte hier für eine Einwilligung also nicht aus. Vielmehr muss diese aktiv erfolgen – das Häkchen in der Checkbox darf also nicht von Haus aus automatisch gesetzt sein. Dem VZBV stehe insofern ein Anspruch auf Unterlassung zu. Sowohl nach damaliger Rechtslage als auch nach jener zum Zeitpunkt der Entscheidung stelle diese Gestaltung in den AGB eine unangemessene Benachteiligung dar. 

Cookie-Verhandlung um Planet49 – Was passierte zuvor?

In dem Streit zwischen VZBV und Planet49 ging es um ein Gewinnspiel, welches das Unternehmen im Jahr 2013 – vor der DSGVO – veranstaltete. Teilnehmer sollten hier unter anderem ihre Einwilligung in das Setzen von Cookies zu Werbezwecken geben. Praktisch umgesetzt wurde dies mit einer Checkbox. Diese sind im Web verbreitet und dienen dazu, mittels des Setzens eines Häkchens etwas zu bestätigen (Opt-in) – so wie in diesem Fall. Hier allerdings war das Häkchen bereits ohne Zutun des Teilnehmers werksseitig gesetzt, also quasi aktiviert. Der Teilnehmer hätte so also aktiv werden müssen, um gerade keine „Einwilligung“ zu geben, also das Häkchen entfernen müssen (Opt-out). Der Fall wanderte bis zum BGH, der schließlich den Europäischen Gerichtshof anrief, um im Wege eines sogenannten Vorabentscheidungsverfahrens Fragen der deutschen Richter im Hinblick auf die Auslegung des einschlägigen europäischen Rechts zu klären. 

Sodann antwortete der EuGH: Aktiv sei die Einwilligung kaum, wenn die Checkbox vormarkiert sei, und auch die allgemeine Bestätigung der Gewinnspielteilnahme sei nicht ausreichend. Das gelte zunächst auch mal unabhängig davon, ob diese Cookies, bzw. die im Endgerät des Nutzers gespeicherten Informationen, nun einen Personenbezug aufweisen oder nicht. Außerdem seien die Nutzer auch über weitere Details zu informieren, etwa die Identität des Verantwortlichen oder den Zweck der Verarbeitung.

Die Informationen zum BGH-Urteil vom 28.05.2020 beruhen auf der Pressemitteilung des Gerichts. Sobald der Volltext der Entscheidung vorliegt, werden wir uns hiermit noch einmal genauer beschäftigen.